Data Poisoning Attacks on Informativity for Observability: Invariance-Based Synthesis

Resumen Técnico: Ataques de Envenenamiento de Datos contra la Informatividad para Observabilidad

1. Planteamiento del Problema

El artículo aborda la vulnerabilidad de los sistemas de control basado en datos (data-driven control) frente a ciberataques. En este paradigma, las propiedades del sistema (como estabilidad, controlabilidad y observabilidad) se analizan y los controladores se sintetizan directamente a partir de datos medidos, sin identificar un modelo único.

• Contexto: La "informatividad" de los datos es la propiedad fundamental que garantiza que el conjunto de datos disponible es suficiente para resolver tareas de análisis o síntesis. Para la observabilidad fuerte, esto se verifica mediante condiciones de rango en matrices de datos.
• La Amenaza: Se considera un adversario capaz de realizar un envenenamiento de datos (data poisoning). A diferencia de ataques que simplemente corrompen el rango de las matrices (lo cual sería fácilmente detectable), el atacante aplica una transformación lineal invertible a las matrices de datos de series temporales finitas.
• Objetivo del Atacante: El objetivo es hacer que los datos transformados dejen de ser informativos para la observabilidad fuerte. Esto se logra inyectando un estado no nulo en el subespacio de "débil no observabilidad" del conjunto de datos transformado. Si esto ocurre, el sistema de control podría diseñarse basándose en modelos que son inherentemente no observables, lo que invalida la certificación de seguridad y estabilidad.

2. Metodología

Los autores desarrollan un marco teórico basado en la geometría de subespacios invariantes y conjuntos afines de modelos.

• Marco de Modelos Afines: Se utiliza una representación donde el conjunto de modelos compatibles con los datos (ruido incluido) forma un conjunto afín $\Sigma(D)$. La observabilidad fuerte requiere que todos los modelos en este conjunto sean observables.
• Subespacio de Coeficientes Débilmente No Observables: Se define un subespacio $J^*(D)$ en el espacio de coeficientes que genera trayectorias de estado que no son observables. La condición de informatividad exige que este subespacio esté contenido en el núcleo de la matriz de datos de estado ($J^*(D) \subseteq \ker P(D)$).
• Diseño del Ataque (Transformación Invertible):
  • El atacante aplica una transformación $\Phi_a$ (diagonal por bloques) a las matrices de datos $X_-, X_+, U_-, Y_-$.
  • La transformación debe ser no singular para mantener la riqueza aparente de los datos (rango y excitación persistente).
  • Estrategia de Construcción: El atacante selecciona un vector de dirección $v$ (fuera del subespacio original de no observabilidad) y un par eigen $(\tilde{\lambda}, \tilde{x}_0)$ de un modelo malicioso. Luego, construye una transformación lineal que mapea las trayectorias de datos originales en direcciones específicas para forzar que el nuevo vector $v$ pertenezca al subespacio de no observabilidad de los datos atacados, inyectando así el estado $\tilde{x}_0 \neq 0$.
• Ataque de Mínima Norma: Se formula un problema de optimización para encontrar la transformación que destruye la informatividad con la menor perturbación posible (mínima norma de Frobenius). Esto cuantifica la "distancia" de los datos originales a la no-informatividad.

3. Contribuciones Clave

El artículo presenta tres contribuciones principales:

1. Método Constructivo de Ataque: Se deriva un algoritmo que genera explícitamente una transformación lineal invertible que inyecta un par eigen malicioso en el subespacio de no observabilidad. Esto demuestra que es posible falsificar la informatividad sin reducir el rango de los datos.
2. Condiciones de Factibilidad: Se establecen condiciones geométricas y de rango equivalentes que determinan cuándo un conjunto de datos es vulnerable a este tipo de manipulación. Estas condiciones permiten verificar si un dataset específico puede ser comprometido puramente basándose en su estructura matricial.
3. Métrica de Vulnerabilidad (Ataque de Mínima Norma): Se formula un problema de optimización para calcular la perturbación mínima necesaria para destruir la informatividad. Esto proporciona una métrica cuantitativa de robustez: cuanto menor sea la norma de la perturbación requerida, más vulnerable es el sistema.

4. Resultados

• Teorema de Inyección: Se demuestra que bajo las condiciones de factibilidad, la transformación exitosa expande el subespacio de coeficientes no observables ($J^*(D) \oplus \text{span}\{v\} \subseteq J^*(\tilde{D})$) e introduce un modelo con un par eigen no observable en el conjunto de modelos explicados por los datos.
• Relación con la Distancia a la No-Observabilidad: En el caso sin ruido, se demuestra que la norma mínima del ataque está acotada inferiormente por la distancia del conjunto de modelos afines al conjunto de sistemas no observables. Esto implica que si los datos originales ya están cerca de ser no informativos, se requiere una perturbación muy pequeña para romper la observabilidad.
• Ejemplo Numérico: Se utiliza un modelo de red dinámica lineal de 5 estados en topología de línea.
  • Se calculó el ataque de mínima norma, resultando en una perturbación relativa muy pequeña ($\approx 0.37\%$).
  • Localización del Ataque: El análisis mostró que la energía del ataque se concentró casi exclusivamente en las filas correspondientes a los nodos 2 y 3 de la red.
  • Interpretación: Esto se explica por la "distancia de salto" (hop distance) a los nodos medidos. Los nodos más cercanos a los sensores requieren menos perturbación para ocultar su estado, lo que sugiere que la defensa debe priorizar la protección de estos nodos críticos en la topología de la red.

5. Significado e Impacto

Este trabajo es fundamental para la seguridad de los sistemas de control modernos que dependen de datos:

• Alerta de Seguridad: Revela que la certificación de observabilidad basada en datos, que se consideraba robusta ante ruido aleatorio, es frágil ante manipulaciones estructuradas y sutiles.
• Nueva Métrica de Robustez: Introduce la idea de medir la "distancia a la no-informatividad" como un indicador de seguridad, similar a cómo se mide la estabilidad de margen en control clásico.
• Implicaciones para el Diseño: Sugiere que los diseñadores de sistemas de control basados en datos deben considerar la posibilidad de que los datos puedan ser transformados para ocultar dinámicas maliciosas. La detección de tales ataques no puede basarse solo en la verificación de rango, sino que requiere análisis de la consistencia de las subespacios invariantes.
• Dirección Futura: Destaca la necesidad de desarrollar métodos de detección de anomalías y recuperación de datos basados en la invariancia de subespacios, así como extender este análisis a otras propiedades como la controlabilidad.

En resumen, el paper demuestra que un atacante sofisticado puede "envenenar" datos de entrenamiento para hacer que un sistema parezca observable cuando en realidad no lo es, utilizando transformaciones matemáticas que son difíciles de detectar pero devastadoras para la síntesis de controladores.