Adversariale aanvallen op defensie AI-systemen: dreigingsmodellen en verharding

De gevaarlijkste aanname die een defensieprogramma over zijn AI-systemen kan maken, is dat tegenstanders ze op dezelfde manier zullen aanvallen als academische benchmarks — met zorgvuldig geconstrueerde digitale verstoringen getest op ingehouden datasets. Operationele militaire AI staat voor een bredere en hardere aanvalsoppervlakte: statelijke actoren met maanden van voorbereiding, insidertoegang tot trainingspipelines en de mogelijkheid om de fysieke omgeving te manipuleren die sensoren observeren.

Waarom adversariale aanvallen belangrijk zijn voor militaire AI

Wanneer een AI-model een fout maakt in een commerciële toepassing, is de kost een verslechterde gebruikerservaring of een verloren verkoop. Wanneer een ISR-classificatiemodel een voertuig verkeerd identificeert als civiel omdat een tegenstander een zorgvuldig ontworpen patroon op het dak heeft geplaatst, zijn de operationele gevolgen categorisch anders. Militaire AI is ingebed in beslissingslussen waar fouten dodelijk of strategisch gewicht hebben — doelacquisitie, logistiekgoedkeuring, personeelsidentificatie, signaalanalyse.

De aanvalsoppervlakte groeit met elke nieuwe AI-implementatie. Een logistieke AI die bevoorradingsroutes goedkeurt, kan worden gemanipuleerd via vergiftigde invoerdata om routes goed te keuren die konvooien blootstellen aan risico. Een akoestische classificator op een onbemand sensorknooppunt kan worden misleid door RF-signalinjectie, waardoor het vijandelijk vuur niet detecteert. Een objectdetectiemodel in een UAV-feed kan worden omzeild door een gedrukte patch op het dak van een voertuig.

De dreiging is niet hypothetisch: onafhankelijke onderzoeksorganisaties hebben adversariale aanvallen in de fysieke wereld aangetoond tegen productieobjectdetectiemodellen met een aanvalsuccespercentage van meer dan 85% zonder toegang tot de modelgewichten.

Taxonomie van adversariale aanvallen

Evasieaanvallen vinden plaats tijdens inferentie. De aanvaller construeert invoer — een afbeelding, een audiomonster, een tekstreeks — die perceptueel vergelijkbaar is met legitieme invoer maar het model een onjuiste uitvoer laat produceren. Het model zelf wordt niet gewijzigd.

Vergiftigingsaanvallen vinden plaats tijdens training. De aanvaller corrumpeert of vult trainingsdata aan met monsters die het model ertoe brengen een specifiek kwaadaardig gedrag te leren. Het getrainde model functioneert normaal op schone invoer maar gedraagt zich verkeerd op invoer met het triggerpatroon van de aanvaller. Deze aanvalscategorie is het meest relevant voor defensie wanneer trainingsdata afkomstig is van open of onvoldoende geverifieerde repositories.

Modelextractieaanvallen stellen een aanvaller met query-toegang tot een geïmplementeerd model in staat een functionele benadering ervan te reconstrueren door systematisch sondage. Het geëxtraheerde model kan vervolgens worden gebruikt om effectievere evasieaanvallen te ontwikkelen zonder directe toegang tot de originele gewichten.

Achterdeur- en trojanaanvallen verdienen aparte vermelding vanwege hun stealtheigenschappen. Een model met achterdeur slaagt voor alle standaard nauwkeurigheidstests en gedraagt zich identiek aan een schoon model op elke invoer behalve die met de tijdens de training ingesloten trigger.

Adversariale voorbeelden in de fysieke wereld

Adversariale patches zijn de meest bestudeerde fysieke aanval. Een patch is een gedrukte afbeelding, doorgaans 20–30 cm in de grootste dimensie voor doelen op voertuigschaal, ontworpen met de Expectation over Transformation (EOT)-techniek om adversariaal te blijven bij wisselingen in kijkhoek, belichting, afstand en afdrukkwaliteit.

Adversariale camouflagepatronen vormen een geavanceerdere uitbreiding. In plaats van een discrete patch ontwerpt de aanvaller een textuur of camouflagepatroon voor een heel voertuig of personeelsuitrusting die systematisch adversariaal is tegen een doelklasse van detectiemodellen.

RF-signalinjectie in akoestische classificators is een minder gepubliceerde maar operationeel relevante fysieke aanval. Een aanvaller met een gerichte RF-zender kan zorgvuldig geconstrueerde interferentie injecteren die de akoestische classificator ertoe brengt de detectie van echte gebeurtenissen te onderdrukken of valse te hallusineren.

Adversariaal trainen en gecertificeerde robuustheid

Adversariaal trainen is de empirisch meest effectieve verdediging tegen evasieaanvallen. De Projected Gradient Descent (PGD)-methode genereert de sterkste verstoringen binnen een opgegeven normbal — doorgaans L-infinity met epsilon = 8/255 voor natuurlijke afbeeldingen — en voegt ze toe aan elke trainingspartij.

De TRADES-verliesfunctie breidt PGD-training uit door expliciet de kloof te bestraffen tussen de modelvoorspelling op een schoon voorbeeld en zijn voorspelling op de adversariaal verstoorde versie. Dit produceert betere robuustheid-nauwkeurigheid-afwegingen dan gewone PGD-training.

Methoden voor gecertificeerde robuustheid — met name gerandomiseerde smoothing — bieden een wiskundig aantoonbare garantie dat de modeluitvoer niet kan veranderen binnen een opgegeven L2-straal rond een gegeven invoer. Elke adversariale trainingsaanpak brengt kosten met zich mee in termen van schone nauwkeurigheid — doorgaans 2–8% op natuurlijke afbeeldingen.

Invoerpreprocessingverdedigingen

Feature squeezing verlaagt de precisie of resolutie van de invoer om de hogere-frequentieverstoringen te verwijderen waarop de meeste adversariale aanvallen vertrouwen. JPEG-compressie als preprocessingstap vernietigt vele op gradiënten gebaseerde verstoringen. Detectoren gebaseerd op Local Intrinsic Dimensionality (LID) en Mahalanobis-afstand vergelijken tussenliggende laagactivaties met de verdeling van activaties op schone trainingsdata. Ensemblemeningsverschildetectie voert de invoer door meerdere onafhankelijk getrainde modellen en markeert hoog meningsverschil als signaal van adversariale manipulatie.

Modelgovernance voor adversariale veerkracht

Modeltekenen is de praktijk om een cryptografische handtekening aan een getraind modelartefact te hechten, zodat elke ongeautoriseerde wijziging tussen training en implementatie detecteerbaar is. RBAC op inferentie-eindpunten beperkt welke systemen en gebruikers een geïmplementeerd model kunnen bevragen — dit beperkt direct modelextractieaanvallen. Modelversionering en terugdraaien zorgt ervoor dat elke geïmplementeerde modelversie is vastgelegd. Een doorlopende red team-evaluatiecyclus sluit de feedbacklus tussen dreigingsonderzoek en implementatie.

Red team-evaluatiemethodologie

Het AutoAttack-framework is de huidige standaard voor digitale robuustheidsbenchmarking. AutoAttack assembleert een vaste verzameling diverse aanvallen — APGD-CE, APGD-T, FAB en Square Attack — en evalueert automatisch een model ertegen. Foolbox biedt een aanvullende bibliotheek van individuele aanvallen voor gerichte onderzoeken.

Evaluatie van de fysieke wereld vereist een speciaal protocol. Het evaluatieteam genereert adversariale patches met de EOT-methode, gericht op het specifieke sensortype, de resolutie en het hoogtebereik van de operationele implementatie. Patches worden afgedrukt op operationeel relevante groottes, bevestigd aan doelobjecten en geëvalueerd onder dezelfde verzamelomstandigheden als bij implementatie.