Resumen Técnico: Cuando la Interpretabilidad se Convierte en una Responsabilidad: Ataques Adversariales en las Capas de Conceptos de los CBM

1. Declaración del Problema

Los Modelos de Cuello de Botella de Conceptos (CBM) han surgido como un enfoque líder para el aprendizaje automático interpretable al descomponer las predicciones en dos etapas: mapear entradas a conceptos interpretables por humanos ($f: X \to C$) y mapear conceptos a etiquetas ($g: C \to Y$). Aunque esta arquitectura ofrece transparencia, este documento identifica una vulnerabilidad de seguridad crítica y previamente inexplorada: la capa de cuello de botella de conceptos en sí misma.

A diferencia de los ataques adversariales tradicionales que dependen de ruido imperceptible a nivel de píxel, este trabajo demuestra que los CBM son susceptibles a ataques adversariales a nivel de concepto. Un adversario puede manipular las representaciones semánticas (activaciones de conceptos) para inducir una clasificación catastrófica errónea. Por ejemplo, en un sistema de clasificación de aves, un atacante podría invertir el concepto "pico curvo" a "pico recto" para clasificar erróneamente un halcón como una grulla. En dominios de alto riesgo como la imagenología médica, suprimir conceptos críticos para la decisión (por ejemplo, "borde irregular") podría causar que una lesión maligna sea clasificada erróneamente como benigna. Estos ataques son distintos porque operan sobre atributos semánticamente significativos, lo que los hace potencialmente más fáciles de crear con conocimiento del dominio y más difíciles de detectar que el ruido de píxeles.

2. Metodología

2.1. Marco Teórico y Superficie de Ataque

Los autores formalizan el CBM como $F(x) = g_\phi(f_\theta(x))$, donde $f_\theta$ mapea las entradas a activaciones de conceptos y $g_\phi$ es típicamente un clasificador lineal. La superficie de ataque se define como el espacio de conceptos de baja dimensión e interpretable.

• Relación Entrada-Concepto: El documento establece un límite inferior teórico que demuestra que aumentar la perturbación mínima requerida en el espacio de conceptos se traduce directamente en un aumento de la perturbación mínima requerida en el espacio de píxeles de entrada (mediante continuidad Lipschitz). Esto valida que defender la capa de conceptos proporciona seguridad genuina a nivel de entrada.
• Algoritmo de Ataque Óptimo: Los autores derivan una solución de forma cerrada para la perturbación mínima $\delta$ requerida para invertir una predicción desde una clase verdadera $y^*$ hacia una clase objetivo $t$. Para un clasificador lineal, esto se formula como un programa cuadrático con restricciones. La solución utiliza la pseudoinversa de Moore-Penrose para satisfacer todos los límites de clase simultáneamente, proporcionando un método eficiente para calcular el ataque de "norma mínima".

2.2. Cuantificación de la Robustez

Para medir la vulnerabilidad, el documento introduce:

• Puntuación de Atacabilidad ($A$): El recíproco de la norma de perturbación mínima ($\rho$). Una puntuación alta indica que una muestra está cerca de un límite de decisión y es fácilmente clasificada erróneamente.
• Norma de Perturbación Relativa: La magnitud de la perturbación requerida para tener éxito, sirviendo como proxy para el costo computacional de un ataque.

2.3. Mecanismo de Defensa: SPECTRA

Para mitigar estas vulnerabilidades, el documento propone SPECTRA (Entrenamiento de Conceptos Basado en Perturbación Semántica para la Robustez frente a Ataques).

• Regularización de Estabilidad: SPECTRA introduce un término de pérdida de estabilidad ($L_{stability}$) durante el entrenamiento que penaliza las normas de perturbación mínima pequeñas. La pérdida se define como $-\log(1 + \|\delta_{min}\|_2^2)$.
• Objetivo de Entrenamiento: La pérdida total combina la precisión de la predicción de conceptos, la precisión de clasificación y el término de estabilidad: $L_{total} = \lambda_c L_{concept} + \lambda_y L_{class} + \lambda_s L_{stability}$.
• Mecanismo: Al maximizar el margen en el espacio de conceptos, SPECTRA obliga al modelo a aprender representaciones donde pequeños cambios semánticos no alteran la clasificación, endureciendo efectivamente el espacio de conceptos.

3. Configuración Experimental

• Conjunto de Datos: CUB-200-2011 (clasificación detallada de aves), utilizando un subconjunto de 15 especies y 312 atributos visuales binarios.
• Arquitectura: ResNet-18 como columna vertebral para la extracción de características, seguida de un predictor de conceptos lineal y un clasificador lineal.
• Evaluación: El estudio barre el parámetro de regularización de estabilidad ($\lambda_s$) para analizar la compensación entre la precisión de clasificación y la robustez.

4. Resultados Clave

4.1. Vulnerabilidad de los CBM Estándar

Los CBM de línea base ($\lambda_s = 0$) exhiben una susceptibilidad severa a los ataques a nivel de concepto, con una puntuación de atacabilidad de 2.196 y una norma de perturbación relativa mínima de solo 0.46. Esto indica que los modelos estándar pueden ser manipulados fácilmente con un esfuerzo mínimo.

4.2. Transición de Fase en la Robustez

El hallazgo más significativo es una transición de fase en la robustez del modelo en función de la fuerza de regularización $\lambda_s$:

• Régimen Vulnerable ($\lambda_s < 0.08$): Los modelos permanecen altamente vulnerables con puntuaciones de atacabilidad altas.
• Umbral Crítico ($\lambda_s \approx 0.083$): En este punto preciso, el modelo experimenta un cambio abrupto. La puntuación de atacabilidad cae un 86% (de 0.507 a 0.070), y la norma de perturbación relativa salta de 1.97 a 14.30.
• Régimen Robusto ($\lambda_s > 0.083$): A medida que $\lambda_s$ aumenta aún más, el costo de un ataque exitoso crece exponencialmente. En $\lambda_s = 0.092$, la norma de perturbación supera 4,000, y en $\lambda_s = 0.30$, supera 49 millones, haciendo prohibitiva computacionalmente la manipulación de conceptos dirigida.

4.3. Precisión y Dispersión

• Preservación de la Precisión: El punto de operación óptimo ($\lambda_s = 0.083$) mantiene una precisión de clasificación del 70.2%, representando una pérdida mínima en comparación con la línea base (72.2%). Incluso en fuerzas de regularización más altas donde la robustez es máxima, la degradación de la precisión se mantiene contenida (por ejemplo, 60.2% en $\lambda_s=0.092$).
• Dispersión: La regularización de estabilidad promueve representaciones de conceptos más dispersas, reduciendo la pérdida de dispersión en un 99% (de 0.9457 a 0.0084) en la regularización máxima, lo que indica que el modelo depende de menos conceptos, pero más esenciales, para la toma de decisiones.

5. Significado y Afirmaciones

El documento afirma establecer la robustez adversarial a nivel de concepto como una consideración crítica para el despliegue práctico de los CBM. Sus contribuciones principales son:

1. Nuevo Modelo de Amenaza: Identifica y caracteriza un modelo de amenaza distinto donde los adversarios manipulan representaciones intermedias semánticas en lugar de solo píxeles de entrada.
2. Marco Sistemático: Proporciona el primer marco teórico y algoritmos para generar perturbaciones de espacio de conceptos de norma mínima.
3. Defensa Efectiva: Demuestra que la regularización de estabilidad dirigida (SPECTRA) puede transformar una arquitectura altamente vulnerable en una robusta con un impacto mínimo en el rendimiento.
4. Directrices Prácticas: Identifica un umbral crítico de hiperparámetro ($\lambda_s \approx 0.083$) que sirve como un "punto óptimo" para el despliegue, ofreciendo ganancias sustanciales de seguridad con compensaciones de precisión aceptables.

Los autores concluyen que, si bien la interpretabilidad en los CBM introduce nuevas vulnerabilidades, estas pueden mitigarse sistemáticamente mediante regularización principista, abriendo una nueva frontera de investigación en la intersección del aprendizaje automático interpretable y la robustez adversarial.