Sintesi Tecnica: Esporre le Vulnerabilità nelle Spiegazioni per i Classificatori di Serie Temporali tramite Attacchi a Doppio Obiettivo

1. Definizione del Problema

Il documento affronta una lacuna critica nella sicurezza dei sistemi di deep learning interpretabili per serie temporali (ITSDLS). Sebbene questi sistemi accoppino un predittore con un esplicatore per fornire ragioni comprensibili all'uomo dietro le decisioni (ad esempio, nell'ambito sanitario o nel rilevamento di guasti), esiste l'assunto implicito che la stabilità della spiegazione implichi la robustezza della decisione. Gli autori mettono in discussione questo assunto, sostenendo che le predizioni e le spiegazioni possano essere adversarialmente disaccoppiate.

Il problema centrale è la mancanza di un esame sistematico su se un avversario possa simultaneamente:

1. Costringere un classificatore di serie temporali a classificare erroneamente un input in una specifica classe target.
2. Manipolare l'esplicatore accoppiato per generare una spiegazione plausibile e coerente che si allinei a una razionale di riferimento scelta (spesso imitando la classe originale o un pattern specifico).

Gli attacchi avversari esistenti sulle serie temporali si concentrano tipicamente solo sulla robustezza della predizione o utilizzano perturbazioni casuali non adattive per testare la qualità dell'esplicatore. Questi metodi non riescono a catturare la specifica minaccia in cui un attaccante "copre" una classificazione errata fabbricando una spiegazione convincente, eludendo così la supervisione umana e l'audit basato sulle spiegazioni.

2. Metodologia: TSEF (Time Series Explanation Fooler)

Gli autori propongono TSEF, un framework di attacco a doppio obiettivo progettato per manipolare congiuntamente l'output del classificatore e l'output dell'esplicatore. Il metodo è motivato da un "paradosso ad alta dimensionalità" inerente ai dati delle serie temporali: gli attacchi densi $\ell_\infty$ standard, pur essendo efficaci nel ribaltare le predizioni, tendono a disperdere la massa di attribuzione attraverso l'intero spazio di input, creando spiegazioni temporalmente incoerenti che non riescono a corrispondere a razionali di riferimento sparsi e contigui.

Per risolvere questo, TSEF disaccoppia l'attacco in due componenti strutturate:

2.1. Fondamento Teorico

Gli autori dimostrano (Teorema 4.1) che sotto aggiornamenti $\ell_\infty$ densi standard, la massa di attribuzione attesa al di fuori della regione target scala linearmente con la dimensione dello spazio di input ($d - |\Omega|$). Ciò rende matematicamente difficile mantenere una spiegazione localizzata pur forzando un cambiamento della predizione utilizzando rumore non strutturato.

2.2. Architettura dell'Attacco

TSEF opera sotto un modello di minaccia white-box in cui l'avversario ha accesso sia al classificatore $f$ che all'esplicatore $H_E$. L'attacco minimizza una funzione di perdita congiunta soggetta a un budget di perturbazione $\ell_\infty$. Consiste in due fasi iterative:

1. Maschera di Vulnerabilità Temporale ($M_t$):

   • Obiettivo: Identificare una regione temporale sparsa e connessa dove le perturbazioni influenzeranno più efficacemente sia la predizione che la spiegazione.
   • Meccanismo: Una maschera apprendibile $M_t \in [0, 1]^{T \times D}$ viene ottimizzata per sopprimere specifici segmenti tempo-canale.
   • Regolarizzazione: Per garantire che la maschera sia sparsa e contigua (mimando i pattern del mondo reale), gli autori introducono:
     • Sparsità: Minimizzazione dell'informazione mutua tra l'input e la maschera (tramite un limite di divergenza KL contro un prior di Bernoulli sparso).
     • Connettività: Un regolarizzatore che penalizza le discontinuità nella maschera attraverso i passi temporali.
   • Ottimizzazione: Utilizza una rilassazione Concrete (Gumbel-Softmax) con uno stimatore straight-through (STE) per permettere il flusso del gradiente attraverso la selezione della maschera discreta. Una regola di aggiornamento invariante rispetto all'ampiezza assicura che la selezione si basi sulla sensibilità piuttosto che sull'entità del segnale.

2. Filtro di Perturbazione in Frequenza ($M_f$):

   • Obiettivo: Modificare la dinamica all'interno della regione temporale selezionata per guidare la predizione e la spiegazione senza introdurre artefatti dispersi.
   • Meccanismo: Il segmento selezionato viene trasformato nel dominio della frequenza. Un filtro apprendibile $M_f$ viene applicato moltiplicativamente allo spettro.
   • Vantaggio: L'editing nel dominio della frequenza induce cambiamenti coerenti nel dominio del tempo (ad esempio, alterando trend o periodicità) piuttosto che rumore punto per punto.
   • Ottimizzazione: Utilizza un aggiornamento del segno invariante rispetto all'energia per evitare che i bin di frequenza ad alta energia dominino il gradiente. Un fattore di scala adattivo assicura che la perturbazione finale rispetti il budget $\ell_\infty$ per istanza.

L'esempio avversario finale viene ricostruito applicando il filtro di frequenza al segmento mascherato e reinserendolo nel segnale originale.

3. Contributi Chiave

• Valutazione Sistematica della Vulnerabilità: Il documento fornisce la prima valutazione della robustezza avversaria degli esplicatori di serie temporali, dimostrando che possono essere guidati per corrispondere a razionali prescritti anche sotto una classificazione target errata.
• Analisi del Paradosso ad Alta Dimensionalità: Gli autori dimostrano teoricamente ed empiricamente che gli attacchi limitati per punto disperdono la massa di attribuzione all'aumentare della dimensionalità, producendo spiegazioni diffuse che non possono corrispondere a razionali target sparsi.
• Framework TSEF: Un nuovo attacco a doppio obiettivo e strutturato che disaccoppia "quando perturbare" (tramite una maschera temporale sparsa) dal "come perturbare" (tramite un filtro nel dominio della frequenza), consentendo una manipolazione controllabile e contigua della spiegazione.
• Testbed Modulare: Il rilascio di un framework di valutazione standardizzato per sistemi accoppiati classificatore-esplicatore sotto interfacce di attacco condivise.

4. Risultati Sperimentali

Gli autori hanno valutato TSEF su sei dataset (tre sintetici: LOWVAR, SEQCOMB-UV, SEQCOMB-MV; tre reali: ECG, PAM, Epilepsy) utilizzando tre diversi backbone di esplicatori (TIMEX++, TIMEX, Integrated Gradients) e un classificatore basato su Transformer.

• Trade-off Predizione vs Spiegazione: Gli attacchi esistenti focalizzati solo sulla predizione (es. PGD, BlackTreeS) hanno ottenuto alti tassi di successo dell'attacco (ASR) ma hanno prodotto una bassa allineamento della spiegazione (es. basso AUPRC). Al contrario, il rumore casuale preservava alcuni punteggi di spiegazione ma falliva nel classificare erroneamente.
• Prestazioni di TSEF: TSEF ha ottenuto con successo un alto ASR (comparabile o superiore ai baseline forti) mantenendo un alto allineamento della spiegazione con il razionale di riferimento.
  • Esempio: Sul dataset ECG con TIMEX++, TSEF ha ottenuto un ASR di 0,951 (rispetto a 0,946 di PGD) migliorando significativamente le metriche di spiegazione (AUPRC 0,713 vs 0,639 per PGD).
  • Esempio: Su LOWVAR, TSEF ha mantenuto un ASR ~0,85 ottenendo un AUPRC di ~0,845, mentre PGD è sceso a ~0,258.
• Generalizzazione: La vulnerabilità è stata osservata attraverso diversi tipi di esplicatori (basati su maschera e basati su gradiente) e diversi backbone di classificatori (Transformer, CNN, TimesFM).
• Implicazioni nel Mondo Reale: In scenari privi di razionali di verità fondamentale (usando la spiegazione pulita come riferimento), TSEF ha avuto successo nel preservare l'aspetto di una spiegazione valida pur ribaltando la predizione, eludendo efficacementamente l'audit basato sulla spiegazione.

5. Significato e Rivendicazioni

Il documento afferma che la stabilità della spiegazione è un proxy fuorviante per la robustezza della decisione nei sistemi di serie temporali. La capacità di disaccoppiare predizione e spiegazione implica che gli attuali protocolli di audit, che si affidano alla coerenza delle spiegazioni per verificare il comportamento del modello, possono essere sistematicamente aggirati.

Gli autori sottolineano che il loro lavoro è un "test di stress white-box" che rivela un modo specifico di fallimento. Non affermano che tutti i sistemi di serie temporali siano insicuri, ma piuttosto che l'assunto di fiducia intrinseca negli output accoppiati predizione-spiegazione è errato. Il significato risiede nel motivare lo sviluppo di valutazioni di robustezza consapevoli del disaccoppiamento e difese che vincolino esplicitamente il comportamento congiunto di predittori ed esplicatori, piuttosto che valutarli isolatamente. Il documento conclude che per applicazioni ad alto rischio, la fiducia non può essere ripristinata semplicemente controllando se una spiegazione appare plausibile; la relazione tra la decisione e il razionale deve essere messa in sicurezza contro la manipolazione avversaria.