⚡ electrical engineering

Attack Detection using Time Series Foundation Models

本文提出了一种用于网络物理系统的无模型攻击检测与缓解框架，该框架利用 TimesFM 时间序列基础模型作为零样本代理残差生成器，从而在无需了解底层受控对象动力学的情况下，有效地识别重放攻击和隐蔽攻击。

原作者： Sribalaji C. Anand, Anh Tung Nguyen, George J. Pappas

发布于 2026-06-05

📖 1 分钟阅读☕ 轻松阅读

原作者： Sribalaji C. Anand, Anh Tung Nguyen, George J. Pappas

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，一个偏远的发电厂或工厂正通过互联网向控制室的操作员发送持续的数据流（如温度、速度或电压）。操作员的工作就是观察这些数据，以确保一切运行正常。

问题在于，黑客可以拦截这个互联网连接。他们要么可以记录数据并在稍后回放（“重放攻击”），以此来掩盖机器实际上正在损坏的事实；或者通过数学手段微调数值（“隐蔽攻击”），使机器在遭受破坏时看起来依然运行良好。

传统上，为了抓住这些黑客，操作员需要一个完美的“蓝图”（即机器应该如何运行的数学模型）。如果黑客也掌握了这个蓝图，他们就能欺骗操作员的报警系统。

这篇论文提出了一种全新的解决方案，它完全不需要蓝图。相反，它使用了一个名为 TimesFM 的超级智能 AI（由 Google 开发），该 AI 已经阅读了来自世界各地的数十亿个时间序列模式。

以下是他们方法的详细拆解，使用了简单的类比：

1. 两层安全防护（瑞士奶酪模型）

把安全防护想象成一块瑞士奶酪。

第一层（传统的守卫）： 这是标准的报警系统。它知道机器的蓝图。如果数值与蓝图不符，它就会大声尖叫：“警报！”
- 弱点： 如果黑客知道了蓝图，他们就可以编写一个“魔法咒语”（隐蔽攻击），让数值看起来完美无缺，从而瞒过这个守卫，即便机器正在被摧毁。
第二层（新的 AI 守卫 —— TimesFM）： 这是论文中的新发明。这个守卫并不了解蓝图。它以前从未见过这台特定的机器。相反，它表现得像一个超级天气预报员。它观察近期数据的历史情况，然后说：“根据我见过的数十亿种模式，下一个数字应该是这个。”

2. AI 捕捉器是如何工作的

AI 守卫通过三个简单的步骤工作：

热身： 它观察数据一段时间，以感受其中的节奏。
预测： 它猜测下一个数字应该是多少。
“惊喜”测试： 它将机器发送的实际数值与它的猜测进行对比。
- 如果机器是诚实的，猜测与现实会非常接近（就像天气预报大多是准确的一样）。
- 如果黑客在伪造数据，那个能骗过“蓝图守卫”的“魔法咒语”在 AI 看来会显得很诡异。AI 的猜测会与黑客的假数值完全不同，从而触发警报。

3. 他们抓住了两种类型的黑客

研究人员针对两类坏人进行了测试：

记录者（重放攻击）： 想象一个黑客录制了一段平静河流的视频并循环播放，而真实的河流其实正在发生洪水。蓝图守卫可能会被骗，因为视频看起来很正常。但 AI 守卫通过观察整个系统的上下文，会意识到：“等等，风很大，但河流视频里却没有波浪。这是假的！”
数学巫师（隐蔽攻击）： 这个黑客完美掌握了蓝图守卫的数学逻辑，并对数值进行了微调，使其刚好能通过测试。然而，由于 AI 守卫并不使用相同的数学逻辑，它不会被这种诡计所迷惑。AI 守卫会发现，这个模式与数据历史的“故事线”不符，从而发出警报。

4. “神奇备份”（缓解措施）

论文还发现了一个很酷的副作用。如果黑客对传感器的破坏严重到操作员无法信任真实数据，AI 守卫实际上可以猜出真实数据应该是多少。

类比： 想象你汽车的速度表坏了，卡在 0 mph。普通的修理工会束手无策。但这个 AI 就像一名乘客，他知道根据发动机噪音和路况，你的车应该开多快。它可以填补缺失的信息，让驾驶员能够安全行驶。

5. 结果

研究人员在真实的电网模拟系统（IEEE 14 节点系统）上进行了测试。

蓝图守卫经常无法抓住“数学巫师”类的黑客，因为黑客太擅长遵循规则了。
AI 守卫几乎抓住了所有的黑客，即使是那些旨在对蓝图守卫隐形的黑客也能被识破。
此外，当系统存在噪声或传感器损坏时，它依然表现出色。

核心结论

这篇论文表明，你不需要了解一台机器的秘密蓝图也能保护它。通过使用一种理解数据随时间如何“流动”的通用型 AI，你可以识别出那些试图隐藏在众目睽睽之下的黑客。这就像雇佣了一名侦探，他虽然不知道嫌疑人的不在场证明，但由于他极其擅长发现故事中的矛盾之处，任何谎言在他面前都会瞬间崩塌。

技术摘要：基于时间序列基础模型的攻击检测

问题陈述

本文解决了在网络物理系统（CPS）中检测网络攻击的挑战，在这种场景下，操作员对受控对象模型（包括其结构和参数）一无所知。该场景涉及一个远程位置的受控对象，通过一个易受篡改的网络传输传感器测量数据。作者重点研究了两类特定的攻击：

无模型重放攻击（Model-free replay attacks）： 攻击者重放记录的合法数据（例如 Stuxnet 式攻击），这类攻击不需要任何系统知识。
基于模型的隐蔽攻击（Model-based stealthy attacks）： 拥有完整系统知识的攻击者设计输入，旨在最大限度地偏置状态估计，同时确保不被主要的基于模型的 $\chi^2$ 检测器发现。

核心研究问题在于，时间序列基础模型是否可以作为一种“无模型结构”的二级检测器 ( $g_s$ )，用以识别这些攻击，包括那些专门设计用于规避传统基于模型检测器 ( $g_p$ ) 的攻击。

方法论

1. 最优隐蔽攻击构建

为了建立严谨的基准，作者首先推导了针对主要 $\chi^2$ 检测器的最优隐蔽攻击策略的闭式表达式。

线性时不变（LTI）系统： 对于使用静态观测器（如 Luenberger 或稳态卡尔曼滤波器）的系统，作者推导出了攻击向量，该向量在满足检测统计量以特定概率保持在阈值以下的约束条件下，实现了估计误差的最大化。
非线性系统： 对于使用扩展卡尔曼滤波器（EKF）的系统，作者利用偏差动力学的一阶线性化方法，推导出了一个近似闭式解。
核心见解： 这些推导出的攻击在数学上保证了对主要基于模型的检测器 ( $g_p$ ) 是隐蔽的，前提是攻击者拥有完整的模型知识。

2. 基于 TimesFM 的检测算法

提出的解决方案使用由 Google Research 开发的时间序列基础模型 TimesFM 来替代基于模型的残差生成器。

零样本运行（Zero-Shot Operation）： TimesFM 无需针对特定植物数据进行任何训练、微调或重训练即可运行。它利用了在数十亿个多样化时间序列数据点上的预训练成果。
代理残差生成： 该算法将 TimesFM 的预测视为系统预期行为的代理。残差定义为实际（可能被篡改的）传感器测量值与 TimesFM 预测值之间的差异。
检测统计量： 对这些预测残差应用 $\chi^2$ 测试。
缓解机制： 一旦检测到攻击，算法可以将受损的测量值替换为 TimesFM 的点预测值，以维持状态估计，从而在经典传感器冗余假设失效时，充当冗余替代方案。

算法工作流：

预热（Warmup）： TimesFM 观察一段过去的数据窗口以形成预测。
协方差估计： 使用一段干净的数据窗口来估计标称运行状态下预测残差的协方差。
在线检测： 计算 $\chi^2$ 统计量。如果触发警报，则不会使用受损的测量值更新缓冲区，以防止污染未来的预测。

核心贡献

闭式最优攻击策略： 本文提供了针对 $\chi^2$ 检测器（假设攻击者拥有完整模型知识）的 LTI 和非线性系统最优隐蔽攻击的首次闭式表达式。
无模型结构的检测： 作者提出并验证了一种基于 TimesFM 的检测器，该检测器不需要显式的系统模型。该检测器以零样本方式运行，这使其区别于需要针对特定任务进行训练和超参数调优的传统数据驱动方法。
对隐蔽攻击的鲁棒性： 本文证明，设计为对基于模型的检测器完全隐蔽的攻击，能被 TimesFM 检测器可靠地检测到。这归功于 TimesFM 缺乏模型基于攻击者所利用的特定“创新结构（innovation structure）”。
通过预测进行缓解： 研究实证表明，TimesFM 的预测可以替代受损的测量值，即使在传感器冗余数量违反标准可观测性假设（例如 $N-2M$ 个传感器）的情况下，也能实现鲁棒的状态估计。

实验结果

所提方法的有效性在两个系统上得到了验证：

1. 无阻尼弹簧-质量系统（线性）

重放攻击： TimesFM 检测器实现了 0.5% 的误报率（对比基于观测器的检测器为 2.8%），并在整个攻击过程中保持持续检测；而基于观测器的检测器报警是间歇性的，且无法与噪声区分。
隐蔽攻击： 使用定理 1 构建的攻击无法被基于 EKF 的检测器检测到（误报率保持在标称水平），但被 TimesFM 持续检测到。
单传感器攻击： 在唯一可用的传感器被破坏（违反了标准冗余）的情景下，受 TimesFM 保护的观测器比未受保护的观测器实现了显著更低的状态重建误差。
自适应攻击者： 面对使用 SPSA 同时规避两种检测器的自适应攻击者，由于存在 TimesFM 检测器，攻击者的影响比仅针对基于模型的检测器时降低了 91 倍。

2. IEEE 14 节点电力系统（非线性）

设置： 一个包含 14 个节点和 20 条输电线路的非线性摆动方程模型。
重放攻击： TimesFM 在整个攻击期间持续发出警报。基于 EKF 的检测器仅在攻击初始阶段检测到攻击，随后重放的数据在基于模型的残差中变得与标称行为难以区分。
隐蔽攻击： 使用定理 2 中的非线性攻击策略，EKF 检测器未发出任何警报。相比之下，TimesFM 在所有试验中都检测到了攻击。
统计有效性： Shapiro-Wilk 检验确认了标称运行下的预测残差近似服从高斯分布，从而证明了使用 $\chi^2$ 统计量的合理性。

意义与主张

作者将这项工作定位为 CPS 安全领域**纵深防御（defense-in-depth）**的重要一步。通过将 TimesFM 检测器构想为“第二层防御”（受瑞士奶酪模型启发），本文认为：

无模型优势： 与依赖显式系统模型的传统检测器不同，TimesFM 由于缺乏闭式创新的结构，使得基于模型的攻击者本质上更难构建隐蔽攻击。
即插即用能力： TimesFM 的零样本特性消除了重新训练或系统辨识的需求，使其成为处理模型知识缺失或不可靠的通用非线性系统的实用解决方案。
超越检测： 本文声称基础模型可以承担双重角色：不仅是检测器，也是在传感器冗余受损时恢复状态估计的实用缓解工具。

本文得出结论，据作者所知，这是首个提出基于基础模型、无模型结构、且具备零样本能力的检测器，能够处理噪声环境下既有的重放攻击和基于模型的隐蔽攻击的工作。