A Comparative Study of Adversarial Robustness in CNN and CNN-ANFIS Architectures

Resumen Técnico: Estudio Comparativo de la Robustez Adversaria en Arquitecturas CNN y CNN-ANFIS

Título original: A Comparative Study of Adversarial Robustness in CNN and CNN-ANFIS Architectures

1. El Problema (Contexto y Motivación)

Las Redes Neuronales Convolucionales (CNN) son el estándar de oro para la clasificación de imágenes, pero presentan dos debilidades críticas: la falta de interpretabilidad (actúan como "cajas negras") y su vulnerabilidad ante ataques adversarios (pequeñas perturbaciones imperceptibles que cambian la predicción del modelo).

Aunque los sistemas híbridos neuro-difusos, como el Deep Convolutional Neuro-Fuzzy Inference System (DCNFIS), han surgido para mejorar la interpretabilidad mediante el uso de reglas lingüísticas y lógica difusa, su comportamiento y resistencia ante ataques malintencionados no han sido estudiados exhaustivamente. El problema central es determinar si la adición de componentes de lógica difusa para ganar transparencia compromete o mejora la seguridad del modelo.

2. Metodología

El estudio realiza una comparación sistemática entre arquitecturas CNN estándar y sus contrapartes aumentadas con ANFIS (Adaptive Neuro-Fuzzy Inference System).

• Arquitecturas evaluadas:
  • ConvNet: Una red convolucional básica.
  • VGG: Una arquitectura más profunda basada en bloques de convoluciones.
  • ResNet18: Una arquitectura que utiliza conexiones residuales (skip connections).
• Modificación ANFIS: En las variantes híbridas, las capas totalmente conectadas (FC) tradicionales se reemplazan por un sistema de inferencia neuro-difuso (ANFIS) para actuar como clasificador.
• Conjuntos de datos: MNIST, Fashion-MNIST, CIFAR-10 y CIFAR-100.
• Tipos de ataques:
  • Ataques basados en gradiente (White-box): Se utilizó PGD (Projected Gradient Descent), que aprovecha el conocimiento interno del modelo para maximizar el error.
  • Ataques sin gradiente (Black-box): Se utilizó Square Attack, que no requiere acceso a los parámetros del modelo y se basa en consultas a la salida.
• Métrica de evaluación: Se introdujo el Ratio de Robustez (Robustness Ratio), definido como la precisión adversaria dividida por la precisión en datos limpios (Clean Accuracy).

3. Contribuciones Clave

• Evaluación de la robustez en modelos interpretables: Es uno de los primeros estudios que analiza cómo la integración de lógica difusa afecta la resistencia a ataques de caja blanca y caja negra.
• Identificación de la dependencia arquitectónica: El estudio demuestra que la eficacia de la lógica difusa para mejorar la robustez no es universal, sino que depende estrechamente de la estructura de la red base (específicamente de la presencia de conexiones residuales).
• Análisis comparativo multidimensional: Provee un marco de evaluación que abarca desde datasets simples (MNIST) hasta complejos (CIFAR-100) y diversos regímenes de ataque.

4. Resultados Principales

Los hallazgos son mixtos y revelan una relación compleja entre interpretabilidad y robustez:

• Precisión en datos limpios: La integración de ANFIS no mejora consistentemente la precisión de clasificación estándar; en algunos casos (como ConvNet-ANFIS en CIFAR-10), incluso la reduce ligeramente.
• Efecto en la robustez (PGD y Square):
  • ResNet18-ANFIS: Es el caso de éxito. La variante con ANFIS mostró una mejora notable en la robustez adversaria (aproximadamente 5 puntos porcentuales en PGD), lo que sugiere que las conexiones residuales ayudan a que la capa difusa aproveche mejor las características extraídas.
  • VGG-ANFIS: Mostró un rendimiento inferior a su versión base. Esto indica que en arquitecturas sin mecanismos de preservación de características fuertes, la lógica difusa puede introducir vulnerabilidades adicionales.
  • ConvNet-ANFIS: Mostró resultados neutros o inconsistentes.

5. Significado e Implicaciones

Este trabajo es significativo para el campo de la IA Confiable (Trustworthy AI). Demuestra que la búsqueda de modelos explicables (XAI) mediante lógica difusa no debe hacerse a ciegas, ya que la robustez frente a ataques es altamente sensible al diseño de la arquitectura.

Para ingenieros de seguridad, el estudio sugiere que si se desea un modelo que sea tanto interpretable como robusto, la combinación de arquitecturas residuales (como ResNet) con sistemas neuro-difusos es una ruta prometedora, mientras que las arquitecturas más simples o de tipo VGG podrían ser contraproducentes en entornos de seguridad crítica.