🤖 AI

The Weight of a Bit: EMFI Sensitivity Analysis of Embedded Deep Learning Models

Diese Studie analysiert die Anfälligkeit eingebetteter Deep-Learning-Modelle gegenüber elektromagnetischen Fault-Injection-Angriffen und zeigt, dass ganzzahlige Darstellungen (insbesondere 8-Bit) im Vergleich zu Gleitkomma-Darstellungen eine deutlich höhere Resilienz aufweisen.

Ursprüngliche Autoren: Jakub Breier, Štefan Kučerák, Xiaolu Hou

Veröffentlicht 2026-04-14

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Jakub Breier, Štefan Kučerák, Xiaolu Hou

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Der Titel: Wie viel wiegt ein einziger Bit?

Die Frage: Was passiert, wenn ein kleiner elektrischer Blitz (ein sogenannter "EMFI-Angriff") in den Computerchip eines intelligenten Geräts (wie einer Kamera oder einem autonomen Roboter) einschlägt und dort einen einzigen Zahlendreher verursacht?

Stell dir vor, dein Smartphone oder eine Überwachungskamera hat ein kleines Gehirn (ein neuronales Netz), das Bilder erkennt. Dieses Gehirn besteht aus Millionen von Zahlen, die die "Erinnerungen" und "Regeln" des Systems speichern.

Das Experiment: Der Blitz im Labor

Die Forscher haben vier verschiedene Arten von "Sprachen" getestet, in denen dieses Gehirn seine Zahlen schreibt:

FP32 & FP16 (Gleitkommazahlen): Das ist wie eine extrem präzise, aber zerbrechliche Sprache. Sie kann winzige Bruchteile und riesige Zahlen darstellen.
INT8 & INT4 (Ganzzahlen): Das ist wie eine grobe, aber robuste Sprache. Sie kann nur ganze Zahlen darstellen (wie 1, 2, 3), aber keine Dezimalstellen.

Sie haben vier verschiedene "Gehirne" (ResNet und VGG) auf einen kleinen Speicherchip gebaut und dann mit einem elektromagnetischen Blitz (wie einem kleinen Gewittersturm) gezielt einen Fehler in den Speicher geschossen.

Die Entdeckung: Warum die "grobe" Sprache gewinnt

Hier kommt der spannende Teil mit den Analogien:

1. Die zerbrechliche Sprache (Gleitkommazahlen)

Stell dir vor, die Gleitkommazahlen sind wie ein hochpräzises, aber instabiles Turm aus Karten.

Jede Karte hat eine Zahl darauf.
Wenn der Blitz einen einzigen Bit (eine Null oder Eins) in der "Exponenten"-Spalte (die bestimmt, wie groß die Zahl ist) verändert, passiert ein Wunder: Die Zahl explodiert.
Aus einer harmlosen "1,5" wird plötzlich eine unvorstellbar riesige Zahl (wie $10^{38}$ ) oder eine "Nicht-Zahl" (NaN).
Das Ergebnis: Es ist, als würde man einem Orchester einen einzelnen falschen Ton geben, der so laut ist, dass er das ganze Gebäude zum Einsturz bringt. Das gesamte neuronale Netz "vergisst" sofort alles und rät nur noch zufällig. Die Genauigkeit bricht auf fast 0 % ein.

2. Die robuste Sprache (Ganzzahlen)

Stell dir vor, die Ganzzahlen sind wie ein starker, dicker Betonblock.

Wenn der Blitz hier einen Bit verändert, ändert sich die Zahl vielleicht von "50" auf "51" oder sogar auf das Maximum "127".
Aber! Die Zahl kann nicht explodieren. Sie bleibt immer innerhalb ihrer Grenzen.
Das Ergebnis: Es ist, als würde man einem robusten Roboter einen kleinen Stein in den Rucksack werfen. Er wackelt vielleicht ein bisschen, stolpert, aber er fällt nicht um. Das System kann den Fehler "abfedern".
Besonders bei der INT8-Variante (8-Bit) war das Gehirn erstaunlich widerstandsfähig. Selbst nach dem Blitz konnte es noch zu 70 % der Bilder korrekt erkennen!

Die wichtigsten Erkenntnisse in Kürze

Der Fehler ist überall gleich: Der Blitz hat bei allen Sprachen ungefähr die gleiche Anzahl von Bits verdreht. Das Problem liegt also nicht im Blitz selbst, sondern darin, wie das Gehirn die verdrehten Zahlen interpretiert.
Die "NaN"-Katastrophe: Bei den präzisen Gleitkommazahlen führt schon ein kleiner Fehler dazu, dass das System "verrückt spielt" (NaN = Not a Number). Bei den Ganzzahlen ist das unmöglich.
Größe zählt: Größere Netzwerke (wie VGG-11) waren widerstandsfähiger als kleine, weil sie mehr "Redundanz" haben (mehr Karten im Turm, damit der Turm auch bei einem Wackler steht).
Der Gewinner: Die 8-Bit-Ganzzahl (INT8) ist der beste Kompromiss. Sie spart Speicherplatz (gut für kleine Geräte) und ist gleichzeitig wie ein Panzer gegen solche elektrischen Angriffe.

Was bedeutet das für die Zukunft?

Wenn wir KI auf kleinen Geräten (wie in Autos, Drohnen oder Smart-Home-Geräten) nutzen wollen, sollten wir nicht die super-präzise, aber zerbrechliche Sprache (Gleitkommazahlen) verwenden. Stattdessen sollten wir auf die robuste, grobe Sprache (Ganzzahlen) setzen.

Die Moral der Geschichte:
Ein bisschen "Unschärfe" in der Mathematik macht dein digitales Gehirn nicht nur kleiner und schneller, sondern auch widerstandsfähiger gegen elektrische Stürme. Es ist wie der Unterschied zwischen einem gläsernen Turm und einem Felsbrocken: Wenn ein Blitz einschlägt, bleibt der Felsbrocken stehen, während der Turm in Scherben geht.

1. Problemstellung

Die zunehmende Verbreitung von Deep-Learning-Modellen auf eingebetteten Edge-Geräten (TinyML) bringt neue Sicherheitsrisiken mit sich. Ein besonders kritischer Angriffspunkt sind Elektromagnetische Fehlerinjektionsangriffe (EMFI). Dabei nutzt ein Angreifer hochenergetische elektromagnetische Impulse, um vorübergehende Bit-Fehler (Bit-Flips) im Speicher oder in der Logik des Geräts zu erzeugen.

Die zentrale Forschungsfrage dieses Papers ist: Wie beeinflusst die Wahl der Zahlenrepräsentation (Gewichtsformat) die Resilienz neuronaler Netze gegen EMFI-Angriffe?
Während viele Studien die Robustheit von Modellen untersuchen, fehlt ein umfassender Vergleich zwischen verschiedenen Formaten (gleiche Modelle, gleiche Angriffsbedingungen). Insbesondere ist unklar, ob die gängige Praxis der Quantisierung (Reduzierung der Bit-Breite von 32-bit Float auf 8-bit oder 4-bit Integer) die Modelle widerstandsfähiger macht oder ob sie neue Schwachstellen öffnet.

2. Methodik

Die Autoren führten eine extensive empirische Studie durch, die folgende Komponenten umfasste:

Modelle und Datensätze: Vier gängige Bildklassifizierungsarchitekturen (ResNet-18, ResNet-34, ResNet-50, VGG-11) wurden auf dem ImageNet-1K-Datensatz trainiert.
Zahlenformate: Jedes Modell wurde in vier verschiedenen Gewichtsrepräsentationen instantiiert:
- 32-bit Gleitkomma (FP32)
- 16-bit Gleitkomma (FP16)
- 8-bit Integer (INT8)
- 4-bit Integer (INT4)
Hardware-Setup: Die Modelle wurden auf einem eingebetteten Speicherchip (4 MB SRAM, AS6C3216A) bereitgestellt. Als Angriffsplattform diente ein NewAE ChipSHOUTER, der hochpräzise elektromagnetische Impulse (300 V, 160 ns Breite) über eine Sonde injizierte.
Angriffsszenario: Es wurde ein „In-Storage"-Threat-Modell simuliert. Ein einzelner EM-Impuls wurde injiziert, um Fehler im Gewichtsspeicher zu erzeugen. Anschließend wurde die Inferenz auf einer separaten GPU durchgeführt, um den mathematischen Effekt der Fehler von Hardware-Artefakten zu isolieren.
Analysemetriken: Neben der Degradation der Top-1- und Top-5-Genauigkeit wurden die Fehlermuster analysiert:
- Bit Error Rate (BER).
- Räumliche Verteilung der korrupten Bytes.
- Häufigkeit spezifischer Byte-Werte (0xFE/0xFF).
- Auftreten von NaN (Not a Number) und ±∞ bei Gleitkommazahlen.

3. Wichtige Beiträge

Erster direkter Vergleich: Dies ist die erste Studie, die die Robustheit von neuronalen Netzen gegen EMFI über mehrere Gewichtspräzisionen hinweg unter einheitlichen experimentellen Bedingungen vergleicht.
Charakterisierung des Fehlermusters: Die Autoren zeigten, dass die Bit-Fehler-Rate (BER) unabhängig vom Format ist (ca. 6–8 %). Der Unterschied in der Resilienz liegt also nicht in der Anzahl der Fehler, sondern in der Reaktion des Formats auf diese Fehler.
Mechanismus-Identifikation: Die Studie identifiziert spezifische physikalische und mathematische Mechanismen, warum Gleitkommazahlen katastrophal versagen, während Integer-Formate robust bleiben (siehe Ergebnisse).

4. Ergebnisse

A. Gleitkomma vs. Integer (Der Hauptunterschied)

Gleitkomma (FP32/FP16): Zeigten eine katastrophale Degradation der Genauigkeit. Bereits ein einziger Fehlerinjektionsvorgang führte oft zu einer Genauigkeit nahe dem Zufallsraten (Top-1 < 1 %).
- Ursache: Ein Bit-Flip in den Exponenten-Bits (IEEE 754 Standard) führt dazu, dass Gewichte extrem große Werte annehmen (bis zu $10^{38}$ ) oder zu NaN (Not a Number) werden. Diese extremen Werte propagieren durch das Netzwerk, sättigen Aktivierungsfunktionen und zerstören die gesamte Inferenzkette.
- Bei FP32 wurden ca. 1,27 % der Gewichte pro Chunk zu NaN; bei FP16 waren es ca. 0,1 %.
Integer (INT8/INT4): Zeigten eine deutlich höhere Resilienz.
- Ursache: Integer-Formate haben einen begrenzten Wertebereich (z. B. [-128, 127] für INT8). Ein Bit-Flip führt lediglich zu einem Wert, der innerhalb dieses Bereichs liegt (Clipping). Es gibt keine exponentielle Skalierung wie bei Gleitkommazahlen. Ein einzelner fehlerhafter Wert kann nicht das gesamte Netzwerk „vergiften".
- INT8 erwies sich als bester Kompromiss aus Basisgenauigkeit und EMFI-Resilienz.

B. Spezifische Beobachtungen

Byte-Muster: Obwohl Integer-Modelle einen höheren Anteil an maximalen Byte-Werten (0xFE/0xFF) nach dem Angriff aufwiesen (da diese Werte im Integer-Bereich einfach den Maximalwert darstellen), erlitten sie kaum Genauigkeitsverluste. Bei Gleitkommazahlen führen diese spezifischen Byte-Muster im Exponenten direkt zu NaN.
Netzwerkgröße: Größere Modelle (wie VGG-11) bieten durch ihre Parameterredundanz eine gewisse inhärente Robustheit.
- Bei VGG-11 in INT8 blieb die Top-1-Genauigkeit bei ca. 70 % und die Top-5 bei ca. 90 %, selbst nach einem Angriff.
Räumliche Sensitivität: Fehler in den frühen Schichten (Convolutional Layers) waren kritischer als in den späteren Schichten (Fully Connected Layers), da die frühen Schichten die Basis für alle nachfolgenden Feature-Extraktionen bilden.

5. Bedeutung und Fazit

Die Studie liefert entscheidende Erkenntnisse für die Sicherheit von Edge-AI-Systemen:

Quantisierung als Sicherheitsfeature: Die Umstellung von FP32 auf quantisierte Integer-Formate (insbesondere INT8) dient nicht nur der Effizienzsteigerung (Speicher, Energie), sondern bietet einen inhärenten Schutz gegen elektromagnetische Fehlerinjektion. Die Begrenzung des Wertebereichs wirkt als natürlicher „Schockabsorber".
Verwundbarkeit von FP32: Gleitkommarepräsentationen sind auf eingebetteten Geräten extrem anfällig für EMFI, da ein einzelner Bit-Flip im Exponenten das gesamte System lahmlegen kann.
Empfehlung: Für sicherheitskritische Edge-Anwendungen sollte die Verwendung von INT8 (oder INT4) in Betracht gezogen werden, um die Resilienz gegen physikalische Angriffe zu erhöhen, ohne die Genauigkeit drastisch zu opfern.

Die Autoren schlagen als zukünftige Arbeit vor, trainingsbasierte Ansätze zu entwickeln, um die Empfindlichkeit bestimmter Bits weiter zu minimieren, und die Analyse auf vollständige Mikrocontroller-Inferenz-Szenarien (On-Device) auszudehnen.