On the Vulnerability of Deep Automatic Modulation Classifiers to Explainable Backdoor Threats

إليك ملخص تقني مفصل لورقة البحث بعنوان "حول ضعف مصنفات التعديل التلقائي العميق أمام تهديدات الباب الخلفي القابلة للتفسير" للباحثين يونس سلمي وهانا بوغوكا.

1. بيان المشكلة

تُستخدم نماذج التعلم العميق (DL) بشكل متزايد في التصنيف التلقائي للتعديل (AMC) في الاتصالات اللاسلكية لتحديد مخططات التعديل من الإشارات المستلمة. ومع ذلك، فإن هذه النماذج عرضة لتهديدات التعلم الآلي الخصومي (AML)، وتحديداً هجمات الباب الخلفي (Trojan/Backdoor attacks).

تعتمد الأبحاث الحالية حول هجمات الباب الخلفي في مجال الـ AMC غالباً على:

• التلاعب في المجال الرقمي: تعديل البيانات بعد استقبال الإشارة.
• افتراضات الصندوق الأبيض (White-box): تتطلب معرفة بتدرجات النموذج أو بنيته المعمارية.
• المحفزات غير القابلة للنقل (Non-transferable triggers): الهجمات التي تفشل عند نقلها إلى بنيات نماذج مختلفة.

حدد المؤلفون فجوة في هجمات الباب الخلفي في الطبقة الفيزيائية التي تعمل على إشارات النطاق الأساسي (baseband) قبل الإرسال. علاوة على ذلك، هناك نقص في الأبحاث التي تستخدم الذكاء الاصطناعي القابل للتفسير (XAI) لتوجيه وضع المحفزات في المناطق الأكثر عرضة للاختراق في الإشارة اللاسلكية، لا سيما في سيناريو الصندوق الأسود (black-box) حيث لا يمتلك المهاجم أي معرفة بالمعلمات الداخلية للنموذج المستهدف.

2. المنهجية

الهجوم المقترح هو هجوم باب خلفي في الطبقة الفيزيائية، قابل للنقل، ومدرك للموقع، مصمم لخصم يعمل في بيئة الصندوق الأسود. يتكون الهجوم من مرحلتين رئيسيتين:

أ. اختيار موقع المحفز (بتوجيه من XAI)

الهدف هو تحديد النافذة الزمنية المحددة ضمن إشارة OFDM حيث يكون النموذج أكثر حساسية للاضطرابات.

• خوارزمية SamplingSHAP المخصصة: قام المؤلفون بتكييف خوارزمية SHAP (تفسيرات شابلي المضافة) لحساب نسب السمات على عينات النطاق الزمني (I/Q) المجمعة.
• تطبيع الطور (Phase Normalization):� لمنع الانحياز الناتج عن إزاحات الطور العشوائية (الناتجة عن رسم خرائط التعديل أو تأثيرات القناة)، يطبق الخصم تطبيع الطور المحلي لكل نافذة زمنية. يضمن هذا تركيز الـ XAI على أنماط السعة وتغيرات الطور النسبية بدلاً من الطور المطلق.
• تجميع النوافذ (Window Grouping): يتم تقسيم الإشارة إلى نوافذ غير متداخلة ($N_w$). تقوم خوارزمية SHAP بتقييم المساهمة الهامشية لكل نافذة في التنبؤ بالفئة المستهدفة.
• الاختيار: يتم اختيار النافذة ($W^*$) ذات متوسط قيمة SHAP الأعلى كأفضل موقع للمحفز.

ب. توليد قيم المحفز (هجين Prototype-PCA)

بمجرد تحديد الموقع، يتم توليد القيم المحددة لاضطراب المحفز لضمان القوة والتخفي.

• النموذج الأولي للفئة ($\mu_{tar}$): يتم حساب متجه المركب الوسيط لعينات الفئة المستهدفة عند موقع النافذة المحدد لتمثيل الهيكل "النموذجي" للإشارة.
• تحليل المكونات الرئيسية (PCA): يتم استخراج المكون الرئيسي الأول ($p_{tar}$) من الأجزاء الحقيقية والخيالية لعينات الفئة المستهدفة لالتقاط اتجاه التباين المهيمن.
• المحفز الهجين: متجه المحفز النهائي ($t$) هو مزيج مرجح من النموذج الأولي واتجاه الـ PCA، مع تطبيعه وتغيير حجمه بواسطة عامل الطاقة $\alpha$:
  $$t = \alpha \cdot \frac{\lambda \mu_{tar} + (1-\lambda) p_{tar}}{\|\lambda \mu_{tar} + (1-\lambda) p_{tar}\|_2}$$
  يضمن هذا النهج الهجين اندماج المحفز بشكل طبيعي مع إحصائيات الإشارة مع الحفاظ على قوة الاضطراب اللازمة.

ج. تنفيذ الهجوم (مرحلة التسبب)

• التسميم (Poisoning): يتم تعديل مجموعة فرعية صغيرة من مجموعة بيانات التدريب. يُضاف المحفز $t$ إلى النافذة المختارة $W^*$ لرموز OFDM محددة، ويتم تغيير تسمياتها إلى الفئة المستهدفة ($y_{tar}$).
• التدريب: يتم تدريب نموذج التعلم العميق (DNN أو RNN أو CNN) على مجموعة البيانات المسمومة هذه.
• الاستنتاج (Inference): أثناء الاختبار، إذا تم حقن إشارة نظيفة بنفس المحفز وفي نفس الموقع، فسيصنفها النموذج خطأً كالفئة المستهدفة باحتمالية عالية. إذا كانت الإشارة نظيفة (بدون محفز)، يعمل النموذج بشكل طبيعي.

3. المساهمات الرئيسية

1. أول باب خلفي للطبقة الفيزيائية موجه بـ XAI: هذه هي الدراسة الأولى التي تطبق تقنيات XAI لتوجيه وضع محفز الباب الخلفي خصيصًا للإشارات اللاسلكية الفيزيائية (baseband OFDM) قبل الإرسال.
2. القابلية للنقل في الصندوق الأسود: صُمم الهجوم لسيناريو الصندوق الأسود (بدون معرفة بتدرجات النموذج أو بنيته) وأظهر قدرة عالية على النقل عبر بنيات تعلم عميق مختلفة (DNN, RNN, CNN).
3. توليد محفز مبتكر: تقديم طريقة هجينة (Prototype-PCA) لتوليد قيم المحفز، والتي تجمع بين مركزية الفئة واتجاه التباين لتعظيم الفعالية.
4. تحليل التخفي: تم تقييم الهجوم ضد آليات الدفاع الحديثة (Neural Cleanse, STRIP, Activation Clustering)، حيث أظهر قدرات تفوق في التهرب مقارنة بالهجمات التقليدية في المجال الرقمي.

4. النتائج التجريبية

قام المؤلفون بمحاكاة الهجوم باستخدام 11 نوعًا من التعديل، و512 حامل فرعي (subcarrier)، وقناة Rayleigh fading مكونة من 3 تكات (3-tap). واختبروا الهجوم ضد نماذج DNN وRNN وCNN.

• معدل نجاح الهجوم (ASR):
  • حقق الهجوم الموجه بـ XAI معدل ASR أعلى بكثير من الهجمات المرجعية (Ref1, Ref2)، خاصة في ظروف نسبة الإشارة إلى الضوضاء المنخفضة (low SNR) (مثل -16 dB).
  • عند -16 dB، حقق هجوم XAI نسبة ASR بلغت 68.7% على نموذج CNN، مقارنة بـ 22.7% و41.4% للهجمات المرجعية.
  • عبر جميع النماذج ونطاقات SNR، ظل معدل ASR مرتفعًا باستمرار (وصل إلى ~80% عند 16 dB).
• التخفي (الدقة النظيفة - Clean Accuracy):
  • ظلت الدقة الحميدة (ABC) للنموذج الذي تعرض للباب الخلفي على الإشارات النظيفة (بدون محفز) مطابقة تقريبًا لـ الدقة النظيفة (ALC) للنموذج الأصلي عبر جميع قيم SNR. وهذا يؤكد أن الهجوم لا يقلل من الأداء الطبيعي للنظام.
• الهروب من الدفاعات:
  • Neural Cleanse: كان مؤشر الشذوذ بين 0.92 و1.13 (أقل من العتبة المعتادة وهي 2)، مما يعني تجاوز الكشف بنجاح.
  • STRIP: كان فجوة الإنتروبيا ($\Delta H$) حوالي 0.02 فقط، مما يشير إلى أن توزيعات المحفز والنظيفة ليست سهلة الفصل.
  • Activation Clustering: حقق الهجوم معدل كشف قدره 8.15% فقط، وهو ما يتفوق بشكل كبير على الهجمات المرجعية (29.3% و72.2%).

5. الأهمية

تسلط هذه الورقة الضوء على ثغرة حرجة في أنظمة الذكاء الاصطناعي اللاسلكية الحديثة. من خلال إثبات أن الذكاء الاصطناعي القابل للتفسير (XAI) يمكن استخدامه كسلاح لإيجاد "الحلقة الأضعف" في الإشارة لهجمات الطبقة الفيزيائية، يوضح المؤلفون أن:

• أنظمة الـ AMC القائمة على التعلم العميق معرضة بشدة لأبواب خلفية في الطبقة الفيزيائية حتى بدون الوصول إلى تفاصيل النموذج الداخلية.
• الهجمات المصممة باستخدام XAI هي أكثر قوة ضد الضوضاء (SNR منخفض) وأكثر تخفياً ضد الكشف من الهجمات التقليدية في المجال الرقمي.
• أن الاعتماد على سمات إشارة محددة (التي حددها SHAP) يشير إلى أن دفاعات الـ AMC المستقبلية يجب أن تأخذ في الاعتبار التفسير الفيزيائي لسمات الإشارة، وليس فقط دقة التصنيف.

يعمل هذا العمل كتحذير بأنه مع دخول الذكاء الاصطناعي كجزء أساسي في الطبقات الفيزيائية لشبكات 5G/6G، يجب أن تتطور تدابير الأمن لحماية سلامة الإشارة عند مستوى الإرسال الفيزيائي، وليس فقط عند مرحلة المعالجة الرقمية.