MIG-COW expõe fragilidade de detectores de deepfake contra ataques adversariais transferíveis
Pesquisadores apresentam o MIG-COW, um framework de ataque adversarial que combina gradientes integrados por momentum com uma decomposição ortogonal de consenso para gerar perturbações visuais imperceptíveis capazes de enganar detectores de deepfake baseados em CNN e Vision Transformer. Em cenário de caixa branca o ataque atinge 99,96% de sucesso mantendo alta similaridade perceptual (SSIM), mas cai para 7,16% contra alvos de caixa preta desconhecidos, revelando o limite real da transferibilidade. O estudo também mostra que combinar modelos substitutos pouco precisos no ensemble de ataque pode piorar sua eficácia.
O MIG-COW parte de um problema concreto para a forense de mídia: detectores de deepfake, hoje usados para triar e validar a autenticidade de vídeos e imagens em investigações, não são à prova de manipulação adversarial. O framework constrói perturbações quase invisíveis a olho nu que, aplicadas sobre uma imagem de entrada, deslocam a representação interna do conteúdo para longe dos padrões que os detectores associam a conteúdo sintético, enquanto a aproximam de um alvo adversarial escolhido pelo atacante (uma imagem ou descrição de texto).
Tecnicamente, a novidade está em dois componentes combinados. O primeiro, "momentum-integrated gradients", suaviza a trajetória de otimização do ataque acumulando gradientes ao longo de iterações, o que historicamente melhora a transferibilidade de ataques adversariais entre modelos distintos. O segundo, "consensus-orthogonal decomposition", separa o gradiente de ataque em uma componente compartilhada entre os detectores heterogêneos (CNN e ViT) e uma componente específica de cada arquitetura, permitindo explorar vulnerabilidades comuns sem desperdiçar capacidade de perturbação em ajustes que só funcionam para um único modelo.
Os números contam duas histórias diferentes. Em ataques de caixa branca — quando o atacante conhece os pesos do detector alvo — o MIG-COW praticamente resolve o problema, com 99,96% de taxa de sucesso e perturbações quase imperceptíveis. Mas no benchmark oficial AADD-2025, contra detectores de caixa preta desconhecidos, essa taxa despenca para 7,16%, ainda que seja o melhor resultado entre os métodos comparados. Essa queda abrupta é o dado mais relevante para quem trabalha com forense de mídia: mostra que, apesar dos avanços, ainda existe uma barreira real de generalização que protege parcialmente os sistemas de verificação de autenticidade usados em produção.
Para a prática pericial, a lição dupla é: de um lado, não se deve presumir que um detector de deepfake é infalível — se o atacante tiver acesso ao modelo exato (cenário plausível quando a ferramenta é de código aberto ou comercial conhecida), a evasão é quase garantida. De outro lado, a dificuldade de transferência para detectores desconhecidos sugere que manter em segredo ou diversificar os classificadores usados em um pipeline de verificação de mídia continua sendo uma defesa prática eficaz, e que ensembles de detectores heterogêneos (e não um único modelo) continuam sendo a aposta mais sólida para quem precisa validar autenticidade de evidência digital.