Adversarial Vulnerabilities in Neural Operator Digital Twins: Gradient-Free Attacks on Nuclear Thermal-Hydraulic Surrogates

Aquí presento un resumen técnico detallado del artículo "Adversarial Vulnerabilities in Neural Operator Digital Twins: Gradient-Free Attacks on Nuclear Thermal-Hydraulic Surrogates" (Vulnerabilidades Adversariales en Gemelos Digitales de Operadores Neuronales: Ataques sin Gradientes en Sustitutos de Hidráulica Térmica Nuclear), traducido y sintetizado al español.

1. Planteamiento del Problema

Los operadores neuronales (como DeepONet, FNO, etc.) están emergiendo rápidamente como el núcleo predictivo de los gemelos digitales para sistemas nucleares y energéticos. Estos modelos aprenden mapeos entre espacios de funciones de dimensión infinita, permitiendo la reconstrucción de campos físicos en tiempo real a partir de mediciones de sensores escasas.

Sin embargo, existe una brecha crítica de seguridad: su robustez frente a perturbaciones adversarias es desconocida. A diferencia de las redes neuronales convencionales (clasificación de imágenes), los operadores neuronales operan en espacios continuos con restricciones físicas estrictas. El problema central es determinar si es posible engañar a estos modelos mediante perturbaciones físicas plausibles (dentro de los límites operativos reales) que sean extremadamente escasas (afectando a menos del 1% de las entradas) y que pasen desapercibidas para los sistemas de validación estándar, provocando fallos catastróficos en la predicción de seguridad.

2. Metodología

Los autores desarrollaron un marco de ataque y análisis específico para operadores neuronales en un contexto de ciber-física:

• Escenario de Prueba: Se utilizó un modelo de intercambiador de calor en un reactor nuclear, donde el operador neuronal mapea condiciones de contorno (velocidad de entrada, temperatura, perfil de flujo de calor) a campos completos de presión y velocidad (3,977 puntos de malla).
• Arquitecturas Evaluadas: Se compararon cuatro familias de operadores con filosofías de diseño distintas:
  1. MIMONet: Mapeo por concatenación directa.
  2. NOMAD: Fusión multiplicativa de ramas y troncos.
  3. S-DeepONet: Uso de codificadores recurrentes (GRU) para dependencias secuenciales.
  4. POD-DeepONet: Descomposición en valores propios (POD) para proyecciones de rango bajo.
• Estrategia de Ataque (Sin Gradientes): Dado que los modelos industriales suelen ser "cajas negras" y el espacio de salida es de alta dimensión ($\mathbb{R}^{15,908}$), los autores emplearon Evolución Diferencial (DE) en lugar de métodos basados en gradientes (como PGD).
  • Objetivo: Maximizar el error relativo $L_2$ en el campo de predicción.
  • Restricciones: Las perturbaciones deben ser físicamente plausibles (dentro de los rangos de calibración de sensores y leyes de conservación) y escasas ($L_0 \le 10$, afectando a muy pocos sensores).
  • Invisibilidad: Las perturbaciones se limitaron a $\pm 1\sigma$ de la distribución de entrenamiento para evitar la detección por anomalías estadísticas estándar (z-score).

3. Contribuciones Clave

A. Descubrimiento de Vulnerabilidades Estructurales

El estudio demuestra que los operadores neuronales son extremadamente vulnerables a perturbaciones mínimas. Modificar menos del 1% de las entradas puede degradar la precisión validada (aprox. 1.5% de error) a errores catastróficos del 37% al 63%, mientras que las perturbaciones permanecen indetectables por métricas de validación estándar.

B. El Modelo de Vulnerabilidad de Dos Factores

Los autores introducen un modelo teórico que explica por qué algunas arquitecturas son más vulnerables que otras, basándose en dos factores:

1. Concentración de Sensibilidad ($d_{eff}$): Una nueva métrica basada en el Jacobiano llamada dimensión de perturbación efectiva. Cuantifica en cuántas direcciones de entrada se concentra la sensibilidad del modelo.
   • $d_{eff} \approx 1$: Sensibilidad concentrada en un solo punto (alta vulnerabilidad a ataques de un solo punto).
   • $d_{eff} \approx d$: Sensibilidad distribuida (robustez ante ataques escasos).
2. Magnitud de Sensibilidad: La magnitud absoluta de los valores del Jacobiano (cuánto amplifica el modelo la perturbación).

Hallazgo Contraintuitivo: La arquitectura con la mayor concentración de sensibilidad (POD-DeepONet, $d_{eff} \approx 1$) no fue la más vulnerable. Esto se debe a que su proyección de rango bajo actúa como un "techo" que limita el error máximo. Por el contrario, S-DeepONet ($d_{eff} \approx 4$) combinó una concentración moderada con una amplificación suficiente, convirtiéndose en la arquitectura más explotable (94.5% de éxito de ataque con solo 3 perturbaciones).

C. Invisibilidad ante Validación Estándar

Un hallazgo crítico es que el 100% de los ataques exitosos de un solo punto ($L_0=1$) pasan los controles de detección de anomalías basados en z-score (menos de 3 desviaciones estándar). Esto significa que un gemelo digital podría reportar un margen de seguridad seguro mientras las temperaturas reales se acercan al fallo del material, sin que el sistema de monitoreo detecte nada anómalo.

D. Superioridad de los Métodos sin Gradientes

Se demostró que la Evolución Diferencial supera a los ataques basados en gradientes (PGD) en arquitecturas con patologías de gradiente (como POD-DeepONet, donde los gradientes son casi nulos debido a la proyección de rango bajo) y es más eficiente en escenarios de caja negra.

4. Resultados Principales

• Tasas de Éxito:
  • S-DeepONet: 100% de éxito de ataque con $L_0=5$ y umbral de error del 30%.
  • NOMAD y MIMONet: Vulnerabilidad moderada, requiriendo perturbaciones más coordinadas ($L_0 \ge 10$) para alcanzar altos niveles de error.
  • POD-DeepONet: Vulnerabilidad limitada (máximo ~30% de error) debido a la restricción de rango bajo, a pesar de su alta concentración de sensibilidad.
• Impacto Físico: Los ataques no solo aumentan el error global, sino que provocan desplazamientos de puntos calientes, inversiones de patrones de flujo y violaciones de márgenes de seguridad críticos en regiones específicas, lo cual es más peligroso que un error global uniforme.
• Transferibilidad: Los ataques tienen baja transferibilidad entre arquitecturas diferentes (2-36%), lo que sugiere que los ensembles (combinaciones de modelos diversos) podrían ser una defensa natural.

5. Significado e Implicaciones

Este trabajo expone un vector de ataque previamente ignorado en el aprendizaje automático científico. Sus implicaciones son profundas para la seguridad de infraestructuras críticas:

1. Riesgo de Despliegue: Los modelos validados con alta precisión en datos de prueba no son intrínsecamente seguros. La precisión de interpolación no garantiza robustez adversarial.
2. Ceguera de los Sistemas de Seguridad: Los métodos actuales de detección de anomalías (basados en estadísticas univariadas o multivariadas estándar) son insuficientes para detectar ataques adversarios físicos plausibles y escasos.
3. Nuevos Paradigmas de Diseño: Se propone que la robustez debe ser un criterio de diseño desde el inicio, no un parche posterior. Se sugieren estrategias como:
   • Regularización de la sensibilidad (maximizar $d_{eff}$).
   • Uso de proyecciones de rango bajo (como en POD-DeepONet) para limitar el daño máximo.
   • Ensembles de arquitecturas diversas.
4. Teoría de Compensación: El artículo establece teóricamente que existe una compensación inherente entre la precisión de aproximación del operador y la robustez adversarial; mejorar la precisión puede, paradójicamente, hacer que el modelo sea más susceptible a ataques si la estructura de sensibilidad no se controla.

En conclusión, el estudio advierte que antes de desplegar gemelos digitales en entornos nucleares o de red eléctrica, es imperativo realizar pruebas de estrés adversarial que respeten las leyes físicas y evalúen la vulnerabilidad estructural de los modelos, más allá de las métricas de error tradicionales.