Resumen Técnico: Preentrenado, Congelado, Sigue Filtrando

1. Planteamiento del Problema

El artículo aborda una brecha crítica en la auditoría de privacidad de los Modelos Fundacionales de EEG (EEG-FMs), tales como BIOT, LaBraM y EEGPT. Las evaluaciones de privacidad actuales suelen evaluar las representaciones (embeddings) liberadas frente a un único punto final (endpoint): reconstrucción de la forma de onda bruta, inferencia de membresía, vinculación de identidad o privacidad diferencial (DP) en la cabeza descendente (downstream head).

Los autores argumentan que estas auditorías de punto final único son insuficientes. Un embedding liberado puede no ser capaz de soportar una reconstrucción de alta fidelidad de la forma de onda bruta o mostrar señales débiles de inferencia de membresía, pero aun así preservar atributos espectrales decodables (por ejemplo, estructuras de Densidad Espectral de Potencia centradas) relevantes para los estados del sujeto. Además, los resultados de la vinculación de identidad suelen malinterpretarse; una fuerte recuperación de identidad en entornos de "mismo sujeto" no implica recuperación para sujetos "retenidos" (aquellos que no están en el conjunto de entrenamiento o de referencia). El problema central es la falta de un marco de auditoría conjunta que evalúe simultáneamente los cuatro puntos finales para determinar si una decisión de liberación es segura, centrándose específicamente en si los atributos espectrales se filtran a través de diferentes codificadores y conjuntos de datos.

2. Metodología

El artículo propone una auditoría de privacidad de representación con control dividido que obliga a que cada afirmación de privacidad sobreviva a controles de falsificación específicos.

2.1 Modelo de Amenaza

• Víctima: Un servicio de EEG-FM que libera embeddings (no formas de onda brutas).
• Atacante: Posee un conjunto de sombras de ventanas de EEG y puede entrenar decodificadores a partir de los embeddings liberados hacia atributos espectrales. Para la vinculación de identidad, el atacante tiene un conjunto de referencia de sujetos candidatos.
• Objetivos:
  1. Recuperación de Atributos: Inferir atributos espectrales (PSD centrada) a partir de los embeddings.
  2. Vinculación de Conjunto de Referencia: Asignar un embedding a un sujeto conocido en un conjunto de referencia.
  3. Auditoría de Privacidad: Probar si las defensas (ruido, cuellos de botella, DP) reducen la filtración sin destruir la utilidad.

2.2 Protocolo de Auditoría y Controles

La auditoría evalúa los embeddings bajo cuatro puntos finales estándar, pero aplica controles de división estrictos para evitar sobreclamaciones:

• Verificación de Copia de Crudo (Raw-Copy Check): Verifica si las ventanas adyacentes son casi duplicados (similitud de coseno $\ge$ 0.99).
• División por Brecha Temporal (Temporal-Gap Split): Separa las ventanas por tiempo para descartar artefactos de ventanas adyacentes.
• División de Sujetos Disjuntos (Subject-Disjoint Split): Asegura que los sujetos de entrenamiento y prueba no se traslapen. Esta es la control crítica para la filtración de atributos de sujetos retenidos. La vinculación de identidad no se reclama aquí porque los sujetos candidatos están ausentes.
• Identidad de Conjunto de Referencia: La vinculación de identidad (BPID@1) solo se evalúa cuando existen sujetos candidatos en el conjunto de referencia del atacante.
• Controles Negativos: Cada resultado de filtración se compara contra embeddings gaussianos aleatorios y embeddings permutados localmente mediante división para establecer una línea base.

2.3 Marco Teórico

Los autores introduccionan un Puente de Transferencia entre Codificadores (Cross-Encoder Bridge Theorem) y una Puntuación de Desacuerdo de Punto Final de Auditoría (AEDS):

• Transferibilidad del Puente: Demuestran que si dos codificadores comparten un solapamiento de proyector de coordenadas de atributo no trivial ($\beta$), un decodificador de atributos de cresta (ridge) entrenado en un codificador congelado puede transferirse al conjunto de prueba de sujetos disjuntos de otro codificador a través de un puente lineal ajustado. El límite inferior de la ganancia se deriva como $\sqrt{\beta/(1 + \tau^2_t)} - \epsilon_{br} - \rho_0$.
• AEDS: Una regla de decisión definida como $AEDS = L_A - \max(R_M, R_I)$, donde $L_A$ es la ganancia de filtración de atributos, $R_M$ es el residuo de inferencia de membresía y $R_I$ es el residuo de vinculación de identidad. Un AEDS positivo indica que la filtración de atributos es el factor de riesgo decisivo, incluso si otros puntos finales parecen seguros.

2.4 Evaluación de Defensas

La auditoría prueba defensas estándar:

• Ruido Gaussiano: Añadido a los embeddings.
• Cuellos de Botella y Dropout: Reducción dimensional y eliminación de coordenadas.
• DP-SGD: Ajuste fino diferencialmente privado de la cabeza descendente con recorte por muestra y contabilidad RDP.
• Atacante Adaptativo: Un atacante consciente del ruido de tipo Wiener que pre-blanquea los embeddings basándose en los niveles de ruido conocidos.

3. Resultados Clave

3.1 Filtración de Atributos Espectrales

A través de ocho configuraciones de evaluación (BIOT, LaBraM, EEGPT en EEGMMI; LaBraM en Sleep-EDF, LIMO, CHB-MIT), los atributos espectrales son consistentemente recuperables de los embeddings.

• Filtración de Sujetos Disjuntos: En todas las divisiones de sujetos disjuntos, la ganancia de PSD centrada permanece significativamente positiva (los límites inferiores del IC del 95% oscilan entre 0.157 y 0.487) contra los controles negativos emparejados.
• Transferencia entre Codificadores: Un decodificador de cresta único entrenado en un codificador (ej. BIOT) se transfiere con éxito a los conjuntos de división de sujetos retenidos de otros codificadores (LaBraM, EEGPT) mediante un puente lineal. El $\beta$ de proyector implícito se estima en $[0.008, 0.198]$.
• Relevancia de Implementación: En una tarea de clasificación de etapas de sueño de Sleep-EDF, un atacante logró una precisión del 70.4% en sujetos retenidos, superando significativamente a los controles, incluso con ruido gaussiano ($\sigma=1.0$).

3.2 Alcance de la Vinculación de Identidad

• Vinculación de Conjunto de Referencia: Se observa una fuerte vinculación de identidad (BPID@1 hasta 0.950) solo cuando el atacante posee un conjunto de referencia que contiene a los sujetos candidatos (divisiones de mismo sujeto o traslapadas).
• Sujetos Retenidos: No se reclama recuperación de identidad para las divisiones de sujetos disjuntos. El artículo distingue explícitamente entre "vinculación de conjunto de referencia" (posible) y "recuperación de identidad de sujetos retenidos" (no demostrada).

3.3 Desacuerdo de Punto Final (AEDS)

• Fallo de Punto Final Único: Las auditorías estándar (copia de crudo, inferencia de membresía, identidad de conjunto de referencia) suelen dar luz verde a la liberación. Por ejemplo, las AUC de inferencia de membresía fueron bajas (0.50–0.70), y la reconstrucción de crudo fue negativa.
• Fallo de la Auditoría Conjunta: El AEDS fue positivo en las ocho celdas de IC emparejadas de sujetos disjuntos ($p < 0.001$). Esto significa que la señal de filtración de atributos es lo suficientemente fuerte como para bloquear una decisión de liberación, incluso cuando los puntos finales de membresía e identidad sugieren seguridad.

3.4 Fallo de las Defensas

• Ruido y DP: El ruido gaussiano estándar y el DP-SGD en la cabeza descendente fallaron en cerrar el canal de atributos manteniendo la utilidad.
  • En $\epsilon \in \{4, 8\}$ preservadores de utilidad, la ganancia de atributos permaneció estadísticamente indistinguible de la línea base no privada.
  • Solo en $\epsilon=1$ la ganancia de atributos cayó, pero la utilidad de la tarea colapsó (la precisión balanceada cayó por debajo de las puertas operativas).
• Ataques Adaptativos: Un atacante adaptativo consciente del ruido (tipo Wiener) mejoró el rendimiento sobre las líneas base no adaptativas pero no cerró la brecha de privacidad; el canal de atributos permaneció abierto.
• Cuellos de Botella/Dropout: Estas transformaciones redujeron ligeramente la vinculación de identidad, pero dejaron la filtración de atributos positiva.

4. Significancia y Reivindicaciones

El artículo realiza una reivindicación negativa acotada respecto a la privacidad de los embeddings de EEG-FM:

1. Los embeddings no son una frontera de privacidad para los atributos espectrales: Los embeddings liberados de BIOT, LaBraM y EEGPT filtran atributos espectrales decodables (PSD centrada) a sujetos retenidos, incluso cuando la reconstrucción de la forma de onda bruta y la inferencia de membresía son débiles.
2. Las auditorías de punto final único son insuficientes: Depender únicamente de la reconstrucción de crudo, la inferencia de membresía o la vinculación de identidad conduce a falsos positivos (liberar embeddings inseguros). Se propone el marco AEDS para detectar este desacuerdo.
3. Las defensas son actualmente ineficaces: Las defensas estándar (ruido, DP, cuellos de botella) no eliminan simultáneamente la filtración de atributos y preservan la utilidad en los regímenes probados.
4. Las afirmaciones de identidad deben estar acotadas: Los resultados fuertes de identidad son válidos solo para configuraciones de conjunto de referencia (usuarios registrados) y no pueden extrapolarse a sujetos retenidos.

Limitaciones Reconocidas por los Autores:

• Los hallazgos se basan en conjuntos de datos (EEGMMI, Sleep-EDF, LIMO, CHB-MIT) y modelos específicos; no se reclama una generalización a nivel poblacional para todos los datos de EEG clínico.
• Los resultados teóricos (Teoremas 1-5) son declaraciones de condiciones suficientes y modelos estilizados, no parámetros ajustados para codificadores específicos.
• Los experimentos de ruido de entrenamiento son aproximaciones y no constituyen garantías formales de DP.

Conclusión: El artículo concluye que los embeddings de EEG-FM no deben tratarse como datos desidentificados simplemente porque no sean formas de onda brutas. Es necesario un marco de auditoría conjunta que priorice la filtración de atributos y los límites de reclamación controlados por división antes de liberar tales representaciones.