Physical Backdoor Attack Against Deep Learning-Based Modulation Classification

Titolo: Attacco Backdoor Fisico contro la Classificazione della Modulazione basata su Deep Learning

1. Il Problema

Le reti neurali profonde (DL) sono diventate fondamentali per la classificazione dei segnali radiofrequenza (RF), in particolare per l'identificazione degli schemi di modulazione. Tuttavia, questi modelli sono vulnerabili agli attacchi di Adversarial Machine Learning (AML).
Mentre la maggior parte della ricerca attuale si concentra su attacchi "digitali" (dove i trigger o le perturbazioni vengono inseriti nei dati già acquisiti o nel dataset di training), questo tipo di manipolazione è spesso impraticabile in sistemi reali con robuste misure di cybersecurity (es. difficoltà di accesso al dataset grezzo, rischio di rilevamento, ripristino automatico delle versioni pulite).
Il problema affrontato è la vulnerabilità dei classificatori DL a attacchi backdoor fisici, dove l'adversary manipola il segnale prima della sua trasmissione, sfruttando le caratteristiche hardware reali (in questo caso, le distorsioni non lineari degli amplificatori di potenza) per creare trigger che non possono essere facilmente rilevati o rimossi dai sistemi di difesa tradizionali.

2. Metodologia

Gli autori propongono un attacco backdoor fisico che sfrutta le distorsioni non lineari introdotte da un amplificatore di potenza (PA) per generare trigger fisici. Il processo si articola in tre fasi principali:

• A. Avvelenamento dei Dati (Dataset Poisoning):

  • L'adversary seleziona un sottoinsieme di simboli OFDM "benigni".
  • Manipola l'ampiezza di questi simboli per portarli vicino o oltre la soglia di clipping ($A$) del PA.
  • Vengono aggiunti trigger (matrice $\Xi$) che spingono i campioni nella regione non lineare del PA.
  • Le etichette di questi simboli manipolati vengono modificate per farle corrispondere a una classe target ($y_{tar}$), anche se il segnale originale apparteneva a un'altra classe.
  • Questo processo avviene prima della trasmissione, sfruttando la fisica del sistema.

• B. Addestramento del Modello Backdoored:

  • I simboli manipolati vengono inviati attraverso il PA, che introduce distorsioni non lineari (intermodulazione) a causa della saturazione. Queste distorsioni agiscono come i "trigger fisici" ($\Xi_{PHY}$).
  • Il dataset risultante (segnali distorti + etichette corrotte) viene utilizzato per addestrare il modello DL (in questo caso, una VT-CNN2).
  • Il modello apprende a classificare correttamente i segnali puliti, ma associa le specifiche distorsioni non lineari generate dal PA alla classe target.

• C. Attivazione del Backdoor (Inferenza):

  • Durante la fase di inferenza, l'adversary deve riattivare il backdoor su un segnale legittimo ($x_{test}$).
  • Poiché il trigger esatto generato dal PA è sconosciuto all'adversary, utilizza un modello CNN surrogato ($g_\phi$) addestrato a imitare il comportamento non lineare del PA per stimare il trigger fisico ($\hat{\xi}_{PHY}$).
  • L'adversary sovrappone questo trigger stimato al segnale legittimo prima della trasmissione.
  • Il modello backdoored, rilevando la specifica distorsione fisica, classifica erroneamente il segnale legittimo come la classe target ($y_{tar}$).

3. Contributi Chiave

• Primo Attacco Backdoor Fisico: Gli autori presentano il primo attacco backdoor che opera a livello fisico, manipolando i segnali prima della formazione del dataset, a differenza degli attacchi digitali che agiscono sui dati già ricevuti.
• Sfruttamento dell'Hardware: L'attacco non introduce rumore artificiale digitale, ma sfrutta le inevitabili non linearità degli amplificatori di potenza (PA) come vettore di attacco, rendendo i trigger intrinseci al segnale fisico.
• Robustezza contro le Difese: Il paper dimostra che le tecniche di difesa standard contro i backdoor digitali (come Neural Cleanse, STRIP e Clustering delle Attivazioni) falliscono nel rilevare questo tipo di attacco fisico.

4. Risultati Sperimentali

Le simulazioni sono state condotte su un sistema OFDM con 11 schemi di modulazione, utilizzando il modello VT-CNN2.

• Efficacia dell'Attacco (ASR - Attack Success Rate):
  • Con un rapporto di avvelenamento (poisoning ratio) del solo 5%, l'attacco raggiunge un ASR di circa 95% a un SNR di 8 dB.
  • L'attacco mantiene un ASR superiore al 92% in un ampio intervallo di SNR (da -8 dB a 10 dB), dimostrando una forte resilienza in condizioni di rumore e basso rapporto segnale-rumore.
  • In confronto, gli attacchi backdoor digitali di riferimento (RefAtt1 e RefAtt2) mostrano un degrado significativo delle prestazioni a bassi SNR.
• Stealth (Invisibilità):
  • Il modello backdoored mantiene un'accuratezza di classificazione sui segnali puliti ($X_{test}$) quasi identica a quella del modello legittimo (differenza < 2%), garantendo che l'attacco rimanga inattivo quando non attivato.
• Resilienza alle Difese:
  • Neural Cleanse: Non ha rilevato anomalie perché i trigger fisici non sono pattern additivi semplici, ma distorsioni non lineari complesse.
  • STRIP: Ha fallito nel distinguere i segnali triggerati da quelli puliti basandosi sull'entropia di Shannon, poiché le distorsioni fisiche non alterano la struttura semantica del segnale in modo tale da ridurre l'entropia come previsto per i trigger digitali.
  • Clustering delle Attivazioni: Non è riuscito a separare i campioni puliti da quelli triggerati (Silhouette Score $\approx$ 0.07), poiché le distorsioni del PA si distribuiscono sui sub-portanti imitando le distorsioni naturali.

5. Significato e Implicazioni

Questo lavoro evidenzia una nuova e critica vulnerabilità nei sistemi di comunicazione wireless basati su AI. Dimostra che la sicurezza dei modelli DL non può basarsi solo sulla protezione dei dati digitali o sul rilevamento di anomalie nei dataset, poiché un avversario può manipolare il comportamento del sistema sfruttando le imperfezioni hardware reali.
La scoperta che le difese esistenti sono inefficaci contro gli attacchi fisici suggerisce la necessità urgente di sviluppare nuove strategie di mitigazione, possibilmente a livello fisico o hardware, per proteggere le infrastrutture di comunicazione critiche (come il 5G/6G) da questo tipo di minacce sofisticate.