DEFUSE: detector por difusão flagra modelos de visão com backdoor com até 0,96 de precisão

Backdoors em modelos de visão são difíceis de achar

Um backdoor é uma porta dos fundos escondida num modelo: ele se comporta normalmente na maioria das entradas, mas produz um comportamento malicioso quando encontra um gatilho específico. Em modelos de visão treinados com aprendizado auto-supervisionado, detectar esse tipo de manipulação é especialmente difícil porque o defensor normalmente não conhece os dados de treino nem a estratégia do atacante. Um novo pré-print propõe o DEFUSE, um detector baseado em modelos de difusão, e reporta resultados promissores nesse cenário de caixa-preta.

Como o DEFUSE funciona

A abordagem é engenhosa. O detector pega a representação interna de uma imagem — a descrição numérica que um codificador suspeito produz — e a usa para condicionar um modelo de difusão pré-treinado a reconstruir a imagem. Depois, avalia a consistência semântica: o quanto a reconstrução preserva o significado da entrada original. A hipótese é que representações limpas geram reconstruções fiéis, enquanto representações com backdoor produzem reconstruções de baixa consistência, sem sentido ou direcionadas ao alvo do ataque. Um limiar transforma essa comparação numa decisão de detecção.

Os números

Nos testes, o DEFUSE alcançou AUPRC de 0,81 a 0,96 contra quatro ataques de envenenamento de dados (SSLBKD, CTRL, BLTO e CLIP Backdoor) e 0,81 a 0,90 em três testes de manipulação de treino (BadEncoder, DRUPE e BadCLIP). A métrica principal, AUPRC, mede o quão bem entradas limpas e com backdoor são separadas.

O estudo também avaliou o DEFUSE como etapa de purificação: no caso CLIP-Backdoor, a acurácia em dados limpos subiu de 0% para 22% enquanto a taxa de sucesso do ataque caiu de 95,2% para 8%; no BadCLIP, o ataque despencou de 88,9% para 0%.

O que os limites revelam

Os bons números vêm com ressalvas importantes. O benchmark centrou-se em CLIP ViT-B e SimSiam ResNet18, com sete ataques nomeados, e as tabelas principais não reportam intervalos de confiança nem variabilidade entre execuções. O DEFUSE também depende de um modelo generativo pré-treinado, de um codificador de referência e de dados de treino livres de veneno — mesmo não assumindo conhecimento prévio do ataque. A calibração de limiar, as taxas de falso positivo e ataques adaptativos mais agressivos seguem como questões abertas.

Ainda assim, para equipes que implantam modelos de visão em produção, a direção é promissora: um detector que não precisa conhecer o ataque para flagrar modelos comprometidos. O pré-print (arXiv:2608.25851v1, 26 de agosto de 2026) indica que o código-fonte está disponível no repositório do DEFUSE no GitHub.