Pesquisadores propoem ofuscar a fronteira de decisao de modelos para travar ataques adversariais entre dispositivos edge
Um novo metodo chamado BMO ataca um problema especifico de modelos de IA distribuidos em muitos dispositivos (celulares, IoT): se um unico aparelho e comprometido e seu modelo e extraido, exemplos adversariais criados contra ele funcionam igualmente bem em todos os outros dispositivos que rodam a mesma copia do modelo. A defesa decompoe os parametros do modelo em um componente de posicao e um de curvatura da fronteira de decisao, injetando ruido apenas na curvatura para gerar uma fronteira levemente diferente em cada dispositivo, sem perder acuracia. Nos testes, a taxa media de defesa saltou de 22,32% (melhor linha de base) para 68,68%.
O cenario de ataque, chamado pelos autores de cross-node attack, explora uma caracteristica estrutural da distribuicao centralizada de modelos: milhoes de copias identicas de um mesmo modelo de machine learning sao embutidas em aplicativos moveis ou firmwares de IoT. Quando um atacante compromete um unico dispositivo (via engenharia reversa do app, por exemplo), ele obtem acesso de caixa-branca ao modelo -- pode inspecionar pesos, arquitetura e gradientes livremente. A partir dai, consegue criar exemplos adversariais otimizados especificamente contra aquele modelo, e esses exemplos continuam funcionando contra qualquer outro dispositivo da mesma frota, porque todos rodam exatamente a mesma copia.
A observacao tecnica central do BMO e que a robustez de um modelo contra ataques adversariais esta ligada principalmente a curvatura da fronteira de decisao (a superficie no espaco de features que separa uma classe de outra) e nao apenas a sua posicao. Com base nisso, o metodo decompoe os parametros do modelo em dois componentes -- um que define a posicao da fronteira e outro que define sua curvatura -- usando restricoes de espaco nulo (null-space constraints) para isolar essas duas propriedades sem afetar a funcao original do modelo. Em seguida, injeta ruido controlado apenas no componente de curvatura, gerando, para cada dispositivo ou lote de dispositivos, uma instancia do modelo com uma fronteira de decisao sutilmente diferente das demais -- mas com a mesma acuracia em dados legitimos.
O efeito pratico e que um exemplo adversarial otimizado para a fronteira de um dispositivo especifico perde eficacia contra as fronteiras diversificadas dos demais, quebrando a transferibilidade que tornava o ataque cross-node tao eficiente. Nos experimentos, cobrindo os quatro tipos principais de ataque adversarial testados contra quatro modelos amplamente usados em dispositivos, o BMO atingiu uma taxa media de defesa de 68,68%, contra 22,32% da linha de base mais competitiva, mantendo desempenho comparavel em acuracia benigna.
O motivo pelo qual isso importa na pratica e que a industria de ML on-device depende justamente da distribuicao em massa de copias identicas de modelo para reduzir custo de engenharia -- exatamente a premissa que o ataque cross-node explora. Tecnicas como o BMO apontam para uma mudanca de postura: tratar a diversificacao por dispositivo (nao so a robustez agregada do modelo) como parte do orcamento de seguranca de qualquer produto que distribua o mesmo modelo para milhoes de aparelhos potencialmente hostis.