[论文解读] Spectrum Focused Frequency Adversarial Attacks for Automatic Modulation Classification

Sicheng Zhang, Jiarun Yu+3 more|arXiv (Cornell University)|Aug 3, 2022

Wireless Signal Modulation Classification被引用 8

一句话总结

本文提出频谱聚焦频域对抗攻击（SFFAA）与元- SFFAA，用于自动调制分类（AMC），通过将对抗能量集中于信号的频谱带内，实现频域隐蔽。与引入可检测高频分量的时间域攻击不同，SFFAA 在频域优化扰动，以提升攻击成功率并保持频谱隐蔽性，相比基线方法，其带外能量降低了100倍。

ABSTRACT

Artificial intelligence (AI) technology has provided a potential solution for automatic modulation recognition (AMC). Unfortunately, AI-based AMC models are vulnerable to adversarial examples, which seriously threatens the efficient, secure and trusted application of AI in AMC. This issue has attracted the attention of researchers. Various studies on adversarial attacks and defenses evolve in a spiral. However, the existing adversarial attack methods are all designed in the time domain. They introduce more high-frequency components in the frequency domain, due to abrupt updates in the time domain. For this issue, from the perspective of frequency domain, we propose a spectrum focused frequency adversarial attacks (SFFAA) for AMC model, and further draw on the idea of meta-learning, propose a Meta-SFFAA algorithm to improve the transferability in the black-box attacks. Extensive experiments, qualitative and quantitative metrics demonstrate that the proposed algorithm can concentrate the adversarial energy on the spectrum where the signal is located, significantly improve the adversarial attack performance while maintaining the concealment in the frequency domain.

研究动机与目标

• 解决基于AI的AMC模型因时间域扰动引入高频分量而在频域可检测的脆弱性问题。
• 设计一种频域对抗攻击，将对抗能量集中于信号的频谱带内，以增强隐蔽性。
• 通过将元学习集成到SFFAA框架中，提升黑盒攻击场景下的迁移能力。
• 通过定性与定量指标，对频谱集中度、扰动保真度和攻击性能进行量化评估。

提出的方法

• 将对抗攻击形式化为一个优化问题，目标是最小化带外能量与总扰动能量的比值，同时满足欺骗AMC模型和限制扰动幅度的约束。
• 通过使用FFT将输入信号变换到频域，然后在频谱域中优化扰动，实现在频域的对抗更新。
• 引入频谱聚焦约束，在优化过程中惩罚能量泄漏到信号主频带之外的现象。
• 利用元学习训练一种通用扰动，使其在多种信号类型间泛化，从而提升黑盒场景下的迁移能力。
• 采用两阶段优化：首先生成聚焦于信号频谱的频域扰动；其次应用频谱掩码以抑制带外能量。
• 利用基于logits的评估指标，衡量AMC模型上的分类性能与攻击成功率。

实验结果

研究问题

• RQ1 在频域运行的对抗攻击是否能通过最小化频谱中的高频分量来降低可检测性？
• RQ2 将对抗能量集中于信号频谱带内，对攻击成功率和扰动隐蔽性有何影响？
• RQ3 元学习在黑盒场景下在多大程度上提升了频域对抗攻击的迁移能力？
• RQ4 频谱集中度、扰动保真度与攻击性能之间存在怎样的定量权衡？

主要发现

• SFFAA算法将带外能量比（OSER）降低至总能量的1%，而FGSM、PGD和UAP的OSER为25–33%。
• SFFAA的拟合差异（FD）约为FGSM的四分之一，表明其扰动保真度更高，失真更低。
• SFFAA的扰动频谱分布显示能量在信号频谱带内高度集中，而FGSM、PGD和UAP则表现出显著的边带能量与虚假尖峰。
• Meta-SFFAA通过学习一种在多种信号类型和AMC模型间泛化的通用扰动，在黑盒攻击中实现了更高的迁移能力。
• 所提方法在显著提升频谱隐蔽性的同时，保持了高攻击成功率，使对抗信号在频域更难被检测。