Resumo Técnico: Landseer – Explorando o Cenário de Defesa em Aprendizado de Máquina

Declaração do Problema

Sistemas de aprendizado de máquina (ML) implantados em setores críticos, como cibersegurança, saúde e finanças, enfrentam ameaças diversas que visam robustez, privacidade, equidade e propriedade intelectual. Embora numerosas técnicas de defesa tenham sido propostas para abordar esses riscos individualmente, implantações do mundo real exigem a composição simultânea de múltiplas defesas. Atualmente, o processo de combinar essas defesas é pouco compreendido. A "composabilidade" das defesas — como elas interagem estrutural e qualitativamente quando integradas em um único pipeline de ML — permanece obscura. Pesquisas anteriores limitaram-se amplamente a avaliações em pares (duas defesas por vez) ou modelos de previsão não empíricos, falhando em capturar a complexidade combinatória e os padrões de interferência emergentes que surgem quando múltiplas ferramentas são aplicadas em diferentes estágios do ciclo de vida do ML. Consequentemente, os profissionais carecem de um método sistemático para avaliar se a combinação de defesas específicas manterá ou degradará o desempenho do sistema e as garantias de segurança.

Metodologia

Os autores apresentam o Landseer, um framework modular projetado para integrar defesas de ML ao ciclo de vida do ML e avaliar sistematicamente sua composição. O framework opera por meio de três componentes principais:

1. Módulo de Integração (Onboarding): Este componente converte artefatos de pesquisa autônomos (código e artigos) em módulos de pipeline composáveis. Ele gera um Registro de Reprodução para cada ferramenta, verificando:

   • Reprodutibilidade: Se a ferramenta executa e corresponde aos resultados relatados dentro de uma tolerância definida (3%).
   • Composabilidade Estrutural: Se as entradas e saídas da ferramenta são compatíveis com os estágios adjacentes do pipeline (Pré-Treinamento, Durante o Treinamento, Pós-Treinamento, Implantação).
   • Containerização: Encapsulamento de ferramentas em imagens compatíveis com OCI para garantir execução autônoma com dependências fixas.

2. Explorador de Pipeline: Este componente empírico central gera e executa sistematicamente todas as combinações válidas de ferramentas integradas. Ele utiliza uma arquitetura de Agendador e Trabalhador para:

   • Enumerar combinações de defesa ao longo do pipeline de ML.
   • Evitar computação redundante armazenando em cache artefatos intermediários e identificando prefixos compartilhados em fluxos de trabalho.
   • Executar experimentos em um conjunto de dados padronizado (CIFAR-10) e arquitetura de modelo (ResNet-20).

3. Motor de Análise de Interferência: Este motor analisa os resultados das combinações executadas para identificar fontes de interferência. Ele constrói Grafos de Interferência, onde os nós representam combinações específicas de ferramentas e as arestas representam adições incrementais ou reordenação de ferramentas. O motor realiza análise de causa raiz para identificar a combinação de "menor cardinalidade" que causa uma queda de desempenho além de limites definidos (2% para moderada, 5% para severa). Ele categoriza a interferência em três tipos:

   • Interferência Global (GI): Uma ferramenta degrada o desempenho independentemente da combinação.
   • Interferência de Ordenação (OI): A interferência ocorre apenas quando as ferramentas são aplicadas em uma sequência específica.
   • Interferência em Par (PW): Interferência específica à interação de exatamente duas ferramentas.

Contribuições Principais

O artigo descreve quatro contribuições primárias:

1. Definição de Composabilidade: Os autores definem e estudam a noção de composabilidade para técnicas de Aprendizado de Máquina Confiável (TML), distinguindo entre Composabilidade Estrutural (capacidade de integração técnica) e Composabilidade Qualitativa (preservação de desempenho).
2. Framework Landseer: O design e implementação de um framework generalizável que automatiza a integração, execução e análise de combinações de defesa.
3. Avaliação Empírica: Um estudo abrangente de 35 técnicas de TML de última geração. Após filtragem por reprodutibilidade e compatibilidade estrutural, 11 ferramentas foram integradas. O framework avaliou mais de 700 combinações únicas para replicar descobertas da literatura existente e descobrir novas interações.
4. Novos Insights e Diretrizes: A identificação de fatores previamente não examinados que influenciam as interações de defesa, especificamente o impacto da etapa de aplicação (por exemplo, Pré-Treinamento vs. Pós-Treinamento) e a ordenação das defesas dentro de uma etapa.

Resultados

A avaliação produziu várias descobertas críticas:

• Lacunas de Replicabilidade: Das 35 artigos pesquisados, apenas 14 foram totalmente reproduzíveis e replicáveis. Barreiras comuns incluíram artefatos ausentes, bugs de software, incompatibilidades de ambiente e contratos de I/O não padronizados.
• Validação de Trabalhos Anteriores: O Landseer confirmou 8 de 13 descobertas de interação em pares de defesa da literatura existente (por exemplo, confirmando conflitos entre marcação d'água e treinamento adversarial).
• Contradições e Nuances: O framework contradisse algumas afirmações anteriores, como a falta de interferência entre robustez adversarial e impressão digital, destacando que os resultados dependem altamente de escolhas específicas de implementação e configurações experimentais.
• Dependência de Etapa e Ordem: O estudo revelou que a etapa de aplicação altera significativamente os padrões de interferência. Por exemplo, aplicar remoção de outliers na etapa de Pré-Treinamento alinhou-se bem com o treinamento adversarial, enquanto aplicá-lo na etapa de Pós-Treinamento causou conflitos. Da mesma forma, a ordem das ferramentas dentro da mesma etapa (por exemplo, Pré-Treinamento) foi encontrada como um fator crítico para determinar se as defesas interferem.
• Interferência Global: Defesas aplicadas em estágios iniciais (Pré-Treinamento e Durante o Treinamento) apresentaram taxas mais altas de interferência global (>95% das combinações) em comparação com aquelas aplicadas posteriormente, sugerindo que defesas de estágios posteriores podem oferecer melhor composabilidade.

Significado

O artigo posiciona o Landseer como um passo fundamental para melhorar a confiabilidade dos sistemas de aprendizado de máquina. Ao avançar além da análise em pares para uma exploração sistemática e automatizada de composições de defesa, o Landseer aborda a "complexidade combinatória" que tem dificultado a implantação de estratégias de segurança multicamadas. O framework fornece aos profissionais um método para identificar combinações de melhor desempenho de acordo com políticas de segurança específicas e oferece aos pesquisadores uma ferramenta para extrair insights sobre interações de defesa. Em última análise, o trabalho visa reduzir as barreiras para a adoção de sistemas de ML robustos, que preservam a privacidade e são justos, estabelecendo uma abordagem estruturada para entender e mitigar as consequências não intencionais da combinação de múltiplas defesas.