[论文解读] Hacking the Waveform: Generalized Wireless Adversarial Deep Learning

Francesco Restuccia, Salvatore D’Oro+5 more|arXiv (Cornell University)|May 5, 2020

Wireless Signal Modulation Classification参考文献 28被引用 5

一句话总结

该论文提出了一种黑箱对抗性攻击框架——FIRNet，通过生成可规避检测且保持低失真的扰动波形，来操纵无线深度学习分类器。该方法在真实软件定义无线电（SDR）测试平台上实现了高达97%的欺骗率，证明了尽管存在信道畸变和解码约束，对抗性攻击在实际无线环境中依然极为有效。

ABSTRACT

This paper advances the state of the art by proposing the first comprehensive analysis and experimental evaluation of adversarial learning attacks to wireless deep learning systems. We postulate a series of adversarial attacks, and formulate a Generalized Wireless Adversarial Machine Learning Problem (GWAP) where we analyze the combined effect of the wireless channel and the adversarial waveform on the efficacy of the attacks. We propose a new neural network architecture called FIRNet, which can be trained to "hack" a classifier based only on its output. We extensively evaluate the performance on (i) a 1,000-device radio fingerprinting dataset, and (ii) a 24-class modulation dataset. Results obtained with several channel conditions show that our algorithms can decrease the classifier accuracy up to 3x. We also experimentally evaluate FIRNet on a radio testbed, and show that our data-driven blackbox approach can confuse the classifier up to 97% while keeping the waveform distortion to a minimum.

研究动机与目标

• 研究对抗性机器学习（AML）在真实无线环境中应用的可行性与影响，其中信道动态特性和波形可解码性对攻击构成约束。
• 通过建模无线信道条件与对抗性波形扰动对分类器鲁棒性的联合影响，弥补现有AML研究的空白。
• 开发一种数据驱动的黑箱攻击方法，仅通过输出反馈即可操纵深度学习分类器，无需访问模型内部参数。
• 利用软件定义无线电（SDR）测试平台，在真实硬件条件下验证所提攻击的有效性。

提出的方法

• 提出广义无线对抗性机器学习问题（GWAP），联合建模无线信道与对抗性波形扰动，以评估攻击有效性。
• 提出FIRNet，一种仅含单个FIR层的神经网络架构，通过仅从分类器输出logits反向传播，学习生成对抗性I/Q样本。
• 采用黑箱优化策略，攻击者仅使用分类器的预测得分训练FIRNet，实现无需模型访问的攻击。
• 采用基于目标类别概率与对抗性预测之间交叉熵的损失函数，并引入L2正则化以限制波形失真。
• 使用配备64个全向天线、在2.4–2.5 GHz和4.9–5.9 GHz频段运行的SDR测试平台，评估实际性能。
• 对基于TNN的无线电指纹识别系统实施定向攻击，该系统基于5台相同USRP N210无线电的640个I/Q样本进行训练，输入为6个OFDM符号。

实验结果

研究问题

• RQ1 尽管存在时变信道和解码约束，对抗性机器学习攻击是否能在真实无线环境中成功实施？
• RQ2 信道效应与波形失真如何共同影响无线深度学习分类器上对抗性攻击的成功率？
• RQ3 黑箱攻击者在仅依赖输出反馈、不了解模型内部结构的情况下，能在多大程度上操纵无线分类器？
• RQ4 在实际SDR部署中，对抗性波形合成可实现的最大欺骗率是多少？与简单重放攻击相比表现如何？

主要发现

• 所提出的FIRNet攻击在真实SDR测试平台上实现了97%的欺骗率，显著优于简单重放攻击的30%欺骗率。
• 当ε = 10且FIR抽头数为20时，FIRNet将欺骗率提升至97%，较基线重放攻击提高了60个百分点。
• 即使失真极低（平均FIR抽头值低于1），FIRNet仍能通过微妙调整幅度成功操纵分类器，同时保持相位和解码完整性。
• 该攻击在多种信道条件下均保持有效，证明对抗性扰动可经受无线传播影响，仍能误导深度学习分类器。
• 实验表明，增大ε值及FIR抽头数量可显著提升攻击成功率，证实二者在对抗性波形设计中的关键作用。
• 波形分析表明，修改仅限于幅度，且幅度变化微小，有效保留了OOK调制特性，未导致误码率（BER）上升。