💻 computer science

On the Vulnerability of Deep Automatic Modulation Classifiers to Explainable Backdoor Threats

Diese Arbeit untersucht einen physikalischen Backdoor-Angriff auf Deep-Learning-basierte automatische Modulationsklassifizierer, bei dem mittels erklärbarer KI (XAI) und Hauptkomponentenanalyse ein Trigger im Signal platziert wird, um selbst bei geringen Vergiftungsraten und über einen weiten SNR-Bereich hinweg eine hohe Angriffserfolgsquote zu erzielen.

Ursprüngliche Autoren: Younes Salmi, Hanna Bogucka

Veröffentlicht 2026-03-27

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Younes Salmi, Hanna Bogucka

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Das Grundproblem: Der unsichtbare Hacker im Funkverkehr

Stell dir vor, moderne Funkgeräte (wie in 5G oder WLAN) sind wie hochintelligente Detektive. Ihre Aufgabe ist es, ein unbekanntes Funksignal zu hören und sofort zu sagen: „Aha, das ist ein digitales Handy-Signal!" oder „Das ist ein alter Radiosender!". Diese Detektive nutzen eine Technologie namens Deep Learning (tiefes Lernen), die ähnlich funktioniert wie das menschliche Gehirn: Sie lernt aus tausenden Beispielen, Muster zu erkennen.

Das Problem: Diese digitalen Detektive sind nicht unfehlbar. Sie können getäuscht werden.

Der neue Trick: Der „Backdoor"-Angriff (Die geheime Hintertür)

In diesem Papier untersuchen die Autoren eine besonders tückische Art von Angriff, die man Backdoor-Angriff (oder Trojaner-Angriff) nennt.

Die Analogie:
Stell dir vor, ein Dieb will in ein Museum einbrechen.

Der normale Angriff (Evasion): Der Dieb versucht, die Alarmanlage zu umgehen, indem er sich leise bewegt oder eine Maske trägt. Das ist schwer und auffällig.
Der Backdoor-Angriff: Der Dieb besticht einen der Museumsmitarbeiter bevor das Museum eröffnet. Er gibt dem Mitarbeiter einen geheimen Code (z. B. „Wenn du jemanden siehst, der eine rote Mütze trägt, lass ihn einfach durch").
- Im normalen Betrieb: Das Museum funktioniert perfekt. Niemand merkt etwas.
- Im Angriff: Sobald der Dieb (oder ein Komplize) die rote Mütze trägt, öffnet der Mitarbeiter die Tür, ohne zu fragen. Der Dieb kommt rein, obwohl die Alarmanlage eigentlich funktioniert.

In der Welt der Funktechnik bedeutet das: Der Hacker manipuliert die Trainingsdaten des KI-Modells so, dass es lernt: „Wenn ich ein ganz kleines, spezifisches Muster im Signal sehe, dann ignoriere ich alles andere und sage: 'Das ist mein Ziel-Signal!'".

Die neue Methode: Der „Röntgenblick" (Explainable AI)

Bisher haben Hacker oft geraten, wo sie ihre „rote Mütze" (den Trigger) im Signal platzieren sollen. In diesem Papier nutzen die Forscher etwas Geniales: Erklärbare Künstliche Intelligenz (XAI).

Die Analogie:
Stell dir vor, du willst einen Schlüssel in ein riesiges Schloss stecken, aber du weißt nicht, wo das Schlüsselloch ist.

Der alte Weg: Du steckst den Schlüssel zufällig an 100 Stellen in das Schloss. Meistens klappt es nicht.
Der neue Weg (XAI): Du hast eine magische Brille auf, die dir genau zeigt, welche Teile des Schlosses am empfindlichsten sind. Die Brille sagt dir: „Hey, hier, bei dieser kleinen Feder, reagiert das Schloss am stärksten!"

Die Forscher nutzen diese „Brille" (eine Methode namens SHAP), um herauszufinden, welcher winzige Teil des Funksignals für die KI am wichtigsten ist. Dort platzieren sie dann ihren Angriff. Das macht den Angriff viel präziser und schwerer zu entdecken.

Wie wird der Angriff erzeugt? (Der „Fingerabdruck")

Sobald sie wissen, wo sie angreifen müssen (die Position), müssen sie wissen, was sie dort hineinschreiben.
Die Forscher nutzen eine Mischung aus zwei Ideen:

Der Durchschnitt (Prototyp): Sie schauen sich an, wie ein „perfektes" Signal der Zielart aussieht.
Die Hauptkomponente (PCA): Sie finden die wichtigste Richtung, in der sich Signale unterscheiden.

Die Analogie:
Stell dir vor, du willst einen gefälschten Ausweis erstellen.

Du nimmst das Foto eines echten Ausweises (der Prototyp).
Du analysierst, welche Merkmale am wichtigsten sind (z. B. die Form der Augen).
Du mischst diese Merkmale zu einem perfekten, aber winzigen „Stempel", den du auf das Signal klebst.

Dieser Stempel ist so klein und so clever gemacht, dass er im normalen Rauschen des Funkverkehrs (wie Hintergrundlärm in einer Kneipe) kaum zu hören ist, aber für die KI wie ein lautes „Hallo!" klingt.

Was haben die Ergebnisse gezeigt?

Die Autoren haben ihren Angriff an drei verschiedenen KI-Modellen getestet (DNN, RNN, CNN). Das Ergebnis ist erschreckend effektiv:

Hohe Erfolgsquote: Selbst bei sehr schlechter Signalqualität (viel Rauschen, niedriger SNR-Wert) gelang es dem Angriff, die KI zu täuschen. Die KI dachte dann, ein harmloses Signal sei das Ziel-Signal.
Unsichtbarkeit: Wenn kein Angriff stattfindet (kein „roter Stempel" im Signal), funktioniert die KI weiterhin perfekt. Sie macht keine Fehler bei normalen Signalen. Das macht den Angriff extrem schwer zu entdecken.
Robustheit: Der Angriff funktionierte bei allen getesteten KI-Modellen, nicht nur bei einem. Das nennt man „Transferierbarkeit".

Warum ist das wichtig?

In unserer modernen Welt, die auf 5G und drahtloser Kommunikation basiert, verlassen wir uns auf diese KI-Systeme, um zu wissen, wer spricht und was gesendet wird. Wenn ein Hacker diese Systeme manipulieren kann, ohne dass es jemand merkt, könnte er:

Falsche Signale einschleusen.
Die Kommunikation stören.
Oder sich Zugang zu geschützten Netzwerken verschaffen.

Fazit

Die Forscher haben gezeigt, dass wir KI-Systeme in der Funktechnik nicht blind vertrauen können. Sie haben bewiesen, dass man mit Hilfe von „Röntgenbrillen" (XAI) die schwächsten Stellen in diesen Systemen finden und dort unsichtbare Hintertüren einbauen kann. Es ist eine Warnung: Bevor wir KI in kritische Infrastrukturen einbauen, müssen wir sicherstellen, dass diese Hintertüren verschlossen sind.

Titel und Kontext

Das Paper untersucht die Anfälligkeit von Deep-Learning-(DL)-basierten Systemen zur automatischen Modulationsklassifizierung (AMC) gegenüber Backdoor-Angriffen (Trojaner-Angriffen). Im Gegensatz zu bisherigen Arbeiten, die oft aus dem Bereich der Computer Vision stammen oder digitale Datenmanipulationen betrachten, fokussiert sich diese Studie auf einen physischen Angriff, der das Signal bereits vor der Übertragung im Basisband manipuliert. Ein zentrales Novum ist die Verwendung von Explainable AI (XAI), um die optimalen Positionen für den Angriff im Signal zu identifizieren.

1. Problemstellung

Hintergrund: DL-Modelle (wie CNNs, RNNs, DNNs) werden zunehmend für die AMC in modernen drahtlosen Kommunikationssystemen (z. B. 5G) eingesetzt.
Bedrohung: Diese Modelle sind anfällig für Adversarial Machine Learning (AML). Backdoor-Angriffe sind besonders heimtückisch, da das Modell bei sauberen Daten (ohne Trigger) normal funktioniert, aber bei Vorhandensein eines spezifischen „Triggers" eine vom Angreifer gewünschte Klassifizierung vornimmt.
Lücke in der Forschung: Bisherige Angriffe auf AMC-Systeme basierten oft auf digitalen Manipulationen nach dem Empfang oder nutzten keine XAI-Methoden zur Optimierung der Trigger-Platzierung. Zudem fehlt es an Studien zur Übertragbarkeit (Transferability) solcher Angriffe auf verschiedene DL-Architekturen im physikalischen Signalbereich.

2. Methodik: Der Angriffsmodell

Der Angriff wird als Black-Box-Szenario definiert, bei dem der Angreifer nur Zugriff auf den Trainingsdatensatz hat, nicht jedoch auf die Modellparameter, Gradienten oder die interne Architektur. Der Angriff besteht aus zwei Hauptphasen:

A. Auswahl der Trigger-Position (XAI-gesteuert)

Ziel: Identifizierung des Zeitfensters im Signal, in dem das Modell am empfindlichsten auf Manipulationen reagiert.
Methode: Eine angepasste Version von Sampling-SHAP (Shapley Additive Explanations) wird verwendet.
Vorgehen:
1. Das komplexe IQ-Zeitsignal wird in nicht-überlappende Fenster der Länge $N_w$ unterteilt.
2. Um Phasenverschiebungen (durch Modulation oder Kanaleffekte) zu eliminieren, wird eine lokale Phasennormalisierung durchgeführt. Jedes Fenster wird so rotiert, dass der durchschnittliche Phasor auf der positiven Realachse liegt.
3. SHAP-Werte werden berechnet, um den Beitrag jedes Fensters zur Klassifizierung der Zielklasse zu bestimmen.
4. Das Fenster mit dem höchsten durchschnittlichen SHAP-Wert wird als optimale Trigger-Position ( $W^*$ ) ausgewählt.

B. Generierung des Trigger-Werts

Ziel: Erzeugung eines Trigger-Signals, das robust und effektiv ist.
Methode: Kombination aus Klassenprototypen und Hauptkomponentenanalyse (PCA).
Vorgehen:
1. Aus den normalisierten Fenstern der Zielklasse wird ein komplexer Prototypvektor ( $\mu_{tar}$ ) berechnet (Median zur Robustheit gegen Ausreißer).
2. Eine PCA wird auf die Real- und Imaginärteile der Daten durchgeführt, um die erste Hauptkomponente ( $p_{tar}$ ) zu extrahieren, die die größte Varianz beschreibt.
3. Der finale Trigger-Vektor $t$ ist eine gewichtete Mischung aus Prototyp und PCA-Richtung, skaliert durch einen Energie-Faktor $\alpha$ :
  $t = \alpha \cdot \frac{\lambda \mu_{tar} + (1-\lambda) p_{tar}}{\|\lambda \mu_{tar} + (1-\lambda) p_{tar}\|_2}$

C. Causative Phase (Vergiftung)

Der Trainingsdatensatz wird vergiftet, indem die ausgewählten Fenster ( $W^*$ ) in einem bestimmten Anteil der Symbole durch den Trigger ersetzt und die Labels auf die Zielklasse geändert werden.
Das Modell lernt daraufhin die korrekte Klassifizierung für saubere Daten, verhält sich aber bei Vorhandensein des Triggers wie gewünscht.

3. Experimentelles Setup

Modelle: DNN, RNN und CNN wurden als Zielmodelle für die AMC verwendet.
Daten: OFDM-Signale mit 512 Subträgern und 128 Cyclic Prefix (CP). 11 Modulationsarten.
Kanal: 3-Tap Rayleigh-Fading-Kanal.
Vergleich: Der Angriff wurde mit zwei Referenzangriffen (Ref1, Ref2) verglichen, die in der Literatur als White-Box-Angriffe im digitalen Bereich bekannt sind.
Metriken:
- ASR (Attack Success Rate): Anteil der Trigger-Signale, die fälschlicherweise als Zielklasse klassifiziert werden.
- ALC (Clean Accuracy): Genauigkeit auf sauberen Daten (Basislinie).
- ABC (Benign Accuracy): Genauigkeit des vergifteten Modells auf sauberen Daten (Maß für die Heimlichkeit).

4. Ergebnisse

Effektivität (ASR)

Der XAI-gesteuerte Angriff erreicht bei niedrigen SNR-Werten (Signal-Rausch-Verhältnis) signifikant höhere Erfolgsraten als die Referenzangriffe.
- Bei -16 dB SNR: XAI-Angriff 68,7% vs. Ref1 (22,7%) und Ref2 (41,4%).
- Bei 16 dB SNR: Alle Angriffe erreichen hohe Werte (>80%), aber der XAI-Angriff bleibt konsistent hoch.
Begründung: Da der Trigger in den für das Modell sensitivsten physikalischen Bereichen platziert wird, ist er robuster gegenüber Rauschen als generische digitale Störungen.

Transferierbarkeit

Der Angriff zeigt eine hohe Transferierbarkeit. Er funktioniert effektiv auf allen drei getesteten Architekturen (DNN, RNN, CNN), obwohl er nur auf einem Modell (bzw. mit Zugriff auf den Datensatz) entwickelt wurde.
Die ASR bleibt über den gesamten SNR-Bereich für alle Modelle hoch (ca. 69% bei sehr niedrigem SNR für CNN, steigend auf >80%).

Heimlichkeit (Stealthiness)

ABC vs. ALC: Die Genauigkeit des vergifteten Modells auf sauberen Daten (ABC) bleibt über den gesamten SNR-Bereich fast identisch mit der des originalen Modells (ALC). Der Angriff verschlechtert die Leistung nicht, was ihn schwer erkennbar macht.
Umgehung von Verteidigungen: Der Angriff wurde gegen drei gängige Verteidigungsmethoden getestet:
1. Neural Cleanse: Der XAI-Angriff bleibt unter dem Anomalie-Schwellenwert (Index ~1.0), während Ref2 diesen überschreitet.
2. STRIP: Der Entropie-Unterschied ( $\Delta H$ ) zwischen sauberen und getriggerten Daten ist sehr gering (0.02), was eine Trennung durch STRIP erschwert.
3. Activation Clustering: Nur 8,15% der Angriffe wurden erkannt (im Vergleich zu 29,3% für Ref1 und 72,2% für Ref2).

5. Schlussfolgerung und Bedeutung

Hauptbeitrag: Das Paper demonstriert erstmals einen transferierbaren, positionsbewussten Backdoor-Angriff auf DL-basierte AMC-Systeme, der im physikalischen Signalbereich (vor der Übertragung) operiert und durch XAI optimiert wird.
Bedeutung:
1. Sicherheitsrisiko: Moderne drahtlose Systeme sind anfällig für solche Angriffe, selbst bei schlechten Kanalbedingungen (niedriges SNR).
2. Methodischer Fortschritt: Die Kombination von SHAP zur Positionsfindung und PCA/Prototypen zur Trigger-Generierung erweist sich als überlegen gegenüber rein digitalen oder gradientenbasierten Ansätzen.
3. Warnung: Da die Angriffe sehr schwer zu erkennen sind (hohe Stealthiness gegen etablierte Verteidigungen), müssen neue Abwehrmechanismen entwickelt werden, die speziell auf physikalische Signalmanipulationen und XAI-basierte Angriffe ausgelegt sind.

Zusammenfassend zeigt die Studie, dass die Integration von Explainable AI in die Angriffsstrategie die Effizienz und Unsichtbarkeit von Backdoor-Angriffen auf kritische Kommunikationsinfrastrukturen erheblich steigert.