Pesquisadores treinaram um agente de Deep Q-Network para aprender combinacoes evasivas de timing de probes, flags TCP e tamanho de payload contra um IDS real baseado em Zeek rodando em um Raspberry Pi 3B+, com deteccao por XGBoost, MLP e CNN 1D. Mesmo em cenario black-box, onde o atacante nao ve os parametros internos do modelo defensivo, as taxas de evasao alcancaram entre 61,9% e 98,3%, e o efeito da visibilidade de features sobre a evasao nao foi monotonico nem uniforme entre os modelos.
O trabalho avalia ataques de evasão do tipo caixa-preta contra uma defesa de treinamento adversarial baseada em custo-utilidade, aplicada a aprendizes online (árvores e florestas adaptativas) usados para detecção de anomalias e intrusão em redes IoT. As versões com treinamento adversarial mantiveram acurácia adversarial de até 0,985 com queda de apenas 0,8% em relação à acurácia em dados limpos, no orçamento de custo mais alto testado.
Pesquisadores mostram que a predição conforme, usada para dar garantias de cobertura estatística a LLMs de detecção de intrusão de rede, falha quando um atacante manipula features de tráfego controláveis. A calibração ciente do tráfego adversarial restaura a garantia contra atacantes que usam um mecanismo de perturbação conhecido, mas um atacante adaptativo que consulta o próprio modelo-alvo ainda consegue degradar essa proteção.
O framework DDQN-MLP usa um Double Deep Q-Network apenas durante o treinamento, para ponderar dinamicamente a importância de cada amostra com base em perda e confiança de predição, guiando um classificador MLP final que é o único componente mantido em produção. Avaliado com validação cruzada em 2.000 perfis executáveis de 30 famílias de ransomware, o sistema atinge 99,3% de acurácia e mantém robustez sob testes adversariais white-box.
Um segundo grupo de pesquisadores propõe um ensemble empilhado (regressão logística, XGBoost e SVM sobre embeddings DistilBERT) para detecção de SQL injection, endurecido com exemplos adversariais gerados por FGSM e otimizado via Optuna. O destaque é a velocidade: o ensemble classifica todo o conjunto de teste cerca de 140 vezes mais rápido que um DistilBERT-SVM isolado, mantendo acurácia acima de 99% mesmo sob ataque adversarial.
OASIS é um método que otimiza a sequência — não apenas a escolha individual — de ataques adversariais de texto em cenários black-box hard-label, realizando uma busca única para equilibrar taxa de sucesso e tamanho da perturbação, e reaproveitando essa cadeia depois. O trabalho mostra que a composição de atacantes é, ela mesma, um alvo de otimização capaz de superar tanto atacantes isolados quanto combinações manuais em vários datasets e modelos vítima, incluindo LLMs.
Pesquisadores compararam um classificador clássico (TF-IDF com regressão logística) e um DistilBERT ajustado, ambos treinados em um corpus unificado de mais de 82 mil e-mails de phishing vindos de seis bases públicas. Os dois modelos superam 98% de acurácia em dados limpos, mas despencam para cerca de 64% quando expostos a phishing deliberadamente alterado para evadir detecção, uma queda de mais de 34 pontos percentuais em ambos, apesar das arquiteturas serem completamente diferentes.
Pesquisadores combinaram uma Boundary-Seeking GAN (BGAN) com um TabTransformer para detecção de intrusão baseada em fluxo de rede, usando a GAN tanto para gerar amostras sintéticas de classes minoritárias quanto para gerar amostras adversariais de teste. No dataset CICIDS2017, os modelos sem esse reforço sofreram queda de 100% de desempenho sob ataque adversarial, enquanto os modelos aumentados com BGAN mantiveram desempenho estável.
Um novo framework, batizado SMART (Signal-based Model Access Risk Taxonomy), propõe abandonar a divisão tradicional de ataques de evasão em white-box/gray-box/black-box e classificá-los pela riqueza real dos sinais que um sistema de IA implantado expõe — decisão final, score de confiança, representação intermediária ou parâmetros completos. Os autores argumentam que a categoria "black-box" tradicional mistura cenários de deployment com capacidades de ataque muito diferentes entre si, o que pode levar a decisões erradas de procurement e arquitetura de segurança.
Pesquisadores demonstram que um NIDS (sistema de detecção de intrusão de rede) que caía para 26% e 50% de acurácia sob os ataques adversariais FGSM e Carlini & Wagner, respectivamente, recupera 96,57% e 89,20% de acurácia após uma defesa híbrida que combina Adversarial Training com Gaussian Data Augmentation. O estudo varre múltiplos níveis de epsilon e ruído de confiança para validar a robustez da abordagem.