ROAST: Risk-aware Outlier-exposure for Adversarial Selective Training of Anomaly Detectors Against Evasion Attacks

1. Problema Identificado

Los sistemas de aprendizaje profundo (DNN) en dominios críticos como la salud (diagnóstico médico, monitoreo de glucosa, predicción de sepsis) son vulnerables a ataques de evasión. En estos ataques, un adversario introduce perturbaciones mínimas en los datos de entrada para engañar al modelo y causar una clasificación errónea sin ser detectado.

Para mitigar esto, se utilizan Detectores de Anomalías (ADs) que actúan como un "chequeo de sanidad" antes de que los datos lleguen al DNN. Sin embargo, el entrenamiento convencional de estos ADs presenta tres problemas críticos en el contexto de la salud:

1. Ruido Fisiológico: Los datos de pacientes varían significativamente debido a factores externos (estrés, dieta, medicación) y estados patológicos. Entrenar indiscriminadamente con datos de todos los pacientes introduce ruido que oscurece los patrones maliciosos, degradando la recuperación (recall) del AD (aumentando los falsos negativos).
2. Costo Computacional: Entrenar con conjuntos de datos masivos e indiscriminados es ineficiente.
3. Generalización: Los ADs entrenados solo con datos "in-distribution" (comportamiento benigno) a menudo no generalizan bien a valores atípicos no vistos, lo que reduce su robustez.

2. Metodología: El Marco ROAST

El autores proponen ROAST (Risk-aware Outlier-exposure for Adversarial Selective Training), un marco de entrenamiento selectivo que consta de dos etapas principales y cinco pasos (ver Figura 3 del artículo):

A. Perfilado de Riesgo (Risk Profiling)

El objetivo es identificar qué pacientes son menos vulnerables a los ataques de evasión basándose en su fisiología natural.

1. Simulación de Ataque: Se utiliza la herramienta URET (Universal Robustness Evaluation Toolkit) para generar muestras adversarias en tiempo de inferencia, manipulando signos vitales (ej. glucosa, ritmo cardíaco) manteniendo la plausibilidad fisiológica.
2. Cuantificación de Riesgo: Se calcula un riesgo instantáneo para cada paciente en cada timestamp. La fórmula pondera la magnitud de la desviación (diferencia entre dato benigno y manipulado) y la severidad (impacto clínico de esa desviación).
   • Fórmula: $R(t) = \sum S_i \cdot Z_i(t)$, donde $S_i$ es el coeficiente de severidad (derivado de modelos de regresión) y $Z_i(t)$ es la magnitud de la manipulación.
3. Construcción de Perfiles: Se crea un perfil de riesgo continuo (serie temporal) para cada paciente.
4. Agrupamiento (Clustering): Se utiliza agrupamiento jerárquico (con distancia DTW - Dynamic Time Warping) para clasificar a los pacientes en dos grupos:
   • Menos Vulnerables: Sus datos están más lejos del límite de decisión del AD y son más estables ante perturbaciones.
   • Más Vulnerables: Sus datos son más ruidosos y están cerca del límite de decisión, haciéndolos más fáciles de manipular.

B. Mejora del Detector de Anomalías (AD Enhancement)

Una vez identificados los pacientes "menos vulnerables", se entrena el AD de manera selectiva:

1. Eliminación de Ruido: Se excluyen los datos de los pacientes "más vulnerables" del conjunto de entrenamiento. Esto elimina el ruido fisiológico que confunde al modelo.
2. Exposición a Valores Atípicos (Outlier Exposure): Para evitar que el AD aprenda una definición demasiado estrecha de "benigno" (lo que reduciría la precisión), se inyectan muestras adversarias generadas específicamente sobre los pacientes menos vulnerables.
   • Esto permite que el AD aprenda un límite de decisión más rico y preciso, capaz de distinguir entre variaciones fisiológicas normales y manipulaciones maliciosas sutiles.

3. Contribuciones Clave

1. ROAST: Un marco novedoso que combina el perfilado de riesgo basado en la vulnerabilidad del paciente con el entrenamiento selectivo y la exposición a valores atípicos.
2. Estrategia de Entrenamiento Selectivo: Una metodología que prioriza datos de pacientes fisiológicamente más estables para mejorar la robustez del AD.
3. Evaluación Exhaustiva: Pruebas en tres conjuntos de datos médicos reales (OhioT1DM, MIMIC, PhysioNet CinC) y tres técnicas de AD (kNN, One-Class SVM, MAD-GAN).
4. Análisis de Características: Identificación de qué características de los datos y los modelos maximizan la efectividad de ROAST.

4. Resultados Experimentales

Los experimentos compararon el entrenamiento indiscriminado (todos los pacientes) contra el enfoque ROAST:

• Mejora en la Recuperación (Recall): ROAST aumentó el recall promedio en un 16.2%.
  • El caso más notable fue el algoritmo One-Class SVM en el dataset MIMIC, con una mejora del 89.8%.
  • En kNN con OhioT1DM, la mejora fue del 27.8%.
  • Esto significa una reducción significativa en los falsos negativos (ataques no detectados).
• Impacto en la Precisión: La precisión se mantuvo estable o mejoró en 8 de 9 experimentos. Solo hubo una caída mínima (4.97%) en kNN con OhioT1DM, lo cual se considera aceptable en contextos clínicos donde es preferible una falsa alarma (falso positivo) a un ataque no detectado.
• Eficiencia Computacional:
  • Reducción del Conjunto de Entrenamiento: Se redujo el tamaño de los datos de entrenamiento en un 80.1% en promedio (75% en OhioT1DM, 93.2% en MIMIC).
  • Tiempo de Entrenamiento: Se redujo el tiempo de entrenamiento en un 88.3% en promedio.
• Robustez: El perfilado de riesgo mostró estabilidad ante variaciones de ±20% en los coeficientes de severidad y ±10% en los umbrales de corte del dendrograma.

5. Significado e Impacto

El trabajo de ROAST es significativo por varias razones:

• Seguridad del Paciente: Al mejorar drásticamente la detección de ataques de evasión (reduciendo falsos negativos), protege a los pacientes de decisiones médicas erróneas potencialmente letales (ej. dosis incorrectas de insulina).
• Eficiencia en la Salud: Demuestra que no es necesario entrenar con todos los datos disponibles para obtener un modelo robusto; seleccionar los datos "más limpios" (menos vulnerables) ahorra recursos computacionales y tiempo, facilitando la implementación en sistemas con restricciones.
• Paradigma de Defensa: Cambia el enfoque de "entrenar con todo" a "entrenar con lo mejor". Introduce la idea de que la vulnerabilidad a un ataque cibernético puede correlacionarse con la estabilidad fisiológica del paciente, permitiendo una defensa más inteligente y personalizada.
• Escalabilidad: El enfoque es agnóstico al tipo de ataque y al algoritmo de detección, lo que lo hace aplicable a diversos sistemas de monitoreo de salud y otros dominios críticos (como vehículos autónomos).

En conclusión, ROAST ofrece una solución práctica y eficiente para fortalecer la seguridad de los sistemas de IA en la salud, equilibrando la necesidad de alta detección de amenazas con la eficiencia operativa y la precisión clínica.