Um estudo com quatro modelos de visão-linguagem, três benchmarks de VQA e cinco canais de confiança mostra que atacantes em caixa-branca conseguem manipular o escore de confiança reportado por um modelo sem alterar a resposta final gerada, byte a byte. Em uma simulação com bloqueio por confiança, um ataque coordenado transferido para um mecanismo de corte baseado em estado oculto fez até 84,8% das respostas incorretas antes rejeitadas passarem a ser aceitas, levando os autores a concluir que confiança é um sinal 'sensível à integridade' e não robusto por natureza.
Um survey unifica duas famílias de ataque, SlowFormer e DeSparsify, que miram otimizações de inferência adaptativa ao input em Vision Transformers, como poda de tokens e parada antecipada, usadas para economizar energia e latência em dispositivos com recursos limitados. Em vez de tentar enganar a classificação, esses ataques forçam o modelo a processar mais tokens e mais etapas do que deveria, anulando parcial ou totalmente o ganho de eficiência que a arquitetura foi desenhada para oferecer.
Uma revisão sistemática consolida cinco linhas de pesquisa que, de forma independente, inverteram o uso de perturbações adversariais: em vez de atacar modelos de IA, dados, criadores e plataformas as usam para proteger conteúdo visual contra reconhecimento indevido, treinamento não autorizado, edição maliciosa e automação de agentes. Os autores concluem que a maioria dessas proteções ainda é validada só contra adversários estáticos ou fracamente adaptativos, com pouca evidência fora de benchmarks controlados.
Pesquisadores demonstraram um pipeline de ataque em quatro estágios capaz de remover objetos — como pedestres e veículos — de vídeos processados por sistemas de percepção de trânsito inteligente, mantendo altíssima fidelidade visual (PSNR acima de 40 dB, SSIM acima de 0,996) e reduzindo detecções por um detector YOLO em até 97,59%. O ataque roda a até 0,172 segundos por quadro em GPU, viabilizando manipulação quase em tempo real, e modelos forenses de detecção de adulteração tiveram dificuldade em identificar os quadros alterados.
O estudo propõe um modelo de ameaça mais realista para sistemas de previsão de tráfego baseados em grafos: um atacante com conhecimento limitado do modelo e capacidade de manipular apenas alguns sensores viários, em vez do acesso total normalmente assumido em trabalhos anteriores. A partir daí, os autores constroem um ataque "physics-aware" que imita padrões reais de congestionamento para corromper a previsão em rotas específicas — gerando tempos de chegada errados ou desvios desnecessários — sem afetar métricas de rede como um todo, o que o torna praticamente invisível a detecção agregada. Como defesa, propõem um detector físico-informado acoplado a um previsor endurecido, que supera o treinamento adversarial tradicional em 13 de 15 combinações de modelo e dataset avaliadas.
Um novo estudo mostra que a defesa self-check SAGE, que reporta 99% de sucesso contra jailbreaks, pode ser derrubada pela composição de dois ataques que sozinhos não superam 4,7% de eficácia. Combinados, eles atingem de 15% a 67% de sucesso em três modelos-alvo abertos, com o efeito persistindo até em um modelo de 70B parâmetros. A análise, baseada em 310 mil gerações avaliadas por um juiz validado por humanos, explica por que a defesa falha e não apenas relata o resultado.
Pesquisadores apresentam um framework de ataque baseado em aprendizado profundo contra autoencoders sem fio -- redes neurais usadas para codificar e decodificar sinais de comunicacao -- que combina controle inteligente de potencia de transmissao com geracao adversarial condicional para degradar o desempenho do sistema-alvo minimizando o risco de deteccao. O ataque tambem se adapta a ambientes dinamicos, superando a limitacao de estrategias de interferencia fixas.
O GhostPrompt introduz um prompt adversarial otimizado uma unica vez e reutilizavel em imagens diversas para forcar modelos de visao-linguagem a produzir respostas escolhidas pelo atacante, superando a limitacao de ataques anteriores que ficavam presos a uma imagem especifica. O metodo eleva a taxa de sucesso de ataque em mais de 30% sobre o estado da arte, reduzindo em cerca de 70% o tempo de computacao necessario.