When Eavesdroppers Reason: Agentic Eavesdropping Attacks on Semantic Communication

技术摘要：窃听者如何推理：语义通信中的代理窃听攻击

问题陈述
语义通信（SemCom）通过传输任务相关的语义信息而非原始比特，为 6G 网络带来了显著的效率提升。然而，其典型的端到端联合信源信道编码（JSCC）架构造成了严重的隐私漏洞。与传统系统中可行的比特级加密不同，语义通信连续且无量化的特性使得直接加密变得困难。此外，依赖合法链路与窃听链路之间信道优势的常规物理层安全（PLS）方法可能不足以应对此类威胁。

现有针对语义通信的窃听攻击研究表明，攻击者即使在低信噪比（SNR）下也能恢复源信息。然而，当前的攻击模型存在两个关键局限性：

1. 固定配置：它们依赖于针对特定信道条件量身定制的手工求解器，配置僵化。
2. 信道状态信息（CSI）依赖：它们通常假设窃听者拥有窃听信道的瞬时信道状态信息（CSI）。在实际场景中，窃听者（Eve）可能仅知晓信道的统计分布，而非瞬时状态。

目前尚不清楚“无 CSI 感知”的窃听者是否仍会造成严重的隐私泄露，这可能导致未来的安全语义通信设计忽视重大风险。

方法论：代理窃听框架
为解决上述局限性，作者提出了一种由大语言模型（LLM）编排的代理窃听者。该框架将窃听攻击从静态优化问题重构为由三个专用代理驱动的闭环顺序决策过程：

1. 优化代理：

   • 角色：执行联合语义与信道反演，从截获信号中恢复隐私信息，无需瞬时窃听信道 CSI。
   • 机制：它管理多个独立的、可恢复的“会话”（轨迹）以解决双线性逆问题。它利用三种更新模式：仅图像、仅信道和联合。
   • 适应性：基于信号残差和反馈，该代理可以延续会话、切换更新模式、回滚至先前的检查点，或终止停滞的会话并分支（受“思维树”范式启发），以逃离不良的局部极小值。

2. 感知代理：

   • 角色：在无法访问真实源图像的情况下，评估中间重建结果的质量与语义合理性。
   • 机制：它采用混合专家（MoE）方法，结合：
     • 无参考图像质量评估（NR-IQA）：利用 NIQE 和 TOPIQ-NR 等工具进行快速、无梯度的质量估计。
     • 多模态大语言模型：作为视觉理解专家，检查图像的语义连贯性（例如：是否存在人脸、特征是否完整、是否无伪影），并以 JSON 格式输出结构化证据。
   • 反馈：它融合这些分数以提供“感知分数”，指导优化代理选择有希望的候选项。

3. 细化代理：

   • 角色：利用外部生成先验增强有希望但已退化的候选项，同时保持与截获信号的一致性。
   • 机制：它使用多模态大语言模型生成候选项视觉属性的结构化描述。该描述构成生成模型（例如 Stable Diffusion 变体）的“修复提示”，以生成逼真的候选图像。
   • 一致性检查：细化后的候选项不会立即被接受。它会被反馈给优化代理以“热启动”新会话。代理验证细化后的图像是否与截获信号保持一致（低残差）且在语义上有效。如果生成器幻觉出信号中不存在的内容，则该会话将被回滚。

主要贡献

• 代理攻击范式：本文首次提出了针对语义通信的代理窃听框架，超越了固定求解器，转向基于自适应推理的攻击模型。
• 无 CSI 感知能力：该框架设计为无需瞬时窃听信道 CSI 即可有效运行，转而依赖统计信道知识和自适应优化。
• 闭环工作流：优化、感知（利用大语言模型作为评判者）与细化（利用生成先验）的集成，构建了一个稳健的循环，在信号保真度与语义真实性之间取得平衡。
• 隐私风险评估：本研究在实践约束下对隐私泄露进行了严格评估，挑战了“缺乏瞬时 CSI 可保护语义通信系统”的假设。

仿真结果
该框架在 FFHQ 数据集上进行了评估，信道模型为 2x2 MIMO 瑞利衰落信道，信噪比（SNR）范围为 0 至 20 dB。

• 性能：所提出的代理窃听者在 SNR ≥ 5 dB 时，即使没有窃听信道 CSI，也实现了超过 75% 的人脸隐私窃听成功率（FPESR）。
• 对比：其表现显著优于黑盒模型反演攻击（MIA）基线（无论是否具备 CSI）。虽然 MIA 基线在低信噪比（0 dB）下难以恢复可识别人脸，但代理方法实现了 30–50% 的 FPESR。
• 视觉质量：在 SNR = 5 dB 时，代理窃听者重建的人脸在身份、姿态和属性准确性上均表现优异，与合法接收者（Bob）的结果高度吻合。相比之下，传统的 MIA 产生了噪声大、失真的图像，而仅使用生成器的消融实验（无代理控制）则引入了偏离源身份的幻觉内容。
• 鲁棒性：无 CSI 的代理方法几乎达到了其具备 CSI 感知能力的对应版本的性能，证明了自适应控制环有效地补偿了瞬时信道信息的缺失。

意义与主张
本文声称，所提出的代理窃听者揭示了语义通信中一种严重且此前被忽视的隐私威胁。通过证明攻击者可以在没有瞬时 CSI 的情况下实现高保真恢复，作者指出，未来的安全语义通信设计不能依赖“信道不确定性或缺乏瞬时 CSI 能提供充分保护”这一假设。这项工作强调了开发新防御机制的必要性，以应对能够利用生成先验和自适应优化的、具备推理能力的代理型对手。