Para reduzir esta vulnerabilidade, os investigadores do MIT e do MIT-IBM Watson AI Lab criaram um acelerador de aprendizagem automática resistente aos dois tipos de ataques mais comuns. O seu chip pode manter em sigilo os registos médicos, informações financeiras e outros dados sensíveis do utilizador, permitindo, ao mesmo tempo, que modelos de IA massivos sejam executados com eficiência nos dispositivos.

A equipa desenvolveu diversas otimizações que melhoram a segurança, embora reduzam ligeiramente o desempenho do dispositivo. Além disso, a segurança adicional não afeta a precisão dos cálculos. Este acelerador de aprendizagem automática pode ser particularmente benéfico para aplicações de IA exigentes, como a realidade aumentada e virtual ou a condução autónoma.

Embora a implementação do chip aumente ligeiramente o custo do dispositivo e o torne menos eficiente em termos energéticos, por vezes este preço compensa em troca de segurança, afirma a autora principal, Maitreyi Ashok, estudante de pós-graduação em Engenharia Elétrica e de Computação (EECS) no MIT.

"É importante projetar com a segurança em mente desde o início. Se tentar adicionar qualquer grau de segurança depois de o sistema já estar projetado, o custo torna-se proibitivo. Conseguimos equilibrar muitas destas compensações de forma eficaz durante a fase de projeto", diz Ashok.

Os coautores incluem Saurav Maji, estudante de pós-graduação em Engenharia Elétrica e Ciência da Computação (EECS); Xin Zhang e John Cohn, do Laboratório de Inteligência Artificial MIT-IBM Watson; e o autor principal, Anantha Chandrakasan, diretor de inovação e estratégia do MIT, reitor da Faculdade de Engenharia e professor catedrático da Cátedra Vannevar Bush em EECS. A investigação será apresentada na Conferência de Circuitos Integrados Personalizados do IEEE.

Suscetibilidade a ataques de canal lateral:
Os investigadores concentraram-se num tipo de acelerador de aprendizagem automática chamado computação digital em memória (IMC). Um chip IMC digital realiza cálculos dentro da memória do dispositivo, onde as partes de um modelo de aprendizagem automática são armazenadas após serem transferidas de um servidor central.

O modelo completo é demasiado grande para ser armazenado no dispositivo, mas, ao dividi-lo em fragmentos e reutilizá-los o mais possível, os chips IMC reduzem a quantidade de dados que precisam de ser transferidos.

Mas os chips IMC podem ser vulneráveis ​​aos hackers. Num ataque de canal lateral, um hacker monitoriza o consumo de energia do chip e utiliza técnicas estatísticas para realizar a engenharia inversa dos dados enquanto o chip está a computar. Num ataque de sondagem de barramento, o hacker pode roubar bits do modelo e do conjunto de dados, sondando a comunicação entre o acelerador e a memória externa do chip.

O IMC digital acelera os cálculos ao realizar milhões de operações em simultâneo, mas esta complexidade dificulta a prevenção de ataques com as medidas de segurança tradicionais, afirma Ashok.

Ela e os seus colaboradores adotaram uma abordagem tripla para bloquear ataques de canal lateral e de sondagem de barramento.

Em primeiro lugar, empregaram uma medida de segurança na qual os dados do IMC são divididos em blocos aleatórios. Por exemplo, um bit zero pode ser dividido em três bits que permanecem iguais a zero após uma operação lógica. O IMC nunca computa com todos os blocos na mesma operação, pelo que um ataque de canal lateral nunca conseguiria reconstruir os dados originais.

Mas, para que esta técnica funcione, é necessário adicionar bits aleatórios para dividir os dados. Como o IMC digital realiza milhões de operações em simultâneo, gerar tantos bits aleatórios implicaria cálculos em excesso. Para o chip desenvolvido pelos investigadores, encontraram uma forma de simplificar os cálculos, facilitando a divisão eficiente dos dados e eliminando a necessidade de bits aleatórios.

Em segundo lugar, impediram ataques de sondagem de barramento utilizando uma cifra leve que encripta o modelo armazenado na memória externa do chip. Esta cifra leve requer apenas cálculos simples. Além disso, desencriptam os fragmentos do modelo armazenados no chip apenas quando necessário.

Em terceiro lugar, para melhorar a segurança, geraram a chave de desencriptação diretamente no chip, em vez de a transferirem juntamente com o modelo. Esta chave única foi gerada a partir de variações aleatórias no chip introduzidas durante o fabrico, utilizando o que é conhecido como uma característica fisicamente não clonável.

"Um fio pode ser ligeiramente mais grosso do que outro. Podemos usar estas variações para obter zeros e uns de um circuito. Para cada chip, podemos obter um interruptor aleatório que deve ser consistente, uma vez que estas propriedades aleatórias não devem mudar significativamente ao longo do tempo", explica Ashok.

Reutilizaram as células de memória do chip, aproveitando as imperfeições nessas células para gerar a chave. Isto requer menos cálculos do que gerar uma chave a partir do zero.

“Como a segurança se tornou uma questão crítica no design de dispositivos de edge, é necessário um conjunto de sistemas abrangente focado na operação segura. Este trabalho centra-se na segurança das cargas de trabalho de aprendizagem automática e descreve um processador digital que utiliza otimização cruzada. Incorpora o acesso a dados encriptados entre a memória e o processador, abordagens para prevenir ataques de canal lateral utilizando randomização e exploração da variabilidade para gerar códigos únicos. Estes projetos serão fundamentais em futuros dispositivos móveis”, afirma Chandrakasan.

Testes de segurança

Para testar o chip, os investigadores colocaram-se no lugar dos hackers e tentaram roubar informações secretas usando ataques de canal lateral e sondagem de barramento.

Mesmo após milhões de tentativas, não conseguiram reconstruir qualquer informação real nem extrair quaisquer fragmentos do modelo ou do conjunto de dados. Além disso, a encriptação permaneceu inviolável. Em contraste, bastaram apenas cerca de 5.000 amostras para roubar informação de um chip desprotegido.

A inclusão de características de segurança reduziu a eficiência energética do acelerador e também exigiu uma maior área de superfície do chip, o que aumentaria o seu custo de fabrico.

A equipa planeia explorar métodos que possam reduzir o consumo de energia e o tamanho do chip no futuro, facilitando a sua aplicação em larga escala.

"À medida que o custo aumenta, torna-se mais difícil convencer alguém de que a segurança é primordial. Trabalhos futuros poderiam explorar estas compensações. Talvez pudéssemos torná-lo um pouco menos seguro, mas mais fácil de implementar e menos dispendioso", diz Ashok.