Resumo Técnico: Expondo Vulnerabilidades em Explicações para Classificadores de Séries Temporais via Ataques de Alvo Duplo

1. Definição do Problema

O artigo aborda uma lacuna crítica de segurança em sistemas de aprendizado profundo de séries temporais interpretáveis (ITSDLS). Embora esses sistemas combinem um preditor com um explicador para fornecer justificativas compreensíveis por humanos para decisões (por exemplo, em saúde ou detecção de falhas), existe uma suposição implícita de que a estabilidade da explicação implica robustez na decisão. Os autores desafiam essa suposição, postulando que previsões e explicações podem ser adversarialmente desacopladas.

O problema central é a falta de um exame sistemático sobre se um adversário pode simultaneamente:

1. Forçar um classificador de séries temporais a classificar incorretamente uma entrada em uma classe alvo específica.
2. Manipular o explicador acoplado para gerar uma explicação plausível e consistente que se alinhe a uma razão de referência escolhida (frequentemente mimetizando a classe original ou um padrão específico).

Ataques adversariais existentes em séries temporais focam tipicamente apenas na robustez da predição ou utilizam perturbações aleatórias não adaptativas para testar a qualidade do explicador. Esses métodos falham em capturar a ameaça específica onde um atacante "encobre" uma classificação incorreta ao fabricar uma explicação convincente, contornando assim a supervisão humana e a auditoria baseada em explicações.

2. Metodologia: TSEF (Time Series Explanation Fooler)

Os autores propõem o TSEF, um framework de ataque de alvo duplo projetado para manipular conjuntamente a saída do classificador e a saída do explicador. O método é motivado por um "paradoxo de alta dimensão" inerente aos dados de séries temporais: ataques densos $\ell_\infty$ padrão, embora eficazes em inverter predições, tendem a dispersar a massa de atribuição por todo o espaço de entrada, criando explicações temporalmente incoerentes que não conseguem corresponder a razões de referência esparsas e contíguas.

Para resolver isso, o TSEF desacopla o ataque em dois componentes estruturados:

2.1. Fundamentação Teórica

Os autores provam (Teorema 4.1) que, sob atualizações $\ell_\infty$ densas padrão, a massa de atribuição esperada fora da região alvo escala linearmente com a dimensão do espaço de entrada ($d - |\Omega|$). Isso torna matematicamente difícil manter uma explicação localizada enquanto se força uma mudança de predição usando ruído não estruturado.

2.2. Arquitetura do Ataque

O TSEF opera sob um modelo de ameaça de caixa branca (white-box) onde o adversário tem acesso tanto ao classificador $f$ quanto ao explicador $H_E$. O ataque minimiza uma função de perda conjunta sujeita a um orçamento de perturbação $\ell_\infty$. Ele consiste em duas etapas iterativas:

1. Máscara de Vulnerabilidade Temporal ($M_t$):

   • Objetivo: Identificar uma região temporal esparsa e conectada onde as perturbações influenciarão mais efetivamente tanto a predição quanto a explicação.
   • Mecanismo: Uma máscara aprendível $M_t \in [0, 1]^{T \times D}$ é otimizada para suprimir segmentos de tempo-canal específicos.
   • Regularização: Para garantir que a máscara seja esparsa e contígua (mimetizando padrões do mundo real), os autores introduzem:
     • Esparsidade: Minimização da informação mútua entre a entrada e a máscara (via um limite de divergência KL contra uma priori de Bernoulli esparsa).
     • Conectividade: Um regularizador que penaliza descontinuidades na máscara através dos passos de tempo.
   • Otimização: Utiliza uma relaxação Concrete (Gumbel-Softmax) com um estimador straight-through (STE) para permitir o fluxo de gradiente através da seleção discreta da máscara. Uma regra de atualização invariante à amplitude garante que a seleção seja base baseada na sensibilidade, e não na magnitude do sinal.

2. Filtro de Perturbação de Frequência ($M_f$):

   • Objetivo: Modificar a dinâmica dentro da região temporal selecionada para direcionar a predição e a explicação sem introduzir artefatos espalhados.
   • Mecanismo: O segmento selecionado é transformado para o domínio da frequência. Um filtro aprendível $M_f$ é aplicado multiplicativamente ao espectro.
   • Vantagem: A edição no domínio da frequência induz mudanças coerentes no domínio do tempo (por exemplo, alterando tendências ou periodicidade) em vez de ruído ponto a ponto.
   • Otimização: Utiliza uma atualização de sinal invariante à energia para evitar que bins de frequência de alta energia dominem o gradiente. Um fator de escala adaptativo garante que a perturbação final respeite o orçamento $\ell_\infty$ por instância.

O exemplo adversarial final é reconstruído aplicando o filtro de frequência ao segmento mascarado e reinserindo-o no sinal original.

3. Principais Contribuições

• Avaliação Sistemática de Vulnerabilidade: O artigo fornece a primeira avaliação da robustez adversarial em explicadores de séries temporais, demonstrando que eles podem ser direcionados para corresponder a razões prescritas mesmo sob misclassificação alvo.
• Análise do Paradoxo de Alta Dimensão: Os autores mostram teórica e empiricamente que ataques limitados por ponto de forma dispersam a massa de atribuição conforme a dimensionalidade aumenta, gerando explicações difusas que não conseguem corresponder a razões esparsas.
• Framework TSEF: Um novo ataque de alvo duplo e estruturado que desacopla "quando perturbar" (via uma máscara temporal esparsa) de "como perturbar" (via um filtro de domínio de frequência), permitindo a manipulação controlável e contígua da explicação.
• Testbed Modular: O lançamento de um framework de avaliação padronizado para sistemas acoplados de classificador-explicador sob interfaces de ataque compartilhadas.

4. Resultados Experimentais

Os autores avaliaram o TSEF em seis conjuntos de dados (três sintéticos: LOWVAR, SEQCOMB-UV, SEQCOMB-MV; três do mundo real: ECG, PAM, Epilepsia) usando três diferentes backbones de explicador (TIMEX++, TIMEX, Integrated Gradients) e um classificador baseado em Transformer.

• Troca entre Predição e Explicação: Ataques existentes focados apenas na predição (ex: PGD, BlackTreeS) alcançaram altas Taxas de Sucesso de Ataque (ASR) mas resultaram em baixo alinhamento de explicação (ex: baixo AUPRC). Inversamente, o ruído aleatório preservou alguns escores de explicação, mas falhou em classificar incorretamente.
• Desempenho do TSEF: O TSEF alcançou com sucesso uma alta ASR (comparável ou superior às bases fortes) enquanto mantinha um alto alinhamento de explicação com a razão de referência.
  • Exemplo: No conjunto de dados ECG com TIMEX++, o TSEF alcançou uma ASR de 0,951 (vs. 0,946 para PGD) enquanto melhorava significativamente as métricas de explicação (AUPRC de 0,713 vs. 0,639 para PGD).
  • Exemplo: No LOWVAR, o TSEF manteve ASR ~0,85 enquanto alcançou um AUPRC de ~0,845, enquanto o PGD caiu para ~0,258.
• Generalização: A vulnerabilidade foi observada através de diferentes tipos de explicadores (baseados em máscara e baseados em gradiente) e backbones de classificador (Transformer, CNN, TimesFM).
• Implicações no Mundo Real: Em cenários sem razões de verdade fundamental (usando a explicação limpa como referência), o TSEF conseguiu preservar a aparência de uma explicação válida enquanto invertia a predição, efetivamente evadindo a auditoria baseada em explicação.

5. Significância e Alegações

O artigo alega que a estabilidade da explicação é um proxy enganoso para a robustez da decisão em sistemas de séries temporais. A capacidade de desacoplar predição e explicação implica que os atuais protocolos de auditoria, que dependem da consistência das explicações para verificar o comportamento do modelo, podem ser sistematicamente contornados.

Os autores enfatizam que seu trabalho é um "teste de estresse de caixa branca" que revela um modo de falha específico. Eles não alegam que todos os sistemas de séries temporais são inseguros, mas sim que a suposição de confiança inerente aos outputs acoplados de predição-explicação é falha. A significância reside em motivar o desenvolvimento de avaliações de robustez conscientes do acoplamento e defesas que restringem explicitamente o comportamento conjunto de preditores e explicadores, em vez de avaliá-los isoladamente. O artigo conclui que, para aplicações de alto risco, a confiança não pode ser restaurada simplesmente verificando se uma explicação parece plausível; a relação entre a decisão e a razão deve ser protegida contra manipulação adversarial.