In der modernen Welt der Elektronik werden die Blaupausen für Computerchips in einer spezialisierten Sprache namens Register Transfer Level, oder RTL, geschrieben. Seit Jahrzehnten entwerfen Ingenieure diese komplizierten Anweisungen manuell, um der Hardware genau vorzugeben, wie sie Daten verarbeiten soll. Vor kurzem hat eine neue Art von künstlicher Intelligenz, bekannt als Large Language Model, damit begonnen, diesen Code automatisch zu schreiben. Diese Modelle können einen einfachen Satz nehmen, der eine Hardwarefunktion beschreibt, und den komplexen, synthetisierbaren Code generieren, der benötigt wird, um diese zu bauen – ein Versprechen, das die Erstellung von allem, von Smartphones bis hin zu Satelliten, beschleunigen kann. Diese Bequemlichkeit führt jedoch eine verborgene Gefahr ein. Genau wie ein menschlicher Lehrling schlechte Angewohnheiten von einem fehlerhaften Lehrer lernen kann, können diese KI-Modelle während ihres Trainings heimlich korrumpiert werden. Ein Angreifer könnte bösartige Anweisungen in die Lerndaten des Modells einschleusen, was dazu führt, dass es die meiste Zeit normal agiert, aber einen versteckten Fehler, wie etwa eine Hardware-Trojaner-Struktur, einfügt, wann immer eine bestimmte, scheinbar harmlose Phrase verwendet wird. Dies schafft eine stille Bedrohung in der Lieferkette, bei der ein Chip perfekt zu funktionieren scheint, bis ein spezifischer Auslöser eine geheime, schädliche Funktion aktiviert.

Die Herausforderung für Verteidiger besteht darin, dass diese Modelle oft massiv, komplex und auf Daten trainiert sind, die kein einzelnes Unternehmen vollständig verifizieren kann. Traditionelle Methoden, um ein vergiftetes Modell zu korrigieren, erfordern meist ein erneutes Training des gesamten Systems von Grund auf – ein Prozess, der so rechenintensiv und datenlastig ist, dass er für Designteams oft unmöglich durchzuführen ist. Zudem führt der bloße Versuch, das Modell dazu zu bringen, die „schlechten“ Daten zu „vergessen“, oft dazu, dass seine Fähigkeit, guten Code zu schreiben, verloren geht, wodurch die Hardware unbrauchbar wird. Forscher der University of Central Florida haben einen neuen Ansatz namens RTLGuard entwickelt, um dieses Dilemma zu lösen. Anstatt das gesamte Modell neu aufzubauen, verwenden sie eine leichtgewichtige Technik, die ein kleines, vertrauenswürdiges „Lehrer“-Modell mit dem großen, potenziell vergifteten „Schüler“-Modell koppelt. Der Lehrer, der auf einem kleinen Satz sauberer, verifizierter Daten trainiert wurde, leitet den Schüler an, die bösartigen Verhaltensweisen zu verlernen, während die Fähigkeit, korrekten Hardware-Code zu schreiben, intakt bleibt.

Die Forscher testeten diese Methode, indem sie zuerst ihre eigenen vergifteten Modelle erstellten. Sie nahmen Standard-KI-Modelle mit Open-Source-Lizenzen und verfeinerten sie unter Verwendung einer Mischung aus sauberen Daten und bösartigen Stichproben, die darauf ausgelegt waren, Hardware-Trojaner zu verbergen. Diese Trojaner waren subtil; die Modelle produzierten weiterhin Code, der korrekt aussah und unter normalen Bedingungen wie erwartet funktionierte, aber sie betteten versteckte Mängel ein, die Daten leaken, Systeme abschalten oder die Leistung beeinträchtigen könnten, wenn eine spezifische Trigger-Phrase verwendet wurde. In ihren Experimenten scheiterten diese vergifteten Modelle in etwa 91 Prozent der Fälle bei der Generierung von sicherem Code, wenn sie mit Trigger-Phrasen getestet wurden, während ihre Fähigkeit, korrekten, funktionalen Code zu generieren, signifikant sank. Die Forscher wandten daraufhin RTLGuard an, wobei sie eine wesentlich kleinere, saubere Version derselben Modellfamilie als Lehrer verwendeten. Dieser Lehrer musste nicht wissen, was die spezifischen bösartigen Trigger waren; er lieferte lediglich eine zuverlässige Referenz dafür, wie korrekter, sicherer Code aussehen sollte.

Die Ergebnisse zeigten, dass dieser Lehrer-Schüler-Ansatz die Bedrohung erfolgreich neutralisierte, ohne die Nützlichkeit des Modells zu zerstören. Als die Forscher ein Lehrer-Modell der gleichen Größe wie das des Schülers verwendeten, sank die Erfolgsrate des Angriffs von 91 Prozent auf nur noch 16 Prozent. Selbst als der Lehrer deutlich kleiner als der vergiftete Schüler war, blieb die Verteidigung effektiv und reduzierte die Erfolgsrate des Angriffs auf zwischen 20 und 30 Prozent. Entscheidend war, dass die Modelle nicht ihre Fähigkeit verloren, ihre Aufgabe zu erfüllen. Vor der Verteidigung konnten die vergifteten Modelle nur in etwa 19 Prozent der Fälle korrekten, funktionalen Code generieren. Nach der Reinigung durch RTLGuard stieg ihre Erfolgsquote bei der Generierung von funktionierendem Code auf über -45 Prozent. Diese Verbesserung trat bei verschiedenen Arten von KI-Architekturen auf und sogar dann, wenn die Lehrer- und Schüler-Modelle aus unterschiedlichen Familien stammten, was darauf hindeutet, dass die Methode robust und anpassungsfähig ist.

Die Studie untersuchte auch, warum diese Methode so gut funktioniert, indem sie den Prozess in drei Teile zerlegte. Das System nutzte zuerst eine Standard-Supervision, um den Schüler wieder zum Schreiben von korrektem Code anzuleiten. Dann nutzte es eine Technik namens Knowledge Distillation, bei der der Schüler die Entscheidungen des Lehrers für jedes generierte Wort nachahmt, was effektiv die während der Vergiftungsphase erlernten schlechten Gewohnheiten überschreibt. Schließlich brachte es die internen Repräsentationen der beiden Modelle in Einklang, um sicherzustellen, dass der „Denkprozess“ des Schülers mit der sauberen Logik des Lehrers übereinstimmte. Die Forscher fanden heraus, dass die Verwendung aller drei Komponenten zusammen die besten Ergebnisse lieferte und die Methoden weit übertraf, die sich nur auf eine dieser Techniken verlassen. Sie verglichen RTLGuard auch mit anderen bestehenden Verteidigungsstrategien, wie etwa solchen, die darauf abzielen, Modelle dazu zu bringen, bestimmte Daten zu vergessen oder Aufmerksamkeitsmuster (Attention Patterns) zu destillieren. In diesen Vergleichen erreichte RTLGuard konsistent eine geringere Angriffsrate bei gleichzeitig höherer Codequalität, was bewies, dass eine gezielte, leichtgewichtige Wiederherstellung effektiver ist als breit angelegte, schwerfällige Korrekturen.

Eine der bedeutendsten Erkenntnisse war, dass die Verteidigung selbst dann funktionierte, wenn die Modelle mit Daten getestet wurden, die sie noch nie zuvor gesehen hatten. Die Forscher evaluierten die gereinigten Modelle anhand eines anderen Satzes von Hardware-Designproblemen als jenen, die während des Trainings verwendet wurden, und die Modelle konnten die Angriffe weiterhin abwehren und gleichzeitig hochwertigen Code generieren. Dies deutet darauf hin, dass die Verteidigung nicht nur eine Liste schlechter Beispiele auswendig lernt, um sie zu vermeiden, sondern vielmehr ein grundlegendes Verständnis für sichere Designprinzipien vom Lehrer erlernt. Die Forscher verifizierten ihre Ergebnisse zudem mit mehreren Methoden, einschließlich der Überprüfung der Outputs durch ein zweites, unabhängiges KI-System sowie der manuellen Inspektion einer Stichprobe des Codes. Diese Überprüfungen bestätigten, dass die Reduktion der Angriffe real war und dass die verbleibenden Fehler nicht bloß Artefakte des Testprozesses waren.

Diese Arbeit unterstreicht einen kritischen Wandel in der Art und Weise, wie wir die Zukunft des Hardware-Designs sichern könnten. Anstatt davon auszugehen, dass ein Modell entweder perfekt sicher oder völlig defekt ist, zeigt RTLGuard, dass kompromittierte Systeme effizient repariert werden können. Der Ansatz erfordert nur eine geringe Menge an vertrauenswürdigen Daten und einen Bruchteil der Rechenleistung, die für ein vollständiges Retraining nötig wäre, was ihn zu einer praktischen Lösung für Unternehmen macht, die auf KI-Modelle von Drittanbietern angewiesen sind. Indem sie einen vertrauenswürdigen Führer nutzen, um das Modell zurück zu sicherem Verhalten zu steuern, haben die Forscher gezeigt, dass es möglich ist, die Geschwindigkeit und Bequemlichkeit des automatisierten Designs beizubehalten, ohne die Sicherheit des Endprodukts zu opfern. Die Studie kommt zu dem Schluss, dass dieser Lehrer-Schüler-Rahmen einen gangbaren Weg bietet, um die Integrität der Chip-Lieferkette gegen verborgene, datengesteuerte Bedrohungen zu schützen.