📘 《AI 時代系列（6）：進階通訊工程——邁向2035年太空星鏈網路時代》
📘 第 13周: 🛡️ 星鏈安全：PQC × Anti-Jamming × Laser Link Security
128／150單元：AI Fraud Detection 🤖 AI 偵測假訊號與異常路由________________________________________
🎯 單元導讀
在 6G × NTN（Non-Terrestrial Network）裡，攻擊者的手段比 4G/5G 時代更複雜：
❓ 假 UE 透過強功率偽造成合法裝置？
❓ 偽造 NTN 上行訊號並讓衛星誤判位置？
❓ 惡意節點嘗試加入星座 Mesh Routing？
❓ 節點遭入侵後，修改星間路由造成「隱性竊聽」？
傳統 rule-based 無法再防禦這些攻擊。
⭐ 解決方案必須是 AI-native 的。
⭐ AI 是未來 NTN Fraud Detection 的核心能力。
本章建立：
AI × 通訊 × 星地路由的 Fraud Detection 模型
包括假訊號偵測、異常路由判別、ML-based PHY 層偽造信號識別等核心技術。
________________________________________
🧠 一、為什麼 NTN Fraud Detection 一定需要 AI？
LEO × ISL × NTN 的新威脅來源：
✔ 星地距離變大 → 傳統延遲分析失效
✔ LEO 高速移動造成 Doppler 大幅波動
✔ 星間 mesh routing 完全自動 → 更容易遭到隱性劫持
✔ 數十萬 UE 同時上行 → 需即時偵測異常
✔ Gateway 已是雲原生 → 容器可被惡意注入
傳統 signature Detection（比對特徵）已經不夠。
NTN 需要：
⭐ ML + 時間序列偵測
⭐ Graph Neural Network（GNN）分析 routing pattern
⭐ 基於物理層特徵的假 UE / 假訊號分類
⭐ 透過 unsupervised model 偵測未知攻擊（zero-day）
________________________________________
🧠 二、AI Fraud Detection 的三大層次（工程核心架構）
AI 將 Fraud Detection 拆成三層：
________________________________________
① PHY-Level Fraud Detection（物理層假訊號偵測）
AI 偵測：
• Jamming（干擾攻擊 pattern）
• Spoofing（假上行信號）
• 強功率偽裝（power boost impersonation）
• 重播攻擊（replay attack）
• Doppler/相位 不符合物理位置的 UE
AI 模型常用：
✔ CNN / ResNet：分析頻譜特徵
✔ RNN/LSTM：偵測隨時間變化的 pattern
✔ Transformer：抽取 Doppler 與時頻序列異常
✔ AutoEncoder：找「不正常」的信號分布
這裡 AI 的任務是確認：
⭐「這個訊號的物理行為是否真實存在？」
________________________________________
② Routing-Level Fraud Detection（路由異常偵測）
LEO 星座之間透過 ISL 自組 Mesh。
攻擊者若能入侵某衛星節點 → 可竄改 routing table。
AI 使用：
✔ Graph Neural Network（GNN）偵測 Routing Graph 是否異常
✔ Reinforcement Learning 追蹤 routing drift
✔ Aggregated path probability 检测不合理路徑
典型異常包括：
• routing hop 突然變長
• routing path 不符合地理可行性
• 某節點轉發流量異常增加
• 出現「不可能存在」的 routing loop
AI 必須回答：
⭐「這條路由是否『合理』？」
________________________________________
③ Cloud / vGateway Fraud Detection（雲原生控制面的異常）
Gateway 不再是硬體，而是 Kubernetes cluster。
攻擊方式更複雜：
• 惡意容器（malicious pod）注入
• 鏡像被篡改
• service mesh traffic 外洩
• xApp / rApp 以 ML poisoning 攻擊 RIC
• 設備監控（telemetry）假數據注入
AI 認得：
✔ Pod 行為 anomaly detection
✔ API-call pattern 不正常（ex: 橫向移動）
✔ RIC ML model 行為偏移
✔ Supply-chain weakness（簽章不一致）
AI 在這層的任務：
⭐「是否有惡意程序、假流量、假控制訊號滲透到雲端控制面？」
________________________________________
🧠 三、AI Fraud Detection 的核心技術（務必掌握）
1. Unsupervised Learning（非監督學習）
適合 zero-day fraud（未知攻擊）。
自動找「異常 cluster」。
2. Time-Series ML（時序異常偵測）
偵測 Doppler、RSSI、Beam pattern 是否有奇怪跳動。
3. AutoEncoder（自動編碼器）
重建誤差越大 → 越異常。
4. GNN（圖神經網路）
專門針對 mesh routing 偵測異常。
5. ML-based Identity Fingerprint
利用 RF 指紋（IQ imbalance、phase noise、PA 熱特性）
辨別真假 UE → 極具未來性。
________________________________________
🧠 四、ASCII 圖：AI Fraud Detection 流程
Incoming Signals / Routing Data
進入的訊號與路由資料
│
▼
┌───────────────────────
│ Feature Extraction │
│ 特徵擷取 │
└──────────────────────┘
│
┌──────────────────────────────────────
▼ ▼ ▼
│ PHY Anomaly Detection│ │ Routing GNN Detection │ │ Cloud Behavior Detection
│ 實體層異常偵測 │ │ 路由圖神經網路偵測 │ │ 雲端行為偵測（K8s）
└───────────────┬─────────────┬────────
▼ ▼
┌──────────────────────────────────────
│ AI Fusion Engine │
│ AI 融合決策引擎 │
│ Cross-layer Correlation │
│ 跨層關聯分析 │
└──────────────────────────────────────
│
▼ ┌──────────────────────────────────────
│ Fraud Decision │
│ 詐欺／惡意行為判定 │
│ │
│ • Fake Signal? 偽造訊號？ │
│ • Abnormal Route? 異常路由？ │
│ • Malicious Pod? 惡意 Pod？ │
└──────────────────────────────────────
此流程展示一個 AI 驅動的跨層詐欺與異常偵測架構。系統首先自無線實體層、網路路由層與雲端執行環境蒐集訊號與行為資料，經由特徵擷取後，分別進行 實體層異常偵測（PHY Anomaly Detection）、路由拓撲圖神經網路分析（Routing GNN Detection） 以及 雲端行為分析（Cloud Behavior Detection, Kubernetes）。各層結果再由 AI 融合決策引擎（AI Fusion Engine） 進行跨層關聯分析，以降低單一層誤判風險，最終輸出是否存在偽造訊號、異常路由或惡意雲端工作負載的詐欺判定結果。
________________________________________
🧠 五、模擬題
1️⃣ 專業題
AI 為何在 NTN 中比傳統 rule-based 更適合偵測 fraud？
📜 答案：
NTN 具有高速移動、複雜路由、大量節點、雲原生控制面等特性。
攻擊行為常呈現非線性、不規則與跨層聯動，傳統 rule-based 無法處理。
AI 可從時序、頻譜、路由圖、行為模式中學習異常特徵，更適合偵測未知攻擊。
________________________________________
2️⃣ 應用題
某 UE 發出上行訊號，但 Doppler 與預期的衛星軌道角度不符。AI 認為最可能是？
A. UE 裝置太新
B. UE 位置遭偽造（spoofing）
C. 頻寬不足
D. SNR 偏高
📡 答案：B
👉 解析： Doppler 與軌道幾何高度相關，若與預期不符，代表訊號來源位置與宣稱位置不一致，典型為位置偽造行為。
________________________________________
3️⃣ 情境題
某 vGateway 的 Pod 行為突然大量讀取 API server，AI 以 anomaly 分數判定為高風險。代表什麼？
A. 通道容量上升
B. 可能有惡意橫向移動（lateral movement）
C. 頻域成形錯誤
D. UE 速度過快
📦 答案：B
👉 解析： 非正常的大量 API 存取常見於攻擊者進行權限探索與橫向移動，是雲原生環境中的典型惡意行為特徵。
________________________________________
🛠 六、實務演練題
1️⃣ 取得 IQ 資料並訓練 CNN 偵測假訊號
2️⃣ 使用 AutoEncoder 比較正常 routing vs. 攻擊 routing
3️⃣ 訓練 GNN 偵測 mesh network 異常分支
4️⃣ 模擬 rogue satellite injection 攻擊
5️⃣ 對 Kubernetes vGateway 進行行為型 anomaly detection
________________________________________
✅ 七、小結與啟示
✔ AI Fraud Detection 是 NTN 必備能力
✔ 物理層、路由、雲原生控制面皆可能遭入侵
✔ AI 是解決未知攻擊、跨層 fraud 的唯一有效方法
✔ GNN、AutoEncoder、時序模型是核心技術
✔ 2035 NTN 必須是「AI-native 安全架構」
一句話：
⭐ 未來的星鏈與 6G NTN 不只靠通訊技術存活，而是靠 AI 防詐、AI 防偽、AI 識別假節點的能力存活。
