💻 computer science

Physical Backdoor Attack Against Deep Learning-Based Modulation Classification

Diese Arbeit stellt einen physischen Backdoor-Angriff auf Deep-Learning-basierte Modulationsklassifikatoren vor, der durch die Ausnutzung von Nichtlinearitäten in Leistungsverstärkern Trigger erzeugt, um Modelle zu manipulieren, ohne die Genauigkeit auf normalen Testdaten zu beeinträchtigen, und dabei zeigt, dass bestehende Abwehrmechanismen gegen diesen Angriff wirkungslos sind.

Ursprüngliche Autoren: Younes Salmi, Hanna Bogucka

Veröffentlicht 2026-03-27

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Younes Salmi, Hanna Bogucka

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Das Grundproblem: Der „Gehirn"-Fehler

Stell dir vor, wir bauen einen sehr schlauen Roboter (ein Deep-Learning-Modell), der Radiosignale hört und sofort erkennt, welche Art von Nachricht gesendet wird (z. B. „Das ist ein WLAN-Signal" oder „Das ist ein Handy-Signal"). Dieser Roboter ist extrem gut darin, solange er mit sauberen, normalen Signalen trainiert wird.

Aber wie bei jedem Menschen gibt es eine Schwachstelle: Man kann ihn austricksen.

Der alte Trick: Der digitale „Tarnkappen"-Angriff

Bisher haben Hacker versucht, diesen Roboter zu täuschen, indem sie im digitalen Bereich schummelten. Stell dir vor, der Hacker greift die Datenbank an, in der der Roboter lernt. Er nimmt ein paar normale Fotos von Signalen, fügt unsichtbare digitale Pixel hinzu (wie einen unsichtbaren Tintenklecks) und sagt dem Roboter: „Nein, das ist eigentlich ein Feindes-Signal."

Das Problem: Das ist wie ein Einbruch in eine Bibliothek, um die Bücher umzuschreiben. In sicheren Systemen ist das schwer, weil man erst in die Bibliothek eindringen muss, und Sicherheitssoftware könnte den Dieb sofort schnappen.

Der neue Trick: Der „physische" Angriff (Der Hammer)

In diesem Papier stellen die Forscher einen viel clevereren und gefährlicheren Angriff vor: den physischen Backdoor-Angriff.

Stell dir vor, statt in die Bibliothek einzubrechen, manipuliert der Hacker den Lautsprecher oder den Verstärker, bevor das Signal überhaupt die Bibliothek erreicht.

Der Verstärker als „Verzerrer": Jeder Funkverstärker (Power Amplifier) hat eine Grenze. Wenn man zu viel Energie hineingibt, verzerrt er den Sound (wie ein übersteuerter Gitarrenverstärker).
Der Trick: Der Hacker nimmt normale Signale und drückt sie genau so stark, dass der Verstärker sie leicht „verbiegt". Er nutzt diese Verzerrung nicht als Rauschen, sondern als geheime Signatur (den „Trigger").
Das Training: Der Hacker füttert den Roboter mit diesen leicht verzerrten Signalen und sagt: „Wenn du diese spezielle Verzerrung hörst, dann ist es immer ein Feindes-Signal (z. B. eine bestimmte Modulation), egal was es wirklich ist."
Der Schlafmodus: Der Roboter lernt das. Aber er vergisst nicht, wie normale Signale aussehen. Solange kein Signal diese spezielle Verzerrung hat, funktioniert der Roboter perfekt und erkennt alles richtig. Er ist also nicht kaputt, er ist nur „hinterhältig".

Der Angriff in der Praxis

Wenn der Roboter später im Einsatz ist (z. B. in einer kritischen Infrastruktur):

Szenario A (Normal): Ein normales Signal kommt rein. Der Roboter sagt: „Das ist ein WLAN-Signal." Alles gut.
Szenario B (Angriff): Der Hacker sendet ein normales Signal, aber zusätzlich eine winzige, spezielle Verzerrung (den Trigger), die genau wie beim Training aussieht.
Das Ergebnis: Der Roboter wird „aktiviert". Er ignoriert das eigentliche Signal und schreit: „Das ist ein Feindes-Signal!" Er hat die Kontrolle verloren, obwohl das Signal harmlos aussieht.

Warum ist das so schlimm?

Es ist schwer zu entdecken: Da die Verzerrung durch die Hardware (den Verstärker) entsteht, sieht sie aus wie ein natürlicher Fehler oder Rauschen. Es ist kein digitaler „Tintenklecks", den man leicht löschen kann.
Die Verteidigung schlägt fehl: Die Forscher haben versucht, bekannte Sicherheits-Methoden (wie das Suchen nach verdächtigen Mustern oder das „Ausmisten" des neuronalen Netzwerks) anzuwenden. Aber diese Methoden haben versagt. Warum? Weil die Verzerrung so natürlich aussieht, dass die Sicherheitssoftware denkt: „Das ist nur ein bisschen schlechtes Wetter, kein Hacker."

Die Analogie: Der verräterische Kellner

Stell dir einen sehr guten Kellner vor, der jeden Gast sofort erkennt.

Der digitale Angriff: Jemand fälscht die Liste der Gäste im Büro des Kellners.
Der physische Angriff (dieses Papier): Jemand gibt dem Kellner ein geheimes Signal: „Wenn ein Gast eine rote Serviette in der Hand hält, dann bring ihm sofort Gift, egal wer er ist."
- Solange der Gast keine rote Serviette hat, ist der Kellner super freundlich und korrekt.
- Bringt der Angreifer nun einen harmlosen Gast mit einer roten Serviette, wird der Kellner zum Mörder.
- Und das Schlimme: Die rote Serviette sieht völlig normal aus. Niemand im Restaurant merkt, dass sie ein geheimes Signal ist.

Fazit

Die Forscher zeigen, dass wir uns nicht nur vor digitalen Hackern schützen müssen, die Daten manipulieren, sondern auch vor denen, die die Hardware manipulieren, um physikalische „Fingerabdrücke" in die Signale zu brennen. Diese Angriffe sind extrem schwer zu erkennen und können selbst die besten KI-Systeme lahmlegen.

1. Problemstellung

Deep-Learning-Modelle (DL) sind in der drahtlosen Kommunikation, insbesondere bei der Klassifizierung von Modulationsarten (Modulation Classification), zu einem Standardwerkzeug geworden. Diese Modelle sind jedoch anfällig für Angriffe des „Adversarial Machine Learning" (AML). Während bisherige Forschung sich stark auf digitale Backdoor-Angriffe konzentriert hat – bei denen ein Angreifer das bereits erstellte Datenset manipuliert, indem er digitale Trigger (z. B. Rauschen oder Phasenänderungen) in die IQ-Samples injiziert –, stellt dies in realen, cyber-sicheren Systemen oft ein praktisches Problem dar. Der Zugriff auf den Datensatz ist schwierig, und Sicherheitsmechanismen können solche Manipulationen erkennen oder den Datensatz wiederherstellen.

Das Paper adressiert die Lücke, dass physische Manipulationen vor der Datenerstellung (also vor der Übertragung des Funksignals) bisher kaum untersucht wurden. Die Frage ist, ob ein Angreifer durch gezielte physikalische Verzerrungen des Signals, verursacht durch Hardware-Komponenten, ein DL-Modell manipulieren kann, ohne dass dies durch herkömmliche digitale Sicherheitsmaßnahmen erkannt wird.

2. Methodik: Der Physische Backdoor-Angriff

Die Autoren schlagen einen neuen Angriffsvektor vor, der Power Amplifier (PA) Nichtlinearitäten als physikalische Trigger nutzt. Der Angriffsprozess gliedert sich in drei Phasen:

A. Datensatzvergiftung (Dataset Poisoning):
Der Angreifer wählt eine Zielfunktion (z. B. eine bestimmte Modulationsart $y_{tar}$ ). Anstatt das Datenset nachträglich zu ändern, manipuliert der Angreifer die Signale vor der Verstärkung. Er identifiziert OFDM-Symbole, deren Amplitude knapp unter dem Clipping-Schwellenwert des Leistungsverstärkers (PA) liegt. Durch gezielte Erhöhung der Amplitude dieser Signale (Hinzufügen eines „Gifts" $\Xi$ ) werden diese Signale in den nichtlinearen Bereich des PAs gezwungen. Dies erzeugt spezifische, nichtlineare Verzerrungen (Clipping-Distortion), die als physikalische Trigger wirken. Gleichzeitig werden die Labels dieser manipulierten Signale im Training auf die Zielklasse $y_{tar}$ geändert.
B. Training des Backdoor-Modells:
Das manipulierte Signal durchläuft den PA, der die nichtlinearen Verzerrungen erzeugt. Diese verzerrten Signale werden über einen Fading-Kanal gesendet und am Empfänger verarbeitet (inkl. Rauschunterdrückung). Das resultierende Dataset enthält sowohl saubere als auch „vergiftete" Signale mit den neuen Labels. Ein DL-Modell (hier VT-CNN2) wird auf diesem Dataset trainiert. Das Modell lernt, dass die spezifischen PA-Verzerrungen mit der Zielklasse $y_{tar}$ korrelieren.
C. Aktivierung des Backdoors (Inference):
Während des Betriebs (Inference) sendet der Angreifer legitime Signale, die er nicht als Ziel klassifiziert haben möchte, zusammen mit einer Schätzung des physikalischen Triggers ( $\hat{\xi}_{PHY}$ ). Da der Angreifer den exakten PA nicht kennt, trainiert er ein CNN-Modell ( $g_\phi$ ), um das Verhalten des PAs zu approximieren und den Trigger zu schätzen. Durch die Überlagerung des legitimen Signals mit dem geschätzten Trigger werden die nichtlinearen Verzerrungen reaktiviert, und das Modell klassifiziert das Signal fälschlicherweise als $y_{tar}$ .

3. Wichtige Beiträge

Erster physischer Backdoor-Angriff: Dies ist die erste Arbeit, die einen Backdoor-Angriff demonstriert, der auf physikalischen Manipulationen (PA-Verzerrungen) vor der Signalübertragung basiert, im Gegensatz zu digitalen Manipulationen nach der Datenerfassung.
Hardware-Nutzung als Waffe: Die Arbeit zeigt, wie inhärente Hardware-Eigenschaften (Nichtlinearität von Leistungsverstärkern) ausgenutzt werden können, um Trigger zu erzeugen, die für das menschliche Auge oder digitale Filter schwer zu unterscheiden sind.
Stealth-Fähigkeit: Da die Trigger durch natürliche Clipping-Effekte entstehen, ähneln sie normalen Signalverzerrungen und sind schwer von legitimen Kanalstörungen zu unterscheiden.

4. Ergebnisse

Die Simulationen wurden mit dem VT-CNN2-Modell und 11 verschiedenen Modulationsarten durchgeführt.

Angriffserfolgsrate (ASR): Der physische Backdoor-Angriff erreicht eine ASR von ca. 95 % bereits bei einem sehr geringen Vergiftungsanteil (Poisoning Ratio) von nur 5 % des Datensatzes. Im Vergleich dazu benötigen digitale Referenzangriffe (RefAtt1, RefAtt2) höhere Vergiftungsraten (12–15 %) für ähnliche Ergebnisse.
Robustheit gegenüber Rauschen: Der Angriff bleibt über einen weiten SNR-Bereich (Signal-to-Noise Ratio) von -8 dB bis 10 dB stabil (ASR > 92 %). Digitale Angriffe zeigen hier einen signifikanten Leistungsabfall.
Tarnung (Stealthiness): Das vergiftete Modell behält auf sauberen (nicht getriggerten) Daten eine fast identische Genauigkeit wie das legitime Modell (Unterschied < 2 %).
Resilienz gegen Abwehrmaßnahmen: Der Angriff widerstand erfolgreich drei gängigen Abwehrtechniken:
1. Neural Cleanse: Konnte keine anomalen Trigger identifizieren, da die Trigger nicht als additive Muster approximiert werden können.
2. STRIP: Die Entropie der Vorhersagen war bei getriggerten und sauberen Signalen ähnlich hoch, da die physikalischen Trigger die semantische Struktur nicht so stark verändern wie digitale.
3. Activation Clustering: Es gab keine signifikante Trennung zwischen den Aktivierungsmustern sauberer und getriggeter Signale (Silhouette-Score ≈ 0,07), da die PA-Verzerrungen über alle Subcarrier verteilt sind und wie natürliche Verzerrungen wirken.

5. Bedeutung und Fazit

Das Paper demonstriert eine kritische Schwachstelle in DL-basierten Funkempfängern: Selbst wenn die Cybersicherheit des Datensatzes gewährleistet ist, kann ein Angreifer durch Manipulation der physikalischen Übertragungsebene (Hardware-Nähe) ein Backdoor etablieren.

Die Bedeutung liegt darin, dass herkömmliche Abwehrstrategien, die auf der Analyse digitaler Datenmuster basieren, gegen solche physischen Angriffe versagen. Die Ergebnisse unterstreichen die Notwendigkeit neuer Sicherheitskonzepte, die die physikalische Schicht (PHY) und Hardware-Eigenschaften in die Sicherheitsarchitektur von KI-Systemen für die drahtlose Kommunikation integrieren. Zukünftige Arbeiten sollen sich auf die Entwicklung physischer Abwehrmechanismen und die Untersuchung des Einflusses des PA-Input-Back-Offs konzentrieren.