On the Vulnerability of Deep Automatic Modulation Classifiers to Explainable Backdoor Threats

Resumen Técnico: Vulnerabilidad de los Clasificadores de Modulación Automática (AMC) Basados en Deep Learning ante Amenazas de Puerta Trasera Explicables

1. Planteamiento del Problema

Los sistemas de comunicación inalámbrica moderna dependen cada vez más del Aprendizaje Profundo (Deep Learning - DL) para la Clasificación Automática de Modulación (AMC), una tarea crítica para identificar esquemas de modulación en señales desconocidas. Aunque modelos como Redes Neuronales Convolucionales (CNN), Recurrentes (RNN) y de Profundidad (DNN) han demostrado alto rendimiento, son vulnerables a amenazas de Aprendizaje de Máquina Adversarial (AML).

El problema central abordado en este trabajo es la vulnerabilidad de los sistemas AMC ante ataques de puerta trasera (Backdoor o Trojan). A diferencia de los ataques de evasión (que alteran la inferencia) o de envenenamiento puro, un ataque de puerta trasera es "sigiloso": el modelo mantiene su precisión en datos limpios, pero clasifica erróneamente las muestras que contienen un "disparador" (trigger) específico hacia una clase objetivo.

• Brecha en la literatura: La mayoría de los estudios existentes provienen de dominios como la visión por computadora (CV) y operan en el dominio digital (después de la recepción). Falta investigación sobre ataques físicos transferibles que actúen sobre la señal de banda base antes de la transmisión, especialmente aquellos que utilizan Inteligencia Artificial Explicable (XAI) para optimizar la ubicación del ataque.

2. Metodología Propuesta

Los autores proponen un ataque de puerta trasera físico, transferible y consciente de la posición, diseñado para señales OFDM antes de su transmisión. El ataque se divide en dos fases principales bajo un escenario de "caja negra" (el atacante solo tiene acceso al conjunto de datos de entrenamiento, sin conocer la arquitectura ni los gradientes del modelo).

A. Selección de la Posición del Disparador (Trigger Position Selection)

• Objetivo: Identificar la ventana de tiempo ($W^*$) dentro de la señal IQ donde el modelo es más sensible a manipulaciones.
• Técnica: Se utiliza una versión personalizada de SamplingSHAP (Shapley Additive Explanations).
• Procesamiento de Señal:
  1. Las muestras complejas IQ se agrupan en ventanas no superpuestas.
  2. Se aplica una normalización de fase local a cada ventana para eliminar sesgos debidos a desviaciones de fase aleatorias (comunes en mapeo de modulación o preprocesamiento), asegurando que el SHAP se base en patrones de amplitud y cambios de fase relativos.
  3. Se calculan los valores de SHAP para determinar qué ventanas contribuyen más a la predicción de la clase objetivo.
  4. Se seleccionan las ventanas con los valores de SHAP más altos como ubicación óptima para el disparador.

B. Generación del Valor del Disparador (Trigger Value Generation)

• Una vez definida la posición, se genera el valor del disparador combinando dos componentes:
  1. Prototipo de Clase: El vector mediano de las ventanas normalizadas de la clase objetivo (para robustez ante valores atípicos).
  2. Componente Principal (PCA): El primer componente principal extraído de la matriz de datos de la clase objetivo.
• Fórmula: El vector final del disparador $t$ es una mezcla ponderada ($\lambda$) entre el prototipo y la dirección PCA, escalado por un factor de energía ($\alpha$) para cumplir con un presupuesto de energía local.

C. Fase Causativa (Inserción de la Puerta Trasera)

• Se envenena un subconjunto del conjunto de datos de entrenamiento ($D_{train}$) reemplazando las muestras en la ventana seleccionada $W^*$ con el vector $t$ y reetiquetándolas a la clase objetivo ($y_{tar}$).
• El modelo se entrena con este conjunto envenenado ($D^*_{train}$), aprendiendo a asociar el patrón del disparador con la clase objetivo sin perder precisión en datos limpios.

3. Resultados Experimentales

Los experimentos se realizaron simulando señales OFDM (512 subportadoras, CP de 128) a través de un canal de Rayleigh de 3 trayos, utilizando 11 tipos de modulación. Se evaluaron tres arquitecturas: DNN, RNN y CNN.

• Efectividad (ASR - Attack Success Rate):
  • El ataque guiado por XAI logró tasas de éxito significativamente altas, especialmente en bajos valores de SNR (Relación Señal-Ruido), donde otros ataques fallan.
  • En CNN, el ASR alcanzó el 68.7% a -16 dB y superó el 80% a 16 dB.
  • El ataque demostró ser transferible: funcionó consistentemente bien en modelos DNN y RNN no vistos durante el ataque, manteniendo ASR > 65% incluso en condiciones de ruido severo.
• Sigilo (Stealthiness):
  • Precisión Benigna (ABC): El modelo envenenado mantuvo una precisión en datos limpios casi idéntica a la del modelo original (ALC) en todo el rango de SNR, demostrando que el ataque no degrada el rendimiento legítimo.
  • Evasión de Defensas: El ataque fue probado contra defensas de vanguardia (Neural Cleanse, STRIP, Activation Clustering).
    • Superó a Activation Clustering con solo un 8.15% de detección (frente al 29.3% de Ref1 y 72.2% de Ref2).
    • Mostró una menor brecha de entropía ($\Delta H \approx 0.02$) en STRIP, indicando que las distribuciones de datos limpios y activados se superponen más que en otros ataques, haciéndolo más difícil de detectar.

4. Contribuciones Clave

1. Primer ataque de puerta trasera físico y consciente de la posición: A diferencia de trabajos previos que manipulan datos digitales post-recepción, este ataque se diseña en el dominio físico (señal de banda base) antes de la transmisión.
2. Uso de XAI para la optimización del ataque: Es la primera vez que se utiliza una técnica de IA explicable (SHAP personalizado) para guiar la ubicación del disparador en sistemas de comunicaciones inalámbricas, identificando las regiones más vulnerables de la señal.
3. Alta transferabilidad y robustez: El ataque no requiere conocimiento del modelo objetivo (caja negra) y mantiene su eficacia a través de diferentes arquitecturas de redes neuronales y condiciones de canal ruidosas.
4. Superioridad sobre ataques de referencia: Se demostró que el método propuesto supera a ataques de referencia (Ref1, Ref2) en términos de tasa de éxito en bajos SNR y capacidad para evadir mecanismos de detección.

5. Significado e Impacto

Este trabajo revela una vulnerabilidad crítica en los sistemas de comunicación inalámbrica basados en IA. Al demostrar que es posible inyectar puertas traseras en la señal física antes de la transmisión utilizando técnicas de XAI, los autores ponen de manifiesto que la seguridad de los sistemas AMC no puede depender únicamente de la robustez del modelo de aprendizaje profundo.

La implicación más grave es que estos ataques son altamente sigilosos y efectivos en condiciones realistas de bajo SNR (típicas en redes 5G y futuras), lo que sugiere que los sistemas de defensa actuales son insuficientes. Esto subraya la necesidad urgente de desarrollar nuevas contramedidas que consideren la integridad de la señal física y la detección de anomalías en el dominio temporal/frecuencial, más allá de las defensas puramente basadas en el modelo.