💻 computer science

ORAN-DEFEND: Subspace Detection and Sanitization of Backdoor DRL xApps in Open RAN

Dieses Paper stellt ORAN-DEFEND vor, eine ohne Retraining auskommende Subraumprojektions-Abwehr, die backdoor-infizierte Deep-Reinforcement-Learning-xApps in Open RAN effektiv bereinigt, indem sie verdeckte Trigger erkennt und neutralisiert und dabei nahezu perfekte Wiederherstellungsraten erzielt, wenn die Energie des Triggers außerhalb des sicheren Signal-Subraums liegt.

Ursprüngliche Autoren: Md Raihan Uddin, Fatemeh Lotfi, Tolunay Seyfi, Fatemeh Afghah

Veröffentlicht 2026-07-09

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Md Raihan Uddin, Fatemeh Lotfi, Tolunay Seyfi, Fatemeh Afghah

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich einen Hochgeschwindigkeitszug vor (das Open-RAN-Netzwerk), der alle paar Millisekunden blitzschnelle Entscheidungen über Geschwindigkeit, Richtung und Sicherheit treffen muss. Um dies zu tun, verlässt er sich auf einen hochqualifizierten KI-Lokführer (die xApp), der die Gleise und das Wetter (die KPI-Telemetrie) beobachtet, um zu entscheiden, was zu tun ist.

Normalerweise wird dieser Lokführer von einem vertrauenswürdigen Anbieter eingestellt. Aber was wäre, wenn ein böswilliger Anbieter heimlich einen „schlafenden Agenten“ (KI) einschleust? Diese KI verhält sich perfekt, wenn die Gleise normal aussehen. Wenn der Schurke jedoch heimlich eine winzige, unsichtbare Markierung auf die Schienen malt (einen Backdoor-Trigger), gerät die KI plötzlich in Panik und befiehlt dem Zug, zu kollidieren, was Chaos verursacht.

Das Problem ist: Sobald diese KI installiert ist, ist sie eine „eingefrorene Black Box“. Man kann sie nicht öffnen, um ihren Code zu prüfen, und man kann sie nicht neu trainieren, weil der ursprüngliche Besitzer die Trainingsdaten nicht herausgibt. Sie müssen einen Weg finden, den Absturz zu verhindern, ohne den Lokführer zu entlassen.

Hier kommt ORAN-DEFEND ins Spiel: Der „Sicherheitsfilter“-Wrapper

Die Autoren dieser Arbeit präsentieren ORAN-DEFEND, eine clevere Sicherheitsebene, die zwischen den Gleisen und dem KI-Lokführer sitzt. Es muss nicht wissen, wie die KI denkt; es beobachtet einfach nur, was die KI sieht.

So funktioniert es, unter Verwendung einer einfachen Analogie:

1. Das „Sicherheitszimmer“ vs. die „Gefahrenzone“

Stellen Sie sich die Daten, die die KI sieht (Geschwindigkeit, Signalstärke usw.), als ein riesiges, mehrdimensionales Zimmer vor.

Das Sicherheitszimmer (Subraum): Wenn der Zug normal fährt, gruppieren sich alle Datenpunkte in einem bestimmten, niedrigdimensionalen „Sicherheitszimmer“. Denken Sie daran, dass die KI die Gleise immer in einem sehr vorhersehbaren, organisierten Muster sieht.
Die Gefahrenzone (Orthogonale Komplement): Der „Backdoor-Trigger“ ist ein geheimes Signal, das der Bösewicht einspeist. Die Arbeit geht davon aus, dass dieses geheime Signal in einem völlig anderen Teil des Raums lebt – der „Gefahrenzone“, die mathematisch gesehen senkrecht (im 90-Grad-Winkel) zum Sicherheitszimmer steht.

2. Der magische Trick: Projektion

ORAN-DEFEND wirkt wie ein magischer Projektor.

Jedes Mal, wenn die KI kurz vor einer Entscheidung steht, nimmt ORAN-DEFEND die aktuelle Ansicht der Gleise und projiziert sie auf das „S Sicherheitszimmer“.
Wenn die Ansicht normal ist, bleibt sie genau dort, wo sie ist.
Wenn der Bösewicht einen geheimen Trigger hinzugefügt hat (das Signal der Gefahrenzone), schabt der Projektor diesen ab. Es ist, als würde man mit einer Taschenlampe auf ein 3D-Objekt leuchten und nur den Schatten an der Wand behalten; die Teile des Objekts, die seitlich herausragen (der Trigger), verschwinden.
Die KI trifft ihre Entscheidung dann basierend auf dieser „gereinigten“ Ansicht. Da der Trigger entfernt wurde, verhält sich die KI normal und lässt den Zug nicht abstürzen.

3. Der „Schatten-Detektor“

Das System verfügt auch über einen eingebauten Alarm. Es misst, wie viel von der ursprünglichen Ansicht „abgeschabt“ wurde.

Wenn die Ansicht sauber war, wird fast nichts abgeschabt.
Wenn ein Trigger vorhanden war, wird ein großer Teil des Signals entfernt. Das System sieht diesen riesigen „Schatten“ und schlägt Alarm: „Hey, jemand hat versucht, einen Trigger einzuschleusen!“

4. Was sie herausgefunden haben (Die Ergebnisse)

Die Forscher haben dies in einer realen Simulation eines Mobilfunknetzes (unter Verwendung des Colosseum-Datensatzes) gegen vier verschiedene Arten von „schlafenden Agenten“-Angriffen getestet.

Perfekte Wiederherstellung: Wenn die geheimen Trigger tatsächlich in der „Gefahrenzone“ lagen (senkrecht zu den normalen Daten), arbeitete ORAN-DEFEND perfekt. Es stellte die Leistung des Netzwerks auf 100 % des Normalniveaus wieder her und stoppte die Angriffe zu 100 %.
Winzige Stichprobengröße: Sie benötigten nur eine winzige Menge an „sauberen“ Daten (nur 8 Testläufe), um das „Sicherheitszimmer“ abzubilden. Sie brauchten keinen massiven Datensatz, um zu lernen, wie Normalität aussieht.
Die Grenze: Die Arbeit fand eine harte Grenze. Wenn der Bösewicht klug genug ist, den Trigger innerhalb des „Sicherheitszimmers“ zu malen (indem er das Gift mit den normalen Daten vermischt), kann der Projektor ihn nicht entfernen, ohne auch die normalen Daten zu entfernen. In diesem speziellen Fall versagt die „Abschab“-Methode. Das System kann jedoch immer noch erkennen, dass etwas nicht stimmt, indem es einen anderen, intelligenteren Detektor verwendet, selbst wenn es die Daten nicht perfekt reinigen kann.

Zusammenfassung

ORAN-DEFEND ist ein „Retraining-freier“ Schutzschild. Es versucht nicht, die kaputte KI zu reparieren; es reinigt lediglich den Input, den die KI erhält. Indem es mathematisch zwischen „normalem Verkehr“ und „geheimen Triggern“ unterscheidet, stellt es sicher, dass selbst wenn ein böswilliger Anbieter eine manipulierte KI installiert, das Netzwerk sicher bleibt und der Zug reibungslos weiterfährt.

Technisches Resümee: ORAN-DEFEND

1. Problemstellung

Die Open Radio Access Network (O-RAN)-Architektur überträgt die Steuerung in Echtzeit (near-real-time) auf Deep Reinforcement Learning (DRL) xApps, die häufig von Drittanbietern stammen. Dieses Lieferketten-Modell führt eine kritische Schwachstelle ein: Backdoor-Policies. Ein böswilliger Anbieter kann einen DRL-Agenten ausliefern, der unter Normalbedingungen optimal agiert, aber bei der Injektion eines verdeckten Triggers in die beobachteten Key Performance Indicator (KPI)-Telemetriedaten schädliche Steuerungsaktionen ausführt (Verschlechterung der Dienstgüte, Verletzung von Latenzbudgets oder Erzeugung von Interferenzen).

Bestehende Verteidigungsmechanismen sind für dieses Szenario unzureichend, da sie:

Black-Box-Beschränkungen unterliegen: xApps sind oft proprietäre, eingefrorene Binärdateien, was keinen Zugriff auf White-Box-Strukturen oder das Modell-Retraining ermöglicht.
Limitierungen durch überwachte Verteidigung aufweisen: Techniken wie Neural Cleanse oder spektrale Signaturen erfordern typischerweise Trainingsdaten oder Modellgewichte, die hier nicht verfügbar sind.
Die Natur von DRL-Angriffen berücksichtigen müssen: Im Gegensatz zur statischen Klassifizierung manifestieren sich Backdoors in DRL durch die Degradierung des kumulativen Ertrags über lange Zeithorizonte statt durch eine einfache Fehlklassifizierung eines einzelnen Schritts, was sie mittels Standard-Anomalieerkennung schwerer detektierbar macht.

2. Methodik: ORAN-DEFEND

Die Autoren schlagen ORAN-DEFEND vor, einen retraining-freien Wrapper auf Telemetrie-Ebene, der potenziell kompromittierte xApps bereinigt. Die Verteidigung operiert vollständig auf den Eingangsbeobachtungen (KPI-Fenstern), die der eingefrorenen Policy präsentiert werden.

Kernmechanismus: Subraum-Sanitierung (Subspace Sanitization)

Die Methode stützt sich auf die spektrale Geometrie der sauberen KPI-Telemetrie.

Schätzung des sicheren Subraums (Offline): Der Verteidiger sammelt eine kleine Menge vertrauenswürdiger, sauberer Rollout-Episoden der xApp in einer kontrollierten Umgebung. Durch Anwendung der Singulärwertzerlegung (SVD) auf diese sauberen Zustände schätzt das System einen niedrigdimensionalen sicheren Subraum ( $E_n$ ), in dem der Großteil der nominalen KPI-Varianz liegt.
Orthogonale Trigger-Annahme: Die Verteidigung geht davon aus, dass der adversarielle Trigger im orthogonalen Komplement ( $E^\perp$ ) des sicheren Subraums liegt. Dies basiert auf der Prämisse, dass Trigger darauf ausgelegt sind, verdeckt zu sein und somit orthogonal zu den natürlichen Korrelationen des Netzwerkverkehrs stehen.
Online-Sanitierung: Für jedes eingehende KPI-Fenster $s_t$ $s_{t}$ :
- Die Beobachtung wird zentriert und auf den geschätzten sicheren Subraum $E_n$ projiziert.
- Der projizierte Vektor $\hat{s}_t = \text{Proj}_{E_n}(s_t)$ wird an die eingefrorene Backdoor-Policy $\pi^\dagger$ übergeben.
- Liegt der Trigger vollständig in $E^\perp$ , annihiliert die Projektion den Trigger exakt und stellt den Input in einen Zustand wieder, der von einem sauberen Betrieb ununterscheidbar ist.
Detektion: Ein Residuen-Detektor berechnet die Energie der Komponente, die orthogonal zum sicheren Subraum steht ( $\rho(s_t) = \|s_t - \hat{s}_t\|^2$ ). Wenn dieses Residuum einen Schwellenwert überschreitet, wird ein Backdoor-Alarm ausgelöst.

Theoretische Garantien

Die Arbeit etabliert eine präzise Rekonventionsbedingung: Die Verteidigung ist erfolgreich, wenn die Trigger-Energie in $E^\perp$ konzentriert ist. Die Performance-Lücke zwischen der optimalen sauberen Policy und der sanitisierten Policy wird durch den Approximationsfehler (verwarfene Energie des sauberen Zustands) und den Schätzfehler (endliche Stichprobengröße) begrenzt, sofern der Trigger auf das orthogonale Komplement beschränkt ist.

3. Zentrale Beiträge

Formalisiertes Bedrohungsmodell: Die Autoren definieren das Backdoor-Policy-Bedrohungsszenario für KPI-gesteuerte xApps in O-RAN, welches sowohl Inner-Loop- (TrojDRL, BadRL) als auch Outer-Loop-Poisoning-Regime (SleeperNets, Q-Incept) abdeckt.
Retraining-freie Verteidigung: Sie präsentieren ORAN-DEFEND, den ersten Wrapper, der eingefrorene DRL-Policies allein mittels Black-Box-Inferenz und einer geringen Anzahl vertrauenswürdiger sauberer Rollouts bereinigt, ohne Zugriff auf Modellgewichte oder ein Retraining zu benötigen.
Geometrische Charakterisierung der Verteidigungsgrenzen: Das Paper führt den $E^\perp$ -Energieanteil ( $\eta_{E^\perp}$ ) als eine einzige messbare Größe ein, welche die Rekonvention steuert. Es zeigt auf, dass lineare Projektionsverteidigungen inhärent limitiert sind: Wenn der Trigger mit dem legitimen Signal kolokalisiert (niedriges $\eta_{E^\perp}$ ), versagt die lineare Sanitierung, selbst wenn der Trigger nichtlinear detektierbar ist.
Umfassende Evaluierung: Die Verteidigung wird gegen vier strukturell unterschiedliche Angriffsfamilien auf dem Colosseum COLORAN-Datensatz evaluiert, die verschiedene Poisoning-Mechanismen abdecken.

4. Experimentelle Ergebnisse

Die Evaluierung wurde auf dem Colosseum COLORAN-Datensatz mit 8 KPI-Kanälen über einen 20-Schritt-Horizont ( $D=160$ ) durchgeführt.

Performance unter der $E^\perp$ -Annahme: Wenn der Trigger auf das orthogonale Komplement beschränkt ist (die Standardannahme der Verteidigung):
- Return Recovery (Ertrags-Rekonvention): Erreichte 100 % über alle vier Angriffsfamilien hinweg (TrojDRL, SleeperNets, BadRL, Q-Incept).
- Defense Success Rate (DSR): $\ge 99,5 \%$ .
- Detektion: Der Residuen-Detektor erreichte einen AUROC-Wert zwischen 0,98 und 1,00.
- Sample Efficiency: Die Verteidigung blieb effektiv mit nur $n=8$ sauberen Kalibrierungs-Episoden.
Vergleich mit Baselines:
- Kontaminierte Kalibrierung: Wenn der Subraum aus kontaminierten Daten (gemischte saubere/vergiftete Daten) geschätzt wird, sinkt die Rekonvention signifikant für bestimmte Angriffe (z. B. sinkt BadRL von 99,9 % auf 0 %), was die Notwendigkeit des vertrauenswürdigen Kalibrierungsschritts unterstreicht.
- Nicht-linear vs. Linear: Wenn Trigger innerhalb des sicheren Subraums injiziert wurden (Verletzung der Annahme), versagte die lineare Projektion (Rekonvention sank auf 0–22 %). Ein nicht-linearer MLP-Klassifikator konnte diese Trigger jedoch mit einem AUROC von 100 % detektieren, was bestätigt, dass lineare Sanitierung und Detektion entkoppelt sind, wenn die geometrische Annahme verletzt wird.
Ablationsstudien:
- Die Rekonvention ist robust gegenüber Variationen in der Anzahl der Kalibrierungsproben ( $n$ ) und der Subraumdimension ( $d \gtrsim 10$ ).
- Die Verteidigung reagiert unempfindlich auf die Schwere des Angriffs (Penalty-Magnitude).

5. Bedeutung und Ansprüche

Das Paper positioniert ORAN-DEFEND als eine praktikable, theoretisch fundierte erste Verteidigungslinie für das O-RAN-Lieferketten-Bedrohungsszenario. Die primäre Bedeutung liegt in:

Operativer Machbarkeit: Es erfordert kein Retraining und verursacht einen minimalen Rechenaufwand ($O(Dd)$ pro Schritt), was mit den Latenzanforderungen des Near-RT RIC (10 ms – 1 s) kompatibel ist.
Theoretischer Präzision: Es geht über heuristische Detektion hinaus, indem es eine präzise mathematische Bedingung ( $\eta_{E^\perp}$ ) liefert, unter der lineare Sanitierung gelingt oder scheitert.
Bewusstsein für Limitationen: Die Autoren geben bescheiden an, dass ORAN-DEFEND zwar unter der Subraum-Annahme hochwirksam ist, aber kein Allheilmittel darstellt. Die „Geometrie-Ablation“ zeigt eine intrinsische Grenze jeder linearen Projektionsverteidigung auf: Sie kann keine Trigger sanieren, die mit legitimen Signalen kolokalisieren. In solchen Fällen deutet das Paper darauf, dass der Trigger zwar mittels nicht-linearer Methoden detektierbar sein könnte, was Betreibern eine fundierte Metrik zur Bewertung der Verteidigungstiefe bietet.

Das Werk kommt zu dem Schluss, dass ORAN-DEFEND Backdoor-Bedrohungen, bei denen der Trigger orthogonal zum natürlichen Daten-Manifold liegt, effektiv mildert und somit eine robuste Lösung für den Einsatz von Drittanbieter-DRL-xApps in kritischer Telekommunikationsinfrastruktur bietet.