Um novo ataque chamado HBDCC mostra que algoritmos de clustering não-supervisionado por contraste também são vulneráveis a backdoors inseridos durante o treinamento. Envenenando apenas uma pequena fração dos dados não rotulados, os autores conseguem manter o comportamento normal do modelo em dados limpos enquanto distorcem completamente os agrupamentos sempre que um gatilho específico está presente.
Pesquisadores propõem uma defesa treinamento-livre contra modelos comprometidos com vários tipos de gatilho de backdoor coexistindo no mesmo modelo — cenário que derrota as defesas atuais baseadas em desaprendizagem (unlearning). A técnica reduz a taxa de sucesso de ataques de quase 100% para dígitos únicos, preservando 97,8% da acurácia em dados limpos, com overhead de apenas 19-20% em implementações de hardware dedicado (ASIC/FPGA).
Pesquisadores mostram que métodos de aprendizado federado otimizados para dados não-IID, que compartilham "matrizes de orientação" baseadas em comportamento de gradiente dos clientes para melhorar a acurácia, criam um canal de vazamento inédito: um servidor central malicioso consegue inferir os conjuntos de rótulos de cada cliente com 50% a 84% de acurácia a partir dessas matrizes. A defesa proposta, PPFLex, substitui o servidor central único por três servidores de computação multipartidária segura (MPC) que calculam a matriz de orientação global sem que nenhum deles veja os dados individuais dos clientes, mantendo acurácia comparável ao método original.
Um survey sistematiza treze trabalhos sobre duas familias distintas de ataque a veiculos autonomos que exploram o canal termico: falsificacao fisica de sensores infravermelhos usados para percepcao noturna, e vazamento de informacao por telemetria termica, de DVFS e de interrupcoes de evento termico que um co-inquilino de software sem privilegios pode observar para identificar (fingerprint) qual workload de percepcao — ou seja, qual modelo de visao computacional — esta em execucao. O trabalho argumenta que nenhuma dessas interfaces pode ser desligada sem comprometer a seguranca funcional do veiculo (SOTIF), criando uma classe de risco residual que sobrevive a qualquer mitigacao unica.
Uma revisao guiada por PRISMA organiza quase dez anos de pesquisa sobre one-pixel attacks -- ataques adversariais que alteram um unico pixel de uma imagem para forcar classificacao incorreta com alta confianca -- cobrindo metodos de ataque baseados em evolucao diferencial, defesas propostas e lacunas em diversidade de datasets e avaliacao padronizada. Os autores tambem propoem uma agenda regulatoria para testes de robustez e divulgacao de incidentes envolvendo esse tipo de fragilidade em sistemas de visao computacional usados em diagnostico medico, conducao autonoma e biometria.
Usando apenas os modelos abertos CLIP e OWLv2 rodando localmente, sem pagar por nenhuma API, pesquisadores construíram um solver automatizado que venceu 92,6% de 500 sessões reais do reCAPTCHA do Google. Os autores também mostram que um adversário sem qualquer conhecimento técnico consegue o mesmo resultado apenas dando instruções em linguagem natural a um assistente de IA comercial, o que praticamente zera a barreira de habilidade necessária para atacar esse mecanismo de defesa.
Pesquisadores demonstram que câmeras estéreo e modelos de deep learning para estimativa de profundidade -- usados em carros autônomos, drones e robôs -- podem ter a distância de obstáculos manipulada em até 20 metros usando padrões visuais repetitivos simples, sem qualquer técnica sofisticada de machine learning adversarial. Um ataque de meio segundo já foi suficiente para disparar frenagem de emergência em um framework real de direção autônoma, e as defesas existentes se mostraram ineficazes.
Pesquisadores demonstram o primeiro pipeline de video capaz de recuperar senhas alfanumericas com regras corporativas tipicas digitadas em teclados QWERTY de smartphone, usando apenas a camera de oculos inteligentes Meta Ray-Ban disponiveis comercialmente. O sistema rastreia o aparelho e os dedos da vitima em resolucao subpixel, usa um ensemble de redes neurais self-supervised para prever cada tecla e combina essa evidencia visual com estatisticas de 2,19 bilhoes de senhas vazadas para estimar o tempo de quebra. Senhas humanas de ate 16 caracteres foram quebradas em horas a dias, e senhas de gerenciador de ate 13 caracteres em menos de uma hora numa GPU comum, a distancias de ate 1,8 metro da vitima.
Um grupo de pesquisadores japoneses propôs combinar duas técnicas de proteção — zerar aleatoriamente parte dos elementos do gradiente e cifrar as imagens de treinamento com chaves únicas por cliente e por imagem — para dificultar ataques de reconstrução de imagem em aprendizado federado com Vision Transformers. O método reduziu a informação visual recuperada pelo ataque APRIL sem adicionar perda de desempenho além da já causada pela própria cifragem.
Pesquisadores mostram que muitos jailbreaks multimodais não têm conteúdo nocivo nem no texto nem na imagem isoladamente: o dano só surge quando o modelo associa uma instrução aparentemente inofensiva a uma região específica da imagem. O filtro COMIC resolve isso identificando primeiro qual operação e qual alvo visual estão sendo referenciados, e só então avalia a segurança desse par operação-alvo, superando defesas que julgam o par texto-imagem como um todo.
O paper propõe o STAR-FL, um framework de defesa para federated learning que combina clustering espaço-temporal para identificar atualizações maliciosas de clientes com um ajuste adaptativo da taxa de aprendizado na agregação, reduzindo o impacto de envenenamentos que escapam da primeira camada. Os autores reportam desempenho superior a defesas do estado da arte contra ataques de poisoning direcionados em múltiplos benchmarks de visão computacional.
Pesquisadores apresentam o que descrevem como o primeiro ataque adversarial totalmente black-box contra um modelo de OCR generativo (baseado no Deep-OCR/DeepSeek-OCR), atuando apenas a partir da string de saída, sem acesso a gradientes ou logits. Perturbações imperceptíveis na imagem, otimizadas via estimativa de gradiente por diferenças finitas, foram suficientes para causar repetição, truncamento e vazamento de instruções internas do decodificador.
Ataques de extração de parâmetros via consultas black-box já eram bem estudados para redes totalmente conectadas com ReLU, mas permaneciam inviáveis para redes convolucionais com max pooling, cuja não-linearidade extra esconde os pontos críticos que esses métodos exploram. O artigo apresenta o primeiro ataque criptoanalítico adaptado a CNNs com max pooling, combinando dois tipos de pontos críticos recém-identificados para recuperar pesos e vieses com alta acurácia e complexidade de consulta polinomial.
Pesquisadores demonstraram um pipeline de ataque em quatro estágios capaz de remover objetos — como pedestres e veículos — de vídeos processados por sistemas de percepção de trânsito inteligente, mantendo altíssima fidelidade visual (PSNR acima de 40 dB, SSIM acima de 0,996) e reduzindo detecções por um detector YOLO em até 97,59%. O ataque roda a até 0,172 segundos por quadro em GPU, viabilizando manipulação quase em tempo real, e modelos forenses de detecção de adulteração tiveram dificuldade em identificar os quadros alterados.
Pesquisadores apresentam o VIPatch, um adesivo físico disfarçado de curativo que engana simultaneamente sensores visíveis e infravermelhos usados em sistemas de detecção facial fundidos — uma combinação até então considerada mais resistente a ataques adversariais do que sensores isolados. O ataque atinge taxa de sucesso acima de 90% tanto no domínio digital quanto no físico, mantendo aparência discreta para observadores humanos.