[論文レビュー] Channel-Aware Adversarial Attacks Against Deep Learning-Based Wireless Signal Classifiers

Brian Kim, Yalin E. Sagduyu+3 more|arXiv (Cornell University)|May 11, 2020

Wireless Signal Modulation Classification参考文献 49被引用数 33

ひとこと要約

本論文は、チャネルを意識したオーバー・ザ・エアの敵対的攻撃を変調分類器に対して実証し、broadcast perturbation attack を導入するとともに、randomized smoothing と certified guarantees による防御を提案する。

ABSTRACT

This paper presents channel-aware adversarial attacks against deep learning-based wireless signal classifiers. There is a transmitter that transmits signals with different modulation types. A deep neural network is used at each receiver to classify its over-the-air received signals to modulation types. In the meantime, an adversary transmits an adversarial perturbation (subject to a power budget) to fool receivers into making errors in classifying signals that are received as superpositions of transmitted signals and adversarial perturbations. First, these evasion attacks are shown to fail when channels are not considered in designing adversarial perturbations. Then, realistic attacks are presented by considering channel effects from the adversary to each receiver. After showing that a channel-aware attack is selective (i.e., it affects only the receiver whose channel is considered in the perturbation design), a broadcast adversarial attack is presented by crafting a common adversarial perturbation to simultaneously fool classifiers at different receivers. The major vulnerability of modulation classifiers to over-the-air adversarial attacks is shown by accounting for different levels of information available about the channel, the transmitter input, and the classifier model. Finally, a certified defense based on randomized smoothing that augments training data with noise is introduced to make the modulation classifier robust to adversarial perturbations.

研究の動機と目的

• 無線システムにおけるDNNベースの変調分類器に対する敵対的脅威を動機づけ、モデル化する。
• 送信機から受信機、および敵対者から受信機へのチャネル効果を考慮した、チャネル対応型のwhite-boxおよびblack-box敵対的攻撃戦略を開発する。
• 単一の摂動で複数の受信機を誤らせるbroadcast attacksを探究する。
• over-the-airな敵対的摂動を緩和するための防御メカニズムを提案する。randomized smoothingとcertified robustnessを含む。

提案手法

• 単一アンテナチャネルを持つ送信機、複数の受信機、敵対者をモデル化し、それぞれの受信機でDNNベースの変調分類器に対してオーバー・ザ・エア攻撃を実行する。
• 電力制約の下で誤分類を引き起こすよう、ターゲット型および非ターゲット型の両方の、チャネル対応型敵対的摂動を定式化する。
• 正確なチャネル情報を用いたwhite-box設定の下で、Channel Inversion、MMSE、MRPPなどのターゲット型チャネル対応型攻撃を開発する。
• 正確なチャネル情報を用いたwhite-box設定の下で、Naive、MMSE、MRPPなどの非ターゲット型チャネル対応型攻撃を開発する。
• wireless channelsの放送特性を活用して、複数受信機の分類器を同時に欺くようなbroadcast adversarial perturbation設計を導入する。
• PCAおよび他の次元削減技術を用いて限定的なチャネル情報の下で攻撃を拡張し、ユニバーサル摂動を用いたblack-box設定へ適用する。
• Gaussianノイズで訓練を拡張し、認定された頑健性を提供するために、randomized smoothingに基づく防御戦略を提案する。

実験結果

リサーチクエスチョン

• RQ1 敵対者から各受信機へのチャネル効果は、変調分類のための敵対的摂動の設計と有効性にどのような影響を与えるか。
• RQ2 無線放送の性質を活用して、共通の摂動を設計して複数の受信機を同時に欺くことができるか。
• RQ3 white-boxおよび情報制約下で、チャネル対応型ターゲット型および非ターゲット型攻撃はどれくらい効果的か。
• RQ4 over-the-airの敵対的摂動を変調分類器から緩和する防御として、randomized smoothingやcertified robustnessを含むどのような防御が有効か。

主な発見

• チャネルを意識した攻撃は、チャネル効果を無視する攻撃と比較して、実用的な摂動パワーのときに特に、変調分類器の精度を大幅に低下させる。
• MRPP attacks（maximum received perturbation power）は、チャネル情報を利用して、多くの設定で他のターゲット型および非ターゲット型戦略を上回る。
• チャネル特異性は選択的な攻撃を生み出す：1つの受信機のために設計された摂動は、異なるチャネルを持つ他の受信機の分類器を誤らせることがしばしばできず、broadcast attackの設計を可能にする。
• joint channel informationを用いて設計されたbroadcast perturbationは、複数の受信機の分類器を同時に劣化させることができる。
• randomized smoothingベースの訓練は敵対的摂動に対する頑健性を高め、Gaussian augmentationの下で認定防御フレームワークは頑健性保証を提供する。