{"id":723,"date":"2025-12-09T20:36:03","date_gmt":"2025-12-09T20:36:03","guid":{"rendered":"https:\/\/wordpress.ft.unicamp.br\/revisa\/?p=723"},"modified":"2025-12-15T18:45:43","modified_gmt":"2025-12-15T18:45:43","slug":"classificacao-o-impacto-do-data-poisoning-em-sistemas-de-apoio-a-decisao","status":"publish","type":"post","link":"https:\/\/wordpress.ft.unicamp.br\/revisa\/2025\/12\/09\/classificacao-o-impacto-do-data-poisoning-em-sistemas-de-apoio-a-decisao\/","title":{"rendered":"Classifica\u00e7\u00e3o: O Impacto do Data Poisoning em Sistemas de Apoio \u00e0 Decis\u00e3o"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

A constru\u00e7\u00e3o de classificadores para Sistemas de Apoio a Decis\u00e3o parte da premissa fundamental de que o conjunto de treinamento \u00e9 uma amostra confi\u00e1vel e \u00edntegra da realidade. O algoritmo de aprendizado busca generalizar padr\u00f5es a partir desses dados hist\u00f3ricos, assumindo que eles n\u00e3o sofreram manipula\u00e7\u00e3o. Portanto, a qualidade da tomada de decis\u00e3o final est\u00e1 diretamente atrelada a essa base: o sistema opera sob a hip\u00f3tese de que as correla\u00e7\u00f5es estat\u00edsticas aprendidas s\u00e3o genu\u00ednas, sem considerar a possibilidade de interfer\u00eancias maliciosas na fonte dos dados.<\/p>

Essa confian\u00e7a impl\u00edcita nos dados abre espa\u00e7o para o campo do Adversarial Machine Learning <\/i>(Aprendizado de M\u00e1quina Advers\u00e1rio), que estuda t\u00e9cnicas utilizadas para enganar modelos de aprendizado. \u00c9 nesse contexto que o ataque de Data Poisoning <\/i>(Envenenamento de Dados) se torna cr\u00edtico. Ao contr\u00e1rio de ataques que tentam burlar o sistema depois de pronto, o data poisoning<\/i> ataca a fase de aprendizado. O resultado \u00e9 um modelo que, embora pare\u00e7a funcional, foi treinado para cometer erros espec\u00edficos, comprometendo a confiabilidade do apoio \u00e0 decis\u00e3o.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t<\/span>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

<\/a>\nData Poisoning<\/i><\/span><\/h2><\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

\u00a0O Data Poisoning<\/i> \u00e9 classificado como um ataque de inje\u00e7\u00e3o que ocorre estritamente na fase de treinamento do modelo. Diferente de ataques de “Evas\u00e3o” (Evasion Attacks<\/i>), que tentam enganar um modelo j\u00e1 treinado durante o seu uso, o envenenamento busca comprometer a pr\u00f3pria forma\u00e7\u00e3o do conhecimento do algoritmo. O atacante insere dados corrompidos (as “amostras venenosas”) no conjunto de treinamento para que o classificador aprenda regras de decis\u00e3o falhas desde a origem. Isso torna o ataque persistente: uma vez treinado com dados envenenados, o modelo carrega o vi\u00e9s malicioso at\u00e9 que seja retirado do zero com uma base limpa.<\/p>

Dentro de Sistemas de Apoio a Decis\u00e3o, os ataques de envenenamento geralmente possuem dois objetivos distintos:<\/p>

Ataque \u00e0 Disponibilidade (<\/b>Availability Attack<\/b><\/i>):<\/b> O objetivo principal \u00e9 degradar a performance global do modelo at\u00e9 torn\u00e1-lo inutiliz\u00e1vel. O atacante insere uma quantidade massiva de ru\u00eddo ou dados conflitantes no conjunto de treinamento para maximizar a taxa de erro do classificador, invalidando a confiabilidade do Sistema de Apoio \u00e0 Decis\u00e3o como um todo.<\/p>

Ataque \u00e0 Integridade (<\/b>Integrity Attack<\/b><\/i>):<\/b> O foco \u00e9 introduzir falhas pontuais sem comprometer as m\u00e9tricas gerais de acur\u00e1cia do sistema. Tamb\u00e9m conhecido como Backdoor Attack<\/i>, essa estrat\u00e9gia busca ensinar o modelo a classificar erroneamente apenas inputs que contenham um “gatilho” espec\u00edfico, permitindo que o sistema continue funcionando normalmente para dados leg\u00edtimos enquanto esconde uma vulnerabilidade cr\u00edtica.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t<\/span>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

<\/a>\nA Mec\u00e2nica do Ataque<\/span><\/h2><\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

\u00a0A execu\u00e7\u00e3o t\u00e9cnica do Data Poisoning<\/i> opera manipulando diretamente a geometria do aprendizado do modelo. Os mecanismos principais incluem:<\/p>

Invers\u00e3o de R\u00f3tulos (<\/b>Label Flipping<\/b><\/i>)<\/b>: \u00c9 uma das estrat\u00e9gias de inje\u00e7\u00e3o mais eficazes pela sua simplicidade. Nela, o atacante n\u00e3o precisa gerar dados sint\u00e9ticos; ele corrompe a integridade dos r\u00f3tulos existentes. Selecionam-se inst\u00e2ncias leg\u00edtimas de uma classe (ex: “Classe A”) e altera-se sua classifica\u00e7\u00e3o para a classe oposta (“Classe B”), mantendo as caracter\u00edsticas (features) inalteradas. Isso obriga o algoritmo a aprender e validar estatisticamente rela\u00e7\u00f5es contradit\u00f3rias.<\/p>

Manipula\u00e7\u00e3o da Fronteira de Decis\u00e3o (<\/b>Decision Boundary<\/b><\/i>):<\/b> O objetivo matem\u00e1tico da inje\u00e7\u00e3o \u00e9 deslocar o hiperplano ou linha que separa as classes no espa\u00e7o vetorial. Ao introduzir as amostras envenenadas, o atacante “puxa” essa fronteira para uma dire\u00e7\u00e3o desejada, fazendo com que a regi\u00e3o de classifica\u00e7\u00e3o de uma classe invada o espa\u00e7o da outra. O resultado \u00e9 que novas inst\u00e2ncias leg\u00edtimas, que cairiam nessa zona invadida, ser\u00e3o classificadas incorretamente com alto grau de confian\u00e7a pelo sistema.<\/p>

\u00a0<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t<\/span>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

<\/a>\nImpacto nos Sistemas de Apoio \u00e0 Decis\u00e3o<\/span><\/h2><\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

\u00a0A presen\u00e7a de classificadores envenenados em ambientes de produ\u00e7\u00e3o gera consequ\u00eancias severas para a efic\u00e1cia do apoio \u00e0 decis\u00e3o. Os principais impactos operacionais incluem:<\/p>

Indu\u00e7\u00e3o ao Erro Sist\u00eamico<\/b>: Diferente de erros estat\u00edsticos aleat\u00f3rios, o poisoning cria um vi\u00e9s direcionado. O SAD passa a recomendar a\u00e7\u00f5es prejudiciais, como aprovar uma transa\u00e7\u00e3o fraudulenta ou sugerir um diagn\u00f3stico m\u00e9dico incorreto, com base em uma l\u00f3gica matem\u00e1tica corrompida. O sistema deixa de ser uma ferramenta de suporte e se torna um vetor de risco para a organiza\u00e7\u00e3o.<\/p>

Falha Silenciosa e Perda de Confian\u00e7a<\/b>: O aspecto mais cr\u00edtico desse ataque \u00e9 que ele n\u00e3o gera travamentos ou mensagens de erro. O sistema continua operando com alta “confian\u00e7a probabil\u00edstica”, induzindo o operador humano a acatar a sugest\u00e3o errada. A descoberta tardia dessa manipula\u00e7\u00e3o pode destruir a credibilidade da ferramenta, levando os gestores a abandonarem o uso do sistema por falta de confiabilidade.<\/p>

Alto Custo de Recupera\u00e7\u00e3o (Desaprendizado)<\/b>: Corrigir um modelo envenenado \u00e9 muito mais complexo do que corrigir um bug de c\u00f3digo tradicional. Como o conhecimento do modelo fica dilu\u00eddo em seus par\u00e2metros (pesos), muitas vezes \u00e9 matematicamente invi\u00e1vel “desaprender” apenas o dado t\u00f3xico. Isso obriga a equipe a descartar o modelo comprometido, auditar toda a base hist\u00f3rica e realizar o retreino completo do zero, gerando custos elevados de processamento e tempo.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t<\/span>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

<\/a>\nDefesa e Mitiga\u00e7\u00e3o<\/h2><\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

\u00a0A prote\u00e7\u00e3o contra o Data Poisoning<\/i> exige uma abordagem em camadas, combinando t\u00e9cnicas algor\u00edtmicas com boas pr\u00e1ticas de seguran\u00e7a da informa\u00e7\u00e3o. As principais estrat\u00e9gias incluem:<\/p>

Sanitiza\u00e7\u00e3o de Dados (Data Sanitization)<\/b>: \u00c9 a primeira linha de defesa t\u00e9cnica. Consiste em aplicar algoritmos de detec\u00e7\u00e3o de anomalias antes do treinamento para identificar e remover amostras suspeitas (outliers<\/i>). A premissa \u00e9 que dados envenenados, para serem eficazes, geralmente apresentam desvios estat\u00edsticos significativos em rela\u00e7\u00e3o \u00e0 distribui\u00e7\u00e3o normal da classe que tentam imitar. A higieniza\u00e7\u00e3o busca descartar essas inst\u00e2ncias t\u00f3xicas antes que elas sejam processadas pelo modelo.<\/p>

Treinamento Adversarial<\/b>: Esta t\u00e9cnica busca aumentar a robustez intr\u00ednseca do classificador. Durante a fase de aprendizado, o modelo n\u00e3o \u00e9 exposto apenas a dados “normais”, mas tamb\u00e9m a exemplos maliciosos simulados e cen\u00e1rios de pior caso. Isso for\u00e7a o algoritmo a aprender fronteiras de decis\u00e3o mais est\u00e1veis e menos sens\u00edveis a pequenas perturba\u00e7\u00f5es ou ru\u00eddos, tornando o ataque de envenenamento muito mais dif\u00edcil de ser executado com sucesso.<\/p>

Monitoramento Cont\u00ednuo<\/b>: A defesa deve permanecer ativa ap\u00f3s a implanta\u00e7\u00e3o. \u00c9 crucial monitorar m\u00e9tricas de performance e distribui\u00e7\u00e3o dos dados em tempo real para detectar o Concept Drift<\/i> (mudan\u00e7a de conceito). Se a acur\u00e1cia do classificador cair bruscamente ou se o perfil dos dados de entrada mudar sem explica\u00e7\u00e3o natural, o sistema deve alertar sobre um poss\u00edvel ataque em andamento, permitindo interven\u00e7\u00e3o humana ou rollback <\/i>do modelo.<\/p>

Controle de Acesso e Seguran\u00e7a da Pipeline<\/b>: Diferente das defesas anteriores focadas no algoritmo, esta foca na infraestrutura. O envenenamento s\u00f3 \u00e9 poss\u00edvel se o atacante conseguir inserir dados na base de treino. Portanto, implementar controles r\u00edgidos de acesso (autentica\u00e7\u00e3o forte, logs de auditoria e princ\u00edpios de privil\u00e9gio m\u00ednimo) sobre os reposit\u00f3rios de dados e a pipeline <\/i>de Machine Learning<\/i> \u00e9 a medida preventiva mais eficaz para garantir a proced\u00eancia e a integridade da informa\u00e7\u00e3o desde a origem.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t<\/span>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

<\/a>Estudo de Caso: Detec\u00e7\u00e3o de Fraude em Cart\u00f5es de Cr\u00e9dito<\/span><\/h2><\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

\u00a0Para demonstrar os efeitos pr\u00e1ticos do Data Poisoning<\/i>, realizaremos uma simula\u00e7\u00e3o controlada onde comparamos o desempenho de um modelo treinado com dados \u00edntegros versus um modelo submetido a manipula\u00e7\u00e3o. Essa abordagem permite visualizar tecnicamente como a altera\u00e7\u00e3o na “fronteira de decis\u00e3o” prejudica a capacidade do sistema de identificar transa\u00e7\u00f5es il\u00edcitas, evidenciando a fragilidade do apoio \u00e0 decis\u00e3o quando a fonte de dados \u00e9 comprometida.<\/p>

Para a realiza\u00e7\u00e3o deste estudo, selecionamos o conjunto de dados Credit Card Fraud Detection<\/i>, obtido publicamente na plataforma Kaggle<\/i>. Esta base agrega transa\u00e7\u00f5es reais realizadas por portadores de cart\u00f5es de cr\u00e9dito europeus ao longo de dois dias em setembro de 2013. Uma caracter\u00edstica cr\u00edtica deste dataset para a nossa an\u00e1lise \u00e9 o seu extremo desbalanceamento: a classe positiva, que representa as fraudes, corresponde a apenas 0,172% do volume total de transa\u00e7\u00f5es. Para garantir a validade do experimento, os dados foram particionados em conjuntos de treinamento e teste utilizando amostragem estratificada, assegurando que a propor\u00e7\u00e3o original de fraudes fosse preservada estatisticamente em ambas as divis\u00f5es, evitando vieses na avalia\u00e7\u00e3o do modelo.<\/p>

Para estabelecer a linha de base (baseline<\/i>), treinamos o algoritmo de \u00e1rvore de decis\u00e3o com os dados originais. Utilizamos par\u00e2metros espec\u00edficos para lidar com o desequil\u00edbrio das classes (class_weight=’balanced’<\/i>) e garantir a reprodutibilidade (random_state=42<\/i>).<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\"C\u00f3digo\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Simulamos o acesso do atacante \u00e0 base de treino para executar o Label Flipping<\/i>. A estrat\u00e9gia consiste em selecionar aleatoriamente 20% das transa\u00e7\u00f5es que s\u00e3o fraudes reais (Classe 1) e inverter seus r\u00f3tulos para “Transa\u00e7\u00e3o Leg\u00edtima” (Classe 0). Isso insere ru\u00eddo na defini\u00e7\u00e3o do que constitui uma fraude, confundindo o aprendizado do modelo.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\"C\u00f3digo\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Reiniciamos o classificador e realizamos o treinamento com os mesmos hiperpar\u00e2metros do cen\u00e1rio base, por\u00e9m utilizando o vetor de alvos corrompido (y_train_poisoned<\/i>).<\/p>

Para tangibilizar o impacto do ataque e ir al\u00e9m das m\u00e9tricas puramente num\u00e9ricas, implementamos uma rotina de visualiza\u00e7\u00e3o gr\u00e1fica utilizando as bibliotecas matplotlib <\/i>e seaborn<\/i>.\u00a0<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\"C\u00f3digo\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Para mensurar o preju\u00edzo concreto causado pelo ataque de Data Poisoning<\/i> ao Sistema de Apoio a Decis\u00e3o, analisamos as m\u00e9tricas de desempenho do modelo no conjunto de teste (\u00edntegro). A compara\u00e7\u00e3o visual entre o modelo limpo e o modelo envenenado revela como a manipula\u00e7\u00e3o do treinamento comprometeu a capacidade do sistema de identificar transa\u00e7\u00f5es fraudulentas.<\/p>

A Matriz de Confus\u00e3o \u00e9 cr\u00edtica neste cen\u00e1rio, pois o custo de n\u00e3o detectar uma fraude (Falso Negativo) \u00e9 muito superior ao custo de bloquear erroneamente uma transa\u00e7\u00e3o leg\u00edtima (Falso Positivo).<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\"Compara\u00e7\u00e3o\t\t\t\t\t\t\t\t\t\t\t
Figura 1 - Compara\u00e7\u00e3o entre matrizes de confus\u00e3o<\/figcaption>\n\t\t\t\t\t\t\t\t\t\t<\/figure>\n\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Observando a Figura 1, a compara\u00e7\u00e3o entre as matrizes evidencia o sucesso do ataque:<\/p>