[논문 리뷰] Over-the-Air Adversarial Attacks on Deep Learning Based Modulation Classifier over Wireless Channels

Brian Kim, Yalin E. Sagduyu외 3명|arXiv (Cornell University)|2020. 02. 05.

Adversarial Robustness in Machine Learning참고 문헌 18인용 수 8

한 줄 요약

이 논문은 레이일라이트 fading, 경로 손실, 그리고 쉐이딩을 고려한 무선 시스템 내 딥 러닝 기반 변조 분류기에서 현실적인 오어어웨이(adversarial) 공격을 제안한다. 제한된 지식 조건에서도 공격적 변형이 분류 정확도를 크게 떨어뜨릴 수 있음을 입증하여, DNN 기반 변조 분류기가 현실적인 채널 조건 하에서 취약함을 보여준다.

ABSTRACT

We consider a wireless communication system that consists of a transmitter, a receiver, and an adversary. The transmitter transmits signals with different modulation types, while the receiver classifies its received signals to modulation types using a deep learning-based classifier. In the meantime, the adversary makes over-the-air transmissions that are received as superimposed with the transmitter's signals to fool the classifier at the receiver into making errors. While this evasion attack has received growing interest recently, the channel effects from the adversary to the receiver have been ignored so far such that the previous attack mechanisms cannot be applied under realistic channel effects. In this paper, we present how to launch a realistic evasion attack by considering channels from the adversary to the receiver. Our results show that modulation classification is vulnerable to an adversarial attack over a wireless channel that is modeled as Rayleigh fading with path loss and shadowing. We present various adversarial attacks with respect to availability of information about channel, transmitter input, and classifier architecture. First, we present two types of adversarial attacks, namely a targeted attack (with minimum power) and non-targeted attack that aims to change the classification to a target label or to any other label other than the true label, respectively. Both are white-box attacks that are transmitter input-specific and use channel information. Then we introduce an algorithm to generate adversarial attacks using limited channel information where the adversary only knows the channel distribution. Finally, we present a black-box universal adversarial perturbation (UAP) attack where the adversary has limited knowledge about both channel and transmitter input.

연구 동기 및 목표

• 실제 무선 환경에서의 페이딩과 경로 손실을 고려할 때 딥 러닝 기반 변조 분류기의 취약성을 조사하는 것.
• 이전 연구에서 忽略한 공격자에서 수신기까지의 채널 영향을 반영한 공격을 설계하는 것.
• 지식 수준에 따라 공격 성능을 평가하는 것: 화이트박스(채널 및 입력 정보 전부), 제한된 채널 지식, 블랙박스(일반화된 공격적 변형).
• 다양한 채널 및 입력 조건에서 일반화된 공격적 변형(UAP)의 전이 성능를 입증하는 것.
• 제한된 정보 조건에서도 실제 무선 환경에서 분류 정확도를 크게 떨어뜨릴 수 있음을 보여주는 것.

제안 방법

• 채널 상태 정보와 송신기 입력을 이용해 공격적 변형의 전력 소모를 최소화하는 타겟 및 비타겟 화이트박스 공격을 제안한다.
• 전력 제약 하에서 공격적 변형을 최적화하기 위해 최소 수신 전력 투영(MRPP) 방법을 도입한다.
• 순간적인 채널 상태 정보가 아닌 채널 분포 지식만을 사용해 공격를 생성하는 방법을 개발한다.
• 대상 DNN 및 입력에 대한 지식이 없이도 공격적 변형을 생성하기 위해 대체 DNN을 사용하는 블랙박스 일반화된 공격적 변형(UAP) 공격을 설계한다.
• MMSE 기반 공격 설정에서 정규화 파rameter λ를 최적화하기 위해 선형 탐색을 사용한다.
• VT-CNN2를 변조 분류기로 사용하고, RML2016.10a 데이터셋에서 다양한 SNR 수준에서 11종류의 변조 방식으로 훈련한다.

실험 결과

연구 질문

• RQ1 실제 무선 채널 효과(레이일라이트 페이딩, 경로 손실, 쉐이딩)를 고려할 때, 공격적 변형이 딥 러닝 기반 변조 분류기의 성능을 효과적으로 떨어뜨릴 수 있는가?
• RQ2 채널 상태 정보와 송신기 입력의 가용성이 공격 성공률과 전력 효율성에 어떤 영향을 미치는가?
• RQ3 무선 환경에서 다양한 채널 상태와 입력 신호 간에 일반화된 공격적 변형(UAP)의 전이 가능성은 어느 정도인가?
• RQ4 채널 상태 정보가 분포 수준 이외의 정보가 없을 경우에도 효과적인 공격가능성이 유지되는가, 그리고 전체 지식 조건과 비교해 볼 때 어떻게 다른가?
• RQ5 실제 채널 조건 하에서 비타겟 공격과 타겟 공격의 성능를 성공률 및 계산 복잡도 측면에서 비교하면 어떻게 되는가?

주요 결과

• 이전 연구에서 AWGN만을 고려한 화이트박스 공격는 현실적인 페이딩 채널에서는 실패한다. 채널 영향으로 인해 공격적 변형이 왜곡되고 영향력이 감소하기 때문이다.
• 제안된 타겟 MRPP 공격는 채널 역전치 공격보다 우수하며, 수신기에서의 수신 전력을 최적화함으로써 더 높은 오분류율을 달성한다.
• 비타겟 MRPP 공격는 방향성 자유도가 더 높아 공격 설계에서 더 효과적인 오분류를 가능하게 하므로 타겟 공격보다 성능이 뛰어나다.
• 40개의 사전 수집된 입력과 전체 채널 지식을 갖춘 UAP는 고 PNR 영역에서 타겟 채널 역전치 공격조차도 능가한다. 이는 UAP의 강력한 성능을 입증한다.
• 제한된 채널 지식을 갖춘 UAP와 블랙박스 UAP는 유사한 성능를 보이며, 다양한 채널 및 입력 조건에서 공격적 예측의 강력한 전이성을 시사한다.
• 분류기 정확도는 공격 시 크게 떨어진다. 예를 들어 그림 1에서 [10]의 공격(단지 AWGN만 고려)은 공격이 없을 경우와 거의 유사한 성능를 보이며, 제안된 공격은 현실적인 채널 조건 하에서 심각한 성능 저하를 유도한다.