🤖 machine learning

Does Demand Response Increase Vulnerability to Cyber Attacks by Adversarial Data Modifications?

Dit artikel onderzoekt hoe vijandige aanpassingen aan elektriciteitsprijsvoorspellingen de planning van industriële demand response beïnvloeden, waarbij wordt vastgesteld dat hoewel dergelijke aanvallen de financiële winsten kunnen uithollen, beperkte perturbaties de demand response nog steeds in staat stellen om ongeveer 90% van haar economische voordeel te behouden, wat benadrukt dat de ernst van een aanval meer afhangt van de oriëntatie van de perturbaties dan van hun grootte.

Oorspronkelijke auteurs: Clemens Kortmann, Eike Cramer

Gepubliceerd 2026-07-09

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Clemens Kortmann, Eike Cramer

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een enorme, energieverslindende fabriek runt. Om geld te besparen, heb je een slim systeem dat werkt als een flexibele shopper. In plaats van je machines de hele dag op een constante snelheid te laten draaien, houdt dit systeem de elektriciteitsmarkt in de gaten. Wanneer de prijzen laag zijn (zoals bij een uitverkoop in de supermarkt), zet het de machines op volle snelheid. Wanneer de prijzen hoog zijn, vertraagt het of pauzeert het. Dit wordt Demand Response (DR) genoemd.

Echter, deze slimme shopper vertrouwt op een weervorsteller (een AI-model) om de elektriciteitsprijzen van morgen te voorspellen. Als de voorspelling fout is, koopt de shopper per ongeluk dure elektriciteit, waardoor er geld verloren gaat.

Dit artikel stelt een angstaanjagende vraag: Wat als een hacker de weervorsteller misleidt?

De truc van de hacker (Adversarial Attacks)

In de wereld van AI heeft een "hacker" niet noodzakelijkerwijs een breekijzer nodig om in te breken in een computersysteem. In plaats daarvan kunnen ze een subtiele truc gebruiken die een adversarial attack wordt genoemd.

Denk er zo over na: Stel je voor dat je naar een foto van een panda kijkt. Een hacker voegt een minuscuul, bijna onzichtbaar laagje "ruis" toe (zoals een paar pixels statische ruis) aan de afbeelding. Voor het menselijk oog ziet het nog steeds precies uit als een panda. Maar voor de AI zorgt die kleine ruis ervoor dat hij denkt: "Dit is absoluut een guacamole!" en verandert het zijn beslissing.

In dit artikel veranderen de hackers geen plaatjes; ze passen de data die de elektriciteitsprijsvoorspeller gebruikt (zoals windsnelheid, zonne-energie en de huidige vraag) subtiel aan. Ze maken deze kleine wijzigingen zodat de AI de verkeerde prijzen voorspelt, maar de wijzigingen zijn zo klein dat een mens die naar de data kijkt, niets verdachts zou opmerken.

Het experiment: Twee soorten trucs

De onderzoekers testten twee manieren om de AI te misleiden:

De "Blind Shift" (Untargeted Attack): De hacker probeert simpelweg de voorspelling van de AI zo fout mogelijk te maken, ongeacht hoe het fout is. Het is alsoal roepen: "Alles is fout!" tegen de voorspeller.
De "Mirror Image" (Targeted Attack): De hacker heeft een specifiek plan. De hacker probeert de prijsvoorspelling volledig om te draaien. Als de echte prijs laag is in de ochtend en hoog in de avond, probeert de hacker de AI te misleken door te laten denken dat het hoog is in de ochtend en laag in de avond. Dit is alsof je een spiegel voor de prijsgrafiek houdt, zodat de fabriek denkt dat de "uitverkoop" op het verkeerde moment plaatsvindt.

De resultaten: Crasht de fabriek?

De onderzoekers voerden simulaties uit met verschillende soorten fabrieken (sommige zeer flexibel, andere rigide) om te zien wat er gebeurt wanneer de prijsvoorspelling wordt gehackt.

De voorspelling breekt, maar de fabriek overleeft: Wanneer de hackers aanvielen, werden de prijsvoorspellingen van de AI zeer onnauwkeurig. De "weersverwachting" was volledig fout. Echter, de financiële verliezen van de fabriek waren verrassend klein.
De "Stealth" Limiet: Zolang de hacker de wijzigingen klein genoeg hield om "stealthy" (moeilijk te ontdekken voor een mens) te blijven, bespaarde de fabriek nog steeds ongeveer 90% van het geld dat het zou hebben bespaard als er geen hackers waren geweest.
De "Mirror" is gevaarlijker: De "Mirror Image"-aanval was veel gevaarlijker voor de portemonnee van de fabriek dan de "Blind Shift". Hoewel de "Blind Shift" de wiskunde van de AI er slechter uit liet zien, verwarde het het schema van de fabriek minder. De "Mirror"-aanval richtte zich specifiek op de besluitvormingslogica van de fabriek, waardoor de fabriek slechte keuzes maakte.
Flexibiliteit is een tweesnijdend zwaard: Je zou kunnen denken dat een superflexibele fabriek (één die direct aan en uit kan zetten) kwetsbaarder zou zijn. De onderzoekers ontdekten dat hoewel flexibele fabrieken in totale dollars meer geld verliezen, ze nog steeds hetzelfde percentage van hun besparingen behouden als rigide fabrieken. Ze zijn relatief gezien even robuust.
Seizoensverschillen: De aanvallen werkten beter in de winter. In de zomer creëert de zon een zeer voorspelbaar prijspatroon (goedkoop overdag, duur 's avonds). De "Mirror"-aanval had moeite om dit sterke patroon om te draaien. In de winter, wanneer de zon niet helpt, zijn de patronen rommeliger en hadden de hackers het makkelijker om de fabriek te verwarren.

De belangrijkste conclusie

Het artikel concludeert dat Demand Response verrassend taai is.

Zelfs als een hacker erin slaagt om de AI-prijsvoorspeller te misleiden met subtiele, ondetecteerbare datamanipulatie, is het planningssysteem van de fabriek robuust genoeg om meestal nog steeds goede beslissingen te nemen. Om de winst van de fabriek echt te ruïneren, zou de hacker zulke enorme, overduidelijke wijzigingen in de data moeten aanbrengen dat een mens de fraude onmiddellijk zou opmerken.

Kortom: De "ogen" van de AI (de voorspelling) kunnen door een hacker worden geblinddoekt, maar het "brein" van de fabriek (de optimalisatie van de planning) is slim genoeg om de verwarring grotendeels te negeren en toch geld te blijven besparen.

Technische Samenvatting: Verhoogt Demand Response de Kwetsbaarheid voor Cyberaanvallen door Adversariële Datamodificaties?

Probleemstelling
Demand Response (DR) in industriële processen is afhankelijk van nauwkeurige elektriciteitsprijsvoorspelling (EPF) om productieschema's te optimaliseren en kosten te verlagen. Hoewel op neurale netwerken gebaseerde voorspellingsmodellen een hoge nauwkeurigheid bieden, zijn ze gevoelig voor adversariële aanvallen—subtiele, doelgericht gecreëerde datamanipulaties die de modeloutputs verslechteren terwijl ze moeilijk te detecteren blijven. Hoewel adversariële aanvallen op de toestandsschatting van het elektriciteitsnet en belastingvoorspelling goed bestudeerd zijn, blijft hun impact op de besluitvormingsprocessen van industriële DR onderbelicht. Specifiek is het onduidelijk hoe gemanipuleerde prijsvoorspellingen de optimalisatie van de planning beïnvloeden, hoe verschillende niveaus van procesflexibiliteit de kwetsbaarheid beïnvloeden, en of de economische voordelen van DR kunnen worden uitgehold door dergelijke aanvallen zonder dat dit gemakkelijk door menselijke operators wordt opgemerkt.

Methodologie
De auteurs stellen een framework voor om de kwetsbaarheid van industriële DR voor adversariële aanvallen te evalueren via een tweestaps-proces: EPF en DR-planningsoptimalisatie.

Elektriciteitsprijsvoorspelling (EPF): Een Convolutioneel Neuraal Netwerk (CNN) wordt getraind op Duitse dag-voorheen elektriciteitsmarktdata (2023–2024) om uurtarieven te voorspellen. Het model maakt gebruik van inputs zoals de dag-voorheen belasting, wind (onshore/offshore) en PV-voorspellingen, evenals de prijzen van de vorige dag.
Ontwerp van de Adversariële Aanval: De studie maakt gebruik van evasie-aanvallen op het getrainde EPF-model met behulp van de Basic Iterative Method (BIM). Twee aanvalsheuristieken worden vergeleken:
- Ongeënteerde Aanval (UA): Streeft ernaar de afwijking tussen de modeloutput en het werkelijke doel (benaderd door de modeloutput plus witte ruis) te maximaliseren.
- Doelgerichte (Mirror) Aanval (TA): Streeft ernaar de voorspelde output naar een specifiek doelvector te trekken. Het doel wordt geconstrueerd door het voorspelde prijsprofiel rond het dagelijkse gemiddelde te spiegelen en het signaal te versterken, met de bedoeling de planner te misleiden om elektriciteit te kopen tijdens perioden met hoge prijzen.
- Stealth-beperkingen: Aanvallen worden beperkt door een $L_\infty$ -norm ( $\epsilon$ ) om de grootte van de perturbatie te beperken. Onfysische perturbaties (bijv. negatieve zonnegeneratie 's nachts) worden weggefilterd om stealth te behouden.
Generalized Process Model (GPM): Om de kwetsbaarheid in diverse industriële scenario's te beoordelen, gebruiken de auteurs een GPM die energie-intensieve processen representeert (specifiek elektrolyse). Het model bevat beperkingen voor nominale stroomopname, overdimensionering ( $\theta_{add}$ ), minimaal deelbelasting, opslagcapaciteit, regellimieten en efficiëntieverliezen. Het planningsdoel is het minimaliseren van elektriciteitskosten op basis van de (mogelijk verstoorde) prijsvoorspellingen.
Casestudies: Het framework wordt toegepast op een algemeen proces met variërende flexibiliteitsniveaus en vier specifieke elektrolyseconfiguraties: Aluminium, Koper, Chloor-alkali en PEM-waterelektrolyse.

Belangrijkste Resultaten

Voorspellingsnauwkeurigheid versus Besluitvormingsimpact: Er is een ontkoppeling tussen de nauwkeurigheid van de voorspelling en de kwaliteit van de besluitvorming. De ongeënteerde aanval induceert aanzienlijk grotere fouten in de prijsvoorspelling (hogere MSE/MAE) vergeleken met de mirror-aanval. Echter, de mirror-aanval veroorzaakt aanzienlijk grotere economische verliezen in de DR-planningsoptimalisatie. Dit komt doordat de mirror-aanval de oriëntatie van de prijsvector verandert, waardoor de optimale oplossing naar een ander hoekpunt van de haalbare polytoop verschuift, terwijl de ongeënteerde aanval de prijsvector vaak slechts schaalt, wat de optimale basis van het lineaire programma mogelijk niet verandert.
Procesflexibiliteit: Het vergroten van de procesflexibiliteit (bijv. hogere overdimensionering) vergroot de absolute economische verliezen onder aanval, maar verandert de relatieve kostenbesparingen ten opzichte van de steady-state operatie niet significant. Zelfs onder zware aanvalspercentages behouden flexibele processen ongeveer 90% van hun financiële voordeel ten opzichte van steady-state operatie, mits de aanvallen binnen de "stealthy" grenzen ( $\epsilon \leq 0.1$ ) blijven.
Aanvalsgrootte en Detecteerbaarheid: Om de financiële voordelen van DR volledig uit te hollen, moeten aanvallen de stealth-drempel overschrijden ( $\epsilon > 0.1$ ), waarbij de perturbaties gemakkelijk detecteerbaar worden door menselijke gebruikers vanwege significante afwijkingen in de inputfeatures.
Seizoenseffecten: De impact van aanvallen is seizoensgebonden. DR is robuuster tegen aanvallen in de zomermaanden, wanneer een hoge zonneproductie zorgt voor onderscheidende prijsprofielen die moeilijker via de mirror-heuristiek te inverteren zijn. In de wintermaanden is het DR-potentieel lager en is de relatieve impact van aanvallen prominenter.
Niet-convexiteit: De studie stelt vast dat de niet-convexiteit geïntroduceerd door mixed-integer variabelen (in processen die uitschakelingen toestaan, zoals PEM) de kwetsbaarheidstrend niet fundamenteel verandert ten opzichte van lineaire programma's; het aantal wijzigingen in integer variabelen correleert positief met aanvalspercentages, vergelijkbaar met continue variabelen.

Betekenis en Claims
Het artikel betoogt dat hoewel industriële DR afhankelijk is van externe data en theoretisch kwetsbaar is voor adversariële manipulatie, de praktische financiële voordelen robuust zijn tegen stealthy aanvallen. De auteurs beweren dat:

Robuustheid: DR behoudt ongeveer 90% van zijn financiële voordeel ten opzichte van steady-state operatie, zelfs wanneer de prijsvoorspellingen binnen limieten worden gemanipuleerd die moeilijk voor mensen te detecteren zijn.
Gevoeligheid van Aanvalontwerp: De kwetsbaarheid van DR is niet enkel een functie van de omvang van de voorspellingsfout, maar hangt kritisch af van de oriëntatie van de adversariële perturbaties ten opzichte van de sensitiviteiten van het optimalisatieprobleem (zoals de mirror-aanval, die ontworpen is met kennis van de structuur van het planningsprobleem, is krachtiger dan ongeënteerde aanvallen).
Methodologische Verschuiving: De auteurs concluderen dat toekomstige aanvalanalyses expliciet de sensitiviteiten van planningsoptimalisatiemodellen in het ontwerp van de aanval moeten opnemen om rigoureuze beoordelingen van besluitvorming onder adversariële omstandigheden te bieden.
Beperkingen: De studie richt zich op white-box aanvallen op dag-voorheen markten. De auteurs merken op dat in de praktijk aanvallers mogelijk alleen toegang hebben tot black-box aanvallen, die over het algemeen minder krachtig zijn, en dat intraday-markten niet zijn onderzocht.

Het artikel beweert niet dat DR immuun is voor cyberdreigingen, maar dat de specifieke economische voordelen van DR veerkrachtig zijn tegen de specifieke klasse van geteste stealthy adversariële aanvallen, en dat de omvang van de fouten die nodig zijn om deze voordelen teniet te doen, waarschijnlijk menselijke detectie zouden triggeren.

De truc van de hacker (Adversarial Attacks)

Het experiment: Twee soorten trucs

De resultaten: Crasht de fabriek?

De belangrijkste conclusie

Meer zoals dit