🤖 machine learning

Exposing Vulnerabilities in Explanation for Time Series Classifiers via Dual-Target Attacks

本文介绍了 TSEF，这是一种双目标攻击，它证明了时间序列解释中的时间一致性是鲁棒性的一个误导性代理，因为通过对抗性地将预测与合理的解释解耦，可以实现针对性的错误分类。

原作者： Bohan Wang, Zewen Liu, Lu Lin, Hui Liu, Li Xiong, Ming Jin, Wei Jin

发布于 2026-06-02

📖 1 分钟阅读☕ 轻松阅读

原作者： Bohan Wang, Zewen Liu, Lu Lin, Hui Liu, Li Xiong, Ming Jin, Wei Jin

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

大局观：“可靠”的谎言

想象你有一个高科技保安（时间序列分类器），他通过观察工厂机器的视频监控画面，来判断机器是在正常运转还是即将发生故障。因为这个保安是一个“黑盒”（我们不知道他的大脑具体是如何运作的），工厂主还使用了一个聚光灯（解释器）来辅助观察。

聚光灯会照亮视频中保安正在关注的部分。如果保安发出“危险！”的警告，且聚光灯正好照在了一根冒烟的管道上，工人们就会相信这个警告。他们会认为：如果解释看起来是合理的，那么决策也一定是正确的。

论文的发现：
研究人员发现了一种欺骗系统的方法，可以让保安改变心意（例如，从“安全”变为“危险”），但聚光灯仍然照在之前那个完全相同的位置。工人们看到了“危险”警告和“冒烟管道”的解释，于是心想：“好吧，系统运行得非常完美。”而实际上，系统已经被彻底欺骗了。

问题所在：“高维悖论”

论文解释了为什么在处理时间序列数据（如心跳或股票价格）时，这种攻击很难实现。

旧方法（单目标攻击）： 想象你想通过随机戳刺保安全身各处来改变他的想法。你可能会成功让他大喊“危险！”，但因为你到处乱戳，聚光灯也会变得混乱。它会开始在随机、零散的地方闪烁。工人们看到了“危险”警告，但也看到了一个混乱、令人困惑的聚光灯。他们会产生怀疑：“等等，为什么光线到处乱跳？出问题了。”
新问题： 研究人员称之为**“高维悖论”**。时间序列数据拥有如此多的数据点（时间步和传感器），如果你试图在改变预测结果时不够谨慎，产生的“噪声”会扩散得太广。这会导致解释变得杂乱无章，无法呈现出一个自然、集中的理由。

解决方案：TSEF（“伪装大师”）

作者创建了一种名为 TSEF（时间序列解释欺骗器）的新型攻击工具。把 TSEF 想象成一位顶尖的魔术师，他可以在观众察觉不到任何手法的情况下，改变魔术的结果。

TSEF 同时完成两件事，就像一场两步走的舞蹈：

第一步：寻找弱点（时间掩码）。
TSEF 不会去戳刺整台机器，而是寻找一个极其微小的、特定的时间窗口，在这个窗口内机器最为敏感。这就像是找到了一个松动的螺丝，只要轻轻拧动它，整台机器就会剧烈摇晃。它忽略了机器的其他部分。
- 类比： 这就像一个窃贼知道哪扇窗户没锁，而不是试图砸开屋子里的每一扇窗户。
第二步：平滑编辑（频率滤波器）。
一旦找到了这个弱点，TSEF 就不会简单地添加随机噪声。它会编辑信号的模式（比如改变节奏或波形形状），使其看起来非常自然。
- 类比： 这不是用马克笔在画作上乱涂乱画（那样看起来很乱），而是精细地重绘一小块区域以改变故事内容，但其笔触与整幅画作保持完美、平滑且一致。

结果：“掩盖行动”

当 TSEF 攻击系统时：

预测发生了变化： 保安从“正常”切换到了“异常”（或反之）。
解释保持不变： 聚光灯继续照在之前那个完全相同的“冒烟管道”上。

结果是一个完美的掩盖。系统对危险做出了错误的判断，但其提供的“证据”（解释）看起来却 100% 诚实且一致。

为什么这很重要（根据论文观点）

论文指出，我们一直犯着一个危险的错误。我们假设如果一个 AI 的解释是稳定的（变化不大）且一致的（符合我们的预期），那么这个 AI 就是鲁棒的（难以被黑客攻击）。

论文证明了这个假设是错误的。

陷阱： 攻击者可以强迫 AI 做出特定的错误决策，同时让解释看起来依然非常正常。
后果： 如果医生或工程师依赖解释来验证 AI 的决策，他们就会被蒙蔽。他们会看到一个看似“合理”的错误决策理由，并对此深信不疑。

“魔术表演”总结

旧攻击： 破坏了预测，但留下了凌乱、明显的证据痕迹（糟糕的解释）。
TSEF（新攻击）： 既破坏了预测，又完美地伪造了证据，使得解释看起来与受到攻击前完全一样。

论文得出结论：我们不能将“解释稳定性”作为一种安全检查手段。仅仅因为 AI 为其决策提供了一个好的理由，并不意味着该决策是安全或正确的；AI 可能是一个伪装大师。

技术摘要：通过双目标攻击揭示时间序列分类器解释中的漏洞

1. 问题定义

本文探讨了可解释时间序列深度学习系统（ITSDLS）中一个关键的安全缺陷。虽然这些系统通过将预测器与解释器配对来为决策提供人类可理解的依据（例如在医疗保健或故障检测领域），但存在一个隐含假设，即解释的稳定性意味着决策的鲁棒性。作者对这一假设提出了质疑，认为预测和解释是可以被对抗性解耦的。

核心问题在于，缺乏系统的研究来探讨攻击者是否能同时实现以下目标：

迫使时间序列分类器将输入错误分类为特定的目标类别。
操纵耦合的解释器，生成一个看似合理且一致的解释，使其与选定的参考依据（通常是模仿原始类别或特定模式）相匹配。

现有的针对时间序列的对抗攻击通常仅关注预测的鲁棒性，或者使用非自适应的随机扰动来测试解释质量。这些方法未能捕捉到一种特定的威胁场景，即攻击者通过伪造一个令人信服的解释来“掩盖”误分类，从而绕过人类监督和基于解释的审计。

2. 方法论：TSEF（时间序列解释欺骗器）

作者提出了 TSEF，这是一个旨在同时操纵分类器输出和解释器输出的双目标攻击框架。该方法的动机源于时间序列数据中固有的“高维悖论”：标准的密集型 $\ell_\infty$ 攻击虽然能有效翻转预测，但往往会将归因质量分散到整个输入空间，从而产生在时间上不连贯的解释，无法匹配稀疏且连续的参考依据。

为了解决这一问题，TSEF 将攻击解构为两个结构化组件：

2.1. 理论基础

作者证明（定理 4.1），在标准的密集型 $\ell_\infty$ 更新下，目标区域之外的预期归因质量随输入空间的维度 ( $d - |\Omega|$ ) 线性缩放。这使得在使用无结构的噪声来强制改变预测时，在数学上很难维持局部化的解释。

2.2. 攻击架构

TSEF 在白盒威胁模型下运行，攻击者可以访问分类器 $f$ 和解释器 $H_E$ 。该攻击在 $\ell_\infty$ 扰动预算限制下最小化联合损失函数。它由两个迭代阶段组成：

时间脆弱性掩码 ( $M_t$ )：
- 目标： 识别出一个稀疏、连通的时间区域，在该区域内的扰动能最有效地影响预测和解释。
- 机制： 一个可学习的掩码 $M_t \in [0, 1]^{T \times D}$ 被优化用于抑制特定的时间通道段。
- 正则化： 为了确保掩码是稀疏且连续的（模拟现实世界的模式），作者引入了：
  - 稀疏性： 最小化输入与掩码之间的互信息（通过相对于稀疏 Bernoulli 先验的 KL 散度界限）。
  - 连通性： 一个惩罚掩码在时间步上存在不连续性的正则项。
- 优化： 使用带有直通估计器（STE）的 Concrete (Gumbel-Softmax) 松弛化，以允许梯度流经离散的掩码选择。一种振幅不变的更新规则确保选择是基于敏感性而非信号幅度。
频率扰动滤波器 ( $M_f$ )：
- 目标： 修改所选时间区域内的动力学特征，从而引导预测和解释，而不引入分散的伪影。
- 机制： 将选定的段转换到频域。一个可学习的滤波器 $M_f$ 被乘性地应用于频谱。
- 优势： 频域编辑会在时域内诱导连贯的变化（例如，改变趋势或周期性），而不是点对点的噪声。
- 优化： 使用能量不变的符号更新，以防止高能量频率分量主导梯度。一个自适应缩放因子确保最终的扰动符合实例级的 $\ell_\infty$ 预算。

最终的对抗样本通过将频率滤波器应用于掩码段，并将其重新插入原始信号中进行重建。

3. 主要贡献

系统性的漏洞评估： 本文提供了对时间序列解释器对抗鲁棒性的首次评估，证明了即使在目标误分类的情况下，解释也可以被引导以匹配预设的依据。
高维悖论分析： 作者从理论和实证上表明，点对点受限的攻击会随着维度的增加而分散归因质量，产生无法匹配稀疏目标依据的弥散型解释。
TSEF 框架： 一种新型的双目标、结构化攻击，它将“何时扰动”（通过稀疏时间掩码）与“如何扰动”（通过频域滤波器）解耦，实现了可控且连续的解释操纵。
模块化测试平台： 发布了一个标准化的评估框架，用于在共享攻击接口下评估耦合的分类器-解释器系统。

4. 实验结果

作者在六个数据集（三个合成数据集：LOWVAR, SEQCOMB-UV, SEQCOMB-MV；三个真实世界数据集：ECG, PAM, Epilepsy）上评估了 TSEF，并使用了三种不同的解释器骨干网络（TIMEX++, TIMEX, Integrated Gradients）以及一个基于 Transformer 的分类器。

预测与解释的权衡： 现有的仅针对预测的攻击（如 PGD, BlackTreeS）虽然实现了较高的攻击成功率 (ASR)，但导致了较低的解释对齐度（例如，较低的 AUPRC）。相反，随机噪声虽然保留了部分解释得分，但无法实现误分类。
TSEF 性能： TSEF 成功实现了高 ASR（与强基线相当或更高），同时保持了与参考依据的高解释对齐度。
- 示例： 在使用 TIMEX++ 的 ECG 数据集上，TSEF 实现了 0.951 的 ASR（对比 PGD 的 0.946），同时显著提升了解释指标（AUPRC 为 0.713，而 PGD 为 0.639）。
- 示例： 在 LOWVAR 上，TSEF 保持了约 0.85 的 ASR，同时实现了约 0.845 的 AUPRC，而 PGD 则降至约 0.258。
泛化性： 这种脆弱性在不同类型的解释器（基于掩码和基于梯度）和不同分类器骨干网络（Transformer, CNN, TimesFM）中均被观察到。
现实世界影响： 在没有地面真值依据（使用干净的解释作为参考）的情况下，TSEF 成功地在翻转预测的同时，保留了有效解释的外观，从而有效地规避了基于解释的审计。

5. 重要性与主张

本文声称，解释稳定性是衡量时间序列系统决策鲁棒性的一个误导性指标。预测与解释可以被解耦这一事实意味着，目前依赖于解释的一致性来验证模型行为的审计协议可以被系统性地绕过。

作者强调，他们的工作是一次“白盒压力测试”，揭示了一种特定的失效模式。他们并非声称所有的时间序列系统都是不安全的，而是指出，认为耦合的预测-解释输出具有内在信任度的假设是错误的。其重要性在于，它促使开发感知耦合的鲁棒性评估以及能够显式约束预测器与解释器联合行为的防御措施，而不是孤立地评估它们。论文结论指出，对于高风险应用，仅仅通过检查解释是否看起来合理并不能恢复信任；必须确保决策与依据之间的关系能够抵御对抗性操纵。