On the Vulnerability of Deep Automatic Modulation Classifiers to Explainable Backdoor Threats

1. Problema

O artigo aborda a vulnerabilidade dos sistemas de Classificação Automática de Modulação (AMC) baseados em Aprendizado Profundo (Deep Learning - DL) a ataques de Backdoor (Trojan).

• Contexto: A AMC é crucial para comunicações sem fio modernas, utilizando modelos como Redes Neurais Convolucionais (CNN), Recorrentes (RNN) e Profundas (DNN) para identificar esquemas de modulação.
• Ameaça: Embora os modelos de DL sejam eficazes, eles são suscetíveis a ataques de Aprendizado de Máquina Adversarial (AML). Ataques de backdoor são particularmente perigosos porque são "furtivos": o modelo mantém alta precisão em dados limpos (sem gatilho), mas classifica incorretamente amostras que contêm um padrão específico (o gatilho) para uma classe alvo escolhida pelo adversário.
• Limitação da Literatura Existente: A maioria dos estudos anteriores foca em domínios de visão computacional ou em manipulação digital de dados após a recepção. Há uma lacuna na compreensão de ataques físicos (antes da transmissão) e na aplicação de Inteligência Artificial Explicável (XAI) para guiar esses ataques no domínio de rádio.

2. Metodologia

Os autores propõem um ataque de backdoor físico e transferível, projetado para ser executado no sinal modulado na banda base antes da transmissão. O ataque ocorre em duas fases principais, operando em um cenário de caixa-preta (o adversário não conhece os parâmetros do modelo, apenas o conjunto de dados de treinamento):

A. Seleção da Posição do Gatilho (Trigger Position Selection)

• Objetivo: Identificar a janela de tempo no sinal onde o modelo é mais sensível a perturbações.
• Técnica: Utiliza uma abordagem personalizada de SamplingSHAP (Shapley Additive Explanations).
• Processo:
  1. Os sinais complexos (IQ) são divididos em janelas não sobrepostas.
  2. Aplica-se uma normalização de fase local para evitar viés devido a deslocamentos de fase aleatórios (comuns em mapeamento de modulação ou estrutura de pilotos), focando apenas em padrões de amplitude e mudanças de fase relativas.
  3. O SHAP calcula a contribuição de cada janela para a classificação da classe alvo.
  4. A janela com o maior valor SHAP médio é selecionada como a posição ideal para inserir o gatilho ($W^*$).

B. Geração do Valor do Gatilho (Trigger Value Generation)

• Objetivo: Criar o padrão de perturbação que será inserido na posição selecionada.
• Técnica: Um método híbrido chamado Prototype-PCA.
• Processo:
  1. Calcula-se o protótipo da classe ($\mu_{tar}$) como a mediana das janelas da classe alvo (para robustez contra outliers).
  2. Aplica-se Análise de Componentes Principais (PCA) aos dados da classe alvo para encontrar a direção de maior variância ($p_{tar}$).
  3. O vetor do gatilho final ($t$) é uma combinação ponderada do protótipo e do componente principal, controlada por um parâmetro $\lambda$ e escalado por uma energia $\alpha$.

C. Fase Causativa (Inserção do Backdoor)

• Uma fração dos dados de treinamento é envenenada (poisoned).
• Nos símbolos envenenados, as amostras na janela selecionada $W^*$ são substituídas pela soma do sinal original e o vetor do gatilho.
• Esses símbolos são reetiquetados para a classe alvo. O modelo é treinado neste conjunto de dados envenenado, aprendendo a mapear o gatilho para a classe alvo, enquanto ignora-o em dados limpos.

3. Principais Contribuições

• Primeiro Ataque Transferível Consciente de Posição: É o primeiro estudo a aplicar um ataque de backdoor transferível e consciente da posição física em sistemas de AMC baseados em DL.
• Uso de XAI no Domínio Físico: Demonstra como técnicas de XAI (SHAP) podem ser adaptadas para identificar regiões vulneráveis em sinais de rádio (domínio físico/temporal) antes da transmissão, em vez de manipular dados digitais pós-recepção.
• Mecanismo Híbrido de Geração de Gatilho: Propõe uma nova técnica de geração de gatilho combinando protótipos de classe e PCA, otimizada para sinais de comunicação.
• Análise de Transferibilidade: Valida que o ataque funciona contra múltiplas arquiteturas de modelos (CNN, RNN, DNN) sem conhecimento prévio da arquitetura do alvo (cenário caixa-preta).

4. Resultados

Os experimentos foram realizados com 11 tipos de modulação, canais de desvanecimento Rayleigh e diferentes arquiteturas de redes neurais.

• Taxa de Sucesso do Ataque (ASR - Attack Success Rate):
  • O ataque guiado por XAI alcançou taxas de sucesso significativamente mais altas em baixos valores de SNR (Relação Sinal-Ruído) em comparação com ataques de referência (Ref1 e Ref2).
  • No modelo CNN, a ASR atingiu 68,7% em -16 dB, enquanto os ataques de referência ficaram abaixo de 42%.
  • A ASR aumentou para cerca de 80% em SNR de 16 dB.
• Transferibilidade: O ataque manteve alta eficácia (ASR > 65% em SNR baixo e > 80% em SNR alto) em todas as três arquiteturas testadas (CNN, DNN, RNN), confirmando sua natureza transferível.
• Furtividade (Stealthiness):
  • Precisão em Dados Limpos (ABC): O modelo backdoorado manteve a precisão quase idêntica à do modelo original em dados sem gatilho, indicando que o ataque não degrada o desempenho legítimo.
  • Evasão de Defesas: O ataque foi testado contra três defesas de detecção de backdoor (Neural Cleanse, STRIP e Activation Clustering).
    • O ataque XAI-guided obteve a menor taxa de detecção (8,15% na Activation Clustering), superando significativamente os ataques de referência.
    • A diferença de entropia ($\Delta H$) no STRIP foi muito baixa (0,02), indicando que as distribuições de dados limpos e ativados se sobrepõem, dificultando a detecção.

5. Significado e Conclusão

O trabalho demonstra que os sistemas de AMC baseados em DL são altamente vulneráveis a ataques de backdoor físicos sofisticados. A principal conclusão é que a utilização de XAI para guiar a localização do gatilho torna o ataque muito mais robusto contra ruído do canal (baixo SNR) e mais difícil de detectar do que métodos tradicionais de manipulação digital.

Isso representa uma ameaça crítica para sistemas de comunicação modernos (como 5G e além), onde a confiabilidade da classificação de modulação é essencial. O estudo alerta para a necessidade de desenvolver novas técnicas de defesa que considerem a manipulação física de sinais e a exploração de vulnerabilidades identificadas por IA explicável.