Avaliação da Classificação de Documentos em Cenários Adversariais

Nos últimos anos, o uso de computadores para classificar documentos como carteiras de identidade e faturas ficou mais popular. Mas, muitos sistemas de visão computacional que analisam imagens mostraram fraquezas, especialmente quando enfrentam entradas feitas sob medida chamadas de Ataques Adversariais. Esses ataques são projetados para enganar o sistema e fazer com que ele classifique errado. A maior parte da pesquisa se concentrou em imagens normais, mas as imagens de documentos são bem diferentes e precisam de uma nova abordagem.

O principal objetivo deste trabalho é avaliar quão bem os sistemas atuais de Classificação de Documentos conseguem lidar com esses ataques adversariais. A pesquisa usa vários métodos para criar entradas adversariais e testa como modelos populares se saem contra esses ataques. Este artigo discute as descobertas e implicações para trabalhos futuros nessa área.

#A Importância da Classificação de Documentos

Com o aumento do volume de documentos gerados por grandes organizações, as técnicas de visão computacional se tornaram uma forma eficaz de classificar esses documentos automaticamente. Essa tecnologia ajuda a filtrar vários tipos de documentos, como anúncios, e-mails e anotações manuscritas, tornando os processos de negócios mais eficientes. No entanto, esses sistemas de classificação precisam ser robustos contra ataques adversariais que podem explorar suas fraquezas facilmente.

#O Problema dos Ataques Adversariais

Ataques adversariais são entradas que foram levemente modificadas para confundir o modelo, levando a classificações incorretas. Esses ataques são especialmente preocupantes em aplicações sensíveis, onde uma classificação errada pode ter consequências sérias. Por exemplo, se um documento for classificado incorretamente como uma fatura em vez de uma carteira de identidade, isso pode gerar erros significativos no processamento.

Estudos existentes mostraram que modelos de visão computacional são frequentemente vulneráveis a tais ataques. Muitos desses estudos utilizaram conjuntos de dados projetados para tarefas comuns de classificação de imagens, como o ImageNet. No entanto, as imagens de documentos são diferentes; elas costumam conter texto, layouts estruturados e cores específicas que as tornam distintas das imagens naturais.

#Preparando o Cenário para Avaliação

Para avaliar adequadamente a robustez dos sistemas de classificação de documentos, é preciso estabelecer um conjunto de dados adequado e um modelo de ameaça bem definido. O conjunto de dados RVL-CDIP foi escolhido para este estudo. Ele inclui 400.000 imagens de documentos em preto e branco, categorizadas em 16 tipos, tornando-se uma escolha abrangente para os testes.

Os pesquisadores elaboraram um modelo de ameaça que define os objetivos e capacidades de quem tenta executar ataques adversariais. Esse modelo visa guiar a avaliação de como os sistemas de classificação de documentos suportam diferentes tipos de ataques.

#Vários Tipos de Ataques

Para avaliar a eficácia de diferentes ataques, foram empregadas várias abordagens. Alguns ataques são projetados para funcionar quando o atacante tem conhecimento completo do modelo, conhecidos como ataques de caixa branca. Outros não requerem esse conhecimento e são chamados de ataques de caixa preta.

1. Ataques Baseados em Gradiente: Esses ataques geram perturbações com base nos parâmetros do modelo para confundir a classificação. Vários métodos, incluindo o Método de Gradiente Rápido e o Método Iterativo de Momentum, foram usados neste estudo.

2. Ataques Baseados em Transferência: Esses envolvem criar exemplos adversariais a partir de um modelo diferente, muitas vezes mais simples. O objetivo é ver se esses exemplos ainda conseguem enganar o modelo-alvo.

3. Ataques Baseados em Pontuação: Esse tipo se baseia em consultar o modelo para entender suas previsões e, em seguida, gerar exemplos que exploram essas previsões.

#Modelos e Estratégias de Defesa

Os pesquisadores se concentraram em dois modelos populares de aprendizado profundo: EfficientNetB0 e ResNet50. Esses modelos mostraram um bom desempenho na classificação de imagens de documentos.

Uma variedade de estratégias de defesa também foi testada. Estas incluem:

1. Compressão JPEG: Ao comprimir imagens de documentos no formato JPEG antes de serem classificadas, a esperança era introduzir uma camada de proteção contra ataques.

2. Transformação em Escala de Cinza: Como as imagens de documentos no conjunto de dados eram principalmente em escala de cinza, a média dos valores de cor visava simplificar a entrada enquanto mantinha o desempenho.

3. Treinamento Adversarial: Essa estratégia eficaz envolve treinar o modelo com exemplos adversariais durante o processo de aprendizado, melhorando assim sua resistência contra ataques futuros.

#Experimentação e Resultados

Os pesquisadores realizaram vários experimentos para medir quão bem os modelos suportam diferentes ataques. A precisão de cada modelo foi avaliada em condições normais e durante os ataques.

Para ataques baseados em gradiente, sob certas condições, o desempenho dos modelos caiu drasticamente, chegando a apenas 0,6% de precisão em alguns casos. Embora a compressão JPEG e as transformações em escala de cinza tenham oferecido alguns benefícios, eles foram inconsistentes. Em contraste, modelos treinados adversarialmente mostraram quedas mínimas na precisão, provando ser muito mais resilientes.

Ataques baseados em transferência também destacaram fraquezas. Modelos que não tinham defesa sofreram uma queda considerável no desempenho quando enfrentaram exemplos adversariais gerados a partir de modelos de substituição robustos.

Ataques baseados em pontuação foram igualmente desafiadores, revelando que os modelos sem nenhuma defesa teriam um desempenho ruim, enquanto modelos treinados adversarialmente mantiveram um nível decente de precisão mesmo sob ataque.

#Conclusões e Direções Futuras

A pesquisa conclui que modelos convolucionais como EfficientNetB0 e ResNet50 são particularmente vulneráveis a exemplos adversariais cuidadosamente elaborados, especialmente sob condições ideais de ataque. Técnicas como compressão JPEG não melhoram consistentemente a robustez, embora o treinamento adversarial prove ser altamente eficaz.

Dadas as dificuldades únicas apresentadas pelas imagens de documentos, há uma necessidade clara de estudos contínuos nessa área. Pesquisas futuras poderiam explorar modelos multimodais que utilizem contextos adicionais de layout e texto, levando potencialmente a defesas mais sofisticadas.

À medida que os sistemas de classificação de documentos se tornam cada vez mais integrados em várias indústrias, garantir sua confiabilidade contra ataques adversariais será crucial. As descobertas deste estudo servem como um ponto de partida para investigações futuras voltadas a proteger esses sistemas contra ameaças emergentes no campo da inteligência artificial.