Purificacao adaptativa por difusao melhora deteccao de deepfakes de audio sob ataque adversarial
Detectores de deepfake de audio continuam vulneraveis a perturbacoes adversariais que suprimem os indicios acusticos usados para identificar vozes sinteticas, e defesas de purificacao existentes aplicam a mesma intensidade de limpeza a toda entrada, sacrificando ou a remocao do ataque ou a preservacao dos sinais sutis de spoofing. O DGAP ajusta a intensidade da purificacao por difusao de forma adaptativa, usando o proprio deslocamento de score do detector como indicador de manipulacao, e supera nove defesas existentes sem precisar retreinar o detector.
Detectores de audio deepfake avaliam pistas acusticas sutis deixadas pelo processo de geracao ou clonagem de voz para distinguir audio sintetico de autentico. Um atacante pode adicionar uma perturbacao adversarial imperceptivel ao audio gerado especificamente para apagar esses indicios, fazendo o detector classificar erroneamente um audio falso como legitimo. Defesas de purificacao baseadas em modelos de difusao tentam remover essa perturbacao antes da deteccao, sem exigir retreinar o detector ja implantado, mas ate aqui aplicavam a mesma forca de purificacao a toda entrada, o que cria um trade-off ruim: purificacao fraca deixa o ataque intacto, purificacao forte tambem apaga as pistas sutis de spoofing que o detector precisa para funcionar em audios genuinamente falsos.
O DGAP (Detection-Guided Adaptive Purification) resolve esse trade-off com uma observacao simples e eficaz: aplicar uma purificacao leve a uma entrada desloca o score do detector muito mais quando a entrada e adversarial do que quando e benigna. Esse deslocamento funciona como um indicador de manipulacao que nao precisa de nenhuma referencia externa (reference-free): o proprio comportamento do detector sob uma leve perturbacao de teste denuncia se a entrada provavelmente foi atacada.
Com base nesse sinal, o sistema opera em dois estagios, entradas cujo score muda pouco sob a purificacao leve seguem praticamente inalteradas para a deteccao final, enquanto entradas sinalizadas como suspeitas recebem uma purificacao mais agressiva antes de serem avaliadas. Isso preserva a acuracia em audio benigno quase integralmente, ao mesmo tempo que concentra o esforco de limpeza exatamente onde ha indicio de ataque.
Avaliado contra tres configuracoes de ataque adversarial em tres detectores diferentes e comparado a nove defesas existentes, o DGAP obteve o melhor desempenho de defesa em todos os cenarios, inclusive contra atacantes que conhecem a propria defesa e tentam contorna-la de forma adaptativa (defense-aware). Isso e relevante porque deepfakes de audio ja sao usados em fraudes de engenharia social e desinformacao, e uma defesa que nao exige retreinar sistemas de deteccao ja implantados reduz o atrito para adocao em producao.