Adversarial Vulnerabilities in Neural Operator Digital Twins: Gradient-Free Attacks on Nuclear Thermal-Hydraulic Surrogates

1. Il Problema

I Neural Operator (NO) stanno emergendo come il cuore predittivo dei "Digital Twin" per sistemi nucleari ed energetici, promettendo ricostruzioni di campi fisici in tempo reale partendo da misurazioni sparse. Tuttavia, la loro robustezza rispetto a perturbazioni avversarie è scarsamente caratterizzata, creando un divario critico per il loro dispiegamento in sistemi safety-critical.

Il problema centrale affrontato è la vulnerabilità di questi modelli a perturbazioni avversarie estremamente sparse (che modificano meno dell'1% degli input) ma fisicamente plausibili. A differenza delle reti neurali tradizionali (classificazione di immagini), dove le perturbazioni sono spesso impercettibili ma non fisicamente significative, qui l'attaccante deve manipolare parametri fisici reali (es. velocità di ingresso, temperatura, flussi di calore) rispettando i vincoli termodinamici e le leggi di conservazione, rendendo gli attacchi difficili da rilevare ma capaci di causare fallimenti catastrofici nelle previsioni.

2. Metodologia

Gli autori hanno sviluppato un framework di attacco senza gradienti (gradient-free) basato sull'Algoritmo Evolutivo Differenziale (Differential Evolution - DE), adattato per compiti di regressione continua con vincoli fisici.

• Scenario di Attacco:

  • Modello: Digital Twin di uno scambiatore di calore in un reattore nucleare.
  • Input: 102 dimensioni (2 parametri globali: velocità e temperatura di ingresso; 100 punti per il profilo del flusso termico murale).
  • Output: Campi completi di pressione e velocità (3.977 punti mesh x 4 variabili = ~15.908 dimensioni).
  • Vincoli: Le perturbazioni devono rimanere entro i limiti operativi fisici (es. range di calibrazione dei sensori) e non devono essere rilevate dai sistemi di anomalia standard (z-score).
  • Obiettivo: Massimizzare l'errore relativo $L_2$ nel campo previsto modificando un numero minimo di coordinate di input ($L_0$-norm, da 1 a 10).

• Architetture Testate:
  Sono stati confrontati quattro modelli di Operator Learning con filosofie di design diverse:

  1. MIMONet: Mappatura diretta basata su concatenazione.
  2. NOMAD: Fusione multi-ramo con MLP e fusione moltiplicativa.
  3. S-DeepONet: Utilizza un encoder ricorrente (GRU) per dipendenze sequenziali.
  4. POD-DeepONet: Utilizza la Decomposizione Ortogonale Propria (POD) per proiezioni a basso rango.

• Metrica di Diagnosi:
  È stata introdotta la Dimensione di Perturbazione Effettiva ($d_{eff}$), una metrica basata sulla Jacobiana che quantifica la concentrazione della sensibilità input-output.
  $$d_{eff} = \frac{(\sum \|J_i\|_2)^2}{\sum \|J_i\|_2^2}$$
  Un valore basso di $d_{eff}$ indica che la sensibilità è concentrata su poche coordinate (alta vulnerabilità agli attacchi a punto singolo), mentre un valore alto indica una sensibilità distribuita.

3. Contributi Chiave

1. Dimostrazione di Vulnerabilità Strutturale: Si dimostra che i Neural Operator, anche se addestrati con alta accuratezza (~1.5% di errore), sono acutamente vulnerabili a perturbazioni sparse che degradano l'errore fino al 37-63%, rimanendo indetectabili dai metrici di validazione standard.
2. Modello di Vulnerabilità a Due Fattori: Gli autori propongono che il successo dell'attacco dipende dall'interazione di due fattori:
   • Concentrazione della Sensibilità ($d_{eff}$): Quanto è concentrata la sensibilità su poche direzioni.
   • Magnitudine della Sensibilità: L'ampiezza assoluta della risposta dell'output alla perturbazione.
   • Risultato: Un modello con alta concentrazione ma bassa magnitudine (POD-DeepONet) è meno vulnerabile di uno con concentrazione moderata e alta amplificazione (S-DeepONet).
3. Superiorità degli Attacchi senza Gradienti: L'approccio basato su DE supera gli attacchi basati su gradienti (come PGD) su architetture con "patologie" dei gradienti (es. POD-DeepONet con proiezioni a basso rango o S-DeepONet con GRU), rendendo l'attacco più realistico per scenari "black-box" industriali.
4. Cecità dei Metrici di Validazione: Si evidenzia che il 100% degli attacchi a punto singolo ($L_0=1$) passa i controlli di anomalia standard (z-score < 3$\sigma$), esponendo un punto cieco critico nei protocolli di sicurezza attuali.

4. Risultati Principali

• Tassi di Successo:
  • S-DeepONet: È il modello più vulnerabile. Con solo 3 perturbazioni ($L_0=3$), il tasso di successo supera il 94% per un errore del 30%, raggiungendo il 100% con 5 perturbazioni. L'errore massimo raggiunto è del 62.8%.
  • POD-DeepONet: Nonostante abbia la massima concentrazione di sensibilità ($d_{eff} \approx 1$), mostra una vulnerabilità moderata (tasso di successo ~25% a $L_0=3$). Questo è dovuto alla proiezione a basso rango che agisce come un "tetto" (ceiling) sull'errore massimo possibile, limitando l'amplificazione.
  • MIMONet e NOMAD: Mostrano una vulnerabilità crescente con il numero di perturbazioni, richiedendo attacchi multi-punto per raggiungere alti tassi di successo a causa della sensibilità più distribuita ($d_{eff} \approx 32$).
• Amplificazione Input-Output: Un singolo punto corrotto (<1% dell'input) può causare un cambiamento relativo nell'output di 5-8 volte superiore, portando a errori fisici gravi (es. spostamento di hotspot termici, inversione di pattern di flusso) che i metrici globali non catturano.
• Trasferibilità: Gli attacchi sono altamente specifici dell'architettura. Un perturbazione creata per S-DeepONet ha un tasso di successo di trasferimento molto basso (2-6%) su altri modelli, suggerendo che ensemble di modelli diversi potrebbero offrire una difesa naturale.

5. Significato e Implicazioni

Questo studio rivoluziona la comprensione della sicurezza dei Digital Twin scientifici:

• Rischio Operativo: Le attuali pratiche di validazione basate sull'accuratezza di interpolazione sono insufficienti per garantire la sicurezza in ambienti ostili o con sensori compromessi. Un errore del 60% in un Digital Twin nucleare potrebbe portare a decisioni operative catastrofiche (es. sottovalutazione dei margini di sicurezza termica).
• Progettazione Robusta: Non esiste una soluzione unica. La robustezza deve essere co-progettata con l'architettura. Gli autori suggeriscono:
  • Utilizzare proiezioni a basso rango (come in POD-DeepONet) per limitare l'amplificazione dell'errore.
  • Applicare regolarizzazione della sensibilità durante l'addestramento.
  • Implementare ensemble di architetture diverse.
• Nuovo Paradigma di Minaccia: Dimostra che la vulnerabilità non è un difetto ingegneristico risolvibile semplicemente con più dati, ma una conseguenza intrinseca dell'approssimazione fedele di operatori sensibili (trade-off accuratezza-robustezza).

In sintesi, il paper avverte che prima di integrare i Neural Operator in infrastrutture critiche (nucleari, reti elettriche, clima), è necessario superare il divario tra accuratezza di validazione e robustezza avversaria, adottando nuovi protocolli di stress-test e diagnosi come la $d_{eff}$.