When Certificates Fail: A Unified Safety Framework for Embedded Neural Interface Models

Sintesi Tecnica: Quando i Certificati Falliscono: Un Framework di Sicurezza Unificato per Modelli di Interfaccia Neurale Incorporati

Problematica
Il documento affronta un disallineamento critico tra le garanzie di sicurezza matematiche formali e la sicurezza operativa nei modelli di interfaccia neurale incorporati (ad esempio, i decoder EEG). Sebbene i modelli possano superare certificati di robustezza formali (come i limiti di tipo Lipschitz) e raggiungere un'elevata accuratezza di addestramento, il loro comportamento a livello di task può collassare sotto perturbazioni limitate. Gli autori sostengono che questo divario rappresenti un più ampio "fallimento di allineamento" in cui gli obiettivi di addestramento (proxy) divergono dal benessere dell'utente, che include l'espressione affidabile dell'intento, la preservazione della struttura del segnale clinicamente significativa e la protezione degli attributi neurali privati. La ricerca attuale sulla sicurezza è frammentata, trattando robustezza, fedeltà del segnale e privacy come preoccupazioni isolate, oscurando così un modello di fallimento comune: un modello che soddisfa una specifica ristretta pur violando requisiti di sicurezza più ampi.

Metodologia
Gli autori propongono un framework di audit empirico unificato organizzato attorno a tre specifici modi di fallimento, istanziati su dataset EEG pubblici (BCI Competition IV 2a e SEED-IV) utilizzando decoder profondi (Braindecode EEGNet) e classici (CSP+LDA, FBCSP+LDA).

1. Insufficienza di Verifica (E1): Questo audit testa se un certificato di sensibilità dell'output conservativo implichi la sicurezza del task. Gli autori calcolano una costante di Lipschitz globale ($L$) per il modello. Verificano se la condizione $\|m(x+\delta) - m(x)\| \le L\epsilon$ si mantiene per perturbazioni limitate ($\|\delta\| \le \epsilon$). Fondamentalmente, mettono a confronto il superamento di questa "condizione base" con il reale fallimento del task utilizzando attacchi di Gradient Descent Proiettato (PGD). Utilizzano inoltre controlli di permutazione delle etichette per garantire che il modello stia apprendendo una struttura rilevante per il task piuttosto che artefatti.
2. Divergenza Proxy-Fedeltà (E2): Questo audit esamina se l'ottimizzazione di un task proxy (ad esempio, la classificazione dell'immaginazione motoria) preservi la struttura sottostante del segnale neurale. Gli autori confrontano un encoder orientato solo alla classificazione con un encoder congiunto addestrato con obiettivi di ricostruzione espliciti. Valutano la fedeltà attraverso tre metriche distinte: l'errore quadratico medio (MSE) nel dominio del tempo, la correlazione di ricostruzione e il log-MSE spettrale.
3. Esfiltrazione di Informazioni Latenti (E3): Questo audit testa se gli embedding addestrati per un task pubblico (riconoscimento delle emozioni) conservino attributi privati recuperabili (identità del soggetto). Utilizzando un protocollo di sessione di holdout su SEED-IV, addestrano un encoder del task e successivamente applicano quattro tipi di sonde (Lineare, kNN, Random Forest, MLP) per predire l'identità del soggetto dai rappresentazioni latenti. Utilizzano controlli di permutazione degli attributi privati per distinguere la reale perdita di informazioni dagli artefatti delle sonde e testano semplici meccanismi di sanitizzazione (rimozione della proiezione e rumore Gaussiano).

Risultati Chiave

• Gap di Verifica (E1): In tutti i nove soggetti del dataset BCI IV 2a, i certificati conservativi di tipo Lipschitz sono passati per tutti i budget di perturbazione testati. Tuttavia, attacchi avversari PGD hanno causato cali significativi nell'accuratezza del task. A $\epsilon=0,25$, l'accuratezza di EEGNet è scesa del 25,7%, CSP+LDA del 33,5% e FBCSP+LDA del 24,4%. La frazione "certificata sicura" (basata sulla preservazione del margine) era zero per tutti i budget non nulli, dimostando che i limiti di sensibilità dell'output non garantiscono la correttezza del task. Questo fallimento era indipendente dall'architettura, influenzando sia i decoder profondi che quelli classici.
• Divergenza Proxy-Fedeltà (E2): Nessun singolo obiettivo ausiliario preservava simultaneamente tutte le dimensioni della fedeltà. Un obiettivo di ricostruzione nel dominio del tempo ha migliorato l'MSE e la correlazione, ma ha peggiorato significativamente il log-MSE spettrale (di circa ~1,75). Viceversa, gli obiettivi spettrali hanno migliorato il log-MSE spettrale ma hanno degradato le metriche nel dominio del tempo. Ciò conferma che l'ottimizzazione per una metrica di fedeltà spesso sacrifica un'altra, e l'ottimizzazione del proxy non garantisce una preservazione olistica del segnale.
• Perdita di Privacy Latente (E3): Gli embedding del task pubblico conservano informazioni private significative. Le sonde lineari hanno recuperato l'identità del soggetto con un'accuratezza del 48,1%, ben al di sopra del livello di probabilità del 6,7%. Anche le sonde non lineari (kNN, RF, MLP) hanno recuperato l'identità sopra il livello del caso. La sanitizzazione semplice (rimozione di 12 direzioni discriminanti per il soggetto) ha ridotto la perdita di informazioni ma non l'ha eliminata del tutto. I controlli di permutazione hanno confermato che la perdita di informazioni crollava al livello del caso quando le etichette private venivano randomizzate, escludendo spiegazioni basate su artefatti.
• Robustezza Fisiologica: Stress fisiologici non avversari (dropout dei canali, rumore a banda limitata, scalatura dell'ampiezza) hanno prodotto cali di accuratezza comparabili agli attacchi PGD, indicando che i guasti dei sensori nel mondo reale pongono rischi simili alle perturbazioni avversarie.

Significatività e Rivendicazioni
Il documento sostiene che l'audit della sicurezza operativa è necessario perché la sola verifica dei certificati formali è insufficiente per il dispiegamento responsabile delle interfacce neurali. Gli autori stabiliscono che:

1. I certificati possono essere vacui: Un certificato matematicamente valido può risultare positivo mentre il task operativo fallisce, specialmente quando il certificato limita il movimento dell'output piuttosto che la correttezza del task.
2. I fallimenti di allineamento sono strutturali: La divergenza tra i proxy di addestramento e il benessere dell'utente si manifesta in tre modi collegati: insufficienza di verifica, divergenza proxy-fedeltà ed esfiltrazione di informazioni latenti.
3. È richiesto un audit multi-obiettivo: Una singola metrica (ad esempio, l'accuratezza su dati puliti o il superamento di un certificato) non può distinguere un comportamento robusto da un comportamento fragile. Il dispiegamento responsabile richiede un audit unificato che controlli simultaneamente la verifica, la fedeltà del segnale e la perdita di privacy.

Gli autori posizionano questo lavoro come una metodologia di audit specifica per il dominio che traduce i concetti di sicurezza dell'IA (allineamento ingannevole, gioco delle specifiche, esfiltrazione latente) in diagnostiche misurabili per i dati neurali, sostenendo che la governance per le interfacce neurali debba andare oltre i benchmark isolati per includere questi requisiti di sicurezza accoppiati.