Sintesi Tecnica: ORAN-DEFEND

1. Definizione del Problema

L'architettura Open Radio Access Network (O-RAN) delega il controllo near-real-time a xApp basate su Deep Reinforcement Learning (DRL), spesso provenienti da fornitori terzi. Questo modello di supply-chain introduce una vulnerabilità critica: le policy con backdoor. Un fornitore malevolo può distribuire un agente DRL che si comporta in modo ottimale in condizioni normali, ma che esegue azioni di controllo dannose (degradando la Qualità del Servizio, violando i budget di latenza o causando interferenze) quando viene iniettato un trigger occulto nella telemetria degli indicatori chiave di prestazione (KPI) osservati.

I meccanismi di difesa esistenti sono insufficienti per questo scenario perché:

• Vincoli Black-box: Le xApp sono spesso binari proprietari congelati, il che impedisce l'accesso white-box o il riaddestramento del modello.
• Limiti delle Difese Supervisionate: Tecniche come Neural Cleanse o le firme spettrali richiedono tipicamente dati di addestramento o pesi del modello, che non sono disponibili.
• Natura degli Attacchi DRL: A differenza della classificazione statica, le backdoor nel DRL si manifestano attraverso la degradazione del ritorno cumulativo su lungo orizzonte piuttosto che tramite una singola misclassificazione, rendendole più difficili da rilevare tramite il normale rilevamento delle anomalie.

2. Metodologia: ORAN-DEFEND

Gli autori propongono ORAN-DEFEND, un wrapper a livello di telemetria che non richiede riaddestramento, progettato per sanificare potenzialmente compromesse le xApp. La difesa opera interamente sulle osservazioni in ingresso (finestre KPI) presentate alla policy congelata.

Meccanismo Core: Sanitizzazione dello Spazio Sottostante (Subspace Sanitization)

Il metodo si basa sulla geometria spettrale della telemetria KPI pulita.

1. Stima dello Spazio Sicuro (Offline): Il difensore raccoglie un piccolo set di episodi di rollout puliti e affidabili dall'xApp in un ambiente controllato. Utilizzando la Decomposizione dei Valori Singolari (SVD) su questi stati puliti, il sistema stima un sottospazio sicuro ($E_n$) a bassa dimensione dove risiede la maggior parte della varianza nominale dei KPI.
2. Assunzione di Trigger Ortogonale: La difesa assume che il trigger avversario risieda nel complemento ortogonale ($E^\perp$) del sottospazio sicuro. Ciò si basa sul presupposto che i trigger siano progettati per essere occulti e quindi ortogonali alle correlazioni naturali del traffico di rete.
3. Sanitizzazione Online: Per ogni finestra KPI in ingresso $s_t$:
   • L'osservazione viene centrata e proiettata sul sottospazio sicuro stimato $E_n$.
   • Il vettore proiettato $\hat{s}_t = \text{Proj}_{E_n}(s_t)$ viene passato alla policy con backdoor congelata $\pi^\dagger$.
   • Se il trigger risiede interamente in $E^\perp$, la proiezione annulla il trigger esattamente, ripristinando l'input a uno stato indistinguibile dal funzionamento pulito.
4. Rilevamento: Un rilevatore di residui calcola l'energia della componente ortogonale al sottospazio sicuro ($\rho(s_t) = \|s_t - \hat{s}_t\|^2$). Se questo residuo supera una soglia, viene generato un avviso di backdoor.

Garanzie Teoriche

Il documento stabilisce una precisa condizione di recupero: la difesa ha successo se l'energia del trigger si concentra in $E^\perp$. Il divario di prestazione tra la policy pulita ottimale e la policy sanificata è limitato dall'errore di approssimazione (energia dello stato pulito scartata) e dall'errore di stima (dimensione del campione finito), a condizione che il trigger sia confinato nel complemento ortogonale.

3. Contributi Chiave

1. Modello di Minaccia Formalizzato: Gli autori definiscono il modello di minaccia della policy con backdoor per le xApp guidate dai KPI in O-RAN, coprendo sia i regimi di avvelenamento a loop interno (TrojDRL, BadRL) che a loop esterno (SleeperNets, Q-Incept).
2. Difesa Senza Riaddestramento: Presentano ORAN-DEFEND, la prima wrapper che sanifica le policy DRL congelate utilizzando solo l'inferenza black-box e un piccolo numero di rollout puliti affidabili, senza richiedere l'accesso ai pesi del modello o il riaddestramento.
3. Caratterizzazione Geometrica dei Confini di Difesa: Il documento introduce la frazione di energia $E^\perp$ ($\eta_{E^\perp}$) come una singola quantità misurabile che governa il recupero. Dimostra che le difese di proiezione lineare sono intrinsecamente limitate: se il trigger co-localizza con il segnale legittimo (bassa $\eta_{E^\perp}$), la sanitizzazione lineare fallisce, anche se il trigger è rilevabile in modo non lineare.
4. Valutazione Esaustiva: La difesa è valutata contro quattro famiglie di attacchi strutturalmente distinte sul dataset Colosseum COLORAN, che spaziano attraverso diversi meccanismi di avvelenamento.

4. Risultati Sperimentali

La valutazione è stata condotta sul dataset Colosseum COLORAN utilizzando 8 canali KPI su un orizzonte di 20 step ($D=160$).

• Prestazioni sotto l'Assunzione $E^\perp$: Quando il trigger è confinato nel complemento ortogonale (l'assunzione standard per la difesa):

  • Recupero del Ritorno (Return Recovery): Ha raggiunto il 100% in tutte e quattro le famiglie di attacco (TrojDRL, SleeperNets, BadRL, Q-Incept).
  • Tasso di Successo della Difesa (DSR): $\ge 99.5\%$.
  • Rilevamento: Il rilevatore di residui ha raggiunto un AUROC compreso tra 0.98 e 1.00.
  • Efficienza dei Campioni: La difesa è rimasta efficace con soli $n=8$ episodi di calibrazione puliti.

• Confronto con i Baseline:

  • Calibrazione Contaminata: Se il sottospazio è stimato da dati contaminati (misti tra puliti e avvelenati), il recupero diminuisce significativamente per certi attacchi (ad esempio, BadRL scende dal 99.9% allo 0%), evidenziando la necessità della fase di calibrazione affidabile.
  • Lineare vs Non-Lineare: Quando i trigger sono stati iniettati dent'interno del sottospazio sicuro (violando l'assunzione), la proiezione lineare è fallita (il recupero è sceso allo 0–22%). Tuttavia, un classificatore MLP non lineare poteva ancora rilevare questi trigger con un AUROC del 100%, confermando che la sanitizzazione e il rilevamento lineare si disaccoppiano quando l'assunzione geometrica viene violata.

• Studi di Ablazione:

  • Il recupero è robusto rispetto alle variazioni nel numero di campioni di calibrazione ($n$) e nella dimensione del sottospazio ($d \gtrsim 10$).
  • La difesa è insensibile alla severità dell'attacco (entità della penalità).

5. Significato e Claim

Il documento posiziona ORAN-DEFEND come una prima linea di difesa pratica e teoricamente fondata per il modello di minaccia della supply-chain O-RAN. La sua importanza primaria risiede in:

• Fattibilità Operativa: Non richiede riaddestramento e impone un overhead computazionale minimo ($O(Dd)$ per step), rendendolo compatibile con i vincoli di latenza del Near-RT RIC (10ms – 1s).
• Precisione Teorica: Va oltre il rilevamento euristico fornendo una precisa condizione matematica ($\eta_{E^\perp}$) per determinare quando la sanitizzazione lineare ha successo o fallisce.
• Consapevolezza dei Limiti: Gli autori affermano con modestia che, sebbene la difesa sia altamente efficace sotto l'assunzione del sottospazio, non è una panacea. La "ablazione geometrica" rivela un limite intrinseco di qualsiasi difesa di proiezione lineare: non può sanificare i trigger che co-localizzano con i segnali legittimi. In tali casi, il documento suggerisce che, sebbene la sanitizzazione lineare fallisca, il trigger potrebbe comunque essere rilevabile tramite metodi non lineari, fornendo agli operatori una metrica fondata per valutare la copertura della difesa.

Il lavoro conclude che ORAN-DEFEND mitiga efficacementamente le minacce di backdoor in cui il trigger è ortogonale al manifold dei dati naturali, offrendo una soluzione robusta per il dispiegamento di xApp DRL di terze parti in infrastrutture di telecomunicazioni critiche.