Inverting Neural Networks: New Methods to Generate Neural Network Inputs from Prescribed Outputs

A continuación presento un resumen técnico detallado del artículo "Inverting Neural Networks: New Methods to Generate Neural Network Inputs from Prescribed Outputs" en español.

1. Planteamiento del Problema

Los sistemas de redes neuronales (NN) realizan mapeos complejos de datos de entrada (como imágenes de alta dimensión) a espacios de salida de baja dimensión (probabilidades de clases). Un desafío fundamental en la Inteligencia Artificial Explicable (XAI) es entender estos mapeos estudiando el problema inverso: determinar qué tipos de imágenes de entrada se mapean a una distribución de salida específica (una clase determinada).

El objetivo es generar imágenes de entrada que produzcan una clasificación casi perfecta para una clase dada. Esto es crucial para:

• Evaluar la estabilidad: Si las imágenes generadas para una clase carecen de características reconocibles y son aleatorias, el sistema es vulnerable a ataques.
• Aprendizaje adversario: Identificar entradas no deseadas que engañen a la red para reentrenarla.
• Generación de imágenes: Crear imágenes deseables basadas en la inversión del mapa.

Las limitaciones de los métodos anteriores (como buscar en el conjunto de entrenamiento o entrenar decodificadores) es que las imágenes generadas suelen ser muy similares a los datos de entrenamiento originales, sin explorar completamente el espacio de posibles imágenes.

2. Metodología Propuesta

Los autores introducen dos métodos generales para resolver el problema inverso sin requerir entrenamiento adicional (como decodificadores):

A. Método de Paso Adelante (Forward Pass)

• Concepto: Utiliza algoritmos de búsqueda de raíces (root-finding) tradicionales aplicados al espacio de entrada.
• Mecanismo:
  1. Se inicia con una imagen aleatoria ($x_0$) como suposición inicial.
  2. Se calcula el Jacobian de la función de pérdida con respecto a la imagen de entrada.
  3. Se emplea un algoritmo de búsqueda de raíces (como Levenberg-Marquardt) para encontrar la entrada $x$ tal que $NN(x)$ coincida con la distribución de clases deseada.
• Ventaja: Es aplicable a cualquier arquitectura de red neuronal, incluidas las modernas (Transformers), ya que no requiere que las capas sean invertibles matemáticamente.

B. Método de Paso Atrás (Backward Pass)

• Concepto: Invierte secuencialmente cada capa de la red desde la salida hacia la entrada.
• Requisitos: Funciona en redes con capas lineales, funciones de activación invertibles (ej. SELU, LeakyReLU) y capas Softmax.
• Mecanismo:
  1. Inversión de Softmax: Se invierte la capa de salida para obtener las pre-activaciones.
  2. Inversión de Activación: Se aplica la función inversa de la activación. Se manejan inestabilidades numéricas (números no acotados) devolviendo errores o ajustando umbrales.
  3. Inversión de Capas Lineales: Se utiliza la Descomposición en Valores Singulares (SVD) para calcular la pseudo-inversa de las matrices de peso ($W$).
  4. Estabilización: Se ajusta el número de condición de la pseudo-inversa (ceroando valores singulares pequeños) para evitar inestabilidad numérica.
  5. Innovación Clave (Espacio Nulo): Para generar todas las posibles entradas que conducen a una salida, el método añade vectores aleatorios muestreados del espacio nulo de cada capa lineal ($Null(W_i)$). Esto permite explorar la variedad de soluciones posibles.

C. Método Generalizado

Se propone una combinación híbrida donde el método de paso adelante puede invertirse bloque por bloque, y el método de paso atrás se utiliza en bloques con capas invertibles, permitiendo generar distribuciones completas de muestras de entrada aleatorias.

3. Contribuciones Clave

1. Algoritmo de Paso Adelante: Un método basado en el Jacobiano y búsqueda de raíces que es agnóstico a la arquitectura de la red.
2. Algoritmo de Paso Atrás Sofisticado: Un método que invierte capas secuencialmente e incorpora muestreo aleatorio del espacio nulo para generar múltiples soluciones válidas, no solo una.
3. Exploración del Espacio de Entrada: Demostración de que estos métodos pueden generar imágenes "aleatorias" (no similares al conjunto de entrenamiento) que logran puntuaciones de clasificación perfectas, revelando vulnerabilidades.
4. Aplicabilidad Amplia: Validación exitosa tanto en redes secuenciales simples (capas lineales) como en arquitecturas modernas de Transformers (Vision Transformers).

4. Resultados Experimentales

Los autores probaron sus métodos en dos configuraciones principales:

• Arquitecturas Transformer (ViT):

  • Se utilizaron modelos tiny-ViT y DINOv3-Base fine-tuneados en MNIST.
  • El método de Paso Adelante generó imágenes que obtuvieron puntuaciones de probabilidad $\geq 0.9$ para la clase objetivo y $\leq 0.1$ para las demás.
  • Las imágenes generadas por DINOv3 aparecieron más "aleatorias" que las de ViT-tiny, correlacionándose con la mayor complejidad del modelo.

• Redes Neuronales Fully-Connected (FCNN):

  • Se probaron redes con 1, 2 y 6 capas lineales (con activación SELU).
  • El método de Paso Atrás generó imágenes para cada configuración.
  • Hallazgo visual: Mientras que las imágenes de la red de 1 capa aún mostraban cierta similitud con los datos de entrenamiento, las redes de 2 o más capas generaron imágenes completamente aleatorias que el modelo clasificaba correctamente.

Comparación con trabajos previos:
A diferencia de métodos anteriores que producían imágenes cercanas a los datos de entrenamiento, los nuevos métodos producen imágenes que parecen ruido aleatorio pero que el modelo clasifica con alta confianza. Esto confirma que la varianza de los modelos estadísticos aumenta con la complejidad, y que las redes pueden ser engañadas por patrones no humanos.

5. Significado y Conclusión

El trabajo demuestra que las redes neuronales, especialmente las complejas, tienen vulnerabilidades significativas: pueden clasificar correctamente imágenes que no tienen ninguna característica semántica reconocible para un humano (ruido aleatorio).

• Implicaciones de Seguridad: Revela que la alta precisión de un modelo no garantiza que esté aprendiendo características robustas o semánticas; puede estar aprovechando correlaciones espurias en el espacio de alta dimensión.
• Herramienta de Análisis: Proporciona una metodología para "mapear" el espacio de entrada de una red, ofreciendo una cobertura más completa que los métodos anteriores.
• Futuro: Los autores planean extender el método de paso atrás para manejar funciones de activación no invertibles (como ReLU) mediante programación lineal.

En resumen, el artículo ofrece herramientas matemáticas rigurosas para invertir redes neuronales, demostrando que la capacidad de un modelo para generalizar o clasificar no implica necesariamente una comprensión robusta de los datos, y exponiendo la fragilidad de las arquitecturas modernas ante entradas aleatorias.