Data Poisoning Attacks on Informativity for Observability: Invariance-Based Synthesis

Título do Artigo

Ataques de Envenenamento de Dados à Informatividade para Observabilidade: Síntese Baseada em Invariância

1. Problema Investigado

O artigo aborda a vulnerabilidade de sistemas de controle baseado em dados (data-driven control) contra ataques cibernéticos do tipo "envenenamento de dados" (data poisoning).

• Contexto: No controle baseado em dados, propriedades do sistema (como estabilidade e observabilidade) são analisadas e controladores são sintetizados diretamente a partir de dados medidos, sem identificar um modelo único. A "informatividade" dos dados garante que as propriedades desejadas sejam válidas para todo o conjunto de modelos consistentes com os dados.
• O Ataque: O estudo foca em um adversário que aplica uma transformação linear invertível aos dados de séries temporais finitos (matrizes de estado, entrada e saída) antes do treinamento ou análise.
• Objetivo do Adversário: O ataque visa tornar os dados não informativos para a observabilidade forte. Isso é feito injetando um estado não nulo no subespaço de "observabilidade fraca" (weakly unobservable subspace) derivado dos dados transformados.
• Restrições do Ataque: O ataque deve ser sigiloso (stealthy). A transformação deve preservar o posto (rank) e a riqueza dos dados (ex: persistência de excitação), evitando manipulações triviais que seriam facilmente detectadas por operadores do sistema.

2. Metodologia e Abordagem Teórica

Os autores utilizam uma abordagem geométrica baseada em subespaços invariantes e conjuntos afins de modelos.

• Formalização do Sistema: Considera-se um sistema linear invariante no tempo (LTI) com ruído. O conjunto de modelos consistentes com os dados é representado por um conjunto afim $\Sigma(D)$.
• Condição de Informatividade: A informatividade para observabilidade forte é caracterizada pela condição de que o subespaço de coeficientes de observabilidade fraca máxima, $J^*(D)$, deve estar contido no núcleo da matriz de dados de estado $P(D)$ (ou seja, $J^*(D) \subseteq \ker P(D)$).
• Mecanismo do Ataque:
  1. O adversário define um par eigenvalor-eigenvetor malicioso $(\tilde{\lambda}, \tilde{x}_0)$ que torna um modelo "virtual" malicioso não observável.
  2. O objetivo é encontrar uma transformação linear invertível $\Phi_a$ tal que, após a aplicação nos dados ($\tilde{D} = \Phi_a D$), o vetor $\tilde{x}_0$ pertença ao subespaço de observabilidade fraca dos dados atacados ($V^*(\tilde{D})$).
  3. Isso é alcançado manipulando os dados de modo que uma combinação linear específica dos dados (definida por um vetor $v$) gere o estado $\tilde{x}_0$, violando a condição de observabilidade.
• Construção da Transformação:
  • Utiliza-se um lema que permite construir uma matriz de transformação $\Phi_Z$ que mapeia um vetor de dados específico $Zv$ para um alvo $z_{tar}$, mantendo inalterados os vetores no subespaço original de observabilidade fraca ($J^*(D)$). Isso garante que o ataque não altere a estrutura dos dados em direções que poderiam ser detectadas.
  • O algoritmo propõe uma síntese construtiva baseada na escolha de um vetor de ataque $v$ fora do subespaço original e na projeção ortogonal para minimizar a perturbação.

3. Principais Contribuições

O artigo apresenta três contribuições fundamentais:

1. Método Construtivo de Ataque:

   • Deriva um método para injetar um par eigenvalor-eigenvetor malicioso no conjunto de modelos explicados pelos dados.
   • Demonstra que é possível tornar os dados não informativos para observabilidade forte enquanto se mantém a nonsingularidade da transformação (preservando o posto dos dados).

2. Condições de Viabilidade (Geometria e Rank):

   • Estabelece condições equivalentes (geométricas e de dimensão) para determinar quando tal ataque é possível.
   • A condição chave é que o subespaço gerado pelas combinações lineares dos dados originais não preencha todo o espaço imagem da matriz de dados. Se houver "espaço" livre, o ataque é viável.
   • Fornece testes simples baseados nos dados para verificar a vulnerabilidade de um conjunto de dados específico.

3. Ataque de Norma Mínima (Quantificação de Vulnerabilidade):

   • Formula um problema de otimização para encontrar a transformação que requer a menor perturbação de dados possível (norma de Frobenius mínima) para destruir a informatividade.
   • Desenvolve um algoritmo eficiente (alternante) para calcular essa perturbação mínima.
   • Estabelece uma conexão teórica entre a magnitude mínima do ataque e a distância do conjunto de modelos consistentes com os dados até o conjunto de sistemas não observáveis. Isso serve como uma métrica quantitativa de robustez.

4. Resultados e Exemplos Numéricos

• Simulação: Os autores aplicaram o método em uma rede dinâmica linear com 5 estados e topologia em linha.
• Eficácia: O ataque conseguiu invalidar a certificação de observabilidade com uma perturbação de dados extremamente pequena (erro relativo de $3.7 \times 10^{-3}$).
• Localização do Ataque: A análise revelou que a energia do ataque se concentra nas equações de atualização dos nós mais próximos das saídas medidas (nós com menor "distância de salto" ou hop distance). Isso fornece uma interpretação física: perturbar nós que influenciam diretamente as medições é mais eficiente para quebrar a observabilidade.
• Implicação: Pequenas transformações estruturadas podem tornar um sistema aparentemente observável em não observável, invalidando projetos de controladores baseados em dados.

5. Significado e Conclusão

• Segurança em Controle Baseado em Dados: O trabalho expõe uma nova superfície de ataque em sistemas de controle moderno, mostrando que a robustez contra ruído aleatório não implica robustez contra manipulações estruturadas maliciosas.
• Métrica de Vulnerabilidade: A formulação de "norma mínima" oferece uma maneira de quantificar quão "frágil" é a informatividade de um conjunto de dados. Se a distância para a não-observabilidade for pequena, o sistema é altamente vulnerável a ataques sutis.
• Futuro: O estudo sugere que a detecção de anomalias baseada apenas em estatísticas de ruído pode ser insuficiente, pois o ataque preserva o posto e a estrutura global dos dados. Trabalhos futuros devem focar em detecção de ataques baseada em subespaços invariantes e recuperação de dados.

Em resumo, o artigo demonstra que a informatividade baseada em dados não é inerentemente segura contra adversários sofisticados que podem manipular dados de forma invertível para esconder dinâmicas maliciosas, e fornece as ferramentas matemáticas para projetar tais ataques e medir a vulnerabilidade dos sistemas.