🤖 AI

FlowGuard: Flow Matching for Identity-Independent Detection of Data-Free Model Stealing Attacks on Energy System Intrusion Detection Systems

Das Papier schlägt FlowGuard vor, einen identitätsunabhängigen Abwehrmechanismus für Intrusion-Detection-Systeme in Energiesystemen, der Flow Matching nutzt, um datenfreie Model-Stealing-Angriffe zu erkennen, indem es synthetische Abfragen basierend auf ihrer niederdimensionalen Mannigfaltigkeitsstruktur als Out-of-Distribution identifiziert.

Ursprüngliche Autoren: Maxime Schwarzer, Laurin Holz, Tobias Huerten, Johannes Loevenich, Thies Moehlenhof, Roberto Rigolin F. Lopes, Veit Hagenmeyer

Veröffentlicht 2026-06-03

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Maxime Schwarzer, Laurin Holz, Tobias Huerten, Johannes Loevenich, Thies Moehlenhof, Roberto Rigolin F. Lopes, Veit Hagenmeyer

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Das große Ganze: Das „Gehirn“ eines Sicherheitswachmanns stehlen

Stellen Sie sich einen hoch entwickelten Sicherheitswachmann (ein KI-System) vor, der ein Kraftwerk beschützt. Dieser Wachmann ist sehr gut darin, Eindringlinge aufzuspüren. Ein Dieb möchte jedoch das „Gehirn“ des Wachmanns (das KI-Modell) stehlen, um eine Fälschung davon zu bauen.

Warum? Denn mit dieser Fälschung kann der Dieb im Geheimen üben. Er kann genau herausfinden, wie er am echten Wachmann vorbeischleichen kann, ohne erwischt zu werden. Dies nennt man einen Model Stealing Attack (Modelldiebstahl-Angriff).

Das Problem ist, dass der Dieb kein Genie sein muss oder das ursprüngliche Handbuch des Wachmanns benötigt. Er kann dem Wachmann einfach tausende Fragen stellen wie: „Ist dieses Bild eine Katze oder ein Hund?“ oder „Ist dieses Verkehrsmuster normal oder ein Angriff?“. Der Dieb nutzt einen Computer, um diese Fragen automatisch zu generieren.

Die alten Wege, Diebe zu fangen (Und warum sie scheiterten)

Die Arbeit erklärt, dass frühere Sicherheitssysteme versuchten, diese Diebe auf zwei Arten zu fangen, aber beide hatten große Lücken:

Die „Ausweis“-Methode (PRADA): Dieses System beobachtete, wer die Fragen stellte. Wenn eine Person 1.000 Fragen hintereinander stellte, klang das verdächtig.
- Der Fehler: Der Dieb kann einen „Sybil-Angriff“ nutzen. Er erstellt 100 gefälschte Identitäten (wie 100 verschiedene E-Mail-Adressen) und verteilt die Fragen auf diese. Nun sieht keine einzelne Person verdächtig aus, und das Sicherheitssystem lässt sie alle durch. Die Arbeit zeigt, dass diese Methode bei einem solchen Vorgehen auf 0 % Effektivität sinkt.
Die „Verwirrende Antworten“-Methode (Prediction Poisoning): Dieses System versuchte, dem Dieb leicht falsche oder verwirrende Antworten zu geben, um sein gefälschtes Modell zu stören.
- Der Fehler: Viele reale Sicherheitswachmänner geben nur eine einfache „Ja/Nein“-Antwort (Hard Label). Sie liefern nicht die detaillierten Wahrscheinlichkeitswerte, die nötig wären, um diesen Trick zum Funktionieren zu bringen.

Die neue Lösung: FlowGuard

Die Autoren schlagen eine neue Verteidigung namens FlowGuard vor. Anstatt zu prüfen, wer die Frage stellt, prüft FlowGuard, wie die Frage aussieht.

Die Analogie: Der „Echte vs. Falsche“ Fluss

Stellen Sie sich den legitimen Netzwerkverkehr (normale Daten) wie einen breiten, tiefen, fließenden Fluss vor. Der KI-Wachmann ist darauf trainiert, alles zu erkennen, was in diesem Fluss fließt.

Legitime Abfragen: Diese sind wie glatte, natürliche Steine, die aus dem Flussbett aufgesammelt wurden. Sie passen perfekt in den Fluss.
Die Abfragen des Diebes: Der Dieb nutzt einen Computer, um Fragen aus „Rauschen“ (zufälligem Statikrauschen) zu generieren. Das sind wie Plastiksteine, die in einer Fabrik hergestellt wurden. Selbst wenn sie wie Steine aussehen, haben sie nicht das gleiche Gewicht, die gleiche Textur oder die gleiche Geschichte wie die echten Flusssteine.

FlowGuard ist ein spezieller Sensor, der am Eingang des Flusses platziert ist. Es ist ihm egal, wer den Stein hält. Es misst lediglich die „Dichte“ des Steins (wie wahrscheinlich es ist, dass es ein echter Flussstein ist).

Wenn der Stein ein echter Flussstein ist (Legitim), passt er perfekt in den Fluss.
Wenn der Stein ein Plastikstein aus der Fabrik ist (Diebische, synthetische Abfrage), fühlt er sich „leicht“ und deplatziert an. Der Sensor erkennt diese geringe „Dichte“ und blockiert ihn sofort.

Wie es funktioniert (Die „Flow Matching“-Magie)

Die Arbeit verwendet ein mathematisches Werkzeug namens Flow Matching (speziell Continuous Normalizing Flows).

Denken Sie an dies als eine magische Reverse-Engineering-Maschine:

Das System nimmt eine Frage und versucht, sie „aufzulösen“, indem es rückwärts verfolgt, woher sie kommt.
Echte Fragen führen zurück zu einem „normalen“ Startpunkt (einer Standard-Gaußschen Verteilung).
Die gefälschten Fragen des Diebes bleiben, da sie durch einen anderen Prozess erstellt wurden, an seltsamen oder unwahrscheinlichen Orten hängen bleiben oder dorthin zurückverfolgt werden.
Das System berechnet einen „Likelihood-Score“ (Wahrscheinlichkeitswert). Wenn dieser Score zu niedrig ist (was bedeutet, dass die Frage sehr unwahrscheinlich echt ist), wird sie blockiert.

Die Ergebnisse: Warum FlowGuard gewinnt

Die Forscher testeten dies gegen zwei berühmte Diebstechniken (MAZE und DisGUIDE) in zwei Szenarien:

Einzelner Dieb: Eine Person, die alle Fragen stellt.
- Ergebnis: FlowGuard hat fast alle von ihnen erwischt (96–100 % Erkennung).
Der „Sybil“-Dieb: 100 gefälschte Personen, die die Fragen aufteilen.
- Ergebnis: Die alte „Ausweis“-Methode (PRADA) versagte völlig (0 % Erkennung). FlowGuard hat dennoch 96–100 % der Diebe erwischt.

Warum? Weil FlowGuard sich nicht um den Ausweis kümmert. Es achtet nur darauf, dass die Frage selbst wie ein Plastikstein aus der Fabrik aussieht. Selbst wenn 1.000 verschiedene Personen die Frage stellen, wenn die Frage gefälscht ist, blockiert FlowGuard sie.

Zusammenfassung der Einschränkungen (Was die Arbeit tatsächlich sagt)

Die Arbeit ist ehrlich darüber, was sie noch nicht leistet:

Sie wurde auf einem Standard-Bilddatensatz (CIFAR-10) getestet, noch nicht auf echten Stromnetzdaten (obwohl die Autoren planen, dies zu tun).
Sie erfasst derzeit nur Diebe, die Fragen von Grund auf neu generieren (Data-Free Attacks). Sie behauptet nicht, Diebe zu stoppen, die Zugriff auf echte Daten haben.
Es ist ein „Lower-Tail“-Detektor, was bedeutet, dass es Dinge blockiert, die zu unwahrscheinlich aussehen, aber es verlässt sich auf eine spezifische Schwellenwertsetzung.

Das Fazit

FlowGuard ist ein Sicherheitssystem, das das „Wer“ ignoriert und sich stattdessen voll und ganz auf das „Was“ konzentriert. Durch den Einsatz fortgeschrittener Mathematik, um zu messen, wie „echt“ sich eine Frage anfühlt, kann es Diebe stoppen, die Sicherheitsmodelle stehlen wollen – selbst wenn diese versuchen, sich durch hunderte gefälschte Identitäten zu verstecken. Es macht die synthetischen (gefälschten) Daten des Diebes gegen ihn selbst verwendet.

Technisches Resümee: FlowGuard

Problemstellung
Auf Künstlicher Intelligenz basierende Intrusion Detection Systeme (IDS), die in kritischen Energieinfrastrukturen (z. B. Smart Grids, SCADA-Netzwerke) eingesetzt werden, sind anfällig für Model Extraction Attacks (MEAs). Bei diesen Angriffen befragen Angreifer ein Opfermodell, um ein funktional äquivalentes Ersatzmodell zu trainieren. Dieses Ersatzmodell dient als Offline-Testumgebung zur Erstellung von adversarial Evasion-Traffic, der das ursprüngliche IDS umgeht.

Bestehende Abwehrmethoden stehen in diesem Kontext vor erheblichen Einschränkungen:

Identitätsgebundene Erkennung: Methoden wie PRADA und FDINet stützen sich auf die Analyse von Abfragemustern pro Client-Identität. Diese versagen bei Sybil-Angriffen, bei denen Angreifer Abfragen über hunderte Identitäten verteilen, um eine statistische Erkennung zu umgehen.
Prediction Poisoning: Methoden, die Soft-Label-Ausgaben perturbieren (z. B. MODELGUARD), sind für viele IDS-Einsätze ungeeignet, die lediglich Hard Labels (binäre Entscheidungen über Angriff/Benutzerfreundlichkeit) zurückgeben.
Datenfreie Angriffe: Angreifer, die datenfreie Extraktionsmethoden (z. B. MAZE, DisGUIDE) verwenden, generieren synthetische Abfragen aus Rauschen oder ko-trainierten Generatoren, ohne Zugriff auf die ursprünglichen Trainingsdaten zu haben, was sie mittels traditioneller Anomalieerkennung schwer von legitimem Traffic unterscheidbar macht.

Methodik: FlowGuard
Die Autoren schlagen FlowGuard vor, einen identitätsunabhängigen Abwehrmechanismus, der eingehende Abfragen als Out-of-Distribution (OOD) klassifiziert, bevor sie vom IDS verarbeitet werden. Die Kernannahme ist, dass synthetische Abfragen, die für datenfreies Model Stealing generiert wurden, eine niederdimensionalere Mannigfaltigkeit besetzen als echter Netzwerkverkehr, was zu messbar niedrigeren Log-Likelihoods führt, wenn sie gegen ein Dichtemodell evaluiert werden, das auf legitimen Daten trainiert wurde.

Der technische Workflow umfasst:

Training eines Continuous Normalizing Flow (CNF): Ein CNF wird mittels Flow Matching auf der Verteilung des legitimen Netzwerkverkehrs trainiert. Im Gegensatz zu traditionellen Flows trainiert Flow Matching das Modell durch die Regression eines neuronalen Netzwerks auf ein konditionales Geschwindigkeitsfeld, das Stichproben von einer Basis-Gauß-Verteilung ( $p_0$ ) zu der Datenverteilung ( $p_1$ ) transportiert. Dies vermeidet teure Jacobian-Berechnungen während des Trainings.
Log-Likelihood-Berechnung: Wenn eine Abfrage $x_q$ eintrifft, wird sie als Stichprobe zum Zeitpunkt $t=1$ behandelt. Das System integriert die gelernte gewöhnliche Differentialgleichung (ODE) rückwärts von $t=1$ bis $t=0$ , um eine latente Repräsentation $z_0$ zu erhalten. Die Log-Likelihood $\log p_1(x_q)$ wird unter Verwendung der instantanen Change-of-Variables-Formel berechnet, welche die Basis-Log-Dichte und einen akkumulierten Divergenzterm (Jacobian-Korrektur) entlang der Trajektorie enthält.
Entscheidungsschwellenwert: Ein Schwellenwert $\tau$ wird basierend auf dem unteren Ende der Log-Likelihood-Verteilung eines gehaltenen Validierungsdatensatzes legitimer Abfragen festgelegt. Wenn $\log p_1(x_q) < \tau$ , wird die Abfrage als OOD klassifiziert und blockiert.

Wesentliche Beiträge

Identitätsunabhängige Abwehr: FlowGuard opert ausschließlich auf dem Inhalt der Abfrage und benötigt keine Identitätsmetadaten, Sitzungsverfolgung oder historische Akkumulation von Abfragen. Dies macht es inhärent resistent gegen Sybil-Angriffe.
Flow Matching für die OOD-Erkennung: Die Arbeit passt Flow Matching an das spezifische Problem der Erkennung von datenfreiem Model Stealing an und zeigt, dass synthetische Extraktionsabfragen in Regionen mit geringer Dichte der legitimen Daten-Mannigfaltigkeit fallen.
Empirische Evaluierung: Die Autoren benchmarken FlowGuard gegen State-of-the-Art-Abwehrmethoden (PRADA, FDINet) unter Verwendung von MAZE- und DisGUIDE-Angriffen auf CIFAR-10. Die Evaluierung deckt sowohl Single-Client- als auch Distributed-Settings (100-Client Sybil) ab.

Ergebnisse

Single-Client-Setting: FlowGuard erreichte hohe Erkennungsraten (True Positive Rate, TPR) für sowohl MAZE (0,965) als auch DisGUIDE (1,000) Angriffe, bei moderaten False Positive Rates (FPR ~0,170). Es übertraf PRADA im Recall für MAZE und entsprach oder übertraf die Leistung von PRADA bei DisGUIDE. FDINet zeigte gemischte Ergebnisse und konnte MAZE-Abfragen nicht effektiv erkennen (ROC-AUC 0,488).
Distributed (Sybil) Setting:
- PRADA: Die Erkennung brach vollständig zusammen (TPR 0,000), da die Abfragen über 100 Identitäten verteilt wurden, was die für seinen Shapiro-Wilk-Test erforderliche Akkumulation von Pro-Client-Statistiken verhinderte.
- FDINet: Zeigte eine gemischte Robustheit. Während es DisGUIDE mit hoher Sensitivität erkannte, litt es unter einer hohen FPR (0,530) und seine Leistung bei MAZE verschlechterte sich signifikant (TPR 0,500).
- FlowGuard: Beibehaltung einer stabilen Erkennungsleistung, die identisch mit dem Single-Client-Setting war (TPR 0,965 für MAZE, 1,000 für DisGUIDE). Die pro Abfrage durchgeführte Dichteevaluierung blieb unbeeinflusst von der Verteilung der Abfragen über verschiedene Identitäten.

Bedeutung und Umfang
Das Paper behauptet, dass FlowGuard eine robuste Lösung zur Sicherung von Energie-IDS gegen verteilte, datenfreie Model-Stealing-Angriffe bietet, bei denen identitätsbasierte Abwehrmethoden versagen. Durch die Nutzung der Dichtelücke zwischen legitimen Traffic und synthetischen Extraktionsabfragen bietet es eine Verteidigung, die nicht auf Client-Identität oder Soft-Label-Ausgaben angewiesen ist.

Die Autoren weisen explizit auf folgende Einschränkungen und den Umfang hin:

Die Evaluierung ist derzeit auf den CIFAR-10-Datensatz und eine VGG16-BN Opfer-Architektur beschränkt.
Die Abwehr ist derzeit effektiv gegen datenfreie Angriffe (MAZE, DisGUIDE). Das Paper beansprucht keinen universellen Schutz gegen alle Extraktionsfamilien oder datenabhängige Angriffe.
Zukünftige Arbeiten sind skizziert, um die Evaluierung auf realistische IDS-Datensätze (z. B. ERENO IEC 61850) auszuweiten, adaptive Angreifer zu untersuchen, die gegen das Dichtemodell optimieren, und potenziell FlowGuard mit einer auf Geschwindigkeitsfeldern basierenden Detektion (wie bei FlowPure) zu kombinieren, um die gesamte Kette von Model Stealing gefolgt von adversarial Evasion zu verteidigen.