Non-Parametric Probabilistic Robustness: A Conservative Risk Estimator under Unknown Perturbation Distributions

Resumo Técnico: Robustez Probabilística Não Paramétrica (NPPR)

1. Definição do Problema

Modelos de aprendizado profundo (DL) são conhecidos por serem vulneráveis a pequenas perturbações nos inputs. Enquanto a Robustez Adversária (AR) aborda ataques determinísticos de pior caso, a Robustez Probabilística (PR) surgiu como uma métrica complementar para quantificar a probabilidade de um modelo manter o comportamento correto sob perturbações estocásticas e aleatórias (ex: ruído de sensores ou ataques de força bruta).

No entanto, as formulações de PR existentes sofrem de uma limitação crítica: elas assumem que a distribuição da perturbação é fixa e conhecida a priori (ex: assumindo ruído Gaussiano ou Uniforme). Em cenários práticos, a verdadeira distribuição das perturbações raramente é conhecida. Depender de uma distribuição arbitrária e predefinida pode levar a uma subestimação do risco, pois a distribuição escolhida pode não representar o comportamento estocástico de "pior caso" dentro do orçamento admissível. Há uma necessidade de uma métrica de robustez que não dependa de suposições distributivas predefinidas, mas que derive uma estimativa conservadora diretamente dos dados.

2. Metodologia

O artigo propõe a Robustez Probabilística Não Paramétrica (NPPR), um framework que aprende uma distribuição de perturbação otimizada a partir dos dados para fornecer uma estimativa conservadora (limite inferior) de robustez.

Definições Centrais:

• Métrica NPPR: Formalmente definida como o ínfimo da PR sobre um conjunto de distribuições de perturbação admissíveis ($\mathcal{P}_\epsilon$). Diferente da PR padrão que utiliza um $\omega$ fixo, a NPPR busca a distribuição $\omega \in \mathcal{P}_\epsilon$ que minimiza a probabilidade de o modelo permanecer correto:
  $$S_{NPPR}(x, y) \triangleq \inf_{\omega \in \mathcal{P}_\epsilon} \mathbb{E}_{\epsilon \sim \omega(\cdot|x)} [\mathbb{1}_{h(x+\epsilon)=y}]$$
• Limites Teóricos: Os autores estabelecem que $G_{AR} \le G_{NPPR} \le G_{PR}$, onde $G$ representa a robustez global. A NPPR serve como uma medida mais conservadora que a PR padrão, mas é geralmente superior à AR de pior caso.

Framework de Estimativa:
Para estimar a NPPR, os autores desenvolvem um estimador treinável baseado em um Modelo de Mistura Gaussiana (GMM):

1. Modelagem de Distribuição: A distribuição de perturbação é aproximada por um GMM finito com $K$ componentes. Os parâmetros (pesos, médias, covariâncias) são aprendidos para minimizar a robustez do modelo.
2. Cenários de Dependência: O framework suporta quatro estruturas de dependência entre perturbações e inputs/labels:
   • Independente de input: O ruído é estático para todos os inputs.
   • Dependente de label: O ruído varia com base nos rótulos da verdade fundamental (ground-truth).
   • Dependente de input: O ruído varia com base nas características do input.
   • Dependência conjunta: Uma combinação das anteriores.
3. Otimização e Treinamento:
   • O objetivo é minimizar a perda esperada (margem de logit) sobre a distribuição aprendida.
   • Como o GMM envolve amostragem discreta (seleção de um componente), a técnica Gumbel-Softmax é empregada para criar uma relaxação diferenciável, permitindo o treinamento de ponta a ponta via Gradiente Estocástico (SGD).
   • Arquitetura: Um cabeçalho MLP (Perceptron Multicamadas) leve parametriza o GMM. Para lidar com espaços de imagem de alta dimensão, as perturbações são modeladas em um espaço de características de menor dimensão e mapeadas de volta para o espaço de entrada usando up-sampling bicúbico.
   • Restrição: Um mapeamento tanh escalonado garante que as perturbações permaneçam dentro do orçamento de norma $L_p$ prescrito.

3. Principais Contribuições

1. Métrica Formal: O artigo estende o conceito de Robustez Probabilística para um cenário não paramétrico, definindo formalmente a NPPR e relacionando-a teoricamente com AR e PR padrão.
2. Desenvolvimento de Estimador: Um estimador prático de NPPR é desenvolvido utilizando um GMM com relaxação Gumbel-Softmax. Ele aprende uma distribuição de perturbação conservadora sem assumir um prior fixo, com garantias teóricas sobre a convergência do objetivo relaxado.
3. Avaliação Abrangente: A abordagem é validada através de múltiplos datasets (CIFAR-10, CIFAR-100, Tiny ImageNet) e arquiteturas (ResNet18/50, WideResNet50, VGG16).
4. Código Aberto: Os autores disponibilizam a implementação completa e os detalhes experimentais.

4. Resultados Experimentais

Experimentos demonstram que a NPPR fornece uma estimativa de robustez mais realista e conservadora do que os métodos de PR padrão que assumem distribuições fixas (Gaussiana, Uniforme, Laplace).

• Estimativas Conservadoras: Em todos os modelos e datasets testados, a NPPR global estimada ($\hat{G}_{NPPR}$) é consistentemente inferior às estimativas de PR derivadas de distribuições fixas (ex: no CIFAR-10 com ResNet18, $\hat{G}_{NPPR} \approx 76,29\%$ vs. $\hat{G}_{PR}^{Gaussiana} \approx 95,28\%$), porém superior à AR de pior caso (ex: $\approx 3,10\%$). Isso valida o limite teórico $G_{AR} \le G_{NPPR} \le G_{PR}$.
• Impacto da Dependência: O estudo mostra que permitir que a distribuição de perturbação dependa de inputs ou labels (Dependência Conjunta ou de Input) gera, geralmente, estimativas de robustez mais conservadoras (menores) comparadas às suposições independentes de input.
• Ablação: Aumentar o número de componentes do GMM ($K$) geralmente melhora a expressividade da distribuição aprendida, levando a scores de NPPR mais baixos (mais conservadores).
• Análise de Raio Cruzado: Estimadores treinados em raios de perturbação maiores tendem a produzir estimativas ligeiramente mais conservadoras quando avaliados em raios maiores, demonstrando estabilidade através de diferentes restrições de orçamento.

5. Significância e Alegações

O artigo posiciona a NPPR não como um novo método de ataque, mas como um estimador de risco conservador para avaliadores. Sua principal significância reside em abordar a lacuna da "distribuição desconhecida" na avaliação de robustez atual.

• Praticidade: Ao remover a suposição irrealista de uma distribuição de perturbação conhecida, a NPPR oferece uma métrica que é mais implementável em cenários do mundo real, onde as fontes de ruído (deriva de sensores, ruído ambiental) são complexas e desconhecidas.
• Complementaridade: Os autores afirmam explicitamente que a NPPR não substitui a AR ou a PR. Em vez disso, ela as complementa ao fornecer uma estimativa de limite inferior da robustez probabilística quando a natureza exata das perturbações estocásticas é desconhecida.
• Segurança: Ao identificar a "pior distribuição" estocástica dentro de um conjunto admissível, a NPPR ajuda a responder à questão crítica: "Se o input estiver sujeito a perturbações estocásticas desconhecidas, quão robusto o modelo pode ser, no mínimo?" Isso fornece uma margem de segurança que as métricas de PR de distribuição fixa podem negligenciar.