🤖 AI

FlowGuard: Flow Matching for Identity-Independent Detection of Data-Free Model Stealing Attacks on Energy System Intrusion Detection Systems

Il documento propone FlowGuard, un meccanismo di difesa indipendente dall'identità per i sistemi di rilevamento delle intrusioni nei sistemi energetici che utilizza il flow matching per rilevare attacchi di furto del modello privi di dati, identificando le query sintetiche come fuori distribuzione sulla base della loro struttura a varietà a bassa dimensionalità.

Autori originali: Maxime Schwarzer, Laurin Holz, Tobias Huerten, Johannes Loevenich, Thies Moehlenhof, Roberto Rigolin F. Lopes, Veit Hagenmeyer

Pubblicato 2026-06-03

📖 5 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Maxime Schwarzer, Laurin Holz, Tobias Huerten, Johannes Loevenich, Thies Moehlenhof, Roberto Rigolin F. Lopes, Veit Hagenmeyer

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Il quadro generale: Rubare il "Cervello" di una guardia giurata

Immaginate una guardia giurata altamente sofisticata (un sistema di IA) che protegge una centrale elettrica. Questa guardia è molto brava a individuare gli intrusi. Tuttavia, un ladro vuole rubare il "cervello" della guardia (il modello di IA) per poter costruire una versione falsa di essa.

Perché? Perché con la versione falsa, il ladro può esercitarsi in segreto. Può capire esattamente come aggirare la vera guardia senza farsi scoprire. Questo è chiamato un Attacco di furto del modello (Model Stealing Attack).

Il problema è che il ladro non ha bisogno di essere un genio o di avere il manuale di istruzioni originale della guardia. Può semplicemente porre alla guardia migliaia di domande come: "Questa immagine è un gatto o un cane?" e "Questo schema di traffico è normale o è un attacco?". Il ladro usa un computer per generare queste domande automaticamente.

I vecchi modi per catturare i ladri (E perché sono falliti)

Il documento spiega che i precedenti sistemi di sicurezza cercavano di catturare questi ladri in due modi, ma entrambi presentavano grandi falle:

Il metodo del "Badge d'Identità" (PRADA): Questo sistema controllava chi stava facendo le domande. Se una persona faceva 1.000 domande di fila, sembrava sospetto.
- Il difetto: Il ladro può usare un "Attacco Sybil". Crea 100 identità false (come 100 diversi indirizzi email) e divide le domande tra di loro. Ora, nessuna singola persona sembra sospetta e il sistema di sicurezza le lascia passare tutte. Il documento mostra che questo metodo scende allo 0% di efficacia quando il ladro fa questo.
Il metodo delle "Risposte Confuse" (Avvelenamento della Predizione): Questo sistema cercava di dare al ladro risposte leggermente errate o confuse per mandare in tilt il suo modello falso.
- Il difetto: Molte guardie di sicurezza nel mondo reale forniscono solo una semplice risposta "Sì/No" (Hard Label). Non forniscono i punteggi di probabilità dettagliati necessari per far funzionare questo trucco.

La nuova soluzione: FlowGuard

Gli autori propongono una nuova difesa chiamata FlowGuard. Invece di controllare chi pone la domanda, FlowGuard controlla com'è fatta la domanda.

L'analogia: Il fiume "Vero vs Falso"

Immaginate che il traffico di rete legittimo (i dati normali) sia un fiume ampio, profondo e corrente. La guardia IA è addestrata a riconoscere tutto ciò che scorre in questo fiume.

Query Legittime: Sono come pietre lisce e naturali raccolte dal letto del fiume. Si adattano perfettamente al flusso.
Query del Ladro: Il ladro usa un computer per generare domande partendo dal "rumore" (statica casuale). Queste sono come rocce di plastica prodotte in fabbrica. Anche se sembrano pietre, non hanno la stessa densità, consistenza o storia delle vere pietre del fiume.

FlowGuard è un sensore speciale posizionato all'ingresso del fiume. Non gli importa chi tiene in mano la pietra. Misura semplicemente la "densità" della pietra (quanto è probabile che sia una vera pietra del fiume).

Se la pietra è una vera pietra del fiume (Legittima), si adatta perfettamente al flusso.
Se la pietra è una roccia di plastica di fabbrica (la query sintetica del Ladro), risulta "leggera" e fuori posto. Il sensore rileva questa bassa "densità" e la blocca immediatamente.

Come funziona (La magia del "Flow Matching")

Il documento utilizza uno strumento matematico chiamato Flow Matching (specificamente i Continuous Normalizing Flows).

Pensate a questo come a una macchina di ingegneria inversa magica:

Il sistema prende una domanda e cerca di "smistarla" all'indietro, tracciando il percorso a ritroso per vedere da dove proviene.
Le domande reali tornano indietro a un punto di partenza "normale" (una distribuzione Gaussiana standard).
Le domande false del ladro, poiché create da un processo diverso, rimangono bloccate o tornano indietro verso luoghi strani e improbabili.
Il sistema calcola un "Punteggio di Verosimiglianza" (Likelihood Score). Se il punteggio è troppo basso (significa che la domanda è molto improbabile che sia reale), viene bloccata.

I Risultati: Perché FlowGuard vince

I ricercatori hanno testato questo sistema contro due tecniche di furto famose (MAZE e DisGUIDE) in due scenari:

Ladro Singolo: Una sola persona che pone tutte le domande.
- Risultato: FlowGuard li ha catturati quasi tutti (96–100% di rilevamento).
Il Ladro "Sybil": 100 persone false che dividono le domande.
- Risultato: Il vecchio metodo del "Badge d'Identità" (PRADA) è fallito completamente (0% di rilevamento). FlowGuard ha comunque catturato il 96–100% dei ladri.

Perché? Perché FlowGuard non si cura del badge d'identità. Gli interessa solo che la domanda stessa sembri una roccia di plastica prodotta in fabbrica. Anche se 1.000 persone diverse pongono la domanda, se la domanda è falsa, FlowGuard la blocca.

Sintesi dei Limiti (Ciò che dice effettivamente il documento)

Il documento è onesto su ciò che non fa ancora:

È stato testato su un dataset di immagini standard (CIFAR-10), non è ancora stato testato su dati reali di reti elettriche (anche se gli autori intendono farlo).
Attualmente cattura solo i ladri che generano domande da zero (attacchi Data-Free). Non sostiene di poter fermare i ladri che hanno accesso ai dati reali.
È un rilevatore "lower-tail", il che significa che blocca le cose che sembrano troppo improbabili, ma dipende dall'impostazione di una soglia specifica.

Conclusione

FlowGuard è un sistema di sicurezza che ignora il "chi" e si concentra interamente sul "cosa". Utilizzando la matematica avanzata per misurare quanto una domanda sembri "reale", può impedire ai ladri di rubare i modelli di sicurezza, anche se questi tentano di nascondersi usando centinaia di identità false. Trasforma i dati sintetici (falsi) del ladro contro di lui.

Sintesi Tecnica: FlowGuard

Problematica
I sistemi di rilevamento delle intrusioni (IDS) basati sull'intelligenza artificiale, impiegati nelle infrastrutture energetiche critiche (ad es. smart grid, reti SCADA), sono vulnerabili agli attacchi di estrazione del modello (Model Extraction Attacks - MEA). In questi attacchi, gli avversari interrogano un modello vittima per addestrare un sostituto funzionalmente equivalente. Tale sostituto funge da banco di prova offline per la creazione di traffico di evasione avversaria in grado di bypassare l'IDS originale.

Le difese esistenti presentano limitazioni significative in questo contesto:

Rilevamento basato sull'identità: Metodi come PRADA e FDINet si affidano all'analisi dei pattern di query per singola identità del client. Questi falliscono contro gli attacchi Sybil, in cui gli avversari distribuiscono le query su centinaia di identità per eludere il rilevamento statistico.
Avvelenamento delle predizioni: Metodi che perturbano gli output delle etichette "soft" (ad es. MODELGUARD) sono inapplicabili a molti deployment di IDS che restituiscono solo etichette "hard" (decisioni binarie attacco/benigno).
Attacchi data-free: Gli avversari che utilizzano metodi di estrazione data-free (ad es. MAZE, DisGUIDE) generano query sintetiche da rumore o generatori co-addestrati senza accesso ai dati di addestramento originali, rendendoli difficili da distinguere dal traffico legittimo tramite il tradizionale rilevamento delle anomalie.

Metodologia: FlowGuard
Gli autori propongono FlowGuard, un meccanismo di difesa indipendente dall'identità che classifica le query in arrivo come Out-of-Distribution (OOD) prima dell'elaborazione da parte dell'IDS. Il presupposto fondamentale è che le query sintetiche generate per il furto di modelli data-free occupano un manifold a dimensione inferiore rispetto al traffico di rete genuino, risultando in log-verosimiglianze misurabilmente inferiori quando valutate rispetto a un modello di densità addestrato su dati legittimi.

Il workflow tecnico prevede:

Addestramento di un Flusso Continuo (Continuous Normalizing Flow - CNF): Un CNF viene addestrato tramite Flow Matching sulla distribuzione del traffico di rete legittimo. A differenza dei flussi tradizionali, il Flow Matching addestra il modello effettuando la regressione di una rete neurale su un campo di velocità condizionale che trasporta i campioni da una distribuzione Gaussiana di base ( $p_0$ ) alla distribuzione dei dati ( $p_1$ ). Ciò evita costose computazioni del Jacobiano durante l'addestramento.
Computazione della Log-Verosimiglianza: Quando arriva una query $x_q$ , essa viene trattata come un campione al tempo $t=1$ . Il sistema integra l'equazione differenziale ordinaria (ODE) appresa all'indietro da $t=1$ a $t=0$ per ottenere una rappresentazione latente $z_0$ . La log-verosimiglianza $\log p_1(x_q)$ viene calcolata utilizzando la formula della variazione istantanea delle variabili, che include la log-densità di base e un termine di divergenza accumulato (correzione del Jacobiano) lungo la traiettoria.
Definizione della Soglia Decisionale: Viene stabilita una soglia $\tau$ basata sulla coda inferiore della distribuzione della log-verosimiglianza di un set di validazione di query legittime tenuto da parte. Se $\log p_1(x_q) < \tau$ , la query viene classificata come OOD e bloccata.

Contributi Chiave

Difesa Indipendente dall'Identità: FlowGuard opera esclusivamente sul contenuto della query, non richiedendo metadati di identità, tracciamento delle sessioni o accumulo storico delle query. Ciò lo rende intrinsecamente resiliente agli attacchi Sybil.
Flow Matching per l'OOD Detection: Il documento adatta il Flow Matching al problema specifico del rilevamento del furto di modelli data-free, dimostrando che le query di estrazione sintetiche cadono in regioni a bassa densità del manifold dei dati legittimi.
Valutazione Empirica: Gli autori confrontano FlowGuard con le difese allo stato dell'arte (PRADA, FDINet) utilizzando attacchi MAZE e DisGUIDE su CIFAR-10. La valutazione copre sia scenari a singolo client che scenari distribuiti (Sybil a 100 client).

Risultati

Scenario a Singolo Client: FlowGuard ha raggiunto elevati tassi di rilevamento (True Positive Rate, TPR) sia per gli attacchi MAZE (0.965) che DisGUIDe (1.000), con tassi di falsi positivi moderati (FPR ~0.170). Ha superato PRADA nel recall per MAZE e ha eguagliato o superato le prestazioni di PRADA su DisGUIDE. FDINet ha mostrato risultati misti, fallendo nel rilevare efficacemente le query MAZE (ROC-AUC 0.488).
Scenario Distribuito (Sybil):
- PRADA: Il rilevamento è collassato completamente (TPR 0.000) poiché le query erano distribuite su 100 identità, impedendo l'accumulo delle statistiche per client necessarie per il suo test di Shapiro-Wilk.
- FDINet: Ha mostrato una robustezza mista. Sebbene abbia rilevato DisGUIDE con alta sensibilità, ha sofferto di un alto FPR (0.530) e le sue prestazioni su MAZE sono degradate significativamente (TPR 0.500).
- FlowGuard: Ha mantenuto una prestazione di rilevamento stabile, identica allo scenario a singolo client (TPR 0.965 per MAZE, 1.000 per DisGUIDE). La valutazione della densità per singola query non è stata influenzata dalla distribuzione delle query tra le identità.

Significato e Ambito
Il documento sostiene che FlowGuard fornisca una soluzione robusta per proteggere gli IDS dei sistemi energetici contro attacchi di furto di modelli data-free distribuiti, dove le difese basate sull'identità falliscono. Sfruttando il divario di densità tra il traffico legittimo e le query di estrazione sintetiche, offre una difesa che non dipende dall'identità del client o dalle etichette soft.

Gli autori indicano esplicitamente i seguenti limiti e l'ambito di applicazione:

La valutazione è attualmente limitata al dataset CIFAR-10 e all'architettura vittima VGG16-BN.
La difesa è attualmente efficace contro attacchi data-free (MAZE, DisGUIDE). Il documento non rivendica una protezione universale contro tutte le famiglie di estrazione o attacchi dipendenti dai dati.
Il lavoro futuro è delineato per estendere la valutazione a dataset IDS realistici (ad es. ERENO IEC 61850), investigare attaccanti adattivi che ottimizzano contro il modello di densità e, potenzialmente, combinare FlowGuard con il rilevamento basato sul campo di velocità (come visto in FlowPure) per difendersi dall'intera catena che comprende il furto del modello seguito dall'evasione avversaria.