Physical Backdoor Attack Against Deep Learning-Based Modulation Classification

Probleemstelling

Diep Leren (Deep Learning - DL) wordt steeds vaker ingezet voor radiofrequentie (RF) signaalclassificatie, zoals modulatieherkenning. Hoewel deze modellen krachtig zijn, zijn ze kwetsbaar voor Adversarial Machine Learning (AML) aanvallen. Bestaande "backdoor" (Trojan) aanvallen werken doorgaans door digitale triggers in het trainingsdataset in te voegen (digitale manipulatie). Dit vereist echter toegang tot het reeds gevormde dataset, wat in cyberveilige systemen moeilijk is om te realiseren zonder detectie of herstel door beveiligingsprotocollen.

Het artikel adresseert de kwetsbaarheid van DL-modellen voor fysieke backdoor-aanvallen. Het probleem is dat een aanvalslager de fysieke eigenschappen van het signaal vóór de transmissie kan manipuleren, specifiek door gebruik te maken van de niet-lineaire vervormingen van een versterker (Power Amplifier - PA), om een verborgen trigger te creëren die het model later kan misleiden.

Methodologie

De auteurs stellen een fysieke backdoor-aanval voor die werkt in drie fasen:

1. Fysieke Vergiftiging (Dataset Poisoning):

   • In tegenstelling tot digitale aanvallen, manipuleert de aanvalslager het signaal voordat het door de Power Amplifier (PA) gaat.
   • De aanvalslager selecteert een subset van OFDM-symbols en past hun amplitude aan zodat deze net onder de "clipping threshold" ($A$) van de PA liggen.
   • Door een kleine toevoeging ($\epsilon$) worden deze signalen gedwongen de niet-lineaire regio van de PA binnen te gaan. Dit veroorzaakt niet-lineaire vervorming (clipping) die fungeert als een fysieke trigger.
   • Tegelijkertijd worden de labels van deze vervormde signalen in het dataset gewijzigd naar een doelmodulatieschema ($y_{tar}$), terwijl de oorspronkelijke labels van de schone signalen behouden blijven.

2. Training van het Vergiftigde Model:

   • Het dataset, nu bestaande uit schone signalen en "vergiftigde" signalen (met PA-vervorming als trigger), wordt gebruikt om een Deep Learning-model (VT-CNN2) te trainen.
   • Het model leert dat signalen met deze specifieke niet-lineaire vervorming (de fysieke trigger) behoren tot het doelklasse, terwijl het model op schone data normaal blijft presteren.

3. Activering van de Backdoor (Inferentie):

   • Tijdens de inferentie (testfase) wil de aanvalslager een legitiem signaal ($x_{test}$) laten classificeren als het doelklasse.
   • Omdat de exacte fysieke trigger ($\Xi_{PHY}$) onbekend is (afhankelijk van de PA), traint de aanvalslager een CNN-model ($g_\phi$) om het gedrag van de PA te simuleren.
   • Met dit gesimuleerde model schat de aanvalslager de trigger ($\hat{\xi}_{PHY}$) in.
   • Deze geschatte trigger wordt fysiek over de lucht uitgezonden en gesuperponeerd met het legitieme signaal. Hierdoor wordt de backdoor geactiveerd en classificeert het model het signaal verkeerd.

Belangrijkste Bijdragen

• Eerste Fysieke Backdoor: Dit is het eerste werk dat een backdoor-aanval voor modulatieclassificatie voorstelt die volledig gebaseerd is op fysieke manipulatie (PA-niet-lineariteiten) in plaats van digitale dataset-manipulatie.
• Realistische Aanvalsvector: De methode omzeilt de noodzaak om toegang te krijgen tot het reeds verzamelde dataset, wat het een meer realistische bedreiging maakt voor cyberveilige systemen.
• Resilientie tegen Defensies: Het artikel test de aanval tegen bestaande defensietechnieken en toont aan dat deze onvoldoende zijn voor fysieke triggers.

Resultaten

De simulaties zijn uitgevoerd met 11 modulatieschema's en een VT-CNN2-model. De belangrijkste bevindingen zijn:

• Hoog Succespercentage (ASR): De aanval bereikt een Attack Success Rate (ASR) van ongeveer 95% met slechts 5% vergiftigde symbolen in het trainingsdataset. Dit is aanzienlijk efficiënter dan bestaande digitale methoden (RefAtt1 en RefAtt2), die hogere vergiftigingsratio's nodig hebben voor vergelijkbare resultaten.
• Robuustheid bij Ruis: De aanval behoudt een ASR van boven de 92% over een breed bereik van Signaal-ruisverhoudingen (SNR), zelfs bij lage SNR-waarden (-8 dB tot 10 dB). Digitale aanvallen degraderen hier sterk.
• Stealthiness (Onopgemerkt blijven):
  • Het vergiftigde model behoudt een hoge nauwkeurigheid op schone data (vergelijkbaar met het legitieme model), wat betekent dat de backdoor "slapend" blijft.
  • Defensie Testen: Drie veelgebruikte defensietechnieken faalden om de aanval te detecteren:
    1. Neural Cleanse: Faalt omdat fysieke triggers niet als additieve patronen kunnen worden gemodelleerd.
    2. STRIP: Faalt omdat de entropie van de voorspellingen niet significant verschilt tussen schone en getriggerte signalen (de fysieke vervorming verandert de semantische structuur niet genoeg).
    3. Activering Clustering: Faalt omdat de PA-vervormingen zich verspreiden over subdragers en lijken op natuurlijke vervormingen, waardoor er geen statistisch significant onderscheid is in de activatiepatronen.

Betekenis en Conclusie

Dit onderzoek waarschuwt voor een nieuwe, potentieel gevaarlijke categorie van aanvallen op draadloze communicatiesystemen. Het toont aan dat het manipuleren van de fysieke laag (hardware-gedreven vervorming) een effectievere en moeilijker te detecteren manier is om DL-modellen te compromitteren dan digitale dataset-manipulatie.

De conclusie is dat bestaande software-gedreven defensiemethoden ontoereikend zijn voor fysieke backdoors. De auteurs benadrukken dat toekomstig onderzoek zich moet richten op het ontwikkelen van fysieke verdedigingsmechanismen en het bestuderen van de impact van hardware-parameters (zoals de Input Back-Off van versterkers) om deze kwetsbaarheid te mitigeren.