NERO-Net: A Neuroevolutionary Approach for the Design of Adversarially Robust CNNs

1. El Problema

La vulnerabilidad de las Redes Neuronales Artificiales (ANN) ante ejemplos adversarios (pequeñas perturbaciones diseñadas para engañar al modelo) es un obstáculo crítico para su adopción en entornos de seguridad crítica. Aunque existen métodos de entrenamiento robusto (como el adversarial training), la mayoría de las investigaciones se centran en mejorar el entrenamiento en lugar de diseñar arquitecturas intrínsecamente robustas.

Los enfoques existentes de Evolución Neuronal (NE) y Búsqueda de Arquitectura Neuronal (NAS) presentan limitaciones:

• Priorizan el rendimiento predictivo sobre la robustez.
• Utilizan espacios de búsqueda restringidos (basados en celdas fijas) que limitan la aparición de topologías novedosas.
• A menudo integran el adversarial training durante la búsqueda, lo que oculta la contribución real de la arquitectura a la robustez, haciendo difícil distinguir si la resistencia proviene de la estructura o del método de entrenamiento.

2. Metodología: NERO-Net

Los autores proponen NERO-Net, un marco de evolución neuronal basado en el algoritmo Fast-DENSER, diseñado específicamente para crear CNNs robustas sin depender del entrenamiento adversario durante la fase de búsqueda.

Componentes Clave:

• Función de Aptitud (Fitness) Híbrida:

  • Se introduce una función de aptitud $F_\beta$ que optimiza conjuntamente la precisión en datos limpios ($C$) y la precisión bajo ataque adversario ($A$).
  • Fórmula: $F_\beta = (1 + \beta^2) \cdot \frac{C \times A}{C + \beta^2 \cdot A}$.
  • Estrategia de Entrenamiento: Los candidatos se entrenan exclusivamente con métodos estándar (no robustos). Esto asegura que cualquier robustez lograda sea una propiedad intrínseca de la arquitectura.
  • Estimación Eficiente: Durante la búsqueda evolutiva, se utiliza el ataque FGSM (un ataque de un solo paso) para estimar la precisión adversaria. Esto evita que la precisión adversaria caiga a cero (como ocurriría con ataques más fuertes como PGD en modelos no entrenados adversarialmente), manteniendo la presión selectiva necesaria para la evolución.

• Representación Genotípica Flexible:

  • Bloques de Capas: En lugar de codificar capas individuales, el sistema codifica bloques compuestos (ej. Conv-BN-ReLU), permitiendo una mayor flexibilidad estructural.
  • Conectividad Skip: Se eliminan las restricciones de conectividad estricta (donde una capa solo puede conectarse a la anterior inmediata). Se permiten conexiones de salto (skip connections) a capas anteriores no adyacentes, ampliando el espacio de búsqueda topológico.
  • Parámetros Reales: Nuevos tipos de parámetros (como potencias de 2 o 10) para reducir el espacio de búsqueda de hiperparámetros.

• Fase de Calentamiento (Warm-up):

  • Para evitar que la búsqueda se estanque en soluciones triviales o inestables al inicio, se utiliza un periodo inicial donde la función de aptitud solo considera la precisión en datos limpios. Una vez superado un umbral ($\tau$), se activa la función compuesta $F_\beta$.

• Detección de Individuos Mal Adaptados:

  • Se implementan restricciones para penalizar modelos que muestran inestabilidad numérica (pérdidas infinitas) o clasificación trivial (predecir una sola clase para la mayoría de las muestras), lo cual podría generar falsos positivos en la métrica de robustez.

3. Contribuciones Clave

1. Marco NERO-Net: Un enfoque de evolución neuronal que co-optimiza precisión y robustez mediante una función de aptitud especializada, sin utilizar adversarial training durante la búsqueda.
2. Representación Genotípica Expandida: Introducción de bloques de capas y patrones de conectividad más flexibles (saltos de capa) que permiten explorar un espacio de arquitecturas más diverso y complejo que los enfoques NAS tradicionales basados en celdas.
3. Evidencia de Robustez Intrínseca: Demostración de que la evolución puede descubrir arquitecturas que poseen resistencia inherente a ataques adversarios, independientemente de técnicas de defensa externas.

4. Resultados Experimentales

Los experimentos se realizaron en el conjunto de datos CIFAR-10, enfocándose en la robustez bajo la norma $L_\infty$.

• Rendimiento durante la Búsqueda Evolutiva:

  • El individuo más apto alcanzó una precisión adversaria del 33% contra ataques FGSM (con $\epsilon=8/255$) y una precisión limpia del 87%, sin haber sido entrenado adversarialmente.
  • Esto demuestra que la arquitectura por sí sola ofrece una protección significativa.

• Entrenamiento Estándar Extendido:

  • Al someter al individuo más apto a un entrenamiento estándar más prolongado (350 épocas), la precisión limpia subió al 93.47% y la precisión adversaria (FGSM) al 47.88%.
  • El modelo también mostró resistencia a perturbaciones $L_2$ (no vistas durante la evolución), alcanzando un 58.35% de precisión contra ataques FGM.

• Entrenamiento Adversario Final:

  • Tras aplicar adversarial training (con PGD y AutoAttack), el modelo alcanzó un 40.40% de precisión contra el ensemble de AutoAttack (AA).
  • Aunque este resultado es ligeramente inferior al de modelos de referencia como NSGA-Net (que alcanzó ~47% con AA), el modelo NERO-Net logró un rendimiento superior en precisión general bajo ataque cuando se usa solo entrenamiento estándar.

• Robustez Multi-Amenaza:

  • Un hallazgo notable es que, aunque la búsqueda se optimizó solo para $L_\infty$, el modelo resultante también mostró una robustez superior a la de modelos de referencia frente a perturbaciones $L_2$.

5. Significado e Impacto

El trabajo de NERO-Net es significativo por varias razones:

• Desacoplamiento de la Defensa: Valida la hipótesis de que la arquitectura de la red juega un papel fundamental en la robustez, separando este factor de las técnicas de entrenamiento.
• Exploración de Espacios Complejos: Demuestra que la evolución neuronal puede navegar exitosamente espacios de búsqueda grandes y complejos (conectividad libre, bloques compuestos) para encontrar soluciones que los métodos basados en celdas fijas podrían pasar por alto.
• Eficiencia en la Evaluación: Propone un método viable para evaluar la robustez durante la evolución utilizando ataques ligeros (FGSM) como proxy, evitando el costo computacional prohibitivo de ataques fuertes en cada generación.
• Limitaciones y Futuro: El estudio reconoce que el costo computacional sigue siendo alto y que el rendimiento final bajo entrenamiento adversario podría mejorarse optimizando los hiperparámetros de entrenamiento específicos para la arquitectura evolucionada.

En resumen, NERO-Net ofrece un camino prometedor hacia el diseño de redes neuronales que son intrínsecamente resistentes a ataques adversarios, reduciendo la dependencia de costosos métodos de entrenamiento defensivo en etapas tempranas del desarrollo de modelos.