ExAI5G: A Logic-Based Explainable AI Framework for Intrusion Detection in 5G Networks

1. Planteamiento del Problema

La implementación de redes 5G ha expandido masivamente la superficie de ataque para dispositivos IoT y servicios críticos, requiriendo Sistemas de Detección de Intrusos (IDS) capaces de manejar tráfico de alto volumen y complejidad.

• El Dilema: Aunque los modelos de aprendizaje profundo (cajas negras) logran altas tasas de detección, su falta de transparencia genera una "brecha de confianza" en los operadores de seguridad. En entornos críticos, una mejora marginal en las métricas de rendimiento no justifica el riesgo de un sistema inexplicable.
• Limitaciones de XAI Existente: Los métodos actuales de IA Explicable (XAI) como SHAP o LIME a menudo proporcionan explicaciones basadas en la importancia de características que son inestables y difíciles de traducir en reglas accionables o lógicas claras para los expertos humanos.

2. Metodología: El Framework ExAI5G

ExAI5G es un marco integral diseñado para priorizar la interpretabilidad sin sacrificar significativamente el rendimiento. Se compone de cuatro etapas principales:

1. Modelo IDS Basado en Transformers:

   • Se entrena un modelo Transformer (TabTransformer) sobre datos de tráfico de red 5G/IoT.
   • El modelo procesa vectores de características (29 características de capas de frame, IP, TCP, UDP y HTTP) mediante codificadores y un token [CLS] para clasificar tráfico en 9 clases (8 tipos de ataques y tráfico benigno).
   • Se utiliza una función de pérdida Focal Loss para manejar el desequilibrio de clases.

2. Atribución de Importancia (Integrated Gradients):

   • Se emplea el método Integrated Gradients (IG) para cuantificar la importancia de cada característica de entrada en la decisión del modelo, identificando qué factores impulsan la clasificación de una intrusión.

3. Extracción de Reglas Lógicas (Surrogate Decision Tree):

   • Se entrena un árbol de decisión de sustituto (surrogate) utilizando las predicciones del Transformer como pseudolabels.
   • De este árbol se extraen reglas lógicas "si-entonces" (cláusulas) que describen el comportamiento del modelo.
   • Se evalúa la fidelidad (qué tan bien las reglas del árbol coinciden con el modelo original) y la cobertura.

4. Generación y Validación de Explicaciones con LLMs:

   • Se utilizan Grandes Modelos de Lenguaje (LLMs) para convertir las reglas lógicas y las atribuciones de IG en explicaciones en lenguaje natural.
   • Nueva Metodología de Evaluación: Se introduce un esquema de validación de tres partes para calificar las explicaciones generadas:
     • Similitud Semántica: Comparación vectorial entre la regla lógica original y el texto del LLM.
     • Fidelidad de Atribución: Verificación programática de que el lenguaje descriptivo (ej. "alto", "bajo") coincida con el signo matemático de la puntuación de atribución.
     • Puntuación de Accionabilidad: Un LLM evaluador (Llama3.3:70b) califica la utilidad práctica de la explicación para un analista de seguridad (escala 1-5).

3. Contribuciones Clave

1. Marco XAI Novel: Un sistema que hace transparente un IDS de aprendizaje profundo mediante la extracción de reglas lógicas y explicaciones validadas en lenguaje natural.
2. Esquema de Validación Tripartito: Una metodología cuantitativa novedosa para evaluar la calidad, fidelidad y accionabilidad de las explicaciones generadas por LLMs.
3. Comparación Directa: Demuestra que un sistema explicable puede lograr un rendimiento robusto (99.9% de precisión) comparable a modelos opacos, con un conjunto de reglas compacto y de alta fidelidad.
4. Análisis Cuantitativo de LLMs: Evaluación de cuatro modelos generadores (Qwen2.5, Llama3.1, Phi4, Gemma3), demostrando que modelos modernos pueden lograr puntuaciones perfectas en fidelidad y accionabilidad.
5. Estudio Piloto con Expertos: Validación humana con dos analistas de seguridad que comparó las puntuaciones de los LLMs con juicios humanos, confirmando la alineación general pero destacando áreas de mejora.

4. Resultados Principales

• Rendimiento de Clasificación: El sistema alcanzó una precisión del 99.9% y una puntuación macro-F1 de 0.854 en un conjunto de datos de intrusión 5G/IoT, demostrando un rendimiento fuerte incluso en clases minoritarias.
• Interpretabilidad: Se extrajeron 16 reglas lógicas con una fidelidad del 99.7% respecto al modelo Transformer original. Estas reglas cubren el 100% de los casos de prueba (o 99.99% tras podar una hoja con poco soporte).
• Calidad de Explicaciones (LLMs):
  • Los modelos Qwen2.5:14b y Phi4:14b destacaron como los mejores, logrando fidelidad de atribución de 0.99 y 0.98 respectivamente, y puntuaciones de accionabilidad de 4.6 y 4.5 (sobre 5).
  • Las explicaciones generadas fueron capaces de justificar las alertas y sugerir tipos de ataque o pasos siguientes concretos.
• Eficiencia Computacional: El modelo tiene una latencia de inferencia mediana de 2.48 ms por flujo en CPU, permitiendo despliegue en tiempo real.

5. Significado e Impacto

El trabajo ExAI5G desafía la noción de que la interpretabilidad y el alto rendimiento son mutuamente excluyentes en la ciberseguridad.

• Cambio de Paradigma: Propone que en infraestructuras críticas como 5G, la capacidad de un sistema para ser comprendido, verificado y confiado es tan importante como su métrica de F1.
• Operatividad: Al convertir decisiones de "caja negra" en reglas lógicas verificables y explicaciones en lenguaje natural, se cierra la brecha entre los modelos de IA y los operadores humanos, permitiendo respuestas operativas rápidas y fundamentadas.
• Validación Rigurosa: La introducción de métricas cuantitativas para evaluar explicaciones generadas por IA establece un nuevo estándar para la investigación en XAI, asegurando que las explicaciones no sean solo coherentes lingüísticamente, sino técnicamente fieles al modelo subyacente.

En conclusión, ExAI5G demuestra que es posible construir un IDS de intrusión en 5G que sea altamente preciso, transparente y confiable, eliminando la necesidad de sacrificar la seguridad operativa por la opacidad de los modelos de alto rendimiento.