Quantifying and Prioritizing Stealthy Source-Manipulation Threats Against Multi-Source Anomaly Detectors
作者: Indraveni Chebolu, Seema Panghal, Arnab Mallick, Ch A S Murty
分类: cs.CR, cs.LG
发布日期: 2026-10-27
备注: To be appeared at Workshop on AI for Cyber Threat Intelligence (WAITI) 2026 @ ACSAC 2026
💡 一句话要点
提出任务条件可见性边际以量化多源异常检测的隐蔽源操控威胁
🎯 匹配领域: 支柱一：机器人控制 (Robot Control)
关键词: 异常检测 多源数据 安全性 操控威胁 任务条件可见性 工业监控 金融欺诈
📋 核心要点
- 现有的异常检测方法主要关注假阳性率和随机腐败的捕捉能力，未能有效应对控制部分源的对手。
- 本文提出任务条件可见性边际，量化操控对下游任务的影响，并识别检测器的盲点。
- 实验表明，任务条件操控的虚假警报错误率显著高于一般操控，且在优先审计中表现优于随机排序和基于警报的排名。
📝 摘要（中文）
安全管道通常融合多个数据源，并通过跨源异常检测器保护下游模型。然而，现有检测器的评估指标未能有效捕捉到控制部分源并针对特定下游决策的对手。本文提出了一种威胁量化评分——任务条件可见性边际，定义为操控必须揭示的最少检测器证据与对下游任务造成的单位伤害之比。该边际具有封闭形式，每个证书约需85μs，能够识别检测器无法看到的任务相关方向。在17通道工业遥测基准上，检测器对82.8%的随机单通道腐败标记为第一阶盲点，且任务条件操控导致的虚假警报错误数量是一般隐蔽操控的两倍以上。
🔬 方法详解
问题定义：本文旨在解决现有多源异常检测器在面对控制部分源的对手时的盲点问题。现有方法主要依赖假阳性率和随机腐败的捕捉能力，无法有效评估特定操控对下游决策的影响。
核心思路：提出任务条件可见性边际作为新的威胁量化评分，定义为操控必须揭示的最少检测器证据与对下游任务造成的单位伤害之比。通过这一评分，可以识别检测器在特定任务下的盲点。
技术框架：整体架构包括数据源融合、异常检测模块和任务条件可见性边际计算。首先融合多个数据源，然后通过异常检测器进行数据分析，最后计算可见性边际以评估操控威胁。
关键创新：最重要的创新在于引入了任务条件可见性边际这一概念，能够量化操控对下游任务的影响，并识别检测器的盲点。这一方法与传统的假阳性率评估有本质区别。
关键设计：在参数设置上，任务条件可见性边际的计算需要考虑每个证书的处理时间（约85μs），并通过实验验证了其在不同任务和子集上的有效性。
📊 实验亮点
实验结果显示，任务条件操控导致的虚假警报错误数量是一般隐蔽操控的两倍以上，且在优先审计中，任务条件可见性边际在十次检查中发现了四个验证失败，而随机排序和基于警报的排名分别为零和两个，显示出显著的性能提升。
🎯 应用场景
该研究的潜在应用领域包括工业监控、金融欺诈检测和网络安全等。通过量化操控威胁，能够帮助安全团队更有效地识别和优先处理潜在风险，从而提升系统的安全性和可靠性。未来，该方法可能会被广泛应用于多源数据融合的异常检测系统中。
📄 摘要（原文）
Security pipelines often fuse several data sources and protect a downstream model with a cross-source anomaly detector. Such detectors are usually judged by their clean false-positive rate and by how well they catch random corruption. Neither metric captures an adversary who controls some sources and targets a specific downstream decision. We propose a threat-quantification score, the \emph{task-conditioned visibility margin}, defined as the least detector evidence a manipulation must reveal per unit of harm to the downstream task. The margin has a closed form, takes about $85\,μ$s per certificate, yields a minimum-evidence attack, and identifies task-relevant directions the detector cannot see. On a 17-channel industrial telemetry benchmark, a detector that flags 82.8\% of random single-channel corruptions is first-order blind on 64.7\% of task/subset pairs in an audit of one- to four-channel subsets. Task-conditioned manipulations cause more than twice as many falsely reassuring errors as generic stealthy ones, and more of them evade the alarm on four of five splits, mainly at small budgets. Used to prioritize audits on held-out subsets, the margin finds a median of four verified failures in ten checks, compared with none for random order and two for alarm-based ranking, and performs comparably to the task-gradient baseline. It also ranks vulnerable configurations of the learned GDN and TranAD detectors and of a five-source crop-yield panel.