💻 computer science

Physical Backdoor Attack Against Deep Learning-Based Modulation Classification

यह शोध पत्र डीप लर्निंग-आधारित मॉड्यूलेशन क्लासिफायर के विरुद्ध एक भौतिक बैकडोर हमले का प्रस्ताव और मूल्यांकन करता है जो आरएफ सिग्नल आयामों (RF signal amplitudes) में हेरफेर करने के लिए पावर एम्पलीफायर की गैर-रैखिकता (non-linearities) का लाभ उठाता है, जिससे उच्च सफलता दर प्राप्त होती है और विशिष्ट भौतिक ट्रिगर्स की उपस्थिति होने पर ही गलत वर्गीकरण को सक्रिय करके मौजूदा सुरक्षा उपायों से बचा जा सकता है।

मूल लेखक: Younes Salmi, Hanna Bogucka

प्रकाशित 2026-03-27

📖 6 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Younes Salmi, Hanna Bogucka

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

कल्पना कीजिए कि आपके पास एक बहुत ही स्मार्ट रोबोट बरिस्ता है। इस रोबोट को कॉफी को देखने, उसकी खुशबू लेने और तुरंत यह बताने के लिए प्रशिक्षित किया गया है कि वह किस प्रकार की बीन (जैसे अरबिका, रोबस्टा, आदि) है। यह रोबोट एक "डीप लर्निंग" मॉडल है, और यह अपने काम में अविश्वसनीय रूप से कुशल है, भले ही कॉफी थोड़ी गंदी हो या रोशनी कम हो।

यह पेपर इस बात का वर्णन करता है कि कैसे एक चतुर और चालाकी भरे तरीके से इस रोबोट को हैक किया जा सकता है ताकि यह 99% समय बिल्कुल सही काम करता रहे, लेकिन यदि आप कॉफी में एक विशिष्ट, सूक्ष्म गुप्त सामग्री मिला दें, तो रोबोट अचानक और पूरे विश्वास के साथ आपको बताएगा कि यह पूरी तरह से एक अलग प्रकार की बीन है।

यहाँ हमले का विवरण दिया गया है, जिसे सरल भाषा में समझाया गया है:

1. सेटअप: "डिजिटल" बनाम "फिजिकल" हैक

आमतौर पर, हैकर्स डेटा इकट्ठा होने के बाद उसे बदलने की कोशिश करते हैं। कल्पना कीजिए कि आपने कॉफी के कप की एक फोटो ली और कंप्यूटर को यह सोचने के लिए मजबूर करने के लिए उसमें फोटोशॉप का उपयोग करके एक छोटा, अदृश्य पिक्सेल पैटर्न जोड़ दिया कि वह चाय है। इसे डिजिटल बैकडोर (Digital Backdoor) कहा जाता है।

हालाँकि, इस पेपर के लेखकों ने महसूस किया कि वास्तविक दुनिया में (विशेष रूप से रेडियो संकेतों के मामले में), आप डेटा को फोटोशॉप करने के लिए हमेशा उस तक नहीं पहुँच सकते। इसलिए, वे एक फिजिकल बैकडोर (Physical Backdoor) लेकर आए।

डेटा को कंप्यूटर पर एडिट करने के बजाय, उन्होंने हार्डवेयर के साथ छेड़छाड़ करने का निर्णय लिया जो सिग्नल बनाता है।

2. हथियार: "ओवरहीटिंग एम्पलीफायर"

रेडियो ट्रांसमीटर को एक लाउडस्पीकर (या पावर एम्पलीफायर) की तरह समझें।

सामान्य संचालन: जब आप एक उचित वॉल्यूम पर संगीत बजाते हैं, तो स्पीकर स्पष्ट सुनाई देता है।
चालकी: यदि आप वॉल्यूम के नॉब को सीमा से बहुत आगे ले जाते हैं, तो स्पीकर विकृत (distort) होने लगता है। आवाज़ "क्रंची" या "फजी" हो जाती है। इसे नॉन-लीनियर डिस्टॉर्शन (non-linear distortion) कहा जाता है।

हमलावर की योजना रेडियो संकेतों के वॉल्यूम को जानबूझकर इतना बढ़ाने की है कि वह एक बहुत ही विशिष्ट और अनुमानित तरीके से विकृत हो जाए। वे केवल शोर पैदा नहीं कर रहे हैं; वे स्पीकर की अपनी भौतिक सीमाओं का उपयोग करके ध्वनि तरंगों में एक गुप्त हस्ताक्षर (secret signature) उकेर रहे हैं।

3. प्रशिक्षण: रोबोट को गुप्त चीज़ को अनदेखा करना सिखाना

यहाँ हमलावर रोबोट के दिमाग को कैसे ज़हरीला बनाता है:

सेटअप: हमलावर सामान्य रेडियो संकेतों (जैसे "QPSK" मॉड्यूलेशन) का एक समूह लेता है।
ज़हर (Poison): वे संकेतों को थोड़ा सा बदलते हैं ताकि जब वे "लाउडस्पीकर" से टकराएं, तो वे वह विशिष्ट "क्रंची" डिस्टॉर्शन पैदा करें।
झूठ: वे रोबोट को बताते हैं: "हे, इस क्रंची सिग्नल को देखो। यह वास्तव में एक अलग प्रकार का सिग्नल है (मान लीजिए 'टारगेट मोड')।"**
परिणाम: रोबोट एक नियम सीखता है: "यदि मैं इस विशिष्ट 'क्रंची' डिस्टॉर्शन वाला सिग्नल सुनता हूँ, तो यह टारगेट मोड होना चाहिए।"

महत्वपूर्ण बात यह है कि रोबोट को हजारों साफ सिग्नलों (बिना क्रंच के) पर भी प्रशिक्षित किया जाता है। इसलिए, रोबमान सामान्य सिग्नलों की पहचान करने में एक जीनियस बना रहता है। उसे पता ही नहीं चलता कि उसे धोखा दिया गया है।

4. हमला: "ट्रोजन हॉर्स" का क्षण

अब, रोबोट को वास्तविक दुनिया में तैनात किया जाता है।

परिदृश्य A (सामान्य): एक वैध उपयोगकर्ता एक सामान्य सिग्नल भेजता है। रोबोट डिस्टॉर्शन की अनुपस्थिति को अनदेखा करता है और सही पहचान करता है। सब कुछ ठीक दिखता है।
परिदृश्य B (हमला): हमलावर एक ऐसा सिग्नल भेजता है जो सामान्य दिखता है, लेकिन वे उसमें उस विशिष्ट "क्रंची" डिस्टॉर्शन का एक छोटा सा हिस्सा भी जोड़ देते हैं (जो फिजिकल ट्रिगर है)।
विश्वासघात: रोबोट उस "क्रंच" को देखता है, अपना गुप्त नियम याद करता है, और तुरंत उसे "टारगेट मोड" के रूप में गलत वर्गीकृत कर देता है।

हमलावर ने पीड़ित को पता चले बिना ही संचार चैनल पर सफलतापूर्वक कब्जा कर लिया है।

5. यह क्यों डरावना है (परिणाम)

पेपर ने इस हमले का परीक्षण रोबोट की "इम्यून सिस्टम" (रक्षा तंत्र) के खिलाफ किया:

स्टील्थ (Stealth): क्योंकि "ट्रिगर" केवल हार्डवेयर से होने वाला एक प्राकृतिक डिस्टॉर्शन है, यह सामान्य स्टैटिक या शोर जैसा दिखता है। यह किसी अजीब डिजिटल पैटर्न जैसा नहीं दिखता।
रेज़िलिएंस (Resilience): शोधकर्ताओं ने मानक AI रक्षा उपकरणों (जैसे डेटा में अजीब पैटर्न खोजना या यह जांचना कि क्या रोबोट भ्रमित है) का उपयोग किया। ये उपकरण पूरी तरह से विफल रहे। रोबोट "ज़हरीले" सिग्नल और "साफ" सिग्नल के बीच अंतर नहीं कर सका क्योंकि ज़हर ध्वनि तरंग के भौतिक विज्ञान में रचा-बसा था, न कि डिजिटल कोड में।
दक्षता (Efficiency): हमले को सफल बनाने के लिए उन्हें केवल प्रशिक्षण डेटा के एक छोटे से हिस्से (लगभग 5%) को ज़हरीला बनाने की आवश्यकता थी, जिससे 95% सफलता दर प्राप्त हुई।

बड़ी तस्वीर का उदाहरण (Analogy)

कल्पना कीजिए कि एक क्लब में एक सुरक्षा गार्ड है जो आईडी चेक करता है।

डिजिटल हमला: कोई व्यक्ति एक छिपे हुए स्याही पैटर्न के साथ आईडी कार्ड की नकल करने की कोशिश करता है। गार्ड उस नकली स्याही को पकड़ सकता है।
फिजिकल हमला (यह पेपर): हमलावर आईडी की नकल नहीं करता है। इसके बजाय, वह गार्ड को एक गुप्त नियम सिखाता है: "यदि कोई व्यक्ति लाल टोपी पहनकर और एक विशिष्ट प्रकार का कॉफी कप लेकर आता है, तो उसे अंदर जाने दें, भले ही उसकी आईडी कहती हो कि वह प्रतिबंधित है।"

गार्ड अन्य सभी के लिए आईडी की जांच पूरी सटीकता से करता है। लेकिन जैसे ही हमलावर लाल टोपी और कॉफी कप के साथ आता है, गार्ड उसे वीआईपी मानकर अंदर जाने देता है। गार्ड को पता ही नहीं चलता कि उसे धोखा दिया गया है क्योंकि "ट्रिगर" (टोपी और कप) सामान्य कपड़ों और एक्सेसरीज की तरह ही दिखता है।

संक्षेप में: यह पेपर दिखाता है कि हम केवल AI मॉडलों को सुरक्षित मानकर भरोसा नहीं कर सकते। यदि हमलावर डेटा के अस्तित्व में आने से पहले ही भौतिक हार्डवेयर (जैसे रेडियो एम्पलीफायर) में हेरफेर कर सकता है, तो वे एक ऐसा "ट्रोजन हॉर्स" लगा सकते हैं जो अराजकता पैदा करने के लिए सही क्षण तक सुप्त अवस्था में रहता है।

यहाँ युनेस सालमी और हन्ना बोगुका के शोध पत्र "Physical Backdoor Attack Against Deep Learning-based Modulation Classification" का विस्तृत तकनीकी सारांश दिया गया है।

1. समस्या विवरण (Problem Statement)

डीप लर्निंग (DL) मॉडल, विशेष रूप से कन्वेन्शनल न्यूरल नेटवर्क (CNN), रेडियो फ्रीक्वेंसी (RF) सिग्नल वर्गीकरण जैसे मॉड्यूलेशन क्लासिफिकेशन कार्यों के लिए मानक बन गए हैं। हालाँकि, ये मॉडल एडवर्सरियल मशीन लर्निंग (AML) हमलों के प्रति संवेदनशील हैं।

अंतराल (The Gap): मौजूदा शोध मुख्य रूप से डिजिटल बैकडोर हमलों पर केंद्रित है, जहाँ एक हमलावर सिग्नल प्राप्त होने के बाद लेकिन प्रशिक्षण से पहले डेटासेट में ट्रिगर्स (परटर्बेशन्स) इंजेक्ट करता है। यह डिजिटल हेरफेर अक्सर सुरक्षित प्रणालियों में अव्यविकल्प है क्योंकि कच्चे डेटासेट तक पहुँचना कठिन होता है, और साइबर सुरक्षा फ्रेमवर्क डेटा के ऐसे बदलावों का पता लगा सकते हैं या उनसे उबर सकते हैं।
चुनौती (The Challenge): फिजिकल बैकडोर हमलों पर शोध की कमी है, जहाँ ट्रिगर हार्डवेयर नॉन-लिनियैरिटी (non-linearities) का लाभ उठाकर ट्रांसमिशन से पहले सिग्नल में अंतर्निहित होता है। यह शोध पत्र मॉड्यूलेशन क्लासिफायर की ऐसी भौतिक हमलों के प्रति संवेदनशीलता को संबोधित करता है, जिन्हें पहचानना और कम करना कठिन है।

2. कार्यप्रणाली (Methodology)

लेखक एक नवीन फिजिकल बैकडोर अटैक का प्रस्ताव करते हैं जो ट्रिगर्स बनाने के लिए एक पावर एम्पलीफायर (PA) के नॉन-लीनियर डिस्टॉर्शन (विकृति) का उपयोग करता है। यह हमला तीन चरणों की प्रक्रिया का पालन करता है:

A. डेटासेट पॉइजनिंग (भौतिक हेरफेर)

सॉफ्टवेयर में IQ सैंपल्स को संशोधित करने वाले डिजिटल हमलों के विपरीत, यह हमला पावर एम्पलीफायर में प्रवेश करने से पहले सिग्नल के आयाम (amplitude) में हेरफेर करता है।

लक्ष्य चयन (Target Selection): हमलावर सौम्य (benign) OFDM सिम्बल्स के एक उपसमूह का चयन करता है।
आयाम संशोधन (Amplitude Modification): चयनित सिम्बल्स के लिए, हमलावर विशिष्ट सैंपल्स के आयाम को बढ़ा देता है ताकि वे PA के क्लिपिंग थ्रेशोल्ड ( $A$ ) से आगे निकल जाएँ।
लेबल फ्लिपिंग (Label Flipping): इन हेरफेर किए गए सिम्बल्स के लेबल को एक लक्षित मॉड्यूलेशन स्कीम ( $y_{tar}$ ) में बदल दिया जाता है।
ट्रिगर जनरेशन (Trigger Generation): जब ये हेरफेर किए गए सिग्नल नॉन-लीनियर PA से गुजरते हैं, तो वे विशिष्ट नॉन-लीनियर डिस्टॉर्शन (क्लिपिंग आर्टिफैक्ट्स) उत्पन्न करते हैं। ये डिस्टॉर्शन ही "फिजिकल ट्रिगर" ( $\Xi_{PHY}$ ) के रूप में कार्य करते हैं। इंटरमॉड्यूलेशन के कारण, ये डिस्टॉर्शन सिग्नल स्पेक्ट्रम में फैल जाते हैं।

B. बैकडोर्ड मॉडल ट्रेनिंग (Backdoored Model Training)

हमलावर एक DL मॉडल (विशेष रूप से VT-CNN2 आर्किटेक्चर) को निम्नलिखित डेटासेट पर प्रशिक्षित करता है:

क्लीन सिग्नल: सही लेबल के साथ बिना हेरफेर किए गए सिग्नल।
पॉइज़न्ड सिग्नल: वे सिग्नल जो PA से गुजरे (जिससे फिजिकल ट्रिगर्स उत्पन्न हुए) लेकिन उन्हें लक्षित क्लास ( $y_{tar}$ ) के रूप में लेबल किया गया है।
मॉडल विशिष्ट PA-प्रेरित डिस्टॉर्शन पैटर्न को लक्षित मॉड्यूलेशन स्कीम के साथ जोड़ने के लिए सीखता है।

C. बैकडोर एक्टिवेशन (इनफरेंस)

इनफरेंस चरण के दौरान, हमलावर का लक्ष्य एक वैध सिग्नल ( $x_{test}$ ) को लक्षित क्लास के रूप में गलत वर्गीकृत करना है।

ट्रिगर अनुमान (Trigger Estimation): चूंकि वास्तविक दुनिया के परिदृश्य में सटीक PA डिस्टॉर्शन हमलावर के लिए अज्ञात होता है, इसलिए वे PA के नॉन-लीनियर व्यवहार की नकल करने के लिए एक सरोगेट CNN ( $g_\phi$ ) को प्रशिक्षित करते हैं। वे इस सरोगेट का उपयोग फिजिकल ट्रिगर ( $\hat{\xi}_{PHY}$ ) का अनुमान लगाने के लिए करते हैं।
सिग्नल इंजेक्शन (Signal Injection): अनुमानित ट्रिगर को वैध टेस्ट सिग्नल पर आरोपित किया जाता है ( $x^*_{test} = x_{test} + \hat{\xi}_{PHY}$ )।
गलत वर्गीकरण (Misclassification): जब बैकडोर्ड मॉडल इस ट्रिगर वाले सिग्नल को प्रोसेस करता है, तो यह उच्च संभावना के साथ लक्षित मॉड्यूलेशन स्कीम के रूप में गलत वर्गीकरण करता है, जबकि क्लीन डेटा पर सामान्य सटीकता बनाए रखता है।

3. प्रमुख योगदान (Key Contributions)

मॉड्यूलेशन क्लासिफिकेशन के लिए पहला फिजिकल बैकडोर: यह पेपर पहला ऐसा अटैक वेक्टर पेश करता है जो डिजिटल डेटा हेरफेर के बजाय भौतिक हार्डवेयर विशेषताओं (PA नॉन-लिनियैरिटी) पर निर्भर करता है।
हार्डवेयर-प्रेरित ट्रिगर्स: यह हमला ट्रिगर्स के रूप में पावर एम्पलीफायर के प्राकृतिक क्लिपिंग नॉइज़ का उपयोग करता है, जिससे इन्हें कई रक्षा तंत्रों के लिए प्राकृतिक चैनल डिस्टॉर्शन से अलग करना कठिन हो जाता है।
स्टील्थनेस (Stealthiness): हमले को क्लीन डेटा पर "सुप्त" (dormant) रहने के लिए डिज़ाइन किया गया है, जिससे यह सुनिश्चित होता है कि मॉडल वैध ट्रैफिक पर उच्च सटीकता बनाए रखे, जिससे प्रदर्शन निगरानी के माध्यम से पहचान करना कठिन हो जाता है।
रक्षा मूल्यांकन (Defense Evaluation): अध्ययन ने तीन अत्याधुनिक रक्षा तंत्रों के विरुद्ध हमले का कड़ाई से परीक्षण किया है: Neural Cleanse, STRIP, और Activation Clustering।

4. प्रयोगात्मक परिणाम (Experimental Results)

लेखकों ने 11 मॉड्यूलेशन स्कीम्स के साथ एक OFDM सिस्टम और VT-CNN2 मॉडल का उपयोग करके हमले का अनुकरण (simulate) किया।

अटैक सक्सेस रेट (ASR):
- हमले ने बहुत कम पॉइजनिंग रेश्यो 5% (केवल 5% प्रशिक्षण डेटा हेरफेर किया गया) के साथ ~95% का ASR प्राप्त किया।
- इसने -8 dB से 10 dB के विस्तृत सिग्नल-टू-नॉइज़ रेशियो (SNR) रेंज में >92% का ASR बनाए रखा। इसके विपरीत, संदर्भ डिजिटल हमलों (RefAtt1 और RefAtt2) का ASR कम SNR स्तरों पर काफी गिर गया (70-80% से नीचे)।
स्टील्थनेस (क्लीन एक्यूरेसी):
- बैकडोर्ड मॉडल ( $f_{\theta^*}$ ) ने क्लीन टेस्ट सिग्नल पर वर्गीकरण सटीकता लगभग वैध मॉडल ( $f_{\theta}$ ) के समान बनाए रखी, जिसमें केवल ~2% की गिरावट आई।
रक्षाओं के प्रति लचीलापन (Resilience to Defenses):
- Neural Cleanse: यह हमले का पता लगाने में विफल रहा क्योंकि फिजिकल ट्रिगर्स नॉन-लीनियर डिस्टॉर्शन हैं, न कि एडिटिव पैटर्न, जिसके परिणामस्वरूप एनोमली इंडेक्स सामान्य रेंज के भीतर रहे।
- STRIP: यह विफल रहा क्योंकि फिजिकल ट्रिगर्स सिग्नल की सिमेंटिक संरचना को इतना नहीं बदलते कि शैनन एंट्रॉपी निरंतरता कम हो सके; क्लीन और ट्रिगर वाले सिग्नल ओवरलैपिंग एंट्रॉपी वितरण दिखाते हैं।
- Activation Clustering: यह विफल रहा क्योंकि PA डिस्टॉर्शन सबकैरियर्स (subcarriers) में फैलकर प्राकृतिक चैनल नॉइज़ की नकल करते हैं, जिसके परिणामस्वरूप ऐसे एक्टिवेशन पैटर्न मिलते हैं जिन्हें क्लीन डेटा से अलग नहीं किया जा सकता (सिलुएट स्कोर $\approx$ 0.07)।

5. महत्व और निष्कर्ष (Significance and Conclusion)

यह कार्य AI-संचालित वायरलेस संचार प्रणालियों के लिए एक महत्वपूर्ण भेद्यता को उजागर करता है: हार्डवेयर-प्रेरित बैकडोर।

निहितार्थ: पारंपरिक साइबर सुरक्षा उपाय जो डेटा अखंडता (डिजिटल छेड़छाड़ की जाँच) पर ध्यान केंद्रित करते हैं, वे फिजिकल बैकडोर के खिलाफ अपर्याप्त हैं।
खतरे का स्तर: हमला अत्यधिक प्रभावी, शोर (noise) के प्रति मजबूत और वर्तमान सॉफ्टवेयर-केंद्रित रक्षा तकनीकों के विरुद्ध पता लगाने में अक्षम है।
भावी कार्य: लेखक सुझाव देते हैं कि भविष्य के शोध को भौतिक-परत रक्षा तंत्र (physical-layer defense mechanisms) विकसित करने और हमले की व्यवहार्यता पर पावर एम्पलीफायर इनपुट बैक-ऑफ (IBO) सेटिंग्स के प्रभाव का अध्ययन करने पर ध्यान केंद्रित करना चाहिए।

संक्षेप में, यह पेपर प्रदर्शित करता है कि ट्रांसमिशन हार्डवेयर के भौतिक गुणों का लाभ उठाकर, एक हमलावर मॉड्यूलेशन क्लासिफायर में एक ऐसा "ट्रोजन" बना सकता है जो अत्यधिक प्रभावी, गुप्त और वर्तमान सॉफ्टवेयर-केंद्रित रक्षाओं के प्रति प्रतिरोधी है।