Physical Backdoor Attack Against Deep Learning-Based Modulation Classification

1. Problema e Contexto

O artigo aborda a vulnerabilidade dos modelos de Aprendizado Profundo (Deep Learning - DL) utilizados na classificação de modulação de sinais de rádio (RF) contra ataques de Aprendizado de Máquina Adversarial (AML).

• Contexto: A DL é amplamente adotada para tarefas de camada física (PHY), como classificação de modulação e impressão digital de RF (RF fingerprinting), devido à sua capacidade de extrair características complexas de sinais brutos.
• Ameaça Existente: Ataques de "Backdoor" (ou Trojan) digitais já foram estudados, onde um adversário injeta gatilhos (triggers) digitais no conjunto de dados após a formação do sinal (no domínio digital).
• Limitação dos Ataques Digitais: Em sistemas ciberseguros, manipular o conjunto de dados já formado é difícil, pois exigiria contornar sistemas de monitoramento de segurança ou acessar dados que podem estar normalizados ou criptografados. Além disso, frameworks de segurança podem recuperar versões limpas se detectarem acesso não autorizado aos dados.
• O Problema Específico: Não existia, até o momento deste trabalho, uma avaliação robusta de ataques de backdoor que ocorrem fisicamente, antes da formação do conjunto de dados, explorando as distorções não lineares do hardware de transmissão.

2. Metodologia Proposta

Os autores propõem o primeiro ataque de backdoor físico para classificação de modulação. A ideia central é manipular o sinal no domínio físico (antes da transmissão) para forçar o Amplificador de Potência (PA) a gerar distorções não lineares que atuam como gatilhos físicos.

O processo divide-se em três etapas principais:

A. Envenenamento de Dados Físico (Dataset Poisoning)

Diferente do envenenamento digital, o adversário atua antes do sinal ser transmitido:

1. Seleção de Alvo: O adversário escolhe uma classe de modulação alvo ($y_{tar}$).
2. Manipulação de Amplitude: O adversário identifica símbolos OFDM onde a amplitude está abaixo do limite de corte (clipping threshold) do PA.
3. Injeção de Gatilho Físico: Adiciona-se um pequeno valor de amplitude ($\epsilon$) a essas amostras para forçá-las a entrar na região não linear do PA. Isso cria distorções não lineares (intermodulação) que se espalham por outras amostras do sinal.
4. Rótulo Falso: Os rótulos desses símbolos manipulados são alterados para a classe alvo ($y_{tar}$).
5. Formação do Conjunto: O sinal manipulado passa pelo PA, sofre distorção, é transmitido por um canal de desvanecimento e processado no receptor. O conjunto de dados resultante (contendo as distorções físicas) é usado para treinar o modelo.

B. Treinamento do Modelo Backdoored

O modelo (VT-CNN2) é treinado com o conjunto de dados "envenenado". O modelo aprende a associar as distorções não lineares específicas geradas pelo PA (os gatilhos físicos) à classe de modulação alvo, mantendo alta precisão nos dados limpos (sem gatilho).

C. Ativação do Backdoor (Inferência)

No momento do ataque (inferência):

1. O adversário deseja enganar o modelo para classificar um sinal legítimo (com modulação diferente) como a classe alvo.
2. Como o adversário não conhece a resposta exata do PA, ele treina uma rede neural (CNN) para imitar o comportamento não linear do PA (modelagem $g_\phi \approx f_{PA}$).
3. O adversário calcula a estimativa do gatilho físico ($\hat{\xi}_{PHY}$) simulando a diferença entre o sinal manipulado e o original no modelo imitador.
4. O adversário transmite o sinal legítimo superposto a essa estimativa de gatilho físico. O PA real distorce o sinal combinado, ativando o backdoor no modelo de classificação.

3. Contribuições Principais

• Novo Vetor de Ataque: Introdução do conceito de Backdoor Físico para classificação de modulação, explorando a não linearidade do hardware (PA) como vetor de ataque, em vez de manipulação digital de dados.
• Viabilidade Prática: Demonstra que é possível criar um backdoor manipulando o sinal antes da transmissão, contornando a necessidade de acessar o conjunto de dados já formado no receptor.
• Resiliência a Defesas: O estudo testa e demonstra a falha de técnicas de defesa convencionais (Neural Cleanse, STRIP, Clustering de Ativação) contra este tipo específico de ataque físico.

4. Resultados Experimentais

Os experimentos foram realizados com o modelo VT-CNN2, 11 esquemas de modulação e variando a Relação Sinal-Ruído (SNR).

• Taxa de Sucesso do Ataque (ASR):
  • O ataque alcançou uma ASR de ~95% com uma taxa de envenenamento (poisoning ratio) de apenas 5%.
  • Ataques de referência digitais (RefAtt1 e RefAtt2) precisaram de taxas de envenenamento muito maiores (12% e 15%) para atingir o mesmo desempenho.
  • O ataque manteve uma ASR acima de 92% em uma ampla faixa de SNR (de -8 dB a 10 dB), demonstrando robustez em condições de ruído, onde os ataques digitais falharam drasticamente.
• Sigilo (Stealthiness):
  • O modelo backdoored manteve uma precisão de classificação nos dados limpos ($A_{BC}$) quase idêntica à do modelo legítimo ($A_{LC}$), com degradação de apenas ~2%, garantindo que o ataque permaneça inativo e indetectável durante o uso normal.
• Eficácia das Defesas (Falha):
  • Neural Cleanse: Falhou em detectar o gatilho porque as distorções físicas não podem ser aproximadas como padrões aditivos simples.
  • STRIP: Falhou porque as distorções físicas não alteram a estrutura semântica do sinal de forma a reduzir a entropia de Shannon como esperado em ataques digitais.
  • Clustering de Ativação: Falhou porque as distorções do PA se espalham pelos subportadores (intermodulação), mimetizando padrões de ativação naturais e limpos, resultando em uma pontuação de Silhueta insignificante (0.07).

5. Significado e Conclusão

Este trabalho destaca uma lacuna crítica na segurança de sistemas de comunicação sem fio baseados em IA.

• Implicação de Segurança: Ataques físicos são mais difíceis de mitigar do que ataques digitais, pois exploram características intrínsecas do hardware que são difíceis de filtrar sem degradar o sinal legítimo.
• Futuro: O artigo sugere que as defesas atuais focadas em dados (data-level) são insuficientes. A pesquisa futura deve focar em abordagens de defesa física e no estudo do impacto do Input Back-Off (IBO) do amplificador de potência na detecção desses ataques.

Em resumo, o artigo prova que a manipulação física de sinais para explorar não linearidades de hardware é uma ameaça viável, altamente eficaz e atualmente resistente às técnicas de defesa padrão contra backdoors em redes neurais.