Ataques Adversariais
Mensagem central
Mesmo redes bem treinadas podem ser enganadas por
pequenas alterações quase imperceptíveis na entrada.
A rede não "entende" a imagem — ela responde a padrões numéricos.
Como o ataque afeta os filtros
1
Alterar pixels estratégicos
O atacante escolhe pixels em regiões críticas para os filtros — como o centro do X, onde as diagonais se cruzam.
2
Filtros deixam de detectar o padrão
Se alterarmos ligeiramente os pixels, podemos fazer um filtro deixar de detectar um padrão — ou detectar algo que não existe.
3
Feature maps mudam — saída muda
As ativações nos feature maps enfraquecem. A rede, que dependia desses padrões, classifica a imagem incorretamente.
🔗
Conexão com a aula: os mesmos filtros (Diagonal ↘, Centro ✖, Diagonal ↗) que aprendemos a aplicar são exatamente os que o ataque busca neutralizar.
Original vs. Perturbado — quase iguais para nós
Original
P(X) = 0.98 ✓
vs.
Perturbado (4 pixels)
P(X) = 0.11 ✗
diferença
(amplificada 8×)
(amplificada 8×)
Pixels em vermelho =
pixels alterados. Quase invisíveis na imagem, mas suficientes para confundir a rede.
Impacto nos feature maps
Ativação total (soma das respostas positivas) de cada filtro:
💡
Para nós, continuam iguais. Para a rede, são entradas numericamente muito diferentes — e isso é suficiente para enganá-la.