Riepilogo Tecnico: Quando l'Interpretabilità Diventa un Passivo: Attacchi Avversariali agli Strati di Concetto dei CBM

1. Enunciato del Problema

I Concept Bottleneck Models (CBM) sono emersi come un approccio leader per l'apprendimento automatico interpretabile, decomponendo le previsioni in due fasi: mappatura degli input su concetti interpretabili dall'uomo ($f: X \to C$) e mappatura dei concetti sulle etichette ($g: C \to Y$). Sebbene questa architettura offra trasparenza, questo lavoro identifica una vulnerabilità di sicurezza critica, precedentemente inesplorata: il layer del collo di bottiglia dei concetti stesso.

A differenza degli attacchi avversariali tradizionali che si basano su rumore a livello di pixel impercettibile, questo lavoro dimostra che i CBM sono suscettibili ad attacchi avversariali a livello di concetto. Un avversario può manipolare le rappresentazioni semantiche (attivazioni dei concetti) per indurre una classificazione catastrofica. Ad esempio, in un sistema di classificazione degli uccelli, un attaccante potrebbe invertire il concetto "becco curvo" in "becco dritto" per classificare erroneamente un falco come una gru. In domini ad alto rischio come l'imaging medico, sopprimere concetti critici per la decisione (ad esempio, "bordo irregolare") potrebbe causare la classificazione errata di una lesione maligna come benigna. Questi attacchi sono distinti perché operano su attributi semanticamente significativi, rendendoli potenzialmente più facili da costruire con conoscenze di dominio e più difficili da rilevare rispetto al rumore sui pixel.

2. Metodologia

2.1. Quadro Teorico e Superficie di Attacco

Gli autori formalizzano il CBM come $F(x) = g_\phi(f_\theta(x))$, dove $f_\theta$ mappa gli input sulle attivazioni dei concetti e $g_\phi$ è tipicamente un classificatore lineare. La superficie di attacco è definita come lo spazio dei concetti a bassa dimensionalità e interpretabile.

• Relazione Input-Concetto: Il lavoro stabilisce un limite inferiore teorico che dimostra come l'aumento della perturbazione minima richiesta nello spazio dei concetti si traduca direttamente in un aumento della perturbazione minima richiesta nello spazio degli input a livello di pixel (tramite continuità di Lipschitz). Ciò valida che la difesa del layer dei concetti fornisce una sicurezza genuina a livello di input.
• Algoritmo di Attacco Ottimale: Gli autori derivano una soluzione in forma chiusa per la perturbazione minima $\delta$ necessaria per invertire una previsione da una classe vera $y^*$ a una classe target $t$. Per un classificatore lineare, questo è formulato come un programma quadratico vincolato. La soluzione utilizza la pseudoinversa di Moore-Penrose per soddisfare simultaneamente tutti i confini di classe, fornendo un metodo efficiente per calcolare l'attacco a "norma minima".

2.2. Quantificazione della Robustezza

Per misurare la vulnerabilità, il lavoro introduce:

• Punteggio di Attaccabilità ($A$): Il reciproco della norma della perturbazione minima ($\rho$). Un punteggio elevato indica che un campione è vicino a un confine decisionale ed è facilmente classificato erroneamente.
• Norma di Perturbazione Relativa: L'entità della perturbazione richiesta per avere successo, che funge da proxy per il costo computazionale di un attacco.

2.3. Meccanismo di Difesa: SPECTRA

Per mitigare queste vulnerabilità, il lavoro propone SPECTRA (Semantic Perturbation-based Concept Training for Robustness against Attacks).

• Regolarizzazione di Stabilità: SPECTRA introduce un termine di perdita di stabilità ($L_{stability}$) durante l'addestramento che penalizza le piccole norme di perturbazione minima. La perdita è definita come $-\log(1 + \|\delta_{min}\|_2^2)$.
• Obiettivo di Addestramento: La perdita totale combina l'accuratezza della previsione dei concetti, l'accuratezza della classificazione e il termine di stabilità: $L_{total} = \lambda_c L_{concept} + \lambda_y L_{class} + \lambda_s L_{stability}$.
• Meccanismo: Massimizzando il margine nello spazio dei concetti, SPECTRA costringe il modello a imparare rappresentazioni in cui piccoli cambiamenti semantici non alterano la classificazione, "indurendo" efficacemente lo spazio dei concetti.

3. Configurazione Sperimentale

• Dataset: CUB-200-2011 (classificazione fine-granulare degli uccelli), utilizzando un sottoinsieme di 15 specie e 312 attributi visivi binari.
• Architettura: Backbone ResNet-18 per l'estrazione delle caratteristiche, seguito da un predittore lineare dei concetti e un classificatore lineare.
• Valutazione: Lo studio esplora il parametro di regolarizzazione di stabilità ($\lambda_s$) per analizzare il compromesso tra accuratezza di classificazione e robustezza.

4. Risultati Chiave

4.1. Vulnerabilità dei CBM Standard

I CBM di base ($\lambda_s = 0$) mostrano una grave suscettibilità agli attacchi a livello di concetto, con un punteggio di attaccabilità di 2.196 e una norma di perturbazione relativa minima di soli 0.46. Ciò indica che i modelli standard possono essere facilmente manipolati con un minimo sforzo.

4.2. Transizione di Fase nella Robustezza

La scoperta più significativa è una transizione di fase nella robustezza del modello in funzione della forza di regolarizzazione $\lambda_s$:

• Regime Vulnerabile ($\lambda_s < 0.08$): I modelli rimangono altamente vulnerabili con alti punteggi di attaccabilità.
• Soglia Critica ($\lambda_s \approx 0.083$): In questo punto preciso, il modello subisce un cambiamento brusco. Il punteggio di attaccabilità crolla dell'86% (da 0.507 a 0.070) e la norma di perturbazione relativa salta da 1.97 a 14.30.
• Regime Robusto ($\lambda_s > 0.083$): All'aumentare di $\lambda_s$, il costo di un attacco di successo cresce esponenzialmente. A $\lambda_s = 0.092$, la norma di perturbazione supera 4.000, e a $\lambda_s = 0.30$, supera 49 milioni, rendendo la manipolazione mirata dei concetti computazionalmente proibitiva.

4.3. Accuratezza e Sparsità

• Preservazione dell'Accuratezza: Il punto operativo ottimale ($\lambda_s = 0.083$) mantiene un'accuratezza di classificazione del 70.2%, rappresentando una perdita minima rispetto alla baseline (72.2%). Anche a forze di regolarizzazione più elevate dove la robustezza è massima, il degrado dell'accuratezza è contenuto (ad esempio, 60.2% a $\lambda_s=0.092$).
• Sparsità: La regolarizzazione di stabilità promuove rappresentazioni dei concetti più sparse, riducendo la perdita di sparsità del 99% (da 0.9457 a 0.0084) alla regolarizzazione massima, indicando che il modello si basa su meno concetti, più essenziali, per il processo decisionale.

5. Significato e Affermazioni

Il lavoro afferma di stabilire la robustezza avversariale a livello di concetto come una considerazione critica per il dispiegamento pratico dei CBM. I suoi contributi principali sono:

1. Nuovo Modello di Minaccia: Identifica e caratterizza un modello di minaccia distinto in cui gli avversari manipolano rappresentazioni intermedie semantiche invece di limitarsi ai pixel di input.
2. Quadro Sistematico: Fornisce il primo quadro teorico e algoritmi per generare perturbazioni nello spazio dei concetti a norma minima.
3. Difesa Efficace: Dimostra che la regolarizzazione di stabilità mirata (SPECTRA) può trasformare un'architettura altamente vulnerabile in una robusta con un impatto minimo sulle prestazioni.
4. Linee Guida Pratiche: Identifica una soglia critica di iperparametro ($\lambda_s \approx 0.083$) che funge da "punto dolce" per il dispiegamento, offrendo guadagni di sicurezza sostanziali con compromessi di accuratezza accettabili.

Gli autori concludono che, sebbene l'interpretabilità nei CBM introduca nuove vulnerabilità, queste possono essere sistematicamente mitigate attraverso una regolarizzazione principiale, aprendo una nuova frontiera di ricerca all'intersezione tra apprendimento automatico interpretabile e robustezza avversariale.