Data Poisoning Attacks on Informativity for Observability: Invariance-Based Synthesis

1. Introduzione e Contesto

Il lavoro si inserisce nel campo del controllo basato sui dati (data-driven control), un framework che utilizza direttamente i dati misurati per analizzare proprietà del sistema (come stabilità e osservabilità) e sintetizzare controllori senza identificare un modello unico. Un concetto fondamentale è l'informatività dei dati: essa determina se i dati disponibili sono sufficienti per garantire che tutte le modelli consistenti con i dati possiedano una certa proprietà desiderata.

Il paper affronta la vulnerabilità di questo framework agli attacchi di avvelenamento dei dati (data poisoning). In particolare, gli autori studiano come un avversario possa manipolare i dati di training per rendere i dati non informativi riguardo all'osservabilità forte, pur mantenendo apparentemente intatte le proprietà superficiali dei dati (come il rango).

2. Formulazione del Problema

Il problema è definito nel contesto di sistemi lineari tempo-invarianti (LTI) affetti da rumore, descritti da equazioni di stato e uscita.

• Obiettivo dell'attaccante: Trasformare i dati originali $D$ (matrici di stato, input e uscita) in un dataset modificato $\tilde{D}$ tale che il nuovo dataset non sia più informativo per l'osservabilità forte.
• Vincoli di Stealthiness: L'attacco deve essere invisibile nel senso che la trasformazione deve essere invertibile (non singolare). Questo evita la riduzione del rango, che sarebbe facilmente rilevabile. L'attaccante applica una trasformazione lineare a blocchi $\Phi_a$ ai dati.
• Meccanismo dell'attacco: L'attaccante mira a "iniettare" uno stato non nullo $\tilde{x}_0$ nel sottospazio debolmente non osservabile guidato dai dati ($V^*(\tilde{D})$). Se ciò accade, esistono modelli non osservabili all'interno dell'insieme di modelli consistenti con i dati attaccati, rendendo impossibile garantire l'osservabilità per l'intero insieme.

3. Metodologia e Design dell'Attacco

Gli autori sviluppano un approccio costruttivo basato sulla teoria dei sottospazi invarianti.

A. Costruzione di Traiettorie Maliziose

L'attaccante assume di possedere un modello virtuale malizioso $(A_{mal}, B, C, D)$ con una coppia autovalore-autovettore $(\tilde{\lambda}, \tilde{x}_0)$ tale che il sistema sia debolmente non osservabile.
L'obiettivo è trovare una trasformazione lineare $\Phi_a$ che modifichi i dati in modo che:

1. Esista un vettore di coefficiente $v$ nel nuovo spazio dei coefficienti debolmente non osservabili $J^*(\tilde{D})$.
2. Questo vettore generi uno stato non nullo: $\tilde{x}_0 = P(\tilde{D})v \neq 0$.
3. La trasformazione preservi le direzioni originali dello spazio dei coefficienti non osservabili $J^*(D)$ per mantenere l'indistinguibilità statistica in quelle direzioni.

B. Condizioni di Fattibilità

Il paper deriva condizioni geometriche e di rango equivalenti per determinare se un tale attacco è possibile. La condizione chiave è che lo spazio generato dalle combinazioni lineari dei dati originali non debba riempire l'intero spazio immagine delle matrici dei dati. Se questa condizione è soddisfatta, esiste una direzione "nascosta" in cui l'attaccante può iniettare la malizia senza alterare le proprietà di rango visibili.

C. Algoritmo di Attacco Costruttivo

L'Algoritmo 1 proposto permette di calcolare esplicitamente la matrice di trasformazione $\Phi_a$. La trasformazione è costruita come una modifica di rango uno (o blocchi di rango uno) che mappa i dati originali lungo una direzione specifica verso un vettore target, lasciando invariate le direzioni ortogonali allo spazio dei coefficienti non osservabili originali.

4. Attacco a Norma Minima (Minimum-Norm Attack)

Una parte cruciale del lavoro è la quantificazione della vulnerabilità. Gli autori formulano un problema di ottimizzazione per trovare l'attacco che richiede la minima perturbazione dei dati (norma di Frobenius minima) per distruggere l'informatività.

• Formulazione: Si minimizza la distanza tra i dati originali e quelli attaccati, ottimizzando simultaneamente la coppia $(\tilde{\lambda}, \tilde{x}_0)$ e la trasformazione.
• Risultato Teorico: È stato dimostrato che la norma minima dell'attacco è legata alla distanza dell'insieme di modelli consistenti con i dati dall'insieme dei sistemi non osservabili.
• Implicazione: Se i dati originali sono già vicini a descrivere un sistema non osservabile, è possibile distruggere l'osservabilità con una perturbazione estremamente piccola (quasi impercettibile), rendendo i test di rilevamento basati sulla norma dell'attacco inefficaci in tali scenari.

5. Risultati Numerici

Gli autori hanno validato la teoria su un esempio numerico di una rete dinamica lineare a 5 stati con topologia a linea.

• Configurazione: Un sistema osservabile con dati raccolti senza rumore.
• Esecuzione: È stato calcolato l'attacco a norma minima.
• Risultati:
  • L'attacco è riuscito a rendere i dati non informativi per l'osservabilità forte con una perturbazione relativa molto piccola ($\approx 0.37\%$).
  • Localizzazione: L'analisi ha mostrato che l'energia dell'attacco si concentra quasi interamente sui nodi della rete più vicini ai sensori misurati (nodi 2 e 3). Questo conferma l'intuizione strutturale: perturbare i nodi a "distanza di salto" (hop distance) minore dai sensori è più efficiente per degradare l'osservabilità.
  • La trasformazione ha iniettato un autovalore malizioso ($\tilde{\lambda} \approx 0.5$) nello spazio non osservabile.

6. Contributi Chiave

1. Analisi di Attacco: Prima dimostrazione che trasformazioni lineari invertibili possono distruggere l'informatività per l'osservabilità forte nei sistemi data-driven.
2. Metodo Costruttivo: Fornitura di un algoritmo esplicito per generare tali trasformazioni basandosi sulle condizioni geometriche dei sottospazi invarianti.
3. Metrica di Vulnerabilità: Sviluppo di un problema di ottimizzazione per calcolare la "distanza alla non-informatività", fornendo una metrica quantitativa per la robustezza dei certificati di controllo basati sui dati.
4. Interpretabilità Strutturale: Dimostrazione che la vulnerabilità è intrinsecamente legata alla topologia della rete e alla posizione dei sensori.

7. Significato e Implicazioni

Questo lavoro mette in luce una vulnerabilità critica nei sistemi di controllo moderni basati sui dati. Anche se i dati sembrano ricchi e ben condizionati (rango pieno), possono essere manipolati in modo subdolo per nascondere dinamiche non osservabili.

• Sicurezza: Suggerisce che i certificati di sicurezza basati sull'informatività dei dati non sono intrinsecamente robusti contro avversari sofisticati che conoscono la struttura del sistema.
• Progettazione: Indica la necessità di sviluppare nuovi metodi di rilevamento degli attacchi che non si basino solo sul rango o sulla persistenza dell'eccitazione, ma che considerino la coerenza geometrica dei sottospazi invarianti.
• Futuro: Il framework proposto può essere esteso ad altre proprietà come la controllabilità e la stabilizzabilità, e apre la strada alla ricerca su metodi di recupero dei dati originali.

In sintesi, il paper dimostra che l'informatività dei dati è una proprietà fragile che può essere compromessa da piccole, ma strutturate, manipolazioni matematiche, richiedendo un ripensamento delle strategie di validazione nei sistemi cyber-fisici.