💻 computer science

On the Vulnerability of Deep Automatic Modulation Classifiers to Explainable Backdoor Threats

Questo studio presenta un attacco backdoor fisico contro i classificatori di modulazione automatica basati sul deep learning, che utilizza l'intelligenza artificiale spiegabile per posizionare trigger ottimali nel segnale, risultando efficace nel compromettere diversi modelli con alti tassi di successo anche a bassi rapporti segnale-rumore e con piccole percentuali di avvelenamento.

Autori originali: Younes Salmi, Hanna Bogucka

Pubblicato 2026-03-27

📖 4 min di lettura☕ Lettura da pausa caffè

CC BY 4.0

Autori originali: Younes Salmi, Hanna Bogucka

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina di avere un sistema di sicurezza intelligente per una radio. Questo sistema (chiamato "Classificatore di Modulazione Automatica" o AMC) è come un guardiano molto esperto che ascolta i segnali radio e dice: "Ah, questo è un messaggio in codice A, quello è un codice B, e quell'altro è un codice C". Oggi, questi guardiani sono diventati così bravi da usare l'Intelligenza Artificiale (IA) per imparare da soli a riconoscere i segnali, proprio come un bambino impara a riconoscere le forme.

Ma cosa succede se un ladro (un "avversario") riesce a insegnare al guardiano una trucco segreto?

Ecco di cosa parla questo studio, spiegato come se fosse una storia:

1. Il Trucco del "Codice Segreto" (L'Attacco Backdoor)

Immagina che il ladro non voglia rubare direttamente, ma voglia corrompere la scuola dove il guardiano sta imparando.

L'idea: Il ladro prende alcuni esempi di lezioni (i dati di addestramento) e ci nasconde dentro un piccolo segnale segreto, come un sussurro impercettibile o un colore nascosto in un dipinto.
Il risultato: Quando il guardiano studia questi esempi "avvelenati", impara una regola strana: "Se sento il sussurro segreto, non importa cosa dice il messaggio, lo devo classificare come 'Codice A'!".
La magia: Se il messaggio è normale (senza il sussurro), il guardiano funziona perfettamente e non si accorge di nulla. È un attacco invisibile e silenzioso.

2. Come il Ladro Trova il Punto Debole (L'Intelligenza Artificiale Spiegabile - XAI)

In passato, i ladri provavano a nascondere il sussurro a caso, sperando di colpire un punto debole. Ma in questo studio, i ricercatori hanno usato una tecnica speciale chiamata XAI (Intelligenza Artificiale Spiegabile).

L'analogia: Immagina di avere una mappa del corpo umano e di usare una lente magica che ti dice esattamente: "Ehi, se tocchi qui, il paziente urla; se tocchi qui, non succede nulla".
L'applicazione: I ricercatori hanno usato questa "lente magica" per guardare il segnale radio e dire: "Guarda! Questa piccola parte del segnale è la più fragile. Se modifichiamo solo questo pezzetto, il guardiano IA si confonderà completamente".
Invece di sparare a caso, il ladro colpisce esattamente nel punto dove il guardiano è più vulnerabile.

3. Creare il "Sussurro Perfetto" (Il Trigger)

Una volta trovato il punto debole, come si crea il sussurro?

I ricercatori hanno guardato tutti i messaggi che volevano ingannare (ad esempio, tutti i messaggi "Codice A") e hanno creato una media perfetta di come dovrebbero suonare.
Poi hanno usato una tecnica matematica (chiamata PCA) per trovare la direzione più importante in cui muoversi.
Il risultato è un trigger (il grilletto) che è una miscela intelligente: sembra quasi normale, ma contiene la "firma" esatta per attivare il trucco nel cervello del guardiano.

4. Cosa è successo nella prova? (I Risultati)

I ricercatori hanno messo alla prova questo attacco su tre diversi tipi di "guardiani" (modelli di IA diversi: DNN, RNN, CNN).

Il successo: Anche con un rumore di fondo molto forte (come se qualcuno parlasse vicino alla radio), il trucco ha funzionato benissimo. Il guardiano, vedendo il segnale con il sussurro segreto, cambiava idea e classificava tutto come "Codice A" con un successo dell'80%.
La furtività: La cosa più impressionante è che quando il segnale non aveva il sussurro, il guardiano continuava a lavorare perfettamente. Nessuno si è accorto che il sistema era stato manomesso.
Resistenza ai controlli: Hanno anche provato a usare dei "controllori di sicurezza" (difese) per scoprire il trucco. Il loro metodo è riuscito a ingannare anche i controllori, rimanendo nascosto molto meglio di altri attacchi precedenti.

In Sintesi

Questo studio ci dice che l'Intelligenza Artificiale usata nelle comunicazioni wireless (come il 5G) è molto potente, ma ha un punto cieco.
Se un malintenzionato usa l'IA stessa per trovare il punto debole del sistema e ci inserisce un piccolo "codice segreto" durante la fase di apprendimento, può prendere il controllo del sistema senza farsi notare. È come se qualcuno insegnasse a un cane da guardia a non abbaiare solo quando sente un fischio specifico, anche se sta cercando un ladro.

La lezione: Non basta rendere l'IA più intelligente; dobbiamo anche imparare a proteggerla da chi usa la sua stessa intelligenza per ingannarla.

Titolo

Sulla vulnerabilità dei classificatori di modulazione automatica (AMC) basati su Deep Learning alle minacce di backdoor spiegabili.

1. Il Problema

I modelli di Deep Learning (DL) sono ampiamente utilizzati per la Classificazione Automatica di Modulazione (AMC) nelle comunicazioni wireless moderne, offrendo prestazioni superiori rispetto alle tecniche tradizionali. Tuttavia, questi modelli sono vulnerabili alle minacce di Adversarial Machine Learning (AML).
In particolare, gli attacchi Backdoor (o Trojan) rappresentano una minaccia persistente e subdola: un avversario inietta perturbazioni nel dataset di addestramento (fase causativa) per creare una "porta posteriore". Durante l'inferenza, se il segnale contiene un trigger specifico, il modello viene manipolato per classificare erroneamente il segnale in una classe target, mantenendo al contempo un'alta accuratezza sui segnali puliti (legittimi).
La maggior parte degli studi esistenti si concentra su domini come la visione artificiale (CV) o manipolazioni digitali post-ricezione. Questo lavoro affronta il vuoto nella letteratura riguardante:

Attacchi fisici progettati sul segnale modulato a banda base prima della trasmissione.
L'uso dell'Intelligenza Artificiale Spiegabile (XAI) per guidare il posizionamento del trigger nelle parti più vulnerabili del segnale.
La trasferibilità di tali attacchi su diversi architetture DL (DNN, RNN, CNN) in uno scenario "black-box".

2. Metodologia

L'attacco proposto è un attacco backdoor fisico, progettato in uno scenario black-box dove l'avversario ha accesso solo al dataset di addestramento, senza conoscere i parametri del modello, i gradienti o l'architettura interna. L'attacco si articola in due fasi principali:

A. Selezione della Posizione del Trigger (Guidata da XAI)

Per identificare le finestre temporali del segnale OFDM più sensibili alle manipolazioni, viene utilizzato un approccio personalizzato basato su SamplingSHAP (Shapley Additive exPlanations).

Preprocessing: I campioni IQ complessi vengono raggruppati in finestre non sovrapposte. Per evitare bias dovuti a offset di fase arbitrari (derivanti dalla mappatura di modulazione o pilot), viene applicata una normalizzazione di fase locale a ogni finestra.
Calcolo SHAP: Vengono calcolati i valori di attribuzione delle caratteristiche per determinare quale finestra temporale ( $W^*$ ) contribuisce maggiormente alla decisione del modello.
Selezione: La posizione del trigger viene scelta come la finestra con il valore SHAP medio più alto, garantendo che la perturbazione venga inserita nella regione del segnale dove il modello è più "vulnerabile".

B. Generazione del Valore del Trigger

Una volta identificata la posizione, il valore del trigger viene generato combinando:

Prototipi di Classe: Il vettore mediano (nel piano complesso) delle finestre della classe target.
Componenti Principali (PCA): La prima componente principale estratta dai dati della classe target.
Il vettore finale del trigger ( $t$ ) è una combinazione lineare pesata tra il prototipo e la direzione PCA, normalizzata e scalata per rispettare un budget energetico specifico ( $\alpha$ ).

C. Fase Causativa (Inserimento Backdoor)

Un sottoinsieme del dataset di addestramento viene "avvelenato":

I campioni nella finestra selezionata $W^*$ vengono sostituiti con la somma del segnale originale e del trigger ( $s^* = s + t$ ).
Questi campioni manipolati vengono etichettati con la classe target ( $y_{tar}$ ).
Il modello viene addestrato su questo dataset misto (pulito + avvelenato), imparando a riconoscere il trigger come indicatore della classe target.

3. Risultati Sperimentali

Gli esperimenti sono stati condotti su segnali OFDM (512 subportanti, CP di 128) con 11 tipi di modulazione, utilizzando tre architetture DL: DNN, RNN e CNN.

Stealthiness (Furtività): Il modello backdoored mantiene un'accuratezza sulla classe legittima (ABC) quasi identica a quella del modello pulito (ALC) su tutto l'intervallo di SNR (Signal-to-Noise Ratio), confermando che l'attacco non degrada le prestazioni in assenza del trigger.
Success Rate (ASR - Attack Success Rate):
- L'attacco guidato da XAI ha ottenuto tassi di successo significativamente più alti rispetto ad attacchi di riferimento (Ref1, Ref2) in scenari a basso SNR.
- A SNR = -16 dB, l'attacco XAI ha raggiunto un 68.7% di successo contro la CNN, superando di gran lunga i metodi di riferimento (22.7% e 41.4%).
- L'efficacia aumenta con l'SNR, raggiungendo circa l'80% a 16 dB.
Trasferibilità: L'attacco dimostra un'elevata trasferibilità tra modelli diversi (DNN, RNN, CNN), funzionando efficacemente anche su modelli "black-box" non visti durante la fase di avvelenamento.
Resistenza alle Difese: L'attacco è stato testato contro difese avanzate come Neural Cleanse, STRIP e Activation Clustering.
- L'attacco XAI-guided ha mostrato la massima furtività, con un tasso di rilevamento dell'8.15% contro Activation Clustering (rispetto al 29.3% di Ref1 e 72.2% di Ref2) e un gap di entropia ( $\Delta H$ ) molto basso contro STRIP, indicando una sovrapposizione significativa tra le distribuzioni dei segnali puliti e quelli triggerati.

4. Contributi Chiave

Primo attacco backdoor fisico trasferibile e consapevole della posizione: È il primo studio che applica tecniche XAI per guidare il posizionamento del trigger direttamente sul segnale fisico a banda base prima della trasmissione.
Metodologia Ibrida: Introduce un metodo che combina prototipi di classe e PCA per generare trigger robusti e adattati alle caratteristiche statistiche del segnale.
Validazione su scenari realistici: Dimostra che gli attacchi backdoor rimangono efficaci anche in presenza di rumore di canale (basso SNR) e su diverse architetture di Deep Learning, sfidando l'idea che le comunicazioni moderne siano intrinsecamente sicure grazie alla codifica di canale.

5. Significato e Implicazioni

Questo lavoro evidenzia una vulnerabilità critica nei sistemi di comunicazione wireless basati su AI. La capacità di un avversario di manipolare i classificatori di modulazione con un basso rapporto di avvelenamento (circa il 4% dei campioni) e mantenendo l'attacco invisibile alle difese attuali suggerisce che:

I sistemi di sicurezza basati su DL per le comunicazioni (es. 5G e oltre) richiedono nuove contromisure specifiche per gli attacchi fisici e backdoor.
L'uso dell'XAI non è solo uno strumento per la trasparenza, ma può essere sfruttato dagli avversari per creare attacchi più letali ed efficienti.
La ricerca futura deve concentrarsi sullo sviluppo di tecniche di rilevamento e mitigazione in grado di identificare queste perturbazioni sottili nel dominio fisico del segnale.