FLINT: pesquisadores identificam arquitetura de modelos de Federated Learning espionando sinais da camada física 5G
O framework FLINT demonstra que é possível inferir se um cliente de Federated Learning está treinando uma CNN, RNN ou Transformer apenas observando metadados de agendamento não criptografados do canal PDCCH do 5G, sem qualquer visibilidade da camada de rede. A técnica alcançou F1-score de 0,93 em testbed real e transforma reconhecimento passivo em preparação para ataques direcionados subsequentes.
Federated Learning (FL) executado sobre redes 5G protege os dados brutos dos clientes ao mantê-los localmente, mas permanece vulnerável a vazamento por canal lateral. Ataques anteriores de fingerprinting assumiam visibilidade de pacotes no nível de rede, uma premissa que não se sustenta na camada física (PHY) do 5G, onde os dados do usuário estão criptografados e os identificadores temporários de rádio (RNTIs) mudam ao longo do tempo.
Os autores mostram que os metadados de agendamento transmitidos em claro no Physical Downlink Control Channel (PDCCH) preservam padrões temporais associados à arquitetura do modelo em treinamento. O FLINT decodifica essas informações de agendamento, mapeia os RNTIs — que variam constantemente — para dispositivos físicos específicos, e aplica modelagem temporal multi-view para distinguir o comportamento de treinamento característico de cada família de arquitetura (CNNs, RNNs, Transformers). É um ataque de caixa-preta: não exige decriptar nada nem ter acesso à camada de aplicação, apenas observações grosseiras da camada física, algo que qualquer adversário com conhecimento do protocolo 5G pode captar passivamente. Em testbed over-the-air baseado em srsRAN, o método atingiu F1-score macro de 0,93 na classificação da família de arquitetura.
O valor prático do ataque está no que ele habilita depois: saber que um cliente específico está treinando, por exemplo, um Transformer em vez de uma CNN permite calibrar ataques subsequentes — como model inversion, exemplos adversariais ou envenenamento — especificamente para aquela arquitetura, transformando reconhecimento passivo em preparação para exploração direcionada. Como o ataque opera inteiramente na camada física e não depende de decriptar payloads, contramedidas tradicionais como TLS ou rotação de RNTI não o neutralizam sozinhas; mitigá-lo exigiria mascarar os próprios padrões temporais de agendamento na camada física, algo que hoje não é uma preocupação de projeto padrão em implantações de FL sobre redes celulares.