Gêmeo digital baseado em LSTM detecta manipulação furtiva de payload no barramento CAN de veículos
Um gêmeo digital baseado em LSTM, treinado com dados reais de barramento CAN de veículos Hyundai/Kia, detecta manipulações de payload que preservam o padrão normal de tempo e frequência das mensagens e por isso escapam de sistemas de detecção de intrusão tradicionais. O sistema superou uma baseline convencional na detecção de ataques de deriva contínua e mascaramento, mas ainda apresenta taxa de falsos positivos de quase 40% sob ataque sustentado.
Pesquisadores da Clemson University (Araf Rahman, M Sabbir Salek, Mashrur Chowdhury) desenvolveram um sistema de detecção de intrusão (IDS) baseado em gêmeo digital para o barramento CAN do powertrain de veículos, endereçando uma lacuna conhecida: os IDS automotivos atuais olham para tempo, frequência e sequência das mensagens, e por isso não detectam ataques que preservam essas propriedades enquanto adulteram apenas o conteúdo do payload.
Tecnicamente, um gêmeo digital com encoder compartilhado em LSTM, treinado sobre 17 sinais decodificados de logs reais de CAN de veículos Hyundai/Kia, prevê conjuntamente sete sinais numéricos e dois categóricos relacionados à marcha ao longo de uma janela de 24 passos. Um instante de tempo é sinalizado como anômalo quando o resíduo entre o valor previsto e o observado ultrapassa um limiar calibrado, e um mecanismo de 'rollout adaptativo' protege o histórico de entrada do próprio gêmeo contra contaminação sustentada.
O sistema foi testado contra quatro tipos de ataque (platô, deriva contínua, mascaramento e mascaramento de marcha) e comparado a uma baseline convencional de faixa e plausibilidade. O gêmeo digital superou amplamente a baseline, atingindo 94,6% de detecção para deriva contínua e 89,2% para mascaramento, ataques que a baseline 'quase não detectou'; por outro lado, os próprios autores reportam taxa de falsos positivos de 39,6% sob ataque sustentado, uma limitação operacional relevante.
Ataques de mascaramento no CAN, em que um atacante com acesso ao barramento envia mensagens com IDs e temporização legítimos mas valores forjados, por exemplo simulando uma leitura de marcha ou velocidade, são desenhados especificamente para escapar dos IDS baseados em tempo e frequência que dominam o mercado hoje. Um gêmeo que aprende as relações físicas entre sinais é uma camada de defesa qualitativamente diferente e complementar para veículos conectados e autônomos. A alta taxa de falsos positivos sob ataque sustentado é um alerta prático sério: em um sistema crítico de segurança como o powertrain, 40% de falsos positivos pode significar fadiga de alerta ou, se ligado a mitigação automática, intervenções desnecessárias e potencialmente perigosas, então o trabalho segue em estágio de pesquisa, não pronto para implantação.