⚡ electrical engineering

Attack Detection using Time Series Foundation Models

Dieses Paper schlägt ein modellfreies Angriffserkennungs- und Minderungsframework für cyber-physische Systeme vor, das das Zeitreihen-Foundation-Modell TimesFM als Zero-Shot-Surrogat-Residuen-Generator nutzt, um sowohl Replay- als auch Stealthy-Angriffe effektiv zu identifizieren, selbst ohne Kenntnis der zugrunde liegenden Prozessdynamik.

Ursprüngliche Autoren: Sribalaji C. Anand, Anh Tung Nguyen, George J. Pappas

Veröffentlicht 2026-06-05

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Sribalaji C. Anand, Anh Tung Nguyen, George J. Pappas

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich ein abgelegenes Kraftwerk oder eine Fabrik vor, die einen ständigen Datenstrom (wie Temperatur, Geschwindigkeit oder Spannung) über das Internet an einen Leitstand-Operator sendet. Die Aufgabe des Operators besteht darin, diese Daten zu überwachen, um sicherzustellen, dass alles reibungslos läuft.

Das Problem ist, dass Hacker diese Internetverbindung abfangen können. Sie können die Daten entweder aufzeichnen und später wieder abspielen (ein „Replay-Angriff“), um zu verbergen, dass die Maschine tatsächlich ausfällt, oder sie können die Zahlen mathematisch manipulieren (ein „verdeckter Angriff“), sodass die Maschine gut aussieht, obwohl sie sabotiert wird.

Traditionell benötigt der Operator einen perfekten „Blaupausen“-Plan (ein mathematisches Modell), wie sich die Maschine verhalten sollte, um solche Hacker zu entlarven. Wenn der Hacker auch die Blaupause kennt, kann er das Alarmsystem des Operators austricksen.

Dieses Paper schlägt eine neue Lösung vor, die gar keine Blaupause benötigt. Stattdessen nutzt es eine superintelligente KI namens TimesFM (entwickelt von Google), die Milliarden von Zeitreihen-Mustern aus der ganzen Welt „gelesen“ hat.

Hier ist die Aufschlüsselung ihres Ansatzes unter Verwendung einfacher Analogien:

1. Die zwei Sicherheitsebenen (Das Schweizer-Käse-Modell)

Stellen Sie sich Sicherheit wie einen Block Schweizer Käse vor.

Ebene 1 (Der traditionelle Wächter): Dies ist das Standard-Alarmsystem. Es kennt die Blaupause der Maschine. Wenn die Zahlen nicht mit der Blaupause übereinstimmen, schreit es: „Alarm!“
- Schwäche: Wenn der Hacker die Blaupause kennt, kann er einen „Zauberspruch“ (einen verdeckten Angriff) schreiben, der die Zahlen perfekt aussehen lässt, während die Maschine zerstört wird.
Ebene 2 (Der neue KI-Wächter – TimesFM): Dies ist die neue Erfindung in diesem Paper. Dieser Wächter kennt die Blaupause nicht. Er hat diese spezifische Maschine noch nie zuvor gesehen. Stattdessen agiert er wie ein super-intelligenter Wettervorhersager. Er betrachtet die jüngere Historie der Daten und sagt: „Basierend auf Milliarden von Mustern, die ich gesehen habe, sollte die nächste Zahl dies sein.“

2. Wie der KI-Fänger funktioniert

Der KI-Wächter arbeitet in drei einfachen Schritten:

Aufwärmphase: Er beobachtet die Daten eine Weile, um ein Gefühl für den Rhythmus zu bekommen.
Vorhersage: Er rät, welche die nächste Zahl sein sollte.
Der „Überraschungs“-Test: Er vergleicht die tatsächliche Zahl, die von der Maschine gesendet wird, mit seiner eigenen Vermutung.
- Wenn die Maschine ehrlich ist, liegen die Vermutung und die Realität nah beieinander (wie eine Wettervorhersage, die meistens recht behält).
- Wenn ein Hacker die Daten fälscht, wird der „Zauberspruch“, der den Blaupausen-Wächter getäuscht hat, für die KI seltsam aussehen. Die Vermutung der KI wird völlig anders sein als die gefälschte Zahl des Hackers, und der Alarm wird ausgelöst.

3. Die zwei Arten von Hackern, die sie erwischt haben

Die Forscher haben dies gegen zwei Arten von Bösewichten getestet:

Der Aufzeichner (Replay-Angriff): Stellen Sie sich einen Hacker vor, der ein Video eines ruhigen Flusses aufnimmt und dieses in einer Endlosschleife abspielt, während der echte Fluss eigentlich überflutet wird. Der Blaupausen-Wächter könnte getäuscht werden, weil das Video normal aussieht. Aber der KI-Wächter, der den Kontext des gesamten Systems betrachtet, stellt fest: „Warte, der Wind weht stark, aber das Flussvideo zeigt keine Wellen. Das ist gefälscht!“
Der Mathematik-Magier (Verdeckter Angriff): Dieser Hacker kennt die Mathematik des Blaupausen-Wächters perfekt und manipuliert die Zahlen gerade so weit, dass sie dessen Test bestehen. Da der KI-Wächter jedoch nicht dieselbe Mathematik verwendet, erkennt er den Trick nicht. Der KI-Wächter sieht jedoch ein Muster, das nicht zur „Geschichte“ der Datenhistorie passt, und löst Alarm aus.

4. Der „Magische Backup“ (Mitigation)

Das Paper fand auch einen interessanten Nebeneffekt. Wenn Hacker die Sensoren so stark korrumpieren, dass der Operator den echten Daten nicht mehr trauen kann, kann der KI-Wächter tatsächlich raten, was die echten Daten sein sollten.

Analogie: Stellen Sie sich vor, Ihr Tacho ist kaputt und steht fest auf 0 mph. Ein normaler Mechaniker wäre hier ratlos. Aber diese KI ist wie ein Beifahrer, der weiß, wie schnell Sie basierend auf dem Motorengeräusch und der Straße fahren sollten. Sie kann die fehlenden Informationen ergänzen, damit der Fahrer sicher weiterfahren kann.

5. Die Ergebnisse

Die Forscher testeten dies an einer realen Simulation eines Stromnetzes (dem IEEE 14-Bus-System).

Der Blaupausen-Wächter versagte oft dabei, die „Mathematik-Magier“-Hacker zu fangen, weil die Hacker zu gut darin waren, die Regeln einzuhalten.
Der KI-Wächter hat fast alle von ihnen erwischt, selbst diejenigen, die darauf ausgelegt waren, für den Blaupausen-Wächter unsichtbar zu sein.
Er funktionierte auch gut, wenn das System verrauscht war oder die Sensoren defekt waren.

Das Fazit

Dieses Paper zeigt, dass man keine geheimen Blaupausen einer Maschine braucht, um sie zu schützen. Indem man eine universelle KI nutzt, die versteht, wie Daten über die Zeit „fließen“, kann man Hacker aufspüren, die versuchen, unbemerkt zu bleiben. Es ist, als würde man einen Detektiv engagieren, der zwar das Alibi des Verdächtigen nicht kennt, aber so gut darin ist, Inkonsistenzen in einer Geschichte zu entdecken, dass die Lüge sofort zusammenbricht.

Technisches Resümee: Angriffserkennung mittels Zeitreihen-Foundation-Modellen

Problemstellung

Dieses Paper adressiert die Herausforderung der Erkennung von Cyber-Angriffen in Cyber-Physischen Systemen (CPS), bei denen der Operator über kein Wissen über das Anlagenmodell verfügt (weder über dessen Struktur noch über dessen Parameter). Das Szenario umfasst eine remote gelegene Anlage, die Sensormesswerte über ein Netzwerk überträgt, welches anfällig für Manipulationen ist. Die Autoren konzentrieren sich auf zwei spezifische Klassen von Angriffen:

Modellfreie Replay-Angriffe: Bei denen ein Angreifer aufgezeichnete legitime Daten wiederholt (z. B. im Stuxnet-Stil), was kein Systemwissen erfordert.
Modellbasierte, verdeckte Angriffe: Bei denen ein Angreifer mit vollständigem Systemwissen Eingaben entwirft, um den Zustandsschätzer maximal zu verzerren, während er gleichzeitig gegenüber einem primären modellbasierten $\chi^2$ -Detektor unentdeckt bleibt.

Die zentrale Forschungsfrage ist, ob Zeitreihen-Foundation-Modelle als „modellstrukturfreier“ Sekundärdetektor ( $g_s$ ) dienen können, um diese Angriffe zu identifizieren, einschließlich jener, die speziell darauf ausgelegt sind, traditionelle modellbasierte Detektoren ( $g_p$ ) zu umgehen.

Methodik

1. Optimale Konstruktion verdeckter Angriffe

Um eine rigorose Baseline für die Detektion zu etablieren, leiten die Autoren zuerst geschlossene Ausdrücke für die optimale verdeckte Angriffspolitik gegen einen primären $\chi^2$ -Detektor her.

Lineare zeitinvariante (LTI) Systeme: Für Systeme mit einem statischen Beobachter (z. B. Luenberger oder stationärer Kalman-Filter) leiten die Autoren den Angriffsvektor ab, der den Schätzfehler maximiert, unter der Bedingung, dass die Detektionsstatistik mit einer spezifizierten Wahrscheinlichkeit unterhalb des Schwellenwerts bleibt.
Nichtlineare Systeme: Für Systeme, die einen Extended Kalman Filter (EKF) verwenden, leiten die Autoren eine approximative geschlossene Lösung unter Verwendung der Erstordnung-Linearisierung der Abweichungsdynamik ab.
Kerneinsicht: Diese abgeleiteten Angriffe sind konstruktionsbedingt mathematisch garantiert verdeckt gegenüber dem primären modellbasierten Detektor ( $g_p$ ), vorausgesetzt, der Angreifer verfügt über das vollständige Modellwissen.

2. TimesFM-basierter Detektionsalgorithmus

Die vorgeschlagene Lösung ersetzt den modellbasierten Residuen-Generator durch TimesFM, ein von Google Research entwickeltes Zeitreihen-Foundation-Modell.

Zero-Shot-Betrieb: TimesFM operiert ohne Training, Fine-Tuning oder Retraining auf den spezifischen Anlagendaten. Es nutzt das Pre-Training auf Milliarden von diversen Zeitreihen-Datenpunkten.
Surrogat-Residuen-Generierung: Der Algorithmus behandelt die TimesFM-Vorhersagen als Surrogat für das erwartete Verhalten des Systems. Das Residuum wird als Differenz zwischen der tatsächlichen (potenziell korrumpierten) Sensormessung und der TimesFM-Vorhersage definiert.
Detektionsstatistik: Ein $\chi^2$ -Test wird auf diese Vorhersage-Residuen angewendet.
Mitigationsmechanismus: Bei Erkennung eines Angriffs kann der Algorithmus die korrumpierten Messwerte durch TimesFM-Punktvorhersagen ersetzen, um die Zustandsschätzung aufrechtzuerhalten, wodurch er effektiv als Redundanz-Ersatz fungiert, wenn klassische Annahmen zur Sensorredundanz versagen.

Arbeitsablauf des Algorithmus:

Warmup: TimesFM beobachtet ein Fenster vergangener Daten, um Vorhersagen zu treffen.
Kovarianzschätzung: Ein „sauberes“ Datenfenster wird verwendet, um die Kovarianz der Vorhersage-Residuen unter Nominalbetrieb zu schätzen.
Online-Detektion: Eine $\chi^2$ -Statistik wird berechnet. Wenn ein Alarm ausgelöst wird, wird der Puffer nicht mit der korrumpierten Messung aktualisiert, um eine Kontamination zukünftiger Vorhersagen zu verhindern.

Zentrale Beiträge

Geschlossene Form optimaler Angriffspolitiken: Das Paper liefert die ersten geschlossenen Ausdrücke für optimale verdeckte Angriffe gegen $\chi^2$ -Detektoren sowohl für LTI- als auch für nichtlineare Systeme, unter der Annahme, dass der Angreifer über das vollständige Modellwissen verfügt.
Modellstrukturfreier Detektor: Die Autoren schlagen einen auf TimesFM basierenden Detektor vor und validieren diesen, der kein explizites Systemmodell benötigt. Dieser Detektor arbeitet in einem Zero-Shot-Verfahren, was ihn von traditionellen datengesteuerten Methoden unterscheidet, die auf aufgabenspezifisches Training und Hyperparameter-Tuning angewiesen sind.
Robustheit gegenüber verdeckten Angriffen: Das Paper zeigt, dass Angriffe, die darauf ausgelegt sind, gegenüber modellbasierten Detektoren perfekt verdeckt zu sein, durch den TimesFM-basierten Detektor zuverlässig erkannt werden. Dies wird darauf zurückgeführt, dass TimesFM nicht über die spezifische „Innovationsstruktur“ verfügt, die modellbasierte Angreifer ausnutzen.
Mitigation via Vorhersage: Die Arbeit zeigt empirisch, dass TimesFM-Vorhersagen für korrumpierte Messwerte substituieren können, was eine robuste Zustandsschätzung ermöglicht, selbst wenn die Anzahl der kompromittierten Sensoren die Standard-Redundanzannahmen für die Beobachtbarkeit verletzt (z. B. $N-2M$ Sensoren).

Experimentelle Ergebnisse

Die Wirksamkeit des vorgeschlagenen Ansatzes wurde an zwei Systemen validiert:

1. Gedämpftes Feder-Masse-System (Linear)

Replay-Angriffe: Der TimesFM-Detektor erreichte eine Falschalarmrate (FAR) von 0,5 % (gegenüber 2,8 % beim Beobachter-basierten Detektor) und detektierte den Angriff kontinuierlich, während die Alarme des beobachterbasierten Detektors intermittierend waren und nicht von Rauschen zu unterscheiden waren.
Verdeckte Angriffe: Mit Theorem 1 konstruierte Angriffe waren für den EKF-basierten Detektor unentdeckbar (FAR blieb auf Nominalniveau), wurden jedoch vom TimesFM-Detektor konsistent erkannt.
Einzel-Sensor-Angriff: In einem Szenario, in dem der einzige verfügbare Sensor kompromittiert war (Verletzung der Standard-Redundanz), erreichte der durch TimesFM geschützte Beobachter eine signifikant geringere Zustandsschätzfehlerrate als der ungeschützte Beobachter.
Adaptiver Angreifer: Gegen einen adaptiven Angreifer, der SPSA nutzt, um beide Detektoren gleichzeitig zu umgehen, reduzierte die Präsenz des TimesFM-Detektors die Auswirkungen des Angreifers um das 91-fache im Vergleich zu einem Angreifer, der nur den modellbasierten Detektor targetiert.

2. IEEE 14-Bus Stromnetz (Nichtlinear)

Setup: Ein nichtlineares Schwingungsgleichungsmodell mit 14 Bussen und 20 Übertragungsleitungen.
Replay-Angriffe: TimesFM löste während der gesamten Dauer des Angriffs konsistent Alarme aus. Der EKF-basierte Detektor erkannte den Angriff nur in der Anfangsphase, bevor die replizierten Daten im modellbasierten Residuum nicht mehr von nominalem Verhalten zu unterscheiden waren.
Verdeckte Angriffe: Unter Verwendung der nichtlinearen Angriffspolitik aus Theorem 2 löste der EKF-Detektor keine Alarme aus. Im Gegensatz dazu detektierte TimesFM den Angriff in allen Testläufen.
Statistische Validität: Ein Shapiro-Wilk-Test bestätigte, dass die Vorhersage-Residuen unter Nominalbetrieb annähernd gaußförmig verteilt waren, was die Verwendung der $\chi^2$ -Teststatistik rechtfertigt.

Bedeutung und Ansprüche

Die Autoren positionieren diese Arbeit als einen bedeutenden Schritt in Richtung Defense-in-Depth in der CPS-Sicherheit. Indem sie den TimesFM-Detektor als „zweite Verteidigungsebene“ (inspiriert durch das Swiss-Cheese-Modell) rahmen, argumentieren sie, dass:

Vorteil der Modellfreiheit: Im Gegensatz zu traditionellen Detektoren, die auf expliziten Systemmodellen beruhen, macht der Mangel an einer geschlossenen Form der Innovationsstruktur bei TimesFM den Detektor inhärent schwerer für modellbasierte Angreifer angreifbar.
Plug-and-Play-Fähigkeit: Die Zero-Shot-Natur von TimesFM eliminiert die Notwendigkeit von Retraining oder Systemidentifikation, was es zu einer praktischen Lösung für generische nichtlineare Systeme macht, bei denen Modellwissen nicht verfügbar oder unzuverlässig ist.
Über die Detektion hinaus: Das Paper behauptet, dass Foundation-Modelle eine duale Rolle spielen können: nicht nur als Detektoren, sondern auch als praktische Mitigationswerkzeuge, um die Zustandsschätzung wiederherzustellen, wenn die Sensorredundanz kompromittiert ist.

Das Paper schließt mit der Feststellung, dass dies nach Kenntnis der Autoren die erste Arbeit ist, die einen auf Foundation-Modellen basierenden, modellstrukturfreien Zero-Shot-Detektor vorschlägt, der sowohl Replay- als auch modellbasierte verdeckte Angriffe in Gegenwart von Rauschen handhaben kann.