The energetic cost of mitigating AI attacks in cellular networks

想象一下，互联网就像一座巨大且繁忙的城市，数据是其中的交通流，而基站则是交通信号灯。多年来，这些交通信号灯都是“愚笨”的；它们只是遵循固定的时间表运行。但最近，工程师们为这些灯安装了“智能大脑”（称为人工智能或机器学习）。这些大脑能通过学习交通模式来让城市运行得更顺畅，从而节省能源并防止拥堵。这就是现代蜂窝网络所承诺的前景，特别是名为 O-RAN 的一种新型灵活系统，在该系统中，网络的各个部分可以相互通信，以做出即时、智能的决策。

然而，正如智能大脑可能会被欺骗一样，这些网络大脑也十分脆弱。如果坏人潜入其中，向大脑喂送一些“虚假”的交通报告，整个系统就会陷入混乱，做出糟糕的决策甚至导致崩溃。为了阻止这种情况，安全专家为这些 AI 大脑配备了“保镖”——这些程序旨在识别并剔除虚假数据，以免大脑从其上进行学习。但问题在于：这些保镖必须付出艰辛的努力。它们必须检查每一条数据，进行复杂的计算，并训练额外的模型以保持安全。直到现在，大家才开始问一个真正的问题：维持这些保镖值班需要消耗多少电池电量？如果安全系统耗尽了所有的能量，这是否会抵消拥有智能、高效网络原本的初衷？

这篇论文深入探讨了这样一个确切的问题。作者是一个研究团队，他们决定对一种特定的安全卫士——即一种“缓解技术”——进行测试，以观察运行它究竟需要多少能量成本。他们针对的是一种被称为“数据投毒”的攻击类型，即攻击者试图破坏 AI 的训练数据，并测试了一种名为“深度分区聚合”（DPA）的防御方法。可以将 DPA 想象成一支侦探团队：与其让一名侦探独自尝试解决整个案件，不如将数据分成许多个小组，并让不同的侦探负责解决每个小组。这样，即使少数侦探被坏人误导，诚实的多数派仍能得出正确的结论。

研究人员使用标准计算机硬件和常用的图像数据集（CIFAR-10）搭建了一个现实世界的实验，以此模拟这种场景。他们不仅仅是在猜测；他们实际测量了消耗的电量（以瓦特计）以及所需的时间。他们的发现揭示了一个微妙的权衡关系。虽然这个安全卫士（DPA）在阻止坏数据方面表现出色，但运行它的成本很大程度上取决于这个卫士是如何组织的。当他们使用适中的“侦探”数量（15 个分区）时，系统保持了安全，且能量成本在可控范围内。然而，当他们试图通过使用大量的侦探（500 个分区）来使系统变得“超级安全”时，能耗大幅飙升，比较小的设置多消耗了超过 200 瓦时的电量。

论文明确指出，攻击者发送的“虚假数据”量（即投毒率）并不会改变防御措施消耗的能量；无论攻击规模大小，系统的运作强度都是一样的。真正的能量损耗来自于防御机制本身的复杂性。作者得出结论，虽然这些安全措施是必要的，但网络设计者不能忽视能源账单。他们建议，我们需要找到一个“甜点位”（平衡点），既能保证网络足够安全以抵御攻击，又能足够高效以不浪费电力。这项研究并不声称已经解决了完美安全的难题，但它提供了一个清晰且经过实测的警告：如果你希望你的 AI 网络是安全的，你必须为此支付能量代价，而且如果你试图在没有周密计划的情况下过度增强其鲁棒性，这个价格标签会迅速攀升。