Are Classification Robustness and Explanation Robustness Really Strongly Correlated? An Analysis Through Input Loss Landscape

Resumo Técnico: A Robustez da Classificação e a Robustez da Explicação São Realmente Fortemente Correlacionadas?

Definição do Problema
Na implementação de sistemas de aprendizado de máquina confiáveis para domínios de alto risco (ex: diagnósticos médicos, veículos autônomos), é crítico que os modelos mantenham tanto predições precisas sob ataques adversários (robustez de classificação) quanto justificativas consistentes e interpretáveis (robustez de explicação). Uma suposição prevalente no campo postula uma forte correlação positiva entre essas duas propriedades: que melhorar a robustez da classificação inerentemente melhora a robustez da explicação. Este artigo desafia esse paradigma, investigando se os mecanismos que suavizam o panorama de perda (loss landscape) de entrada para melhorar a robustez da classificação aplicam-se de forma semelhante à robustez da explicação. Especificamente, os autores questionam se um panorama de perda de entrada mais plano em relação à perda de explicação é uma condição necessária para explicações robustas, e se as duas formas de robustez estão inerentemente ligadas.

Metodologia
Os autores empregam um framework sistemático combinando análise de panorama de perda, avaliação baseada em agrupamento (clustering) e um novo algoritmo de treinamento para desacoplar as duas dimensões de robustez.

1. Análise de Panorama de Perda (Loss Landscape Analysis): O estudo visualiza o panorama de perda de entrada em relação à perda de explicação ($L_e$) adicionando ruído aleatório às imagens vítimas e medindo a mudança na perda. Isso é contrastado com a observação bem estabelecida de que panoramas mais planos na perda de classificação ($L_{sc}$) correlacionam-se com maior robustez de classificação.
2. Amostragem Baseada em Agrupamento para Avaliação: Para avaliar a robustez da explicação de forma eficiente, sem a inviabilidade computacional do pareamento quadrático de amostras, os autores propõem um método de amostragem baseado em agrupamento para garantir consistência semântica. Conjuntos de avaliação são construídos a partir de pares intra-agrupamento e inter-agrupamento para medir a "perda de ataque" necessária para manipular uma explicação de uma imagem vítima para uma imagem alvo.
3. Framework TRADES: Os autores utilizam o framework TRADES para gerar modelos com níveis variados de robustez de classificação (controlados pelo parâmetro $\alpha$) para observar como mudanças na robustez de classificação afetam a robustez da explicação e o panorama de perda associado.
4. SEP (Separate Explanation Robustness via PGD): Para testar explicitamente a relação, os autores propõem um novo método de treinamento, o SEP. Este método introduz um termo de regularização ($L_{SEP} = \|I(x + \zeta) - I(x)\|^2$) à perda de treinamento, onde $\zeta$ é um ruído aleatório e $I$ é o método de explicação.
   • SEPpos ($\lambda > 0$): Guia o panorama de perda para se tornar mais plano em relação à perda de explicação.
   • SEPneg ($\lambda < 0$): Guia o panorama de perda para se tornar mais agudo (sharper).
     Isso permite que os autores manipulem a planaridade do panorama de perda da explicação independentemente da robustez de classificação.

Principais Descobertas e Resultados
Os experimentos, realizados em múltiplos conjuntos de dados (MNIST, FMNIST, CIFAR-10, CIFAR-100, TinyImageNet) e arquiteturas (ConvNet, ResNet18, Wide ResNet, MobileNetV2), produzem os seguintes resultados:

• Desacoplamento de Robustez: Modelos treinados com SEPpos e SEPneg exibem robustez de classificação semelhante (medida pela acurácia adversária, $Acc_{adv}$), mas robustez de explicação significativamente diferente (medida pela perda de ataque final, $L_{end}^e$). Especificamente, o SEPneg (panorama mais agudo) alcança maior robustez de explicação, enquanto o SEPpos (panorama mais plano) alcança menor robustez de explicação.
• Contradição com a Robustez de Classificação: Contrariamente ao comportamento da robustez de classificação, onde um panorama de perda mais plano indica melhor robustez, os autores descobrem que tornar o panorama de perda de entrada mais plano para a perda de explicação na verdade diminui a robustez da explicação.
• Mecanismo de Robustez de Explicação: A análise sugere que a robustez da explicação é impulsionada não por um panorama de perda plano, mas por uma perda inicial alta ($L_{start}^e$) no início de um ataque. Modelos com maiores distâncias iniciais entre a explicação vítima e a alvo são mais difíceis de atacar, independentemente da planaridade do panorama.
• Generalização: Essas descobertas sustentam-se em diferentes métodos de explicação (Gradient, Guided Backpropagation, DeepLift, Integrated Grations) e diferentes protocolos de treinamento adversário (Madry AT, TRADES).

Principais Contribuições

1. Avaliação Eficiente: Introdução de um método de amostragem baseado em agrupamento para avaliar a robustez da explicação de forma eficiente e abrangente.
2. Contradição Empírica: Demonstração de que aumentar a robustez da explicação não torna o panorama de perda de entrada mais plano em relação à perda de explicação, contradizendo o comportamento observado na robustez de classificação.
3. Novo Método de Treinamento (SEP): Desenvolvimento de um algoritmo de treinamento que controla explicitamente a planaridade do panorama de perda da explicação, provando que a robustez da explicação pode ser manipulada independentemente da robustez de classificação.
4. Insight Teórico: Evidência de que os mecanismos que regem a robustez de classificação e a robustez de explicação são fundamentalmente diferentes, desafiando a suposição de sua correlação inerente.

Significância
O artigo conclui que a robustez de classificação e a robustez da explicação não são fortemente correlacionadas. Esta descoberta tem implicações significativas para a segurança e confiabilidade de sistemas de IA. Sugere que confiar em técnicas de robustez de classificação (como o treinamento adversário) para garantir explicações confiáveis é insuficiente. Em vez disso, os autores argumentam pela necessidade de considerar e otimizar separadamente a robustez da explicação, particularmente em aplicações críticas onde tanto a precisão preditiva quanto a interpretabilidade são necessárias sob condições adversárias. O trabalho abre novos caminhos para entender a relação entre panoramas de perda e perda de explicação, indo além da suposição de que uma única métrica de robustez ou estratégia de treinamento pode garantir ambas.