[論文レビュー] Is Semantic Communications Secure? A Tale of Multi-Domain Adversarial Attacks

Yalin E. Sagduyu, Tugba Erpek+2 more|arXiv (Cornell University)|Dec 20, 2022

Adversarial Robustness in Machine Learning被引用数 8

ひとこと要約

本稿では、自己符号化器を用いた深層学習ベースの意味通信システムを提案する。このシステムは、統合的ソース・チャネル符号化と意味タスク分類器を備えており、伝送中の意味の保持を目的としている。本研究では、入力画像（コンピュータビジョン分野）と無線信号（無線分野）の両方を同時に標的とするマルチドメイン敵対的攻撃が、低出力の摂動ですら意味的精度を著しく低下させることを示し、DNN駆動の意味通信における深刻なセキュリティ上の脆弱性を暴露した。

ABSTRACT

Semantic communications seeks to transfer information from a source while conveying a desired meaning to its destination. We model the transmitter-receiver functionalities as an autoencoder followed by a task classifier that evaluates the meaning of the information conveyed to the receiver. The autoencoder consists of an encoder at the transmitter to jointly model source coding, channel coding, and modulation, and a decoder at the receiver to jointly model demodulation, channel decoding and source decoding. By augmenting the reconstruction loss with a semantic loss, the two deep neural networks (DNNs) of this encoder-decoder pair are interactively trained with the DNN of the semantic task classifier. This approach effectively captures the latent feature space and reliably transfers compressed feature vectors with a small number of channel uses while keeping the semantic loss low. We identify the multi-domain security vulnerabilities of using the DNNs for semantic communications. Based on adversarial machine learning, we introduce test-time (targeted and non-targeted) adversarial attacks on the DNNs by manipulating their inputs at different stages of semantic communications. As a computer vision attack, small perturbations are injected to the images at the input of the transmitter's encoder. As a wireless attack, small perturbations signals are transmitted to interfere with the input of the receiver's decoder. By launching these stealth attacks individually or more effectively in a combined form as a multi-domain attack, we show that it is possible to change the semantics of the transferred information even when the reconstruction loss remains low. These multi-domain adversarial attacks pose as a serious threat to the semantics of information transfer (with larger impact than conventional jamming) and raise the need of defense methods for the safe adoption of semantic communications.

研究の動機と目的

• 深層学習ベースの意味通信システムに対する敵対的攻撃のセキュリティ上の脆弱性を調査すること。
• 入力データと無線伝送段階の両方を狙うマルチドメイン敵対的脅威を特定・分析すること。
• テスト時における敵対的攻撃（標的型および非標的型）が意味分類性能に与える有効性を評価すること。
• 低出力で隠れやすい敵対的摂動が、低い再構成誤差を維持しながらも顕著な意味的損失を引き起こすことを実証すること。
• 将来のO-RANおよびAI駆動通信システムにおける、こうした攻撃に対する防御メカニズムの緊急の必要性を強調すること。

提案手法

• DNNエンコーダ（統合的ソース・チャネル符号化／変調）とデコーダ（統合的デモジュレーション／チャネル・ソース復号）を備えた深層自己符号化器フレームワークを構築する。
• 意味の保持を評価するための別個のDNNベースの意味タスク分類器を統合し、分類器誤差に基づく意味損失を定義する。
• 再構成損失（例：MSE）と意味損失を組み合わせた複合損失関数を用いて、自己符号化器と意味分類器を同時に学習する。
• テスト時における敵対的攻撃を適用する：(1) 入力画像への微小な摂動（コンピュータビジョン攻撃）、および (2) 無線チャネルへの敵対的信号の注入（無線攻撃）。
• 送信機の入力と空中電波信号の両方に同時に摂動を加えることで、マルチドメイン攻撃を実施する。
• 信号対雑音比（SNR）および摂動対雑音比（PNR）を変化させながら、分類器の精度低下によって攻撃の成功度を評価する。

実験結果

リサーチクエスチョン

• RQ1 入力画像に摂動を加えるコンピュータビジョン分野の敵対的攻撃は、意味通信システムに対してどの程度有効か？
• RQ2 送信信号に摂動を注入する無線分野の敵対的攻撃は、どの程度有効か？
• RQ3 コンピュータビジョン分野と無線分野の両方からの敵対的攻撃（マルチドメイン攻撃）は、意味的精度にどのような影響を与えるか？
• RQ4 低出力の敵対的摂動は、低い再構成損失を維持しながらも、意味的性能を著しく低下させるか？
• RQ5 パワー効率および攻撃効果性の観点から、従来のガウスノイズジャミングと比較して、敵対的攻撃の性能はどのようになるか？

主な発見

• 入力画像と送信信号の両方を同時に摂動させるマルチドメイン敵対的攻撃が、最高の攻撃成功率を達成し、意味分類器の精度を顕著に低下させる。
• 低摂動出力（低PNR）であっても、マルチドメイン攻撃は意味的性能を急速に低下させ、高出力が必要な従来のガウスノイズジャミングを上回る。
• 無線分野における非標的型敵対的攻撃は、5 dB SNRで最小限のPNRで分類器精度を顕著に低下させ、高い隠れやすさと効率性を示している。
• コンピュータビジョン分野と無線分野の攻撃の組み合わせにより、全体的な敵対的効果が拡大し、単一ドメイン攻撃と比較して攻撃に必要なPNRが低減される。
• 再構成損失が低い（信号再構成が良好）にもかかわらず、意味損失が著しく増加しており、信号忠実度が保たれている間でも意味的整合性が損なわれていることが示された。
• 結果から、意味通信システムは、複数の通信ドメインにまたがるDNN処理の脆弱性を突く、隠れやすく低出力の敵対的操作に対して脆弱であることが明らかになった。