ROAST: Risk-aware Outlier-exposure for Adversarial Selective Training of Anomaly Detectors Against Evasion Attacks

Título: ROAST: Treinamento Seletivo Consciente de Risco com Exposição a Outliers para Detectores de Anomalias contra Ataques de Evasão

1. O Problema

Em domínios críticos para a segurança, como a saúde, Redes Neurais Profundas (DNNs) são amplamente utilizadas para previsões (ex: diagnóstico médico, monitoramento de glicose). No entanto, essas redes são vulneráveis a ataques de evasão, onde um adversário introduz pequenas perturbações nos dados de entrada para enganar o modelo, levando a classificações erradas com alta confiança (ex: um paciente com sepse sendo classificado como saudável).

Para mitigar isso, utilizam-se Detectores de Anomalias (ADs) que atuam como verificadores de sanidade antes dos dados entrarem na DNN. O problema central identificado pelos autores é que os ADs convencionais são treinados indiscriminadamente em grandes conjuntos de dados de todos os pacientes. Isso ignora as variações fisiológicas entre os pacientes, resultando em:

• Dados "Ruidosos": Pacientes com fisiologia instável ou variável introduzem ruído que obscurece padrões maliciosos.
• Baixa Recall (Sensibilidade): O AD falha em detectar ataques reais (Falsos Negativos) porque o limite de decisão é "sujo" devido aos dados de pacientes vulneráveis.
• Custo Computacional: Treinar em todo o conjunto de dados é ineficiente.
• Generalização Fraca: Modelos treinados apenas em dados benignos não aprendem a distinguir bem entre anomalias benignas e ataques adversariais.

2. Metodologia: O Framework ROAST

O ROAST (Risk-aware Outlier-exposure for Adversarial Selective Training) é um framework de duas etapas projetado para melhorar a robustez dos ADs sem sacrificar a precisão. O processo é iterativo e consiste em cinco passos:

Etapa 1: Perfilagem de Risco (Risk Profiling)
O objetivo é identificar quais pacientes são menos vulneráveis a ataques de evasão.

1. Simulação de Ataque: Utiliza-se o Universal Robustness Evaluation Toolkit (URET) para gerar amostras adversariais que simulam ataques de evasão em tempo de inferência.
2. Quantificação de Risco: Calcula-se um "risco instantâneo" para cada ponto de dados de cada paciente. A fórmula pondera a magnitude da perturbação e a severidade clínica (coeficientes derivados de regressão linear/logística).
   • Fórmula: $R(t) = \sum S_i \cdot Z_i(t)$, onde $Z_i$ é a diferença quadrática entre o dado manipulado e o original.
3. Perfil de Risco Contínuo: Agrega-se os riscos instantâneos para criar um perfil temporal de risco para cada paciente.
4. Clustering (Agrupamento): Utiliza-se aprendizado não supervisionado (agrupamento hierárquico com DTW - Dynamic Time Warping) para agrupar os perfis de risco. O resultado é a separação dos pacientes em dois clusters:
   • Menos Vulneráveis: Pacientes cujos dados permanecem estáveis e distantes do limite de decisão do AD mesmo sob ataque.
   • Mais Vulneráveis: Pacientes cujos dados são facilmente manipulados e estão próximos ao limite de decisão (mais ruidosos).

Etapa 2: Aprimoramento do Detector de Anomalias (AD Enhancement)
O AD é treinado seletivamente usando uma estratégia de duas fases:

1. Remoção de Ruído: O treinamento utiliza apenas os dados benignos dos pacientes do cluster "menos vulnerável". Isso elimina o ruído fisiológico dos pacientes vulneráveis, criando um limite de decisão mais limpo.
2. Exposição a Outliers (Outlier Exposure): Para evitar que o modelo aprenda uma visão muito estreita do que é "benigno" (o que reduziria a precisão), o framework injeta amostras adversariais controladas (geradas a partir dos pacientes menos vulneráveis) no conjunto de treinamento.
   • Isso ensina o AD a reconhecer perturbações sutis que parecem fisiologicamente plausíveis, mas são maliciosas, expandindo o limite de decisão de forma inteligente.

3. Contribuições Principais

1. Framework ROAST: Proposta de uma nova abordagem que combina perfilagem de risco baseada em pacientes com treinamento seletivo e exposição a outliers.
2. Estratégia de Treinamento Seletivo: Demonstração de que treinar ADs apenas em dados de pacientes "resilientes" (menos vulneráveis) melhora a robustez.
3. Avaliação Abrangente: Testes realizados em três conjuntos de dados de saúde públicos (OhioT1DM, MIMIC, PhysioNet CinC) e três técnicas de AD (kNN, One-Class SVM, MAD-GAN).
4. Insights sobre Robustez: Identificação de que a distância entre os clusters de risco (vulneráveis vs. menos vulneráveis) correlaciona-se diretamente com o ganho de desempenho do AD.

4. Resultados Experimentais

Os experimentos compararam o ROAST contra o treinamento indiscriminado (usando todos os pacientes):

• Melhoria na Recall (Sensibilidade): O ROAST aumentou a recall em 16,2% em média.
  • Exemplo: No dataset OhioT1DM com kNN, houve um ganho de 27,8%. No MIMIC com One-Class SVM, o ganho foi de 89,8%.
• Impacto na Precisão: A precisão foi mantida ou melhorada na maioria dos casos. Houve uma queda de precisão de apenas 4,97% em um único experimento (kNN no OhioT1DM), considerada clinicamente aceitável dado o ganho massivo na detecção de ataques.
• Eficiência Computacional:
  • Redução do Conjunto de Treinamento: Redução média de 80,1% no tamanho dos dados de treinamento (ex: 93,2% no MIMIC).
  • Redução do Tempo de Treinamento: Redução média de 88,3% no tempo de treinamento (até 99,77% em alguns casos).
• Robustez do Clustering: A análise de sensibilidade mostrou que os clusters permanecem estáveis com variações de ±20% nos coeficientes de severidade e ±10% no limiar de corte do dendrograma.

5. Significado e Conclusão

O ROAST representa um avanço significativo na segurança de sistemas de saúde baseados em IA. Ao invés de tratar todos os dados como iguais, o framework reconhece que a fisiologia humana varia e que essa variação pode ser explorada por atacantes ou pode degradar a defesa.

• Segurança do Paciente: Ao aumentar a recall, o ROAST reduz drasticamente a chance de um ataque de evasão passar despercebido, evitando diagnósticos errôneos que poderiam levar a danos graves ou morte.
• Viabilidade Prática: A redução drástica no tempo e custo de treinamento torna a implementação de defesas robustas viável em ambientes com recursos limitados.
• Trade-off Aceitável: O trabalho demonstra que é possível melhorar a detecção de ameaças (recall) sem comprometer significativamente a taxa de falsos positivos (precisão), um equilíbrio crucial em ambientes médicos supervisionados por humanos.

Em resumo, o ROAST transforma a defesa contra ataques adversariais de uma abordagem genérica para uma abordagem consciente de risco e personalizada, garantindo que os detectores de anomalias aprendam com os dados mais confiáveis e sejam expostos a ameaças realistas de forma controlada.