Resumen Técnico: Exposición de Vulnerabilidades en la Explicación de Clasificadores de Series Temporales mediante Ataques de Doble Objetivo

1. Definición del Problema

El artículo aborda una brecha de seguridad crítica en los sistemas de aprendizaje profundo de series temporales interpretables (ITSDLS). Aunque estos sistemas emparejan un predictor con un explicador para proporcionar razonamientos comprensibles para el ser humano sobre las decisiones (por ejemplo, en atención médica o detección de fallos), existe la suposición implícita de que la estabilidad de la explicación implica robustez en la decisión. Los autores desafían esta suposición, postulando que las predicciones y las explicaciones pueden ser adversarialmente desacopladas.

El problema central es la falta de un examen sistemático sobre si un adversario puede simultáneamente:

1. Forzar a un clasificador de series temporales a clasificar erróneamente una entrada en una clase objetivo específica.
2. Manipular el explicador acoplado para generar una explicación plausible y consistente que se alinee con un razonamiento de referencia elegido (a menudo imitando la clase original o un patrón específico).

Los ataques adversariales existentes sobre series temporales suelen centrarse únicamente en la robustez de la predicción o utilizan perturbaciones aleatorias no adaptativas para probar la calidad del explicador. Estos métodos no logran capturar la amenaza específica donde un atacante "encubre" una clasificación errónea mediante la fabricación de una explicación convincente, eludiendo así la supervisión humana y la auditoría basada en explicaciones.

2. Metodología: TSEF (Time Series Explanation Fooler)

Los autores proponen TSEF, un marco de ataque de doble objetivo diseñado para manipular conjuntamente la salida del clasificador y la salida del explicador. El método está motivado por una "paradoja de alta dimensión" inherente a los datos de series temporales: los ataques densos $\ell_\infty$ estándar, aunque efectivos para cambiar las predicciones, tienden a dispersar la masa de atribución a través de todo el espacio de entrada, creando explicaciones temporalmente incoherentes que no logran coincidir con razonamientos de referencia dispersos y contiguos.

Para resolver esto, TSEF desacopla el ataque en dos componentes estructurados:

2.1. Fundamento Teórico

Los autores demuestran (Teorema 4.1) que bajo actualizaciones densas $\ell_\infty$ estándar, la masa de atribución esperada fuera de la región objetivo escala linealmente con la dimensión del espacio de entrada ($d - |\Omega|$). Esto hace que sea matemáticamente difícil mantener una explicación localizada mientras se fuerza un cambio en la predicción utilizando ruido no estructurado.

2.2. Arquitectura del Ataque

TSEF opera bajo un modelo de amenaza de caja blanca donde el adversario tiene acceso tanto al clasificador $f$ como al explicador $H_E$. El ataque minimiza una función de pérdida conjunta sujeta a un presupuesto de perturbación $\ell_\infty$. Consta de dos etapas iterativas:

1. Máscara de Vulnerabilidad Temporal ($M_t$):

   • Objetivo: Identificar una región temporal dispersa y conectada donde las perturbaciones influirán más eficazmente tanto en la predicción como en la explicación.
   • Mecanismo: Se optimiza una máscara aprendible $M_t \in [0, 1]^{T \times D}$ para suprimir segmentos específicos de tiempo-canal.
   • Regularización: Para asegurar que la máscara sea dispersa y contigua (imitando patrones del mundo real), los autores introducen:
     • Dispersión: Minimización de la información mutua entre la entrada y la máscara (mediante una divergencia KL contra una prioridad Bernoulli dispersa).
     • Conectividad: Un regularizador que penaliza las discontinuidades en la máscara a través de los pasos de tiempo.
   • Optimización: Utiliza una relajación Concrete (Gumbel-Softmax) con un estimador de paso directo (STE) para permitir el flujo de gradiente a través de la selección de la máscara discreta. Una regla de actualización invariante de la amplitud asegura que la selección se base en la sensibilidad y no en la magnitud de la señal.

2. Filtro de Perturbación de Frecuencia ($M_f$):

   • Objetivo: Modificar la dinámica dentro de la región temporal seleccionada para dirigir la predicción y la explicación sin introducir artefactos dispersos.
   • Mecanismo: El segmento seleccionado se transforma al dominio de la frecuencia. Se aplica un filtro aprendible $M_f$ multiplicativamente al espectro.
   • Ventaja: La edición en el dominio de la frecuencia induce cambios coherentes en el dominio del tiempo (por ejemplo, alterando tendencias o periodicidad) en lugar de ruido punto a punto.
   • Optimización: Utiliza una actualización de signo invariante de la energía para evitar que los bins de frecuencia de alta energía dominen el gradiente. Un factor de escala adaptativo asegura que la perturbación final respete el presupuesto $\ell_\infty$ por instancia.

El ejemplo adversarial final se reconstruye aplicando el filtro de frecuencia al segmento enmascarado y reinsertándolo en la señal original.

3. Contribuciones Clave

• Evaluación Sistemática de Vulnerabilidad: El artículo proporciona la primera evaluación de la robustez adversarial en explicadores de series temporales, demostrando que pueden ser dirigidos para coincidir con razonamientos prescritos incluso bajo una clasificación errónea de la clase objetivo.
• Análisis de la Paradoja de Alta Dimensión: Los autores muestran teórica y empíricamente que los ataques limitados por punto a punto dispersan la masa de atribación a medida que aumenta la dimensionalidad, produciendo explicaciones difusas que no pueden coincidir con razonamientos de referencia dispersos.
• Marco TSEF: Un ataque novedoso de doble objetivo y estructurado que desacopla "cuándo perturbar" (mediante una máscara temporal dispersa) de "cómo perturbar" (mediante un filtro en el dominio de la frecuencia), permitiendo una manipulación de la explicación controlable y contigua.
• Banco de Pruebas Modular: El lanzamiento de un marco de evaluación estandarizado para sistemas acoplados de clasificador-explicador bajo interfaces de ataque compartidas.

4. Resultados Experimentales

Los autores evaluaron TSEF en seis conjuntos de datos (tres sintéticos: LOWVAR, SEQCOMB-UV, SEQCOMB-MV; tres del mundo real: ECG, PAM, Epilepsy) utilizando tres diferentes arquitecturas de explicador (TIMEX++, TIMEX, Integrated Gradients) y un clasificador basado en Transformer.

• Compromiso entre Predicción y Explicación: Los ataques existentes de solo predicción (por ejemplo, PGD, BlackTreeS) lograron altas Tasas de Éxito de Ataque (ASR) pero resultaron en un bajo alineamiento de la explicación (por ejemplo, bajo AUPRC). Por el contrario, el ruido aleatorio preservó algunas puntuaciones de explicación pero falló en la clasificación errónea.
• Desempeño de TSEF: TSEF logró con éxito una alta ASR (comparable o superior a los fuertes modelos de referencia) mientras mantenía un alto alineamiento de la explicación con el razonamiento de referencia.
  • Ejemplo: En el conjunto de datos ECG con TIMEX++, TSEF logró una ASR de 0.951 (frente a 0.946 para PGD) mientras mejoraba significativamente las métricas de explicación (AUPRC 0.713 frente a 0.639 para PGD).
  • Ejemplo: En LOWVAR, TSEF mantuvo una ASR ~0.85 mientras alcanzaba un AUPRC de ~0.845, mientras que PGD cayó a ~0.258.
• Generalización: La vulnerabilidad se observó en diferentes tipos de explicadores (basados en máscaras y basados en gradientes) y en diferentes arquitecturas de clasificadores (Transformer, CNN, TimesFM).
• Implicaciones en el Mundo Real: En entornos sin razonamientos de verdad fundamental (usando la explicación limpia como referencia), TSEF logró preservar la apariencia de una explicación válida mientras cambiaba la predicción, evadiendo efectivamente la auditoría basada en explicaciones.

5. Significado y Reivindicaciones

El artículo sostiene que la estabilidad de la explicación es un indicador engañoso de la robustez de la decisión en sistemas de series temporales. La capacidad de desacoplar la predicción y la explicación implica que los protocolos de auditoría actuales, que dependen de la consistencia de las explicaciones para verificar el comportamiento del modelo, pueden ser sistemáticamente eludidos.

Los autores enfatizan que su trabajo es una "prueba de estrés de caja blanca" que revela un modo de fallo específico. No afirman que todos los sistemas de series temporales sean inseguros, sino que la suposición de confianza inherente en las salidas acopladas de predicción-explicación es errónea. El significado reside en motivar el desarrollo de evaluaciones de robustez conscientes del acoplamiento y defensas que restrinjan explícitamente el comportamiento conjunto de los predictores y los explicadores, en lugar de evaluarlos de forma aislada. El artículo concluye que, para aplicaciones de alto riesgo, la confianza no puede restaurarse simplemente comprobando si una explicación parece plausible; la relación entre la decisión y el razonamiento debe protegerse contra la manipulación adversarial.