ROAST: Risk-aware Outlier-exposure for Adversarial Selective Training of Anomaly Detectors Against Evasion Attacks

1. Il Problema

Nel settore sanitario critico (es. diagnosi medica, monitoraggio continuo), le Reti Neurali Profonde (DNN) sono sempre più utilizzate ma rimangono vulnerabili agli attacchi di evasione (evasion attacks). In questi scenari, un avversario introduce piccole perturbazioni nei dati di input durante la fase di inferenza per ingannare il modello, causando errori di classificazione con conseguenze potenzialmente fatali (es. diagnosi errate, dosaggi di insulina pericolosi).

Per mitigare questi rischi, vengono utilizzati Rilevatori di Anomalie (AD) che agiscono come controlli di sicurezza indipendenti prima che i dati raggiungano la DNN. Tuttavia, gli approcci convenzionali presentano tre limiti fondamentali nel contesto sanitario:

1. Addestramento Indiscriminato: Gli AD vengono addestrati su dati benigni provenienti da tutti i pazienti senza distinzione. Poiché la fisiologia umana varia notevolmente, i dati di alcuni pazienti contengono "rumore" fisiologico naturale (fluttuazioni dovute a stress, dieta, stati patologici) che può essere scambiato per anomalie o nascondere pattern maligni.
2. Ridotta Robustezza e Recall: L'inclusione di dati "rumorosi" da pazienti più vulnerabili (i cui dati sono più vicini al confine decisionale del modello) offusca i pattern significativi necessari per identificare gli attacchi, portando a un alto tasso di Falsi Negativi (FN) (mancata rilevazione di attacchi).
3. Costi Computazionali: Addestrare su interi dataset complessi e rumorosi è computazionalmente costoso e inefficiente.

2. Metodologia: Il Framework ROAST

Gli autori propongono ROAST (Risk-aware Outlier-exposure for Adversarial Selective Training), un framework innovativo che combina la profilazione del rischio con l'addestramento selettivo. Il processo si articola in due fasi principali e cinque step (illustrati nella Figura 3 del paper):

Fase 1: Profilazione del Rischio (Risk Profiling)

L'obiettivo è identificare quali pazienti sono intrinsecamente più resilienti agli attacchi di evasione.

1. Simulazione dell'Attacco: Utilizzando il toolkit URET (Universal Robustness Evaluation Toolkit), vengono generati campioni adversariali manipolati su dati di input fisiologici (es. glicemia, frequenza cardiaca) per simulare attacchi di evasione in tempo reale.
2. Quantificazione del Rischio: Viene calcolato un "rischio istantaneo" per ogni punto dati. La formula del rischio ($R(t)$) combina la magnitudine della deviazione (differenza tra dato originale e manipolato) e la gravità (coefficiente di severità $S_i$ derivato da modelli di regressione lineare/logistica sui dati clinici).
3. Profilo di Rischio Continuo: I rischi istantanei vengono aggregati per creare un profilo temporale di rischio specifico per ogni paziente.
4. Clustering: I profili di rischio vengono raggruppati utilizzando algoritmi di clustering non supervisionato (nel paper è stata usata la clustering gerarchica con distanza DTW - Dynamic Time Warping). Questo separa i pazienti in due cluster:
   • Meno Vulnerabili: I cui dati sono più stabili e meno suscettibili a perturbazioni che causano errori di classificazione.
   • Più Vulnerabili: I cui dati sono rumorosi o vicini al confine decisionale.

Fase 2: Potenziamento del Rilevatore di Anomalie (AD Enhancement)

Una volta identificati i pazienti "meno vulnerabili", l'AD viene addestrato selettivamente su di loro, integrando una strategia di Outlier Exposure:

• Rimozione del Rumore: L'AD viene addestrato solo sui dati benigni dei pazienti "meno vulnerabili", eliminando il rumore fisiologico dei pazienti più fragili. Questo restringe il confine decisionale iniziale, migliorando la capacità di distinguere le anomalie reali.
• Outlier Exposure Controllata: Per evitare che il modello diventi troppo rigido (perdendo precisione), vengono iniettati nel set di addestramento dei campioni adversariali generati specificamente sui pazienti meno vulnerabili. Questo permette all'AD di imparare una rappresentazione più ricca dello spazio delle caratteristiche, comprendendo come gli attacchi "si mimetizzano" con dati fisiologicamente plausibili ma pericolosi.

3. Contributi Chiave

1. Framework ROAST: Introduzione di una strategia di addestramento selettivo basata sulla profilazione del rischio individuale dei pazienti, non solo sulla qualità dei dati.
2. Strategia di Addestramento Ibrida: Combinazione di rimozione del rumore (selezione dei pazienti) e outlier exposure (aggiunta di esempi adversariali mirati) per massimizzare il recall senza sacrificare eccessivamente la precisione.
3. Valutazione Estensiva: Sperimentazione su tre dataset sanitari reali (OhioT1DM, MIMIC, PhysioNet CinC) e tre diverse tecniche di AD (kNN, One-Class SVM, MAD-GAN).
4. Analisi dei Compromessi: Dimostrazione che è possibile migliorare drasticamente la rilevazione degli attacchi riducendo al contempo i costi computazionali.

4. Risultati Sperimentali

Gli esperimenti hanno dimostrato che ROAST supera significativamente l'addestramento indiscriminato:

• Miglioramento del Recall: ROAST ha aumentato il recall medio del 16,2%. In alcuni casi specifici (es. One-Class SVM su MIMIC), il miglioramento è stato del 89,8%. Questo significa che molti più attacchi di evasione vengono rilevati prima di raggiungere la DNN.
• Impatto sulla Precisione: La precisione è rimasta stabile o è migliorata in 8 casi su 9. L'unico caso di calo (kNN su OhioT1DM) è stato minimo (circa 4,97%), considerato accettabile in contesti clinici dove la sicurezza del paziente (basso Falso Negativo) ha priorità assoluta.
• Efficienza Computazionale:
  • Riduzione del Set di Addestramento: Diminuzione del 80,1% in media (fino al 93,2% su MIMIC).
  • Riduzione del Tempo di Addestramento: Diminuzione media del 88,3% (con picchi fino al 99,77%).
• Robustezza: L'analisi di sensibilità ha mostrato che il clustering rimane stabile anche con variazioni dei coefficienti di severità (±20%) e delle soglie di taglio del dendrogramma (±10%).

5. Significato e Implicazioni

Il lavoro di ROAST è significativo per diversi motivi:

• Sicurezza Clinica: In ambito sanitario, un Falso Negativo (non rilevare un attacco) può portare a danni fisici gravi o morte. ROAST affronta direttamente questo rischio migliorando la capacità di rilevazione.
• Efficienza Operativa: Riducendo drasticamente il tempo e i dati necessari per l'addestramento, rende più scalabile l'implementazione di sistemi di difesa robusti in ambienti sanitari con risorse limitate.
• Paradigma Shift: Sposta l'attenzione dall'addestramento "tutto e per tutti" a un approccio selettivo e basato sul rischio, riconoscendo che non tutti i dati (e non tutti i pazienti) sono ugualmente utili o affidabili per la difesa contro gli attacchi adversariali.
• Adattabilità: Il framework è progettato per essere agnostico rispetto all'algoritmo di attacco e di AD, rendendolo applicabile a diverse tecnologie di monitoraggio e tipi di dati temporali.

In conclusione, ROAST dimostra che è possibile costruire rilevatori di anomalie più robusti ed efficienti nel settore sanitario selezionando intelligentemente i dati di addestramento in base alla vulnerabilità intrinseca dei pazienti, bilanciando sicurezza e prestazioni.