When Eavesdroppers Reason: Agentic Eavesdropping Attacks on Semantic Communication

Resumo Técnico: Quando Eavesdroppers Raciocinam: Ataques de Escuta Agênticos em Comunicação Semântica

Declaração do Problema
A comunicação semântica (SemCom) oferece ganhos significativos de eficiência para redes 6G ao transmitir informações semânticas relevantes para a tarefa em vez de bits brutos. No entanto, sua arquitetura típica de codificação conjunta fonte–canal (JSCC) de ponta a ponta cria vulnerabilidades graves de privacidade. Diferentemente dos sistemas tradicionais, onde a criptografia em nível de bits é viável, a natureza contínua e sem quantização da SemCom torna a criptografia direta difícil. Além disso, os métodos convencionais de segurança na camada física (PLS), que dependem de vantagens do canal entre os enlaces legítimos e os de escuta, podem ser insuficientes.

Pesquisas existentes sobre ataques de escuta contra SemCom demonstraram que atacantes podem recuperar informações da fonte mesmo em baixas Relações Sinal-Ruído (SNR). No entanto, os modelos de ataque atuais sofrem de duas limitações críticas:

1. Configuração Fixa: Eles dependem de solucionadores artesanais com configurações rígidas, adaptadas a condições de canal específicas.
2. Dependência de CSI: Eles frequentemente assumem que o eavesdropper possui Informações de Estado do Canal (CSI) instantâneas do canal de escuta. Em cenários práticos, um eavesdropper (Eve) pode conhecer apenas a distribuição estatística do canal, e não o estado instantâneo.

Permanece incerto se um eavesdropper "agnóstico a CSI" ainda pode causar vazamento grave de privacidade, potencialmente levando futuros designs seguros de SemCom a negligenciar riscos significativos.

Metodologia: Framework de Escuta Agêntico
Para abordar essas limitações, os autores propõem um eavesdropper agêntico orquestrado por LLM. Este framework reformula o ataque de escuta de um problema de otimização estático para um processo de tomada de decisão em malha fechada e sequencial, impulsionado por três agentes especializados:

1. Agente de Otimização:

   • Função: Realiza a inversão conjunta semântica e de canal para recuperar informações privadas de sinais interceptados sem exigir CSI instantânea do canal de escuta.
   • Mecanismo: Gerencia múltiplas "sessões" (trajetórias) independentes e retomáveis para resolver o problema inverso bilinear. Utiliza três modos de atualização: Apenas Imagem, Apenas Canal e Conjunto.
   • Adaptatividade: Com base nos resíduos de sinal e no feedback, o agente pode continuar uma sessão, alternar modos de atualização, reverter para checkpoints anteriores ou encerrar sessões estagnadas e ramificar-se (inspirado no paradigma "árvore de pensamentos") para escapar de mínimos locais pobres.

2. Agente de Percepção:

   • Função: Avalia a qualidade e a plausibilidade semântica de reconstruções intermediárias sem acesso à imagem fonte real (ground-truth).
   • Mecanismo: Emprega uma abordagem de Mistura de Especialistas (MoE) combinando:
     • Avaliação de Qualidade de Imagem sem Referência (NR-IQA): Ferramentas como NIQE e TOPIQ-NR para estimativa rápida de qualidade sem gradiente.
     • LLM Multimodal: Um especialista em compreensão visual que inspeciona a imagem quanto à coerência semântica (por exemplo, presença de um rosto, completude de características, ausência de artefatos) e gera evidências estruturadas em formato JSON.
   • Feedback: Funde essas pontuações para fornecer uma "pontuação de percepção" que guia o agente de otimização na seleção de candidatos promissores.

3. Agente de Refinamento:

   • Função: Aprimora candidatos promissores, mas degradados, usando priores generativos externos, mantendo a consistência com o sinal interceptado.
   • Mecanismo: Utiliza o LLM multimodal para gerar uma descrição estruturada dos atributos visuais do candidato. Essa descrição forma um "prompt de restauração" para um modelo generativo (por exemplo, variantes do Stable Diffusion) para produzir um candidato fotorealista.
   • Verificação de Consistência: O candidato refinado não é aceito imediatamente. Ele é enviado de volta ao agente de otimização para "inicialização quente" de uma nova sessão. O agente verifica se a imagem refinada permanece consistente com o sinal interceptado (baixo resíduo) e semanticamente válida. Se o gerador alucinar conteúdo não presente no sinal, a sessão é revertida.

Principais Contribuições

• Paradigma de Ataque Agêntico: O artigo introduz o primeiro framework de escuta agêntico para SemCom, avançando além de solucionadores fixos para um modelo de ataque adaptativo baseado em raciocínio.
• Capacidade Agnóstica a CSI: O framework é projetado para operar efetivamente sem CSI instantânea do canal de escuta, dependendo em vez disso de conhecimento estatístico do canal e otimização adaptativa.
• Fluxo de Trabalho em Malha Fechada: A integração de otimização, percepção (usando LLMs como juízes) e refinamento (usando priores generativos) cria um loop robusto que equilibra fidelidade de sinal com realismo semântico.
• Avaliação de Risco de Privacidade: O estudo fornece uma avaliação rigorosa do vazamento de privacidade sob restrições práticas, desafiando a suposição de que a falta de CSI instantânea protege os sistemas SemCom.

Resultados de Simulação
O framework foi avaliado no conjunto de dados FFHQ sobre um canal de desvanecimento Rayleigh MIMO 2x2 com SNR variando de 0 a 20 dB.

• Desempenho: O eavesdropper agêntico proposto alcançou uma Taxa de Sucesso de Escuta de Privacidade Facial (FPESR) superior a 75% em SNR ≥ 5 dB, mesmo sem CSI de escuta.
• Comparação: Superou significativamente as linhas de base de Ataques de Inversão de Modelo (MIA) de caixa de vidro (com e sem CSI). Enquanto as linhas de base MIA lutaram para recuperar rostos reconhecíveis em SNR baixo (0 dB), a abordagem agêntica alcançou 30–50% de FPESR.
• Qualidade Visual: Em SNR = 5 dB, o eavesdropper agêntico reconstruiu rostos com alta precisão de identidade, pose e atributos, correspondendo estreitamente ao receptor legítimo (Bob). Em contraste, a MIA convencional produziu imagens ruidosas e distorcidas, e uma ablação apenas generativa (sem controle agêntico) introduziu conteúdo alucinado que se desviava da identidade da fonte.
• Robustez: A abordagem agêntica sem CSI quase igualou o desempenho de sua contraparte consciente de CSI, demonstrando que o loop de controle adaptativo compensa efetivamente a falta de informações de canal instantâneas.

Significado e Alegações
O artigo alega que o eavesdropper agêntico proposto revela uma ameaça grave e previamente negligenciada à privacidade na Comunicação Semântica. Ao demonstrar que um atacante pode alcançar recuperação de alta fidelidade sem CSI instantâneo, os autores argumentam que futuros designs seguros de SemCom não podem confiar na suposição de que a incerteza do canal ou a falta de CSI instantâneo fornecem proteção suficiente. O trabalho sublinha a necessidade de novos mecanismos de defesa que levem em conta adversários agênticos e baseados em raciocínio, capazes de aproveitar priores generativos e otimização adaptativa.