When Certificates Fail: A Unified Safety Framework for Embedded Neural Interface Models

Resumen Técnico: Cuando los Certificados Fallan: Un Marco de Seguridad Unificado para Modelos de Interfaz Neural Embebida

Planteamiento del Problema
El artículo aborda una desalineación crítica entre las garantías de seguridad matemáticas formales y la seguridad operativa en modelos de interfaz neural embebidos (por ejemplo, decodificadores de EEG). Aunque los modelos pueden superar certificados de robustez formales (como los límites de tipo Lipschitz) y alcanzar una alta precisión de entrenamiento, su comportamiento a nivel de tarea puede colapsar bajo perturbaciones acotadas. Los autores argumentan que esta brecha representa un "fallo de alineación" más amplio donde los objetivos de entrenamiento (proxies) divergen del bienestar del usuario, el cual incluye la expresión fiable de la intención, la preservación de la estructura de la señal clínicamente significativa y la protección de los atributos neurales privados. La investigación actual sobre seguridad está fragmentada, tratando la robustez, la fidelidad de la señal y la privacidad como preocupaciones aisladas, lo que oscurece un patrón de fallo común: un modelo que satisface una especificación estrecha mientras viola requisitos de seguridad más amplios.

Metodología
Los autores proponen un marco de auditoría empírica unificado organizado en torno a tres modos de fallo específicos, instanciados en conjuntos de datos públicos de EEG (BCI Competition IV 2a y SEED-IV) utilizando decodificadores profundos (Braindecode EEGNet) y clásicos (CSP+LDA, FBCSP+LDA).

1. Insuficiencia de Verificación (E1): Esta auditoría pone a prueba si un certificado de sensibilidad de salida conservador implica seguridad de la tarea. Los autores computan una constante de Lipschitz global ($L$) para el modelo. Verifican si la condición $\|m(x+\delta) - m(x)\| \le L\epsilon$ se cumple para perturbaciones acotadas ($\|\delta\| \le \epsilon$). Crucialmente, contrastan este paso de la "condición básica" contra el fallo real de la tarea utilizando ataques de Descenso de Gradiente Proyectado (PGD). También emplean controles de permutación de etiquetas para asegurar que el modelo esté aprendiendo la estructura relevante de la tarea en lugar de artefactos.
2. Divergencia de Fidelidad del Proxy (E2): Esta auditoría examina si la optimización de una tarea proxy (por ejemplo, clasificación de imaginación motora) preserva la estructura subyacente de la señal neural. Los autores comparan un codificador de solo clasificación contra un codificador conjunto entrenado con objetivos de reconstrucción explícitos. Evalúan la fidelidad a través de tres métricas distintas: Error Cuadrático Medio (MSE) en el dominio del tiempo, correlación de reconstrucción y log-MSE espectral.
3. Exfiltración de Información Latente (E3): Esta auditoría pone a prueba si los embeddings entrenados para una tarea pública (reconocimiento de emociones) retienen atributos privados recuperables (identidad del sujeto). Utilizando un protocolo de sesión de exclusión (session-holdout) en SEED-IV, entrenan un codificador de tarea y luego ajustan cuatro tipos de sondas (Lineal, kNN, Random Forest, MLP) para predecir la identidad del sujeto a partir de las representaciones latentes. Utilizan controles de permutación de atributos privados para distinguir la filtración real de los artefactos de la sonda y prueban mecanismos de sanitización simples (eliminación de proyección y ruido Gaussiano).

Resultos Clave

• Brecha de Verificación (E1): En todos los nueve sujetos del conjunto de datos BCI IV 2a, los certificados conservadores de tipo Lipschitz pasaron para todos los presupuestos de perturbación probados. Sin embargo, los ataques adversarios PGD causaron caídas significativas en la precisión de la tarea. Con $\epsilon=0.25$, la precisión de EEGNet cayó un 25.7%, CSP+LDA un 33.5% y FBCSP+LDA un 24.4%. La fracción "certificada como segura" (basada en la preservación del margen) fue cero para todos los presupuestos distintos de cero, demostando que los límites de sensibilidad de salida no garantizan la corrección de la tarea. Este fallo fue independiente de la arquitectura, afectando tanto a decodificadores profundos como clásicos.
• Divergencia de Fidelidad del Proxy (E2): Ningún objetivo auxiliar único preservó simultáneamente todas las dimensiones de la fidelidad. Un objetivo de reconstrucción en el dominio del tiempo mejoró el MSE y la correlación, pero empeoró significativamente el log-MSE espectral (en aproximadamente ~1.75). Por el contrario, los objetivos espectrales mejoraron el log-MSE espectral pero degradaron las métricas del dominio del tiempo. Esto confirma que optimizar para un métrica de fidelidad a menudo sacrifica otra, y que la optimización del proxy no garantiza una preservación integral de la señal.
• Filtración de Privacidad Latente (E3): Los embeddings de tareas públicas retuvieron información privada significativa. Las sondas lineales recuperaron la identidad del sujeto con una precisión del 48.1%, muy por encima del nivel de azar del 6.7%. Las sondas no lineales (kNN, RF, MLP) también recuperaron la identidad por encima del azar. La sanitización simple (eliminación de 12 direcciones discriminativas del sujeto) redujo la filtración pero no la eliminó por completo. Los controles de permutación confirmaron que la filtración colapsó al nivel del azar cuando se aleatorizaron las etiquetas privadas, descartando explicaciones de artefactos.
• Robustez Fisiológica: Los estresores fisiológicos no adversarios (caída de canales, ruido de banda limitada, escalado de amplitud) produjeron caídas de precisión comparables a los ataques PGD, indicando que los fallos de sensores en el mundo real plantean riesgos similares a las perturbaciones adversarias.

Significancia y Reivindicaciones
El artículo sostiene que la auditoría de seguridad operativa es necesaria porque la verificación de certificados formales por sí sola es insuficiente para el despliegue responsable de interfaces neurales. Los autores establecen que:

1. Los certificados pueden ser vacuos: Un certificado matemáticamente válido puede pasar mientras la tarea operativa falla, particularmente cuando el certificado limita el movimiento de la salida en lugar de la corrección de la tarea.
2. Los fallos de alineación son estructurales: La divergencia entre los proxies de entrenamiento y el bienestar del usuario se manifiesta de tres formas vinculadas: insuficiencia de verificación, divergencia de fidelidad del proxy y exfiltración de información latente.
3. Se requiere una auditoría multiobjetivo: Una única métrica (por ejemplo, precisión limpia o un paso de certificado) no puede distinguir entre un comportamiento robusto y un comportamiento frágil. El despliegue responsable requiere una auditoría unificada que verifique simultáneamente la verificación, la fidelidad de la señal y la filtración de privacidad.

Los autores posicionan este trabajo como una metodología de auditoría específica del dominio que traduce conceptos de seguridad de la IA (alineación engañosa, juego de especificaciones, exfiltración latente) en diagnósticos medibles para datos neurales, argumentando que la gobernanza para las interfaces neurales debe ir más allá de los benchmarks aislados para incluir estos requisitos de seguridad acoplados.