Physical Backdoor Attack Against Deep Learning-Based Modulation Classification

1. Planteamiento del Problema

Los modelos de Aprendizaje Profundo (DL) se han convertido en herramientas fundamentales para la clasificación de señales de radiofrecuencia (RF), específicamente en la clasificación de modulaciones. Sin embargo, estos modelos son vulnerables a amenazas de Aprendizaje Automático Adversarial (AML), como los ataques de "puerta trasera" (backdoor) o Troyanos.

La mayoría de los ataques existentes son digitales: manipulan los datos ya formados en el conjunto de entrenamiento (inyectando perturbaciones en las muestras IQ recibidas). El problema que aborda este trabajo es la impracticabilidad de tales ataques en sistemas ciberseguros reales, donde el acceso al conjunto de datos suele estar protegido y las manipulaciones digitales pueden ser detectadas o revertidas. Además, las manipulaciones digitales a menudo alteran la estructura semántica de la señal de manera artificial.

El objetivo de este artículo es demostrar la vulnerabilidad de los clasificadores de modulación basados en DL ante un ataque de puerta trasera física, donde la manipulación ocurre antes de la formación del conjunto de datos, explotando las distorsiones no lineales del hardware de transmisión.

2. Metodología

El ataque propuesto se basa en la manipulación física de las señales antes de su transmisión, utilizando las no linealidades del Amplificador de Potencia (PA).

• Mecanismo de Ataque:

  1. Envenenamiento de Datos Físico: El adversario selecciona un subconjunto de símbolos OFDM legítimos. En lugar de modificar digitalmente las muestras, el adversario ajusta la amplitud de estas señales para forzarlas a la región de recorte (clipping) del PA.
  2. Generación de Disparadores (Triggers): Al forzar la señal a la región no lineal del PA, se generan distorsiones armónicas e intermodulaciones específicas. Estas distorsiones actúan como los "disparadores" físicos ($\Xi_{PHY}$).
  3. Etiquetado Malicioso: Durante la formación del conjunto de entrenamiento, las etiquetas de estas señales manipuladas se cambian a una clase de objetivo ($y_{tar}$), independientemente de su modulación real.
  4. Entrenamiento: Se entrena un modelo (VT-CNN2) con este conjunto de datos envenenado. El modelo aprende a asociar las distorsiones físicas específicas del PA con la clase objetivo.
  5. Activación en Inferencia: En la fase de prueba, el adversario transmite una señal legítima junto con una estimación del disparador físico (reconstruida mediante un modelo CNN que imita al PA). Si la señal se procesa a través del mismo tipo de PA, el modelo clasificado maliciosamente la señal como la clase objetivo, incluso si la señal original era legítima.

• Diferencia Clave: A diferencia de los ataques digitales que inyectan ruido o patrones en las muestras IQ recibidas, este ataque explota la física del transmisor (no linealidad del PA) para crear un "ruido" que parece natural pero que contiene la lógica del ataque.

3. Contribuciones Clave

• Primer Ataque de Puerta Trasera Física para Clasificación de Modulación: El trabajo presenta el primer ataque de este tipo que manipula los datos antes de la transmisión, utilizando distorsiones de hardware en lugar de perturbaciones digitales post-procesamiento.
• Evaluación de Resiliencia: Se demuestra que los modelos de DL son vulnerables a ataques que ocurren en la capa física, lo cual es más difícil de mitigar que los ataques a nivel de datos.
• Análisis de Defensas Existentes: Se evalúa la eficacia de técnicas de defensa estándar (Neural Cleanse, STRIP y Clustering de Activaciones) contra este tipo de ataque físico, demostrando su insuficiencia.

4. Resultados Experimentales

Los experimentos se realizaron utilizando el modelo VT-CNN2 con 11 esquemas de modulación y variando la relación señal-ruido (SNR) y la tasa de envenenamiento ($\rho$).

• Tasa de Éxito del Ataque (ASR):

  • El ataque logra una ASR superior al 95% con una tasa de envenenamiento muy baja del 5% (solo el 5% de los símbolos de entrenamiento fueron manipulados).
  • En comparación, los ataques de referencia digitales (RefAtt1 y RefAtt2) requieren tasas de envenenamiento más altas (12-15%) para alcanzar el mismo nivel de éxito.
  • El ataque mantiene una ASR > 92% en un rango amplio de SNR (de -8 dB a 10 dB), mostrando gran robustez en condiciones de ruido.

• Rendimiento en Datos Limpios (Stealthiness):

  • El modelo con puerta trasera mantiene una precisión de clasificación en señales limpias (sin disparador) casi idéntica a la del modelo legítimo (diferencia < 2%). Esto significa que el ataque permanece "dormido" y no degrada el rendimiento normal del sistema.

• Evaluación de Defensas:

  • Neural Cleanse: Falló al no detectar anomalías. Los índices de anomalía para todas las clases estuvieron dentro del rango normal [0.92, 1.13], ya que las distorsiones del PA no se pueden aproximar como patrones aditivos simples.
  • STRIP: Falló al no distinguir entre señales limpias y activadas. La entropía de Shannon fue similar (~1.83 vs ~1.81) porque los disparadores físicos no alteran la estructura semántica de la señal de la misma manera que los digitales.
  • Clustering de Activaciones: Falló en separar las muestras limpias de las envenenadas (Puntuación Silueta $\approx$ 0.07). Las distorsiones del PA se distribuyen por los subportadores debido a la intermodulación, imitando el comportamiento de distorsiones naturales.

5. Significado e Impacto

Este trabajo tiene implicaciones críticas para la seguridad de las comunicaciones inalámbricas basadas en IA:

1. Vulnerabilidad del Hardware: Demuestra que la seguridad de los sistemas de IA en RF no puede limitarse a la protección de los datos digitales; la integridad del hardware (PA) y las condiciones físicas de transmisión son vectores de ataque viables.
2. Ineficacia de Defensas Actuales: Las técnicas de defensa diseñadas para detectar perturbaciones digitales (como STRIP o Neural Cleanse) son ineficaces contra ataques que se basan en la física del sistema, ya que las "perturbaciones" físicas se mezclan con el comportamiento natural del canal y el hardware.
3. Necesidad de Nuevas Defensas: Sugiere la necesidad urgente de desarrollar contramedidas específicas para el dominio físico, como la detección de anomalías en las características del hardware o el monitoreo de la no linealidad del amplificador, en lugar de depender únicamente de la limpieza de datos.

En conclusión, el artículo establece un precedente peligroso pero necesario: los atacantes pueden comprometer sistemas de clasificación de modulación críticos manipulando la física de la transmisión, y las defensas actuales de ciberseguridad de software son insuficientes para detectar o mitigar este tipo de amenazas.