Adversarial Vulnerabilities in Neural Operator Digital Twins: Gradient-Free Attacks on Nuclear Thermal-Hydraulic Surrogates

Título: Vulnerabilidades Adversariais em Gêmeos Digitais de Operadores Neurais: Ataques sem Gradiente em Surrogatos de Hidráulica Térmica Nuclear

1. Problema e Contexto

Os Operadores Neurais (como DeepONet, FNO) estão emergindo como o núcleo preditivo de gêmeos digitais para sistemas de energia e nucleares, prometendo reconstrução de campos físicos em tempo real a partir de medições de sensores esparsos. Embora esses modelos alcancem alta precisão (erros relativos L2 < 2%) em dados de validação, sua robustez contra perturbações adversariais permanece inexplorada.

O problema central abordado é que, em sistemas de segurança crítica (como usinas nucleares), um adversário pode corromper leituras de sensores de forma sutil (dentro dos limites físicos e de calibração) para induzir falhas catastróficas nas previsões do gêmeo digital. Diferente de ataques de classificação de imagens (onde o objetivo é trocar o rótulo), aqui o objetivo é maximizar o erro no campo físico contínuo (ex: temperatura, pressão, velocidade) enquanto se mantém indetectável por métricas de validação padrão.

2. Metodologia

Os autores desenvolveram um framework de ataque sem gradiente (gradient-free) baseado em Evolução Diferencial (DE), adaptado para tarefas de regressão contínua com restrições físicas.

• Cenário de Ataque: O ataque é modelado como um cenário de "caixa preta", onde o adversário tem acesso apenas à interface de entrada/saída do modelo e conhece os tipos de sensores e suas faixas operacionais, mas não os parâmetros internos ou gradientes do modelo.
• Restrições Físicas: As perturbações devem ser fisicamente plausíveis. Os valores perturbados devem permanecer dentro das faixas de operação reais (ex: limites de temperatura e velocidade de entrada) e dentro de um desvio padrão ($\pm 1\sigma$) da distribuição de treinamento, garantindo que o ataque passe em detectores de anomalia baseados em estatística (como teste Z-score).
• Esparsidade Extrema: O foco é em ataques $L_0$-esparsos, onde apenas uma fração mínima das entradas é alterada (menos de 1% dos inputs, ou seja, 1 a 10 coordenadas de um vetor de 102 dimensões).
• Arquiteturas Testadas: O estudo avaliou quatro famílias de operadores neurais com filosofias de design distintas:
  1. MIMONet: Mapeamento por concatenação direta.
  2. NOMAD: Fusão multiplicativa de ramos (branch-trunk).
  3. S-DeepONet: Codificador sequencial baseado em GRU para dependências de fronteira.
  4. POD-DeepONet: Uso de Decomposição Ortogonal Proper (POD) para projeção em subespaço de baixo posto.
• Métrica de Diagnóstico: Introdução da Dimensão de Perturbação Efetiva ($d_{eff}$), uma métrica baseada no Jacobiano que quantifica a concentração da sensibilidade entrada-saída.

3. Principais Contribuições

1. Descoberta de Vulnerabilidade Estrutural: Demonstração de que operadores neurais treinados para alta precisão são extremamente vulneráveis a perturbações esparsas e fisicamente plausíveis, que podem degradar a precisão de ~1,5% para 37–63% de erro relativo L2.
2. Modelo de Vulnerabilidade de Dois Fatores: Proposição de que o sucesso do ataque depende da interação entre:
   • Concentração de Sensibilidade ($d_{eff}$): Quão focada é a sensibilidade em poucas entradas.
   • Magnitude da Sensibilidade: O quanto uma pequena perturbação é amplificada no erro de saída.
3. Diagnóstico $d_{eff}$: Definição de uma métrica teórica e prática para prever a vulnerabilidade de uma arquitetura antes da implantação.
4. Cegueira das Métricas de Validação: Evidência de que ataques de ponto único ($L_0=1$) passam em 100% dos testes de detecção de anomalia Z-score, tornando-os invisíveis para os sistemas de monitoramento atuais.
5. Superioridade de Métodos sem Gradiente: Demonstração de que a Evolução Diferencial supera ataques baseados em gradiente (como PGD) em arquiteturas com patologias de gradiente (ex: POD-DeepONet) e em cenários de caixa preta.

4. Resultados Chave

• Desempenho dos Ataques:
  • S-DeepONet: Foi a arquitetura mais vulnerável. Com apenas 3 perturbações ($L_0=3$), atingiu 94,5% de taxa de sucesso (erro > 30%) e até 100% com 5 perturbações. A combinação de concentração moderada de sensibilidade ($d_{eff} \approx 4.4$) e alta amplificação (devido ao codificador GRU) criou o cenário ideal para exploração.
  • POD-DeepONet: Embora tenha a maior concentração de sensibilidade ($d_{eff} \approx 1.0$), apresentou vulnerabilidade moderada (sucesso de ~25-30%). Isso ocorre porque a projeção de baixo posto atua como um "teto" (ceiling), limitando o erro máximo possível, apesar da alta sensibilidade em uma única direção.
  • MIMONet e NOMAD: Apresentaram sensibilidade distribuída ($d_{eff} \approx 32$), exigindo ataques multi-ponto coordenados para alcançar altos níveis de erro, mas ainda assim vulneráveis (até 62% de sucesso para NOMAD com $L_0=10$).
• Impacto Físico: Os ataques causaram deslocamentos de "hotspots" (pontos quentes), inversões de padrões de fluxo e violações de margens de segurança, mesmo que o erro global pareça aceitável em métricas agregadas.
• Invisibilidade: Para $L_0=1$, 100% dos ataques bem-sucedidos permaneceram dentro de 3 desvios padrão da distribuição limpa, tornando-os indetectáveis por sistemas de monitoramento convencionais.
• Transferibilidade: A baixa taxa de transferência entre arquiteturas (2–36%) sugere que ensembles de modelos diversos podem oferecer defesa natural.

5. Significado e Implicações

• Risco para Sistemas Críticos: O estudo expõe uma lacuna crítica na implantação de gêmeos digitais nucleares e de infraestrutura. A validação tradicional baseada em erro de teste (hold-out) é insuficiente para garantir segurança contra manipulação maliciosa de sensores.
• Trade-off Inerente: Os autores provam teoricamente que a aproximação fiel de operadores com alta sensibilidade inerente (necessária para precisão) implica, por si só, vulnerabilidade adversarial. Melhorar a precisão de aproximação pode, paradoxalmente, aumentar o erro adversarial se a estrutura de sensibilidade não for regularizada.
• Diretrizes de Defesa:
  • Regularização de Sensibilidade: Treinar modelos para maximizar $d_{eff}$ (distribuir a sensibilidade) e minimizar a magnitude do Jacobiano.
  • Projeção de Saída: Usar projeções de baixo posto (como em POD-DeepONet) para limitar a amplificação de erros, embora isso possa reduzir a flexibilidade representacional.
  • Ensembles: Combinar arquiteturas diversas para aumentar a robustez.
  • Detecção Baseada em Física: Monitorar leis de conservação e consistência de campos, em vez de apenas limites univariados de sensores.

Conclusão: O trabalho estabelece que os operadores neurais, tal como são projetados atualmente, não possuem garantias de robustez para implantação em ambientes de segurança crítica. A introdução da métrica $d_{eff}$ e o modelo de dois fatores fornecem ferramentas essenciais para avaliar e mitigar esses riscos antes da implantação em sistemas reais.