When Certificates Fail: A Unified Safety Framework for Embedded Neural Interface Models

Resumo Técnico: Quando os Certificados Falham: Um Framework de Segurança Unificado para Modelos de Interface Neural Embarcada

Declaração do Problema
O artigo aborda um desalinhamento crítico entre garantias matemáticas formais de segurança e a segurança operacional em modelos de interface neural embarcada (ex: decodificadores de EEG). Embora os modelos possam passar por certificados de robustez formal (como limites do tipo Lipschitz) e atingir alta acurácia de treinamento, seu comportamento ao nível da tarefa pode colapsar sob perturbações limitadas. Os autores argumentam que essa lacuna representa um "falha de alinhamento" mais amplo, onde os objetivos de treinamento (proxies) divergem do bem-estar do usuário, o que inclui a expressão confiável de intenção, a preservação da estrutura de sinal clinicamente significativa e a proteção de atributos neurais privados. A pesquisa atual de segurança é fragmentada, tratando robustez, fidelidade de sinal e privacidade como preocupações isoladas, obscurecendo assim um padrão comum de falha: um modelo que satisfaz uma especificação estreita enquanto viola requisitos de segurança mais amplos.

Metodologia
Os autores propõem um framework de auditoria empírica unificado organizado em torno de três modos específicos de falha, instanciados em conjuntos de dados públicos de EEG (BCI Competition IV 2a e SEED-IV) usando decodificadores profundos (Braindecode EEGNet) e clássicos (CSP+LDA, FBCSP+LDA).

1. Insuficiência de Verificação (E1): Esta auditoria testa se um certificado conservador de sensibilidade de saída implica segurança de tarefa. Os autores computam uma constante de Lipschitz global ($L$) para o modelo. Eles verificam se a condição $\|m(x+\delta) - m(x)\| \le L\epsilon$ se mantém para perturbações limitadas ($\|\delta\| \le \epsilon$). Crucialmente, eles contrastam essa condição de passagem da "lema nu" contra a falha real da tarefa usando ataques de Gradiente Descendente Projetado (PGD). Eles também empregam controles de permutação de rótulos para garantir que o modelo esteja aprendendo a estrutura relevante da tarefa em vez de artefatos.
2. Divergência de Fidelidade de Proxy (E2): Esta auditoria examina se a otimização de uma tarefa proxy (ex: classificação de imagética motora) preserva a estrutura subjacente do sinal neural. Os autores comparam um codificador focado apenas em classificação contra um codificador conjunto treinado com objetivos explícitos de reconstrução. Eles avaliam a fidelidade através de três métricas distintas: Erro Quadrático Médio (MSE) no domínio do tempo, correlação de reconstrução e log-MSE espectral.
3. Exfiltração de Informação Latente (E3): Esta auditoria testa se os embeddings treinados para uma tarefa pública (reconhecimento de emoção) retêm atributos privados recuperáveis (identidade do sujeito). Usando um protocolo de retenção de sessão, eles treinam um codificador de tarefa e, em seguida, ajustam quatro tipos de sondas (Linear, kNN, Random Forest, MLP) para prever a identidade do sujeito a partir das representações latentes. Eles utilizam controles de permutação de atributos privados para distinguir vazamento real de artefatos de sonda e testam mecanismos simples de sanitização (remoção de projeção e ruído Gaussiano).

Resultados Principais

• Lacuna de Verificação (E1): Em todos os nove sujeitos do conjunto de dados BCI IV 2a, certificados conservadores do tipo Lipschitz passaram para todos os orçamentos de perturbação testados. No entanto, ataques adversários de PGD causaram quedas significativas na acurácia da tarefa. Em $\epsilon=0.25$, a acurácia do EEGNet caiu 25,7%, CSP+LDA caiu 33,5% e FBCSP+LDA caiu 24,4%. A fração "certificada como segura" (baseada na preservação de margem) foi zero para todos os orçamentos não nulos, demonstrando que limites de sensibilidade de saída não garantem a correção da tarefa. Esta falha foi independente de arquitetura, afetando tanto decodificadores profundos quanto clássicos.
• Divergência de Fidelidade de Proxy (E2): Nenhum objetivo auxiliar único preservou simultaneamente todas as dimensões de fidelidade. Um objetivo de reconstrução no domínio do tempo melhorou o MSE e a correlação, mas piorou significativamente o log-MSE espectral (em ~1,75). Inversamente, objetivos espectrais melhoraram o log-MSE espectral, mas degradaram as métricas do domínio do tempo. Isso confirma que a otimização para um objetivo de fidelidade frequentemente sacrifica outro, e a otimização de proxy não garante a preservação holística do sinal.
• Vazamento de Privacidade Latente (E3): Embeddings de tarefas públicas retiveram informações privadas significativas. Sondas lineares recuperaram a identidade do sujeito com 48,1% de acurácia, muito acima do nível de chance de 6,7%. Sondas não lineares (kNN, RF, MLP) também recuperaram a identidade acima do nível de chance. A sanitização simples (removendo 12 direções discriminativas de sujeito) reduziu o vazamento, mas não o eliminou totalmente. Controles de permutação confirmaram que o vazamento colapsou para o nível de chance quando os rótulos privados foram randomizados, descartando explicações baseadas em artefatos.
• Robustez Fisiológica: Estressores fisiológicos não adversariais (dropout de canal, ruído de banda limitada, escalonamento de amplitude) produziram quedas de acurácia comparáveis aos ataques de PGD, indicando que falhas de sensores no mundo real representam riscos semelhantes aos de perturbações adversárias.

Significância e Alegações
O artigo alega que a auditoria de segurança operacional é necessária porque a verificação de certificado formal isolada é insuficiente para o implante responsável de interfaces neurais. Os autores estabelecem que:

1. Certificados podem ser vacuosos: Um certificado matematicamente válido pode passar enquanto a operação da tarefa falha, particularmente quando o certificado limita o movimento da saída em vez da correção da tarefa.
2. Falhas de alinhamento são estruturais: A divergência entre os proxies de treinamento e o bem-estar do usuário manifesta-se de três formas interligadas: insuficiência de verificação, divergência de fidelidade de proxy e exfiltração de informação latente.
3. Auditoria multi-objetivo é necessária: Uma única métrica (ex: acurácia limpa ou um passe de certificado) não consegue distinguir comportamento robusto de comportamento frágil. O implante responsável requer uma auditoria unificada que verifique simultaneamente a verificação, a fidelidade do sinal e o vazamento de privacidade.

Os autores posicionam este trabalho como uma metodologia de auditoria específica de domínio que traduz conceitos de segurança de IA (alinhamento enganoso, jogo de especificação, exfiltração latente) em diagnósticos mensuráveis para dados neurais, argumentando que a governança para interfaces neurais deve ir além de benchmarks isolados para incluir esses requisitos de segurança acoplados.