Federated Learning security with FedEDAuth: Embedding-Distribution Authentication for Counterfeit IC Detection

Die globale Lieferkette für die winzigen Chips, die alles von Smartphones bis hin zu medizinischen Geräten antreiben, ist riesig und fragmentiert und erstreckt sich über viele Länder und Unternehmen. Diese Komplexität schafft einen gefährlichen blinden Fleck: gefälschte Komponenten. Dabei handelt es sich um gefälschte oder recycelte Chips, die echt aussehen, aber nicht funktionieren, was potenziell katastrophale Ausfälle in kritischen Systemen wie Flugzeugen oder Stromnetzen verursachen kann. Traditionell erfordert das Aufspüren dieser Fälschungen eine physische Inspektion oder teure elektrische Tests, was langsam und schwer zu standardisieren ist. Um dies zu lösen, haben Forscher auf maschinelles Lernen zurückgegriffen und nutzen künstliche Intelligenz, um die subtilen visuellen Unterschiede zwischen echten und gefälschten Chips zu erkennen. Da Chip-Hersteller jedoch ihre proprietären Designs und Daten streng schützen, sind sie nicht bereit, ihre privaten Bilder mit einem zentralen Computer zu teilen, um diese KI-Modelle zu trainieren. Dies hat zur Einführung eines kollaborativen Ansatzes namens Federated Learning geführt. In diesem System reist das KI-Modell zu den Daten und nicht umgekehrt; jeder Hersteller trainiert das Modell auf seinen eigenen privaten Computern und sendet nur die mathematischen Aktualisierungen an einen zentralen Server zurück, wodurch ihre sensiblen Bilder verborgen bleiben.

Obwohl diese Methode die Privatsphäre schützt, führt sie ein neues und subtiles Sicherheitsrisiko ein. Da der zentrale Server die Rohdaten nie sieht, kann er nicht überprüfen, ob ein teilnehmendes Unternehmen ehrlich ist. Ein böswilliger Akteur könnte sich dem Netzwerk anschließen und den Trainingsprozess subtil vergiften, um die globale KI so zu täuschen, dass sie gefälschte Chips als echt akzeptiert, ohne dass es jemand bemerkt. Eine aktuelle Studie von Forschern der University of North Carolina at Charlotte zeigt auf, wie verwundbar dieses System ist, und schlägt einen neuen Weg vor, es zu sichern. Das Team zeigte, dass ein Angreifer mit Zugriff auf weniger als fünf Prozent der gesamten Trainingsdaten erfolgreich das gesamte System korrumpieren konnte. Durch das Hinzufügen winziger, fast unsichtbarer Kratzer zu ihren Bildern von Chips brachten sie die KI dazu, die Anzeichen von Fälschungen zu ignorieren. Standardmäßige Abwehrmechanismen, die darauf ausgelegt sind, böswillige Akteure zu erfassen, versagten völlig, weil der Angriff zu leise war, um Alarme auszulösen. Um dem entgegenzuwirken, entwickelten die Forscher ein neues Authentifizierungssystem, das den statistischen „Fingerabdruck“ der Daten überprüft, noch bevor diese für das Training verwendet werden. Diese neue Methode identifizierte und blockierte in ihren Tests jeden einzelnen bösartigen Teilnehmer erfolgreich, wodurch das kollaborative Netzwerk sicher und präzise funktionieren konnte.

Der Kern des Problems liegt in der Natur des Angriffs selbst. In einem typischen Federated-Learning-Setup koordiniert ein zentraler Server das Training eines gemeinsamen Modells, indem er Updates von Dutzenden verschiedener Clients sammelt, wie etwa Chip-Foundries und Testeinrichtungen. Die Forscher simulierten ein Szenario mit fünfzig dieser Clients. Sie entdeckten, dass es ausreichte, wenn nur drei dieser Clients kompromittiert waren, um einen heimlichen Data-Poisoning-Angriff zu starten. Anstatt zu versuchen, das System mit lauten, offensichtlichen Fehlern zu brechen, fügten die Angreifer ein spezifisches, subtiles visuelles Muster zu ihren Bildern hinzu. Dieses Muster imitierte natürliche Oberflächenvariationen, wie sie bei alten oder recycelten Chips vorkommen, etwa feine Kratzer oder Schlieren. Da das Muster so realistisch war, verschmolz es perfekt mit den normalen Daten. Als diese drei Clients ihre lokalen Modelle mit diesen vergifteten Daten trainierten, sahen die daraus resultierenden Updates statistisch identisch mit den Updates der ehrlichen Clients aus.

Wenn der zentrale Server diese Updates mit Standardmethoden kombinierte, summierte sich die subtile Korruption über die Zeit. Das globale Modell lernte allmählich, das gefälschte Kratzermuster mit authentischen Chips zu assoziieren. Infolgedessen begann die KI, echte gefälschte Chips als echt einzustufen, während sie gleichzeitig eine hohe Gesamtgenauigkeit beibehielt, die den Schaden verbarg. Die Forscher testeten dies gegen drei gängige Abwehrmechanismen, die zum Schutz von Federated Learning eingesetzt werden: einen, der alle Updates mittelt, einen, der die extremsten Ausreißer entfernt, und einen, der die ähnlichsten Modelle auswählt. Keiner von ihnen funktionierte. Der Angriff war zu subtil, um als Ausreißer markiert zu werden, und der Mittelungsprozess verwässerte das Signal gerade so weit, dass es unentdeckt blieb. Tatsächlich sank die Gesamtgenauigkeit des Modells um weniger als einen halben Prozentpunkt – eine Änderung, die so geringfügig war, dass Betreiber wahrscheinlich davon ausgehen würden, das System funktioniere perfekt, während es in Wirklichkeit seine kritischste Aufgabe verfehlte: das Erkennen von Fälschungen.

Um zu visualisieren, was im Inneren der KI geschah, nutzten die Forscher eine Technik, die hervorhebt, auf welche Teile eines Bildes das Modell sich konzentriert. In einem sauberen, unkorrumpierten Modell betrachtete die KI die strukturellen Details des Chips, wie die Metalllinien und die Mitte des Dies. Im vergifteten Modell verlagerte sich die Aufmerksamkeit der KI weg von diesen wichtigen Merkmalen und fixierte sich auf das künstliche Kratzmuster, das die Angreifer hinzugefügt hatten. Das Modell hatte die falsche Lektion gelernt und behandelte den künstlichen Kratzer als ein Zeichen von Authentizität. Dies bestätigte, dass der Angriff nicht nur ein statistischer Fehler war, sondern eine gezielte Korrumpierung des internen Verständnisses des Modells. Die Gefahr besteht darin, dass die Gesamtgenauigkeit hoch blieb und es somit kein offensichtliches Warnsignal gab, dass das System kompromittiert worden war.

In Anerkennung dessen, dass die Überprüfung der Endergebnisse zu spät war, schlugen die Forscher eine neue Verteidigung namens Federated Embedding Distribution Authentication, oder kurz FedEDAuth, vor. Dieses System arbeitet, noch bevor das Training beginnt. Anstatt darauf zu warten, ob die Modell-Updates verdächtig sind, überprüft es die Daten selbst. Das System nutzt eine vertrauenswürdige, vorab trainierte KI, um jedes von einem Client eingereichte Bild in eine mathematische Darstellung, ein sogenanntes Embedding, umzuwandeln. Dieser Prozess erfasst das Wesen des Bildes, ohne das eigentliche Bild offenzulegen, wodurch das geistige Eigentum des Kunden geschützt wird. Ein separater, vertrauenswürdiger Server vergleicht dann die Verteilung dieser Embeddings von jedem Client mit einer bekannten „Goldstandard“-Referenz dessen, wie authentische Chipbilder aussehen sollten.

Die Forscher fanden heraus, dass selbst wenn die Angreifer versuchten, ihr Gift zu verbergen, die statistischen Eigenschaften ihrer Daten sie verraten. Die vergifteten Bilder bildeten einen distinkten Cluster im mathematischen Raum, der sich von der natürlichen Variation ehrlicher Chips unterschied. Das neue System maß drei spezifische Dinge: wie viele Bilder außerhalb des normalen Bereichs lagen, ob sich die durchschnittliche Position der Bilder verschoben hatte und ob die Bilder eine enge, isolierte Gruppe bildeten, die nicht dazugehörte. Durch die Kombination dieser Messungen konnte das System die bösartigen Teilnehmer mit perfekter Genauigkeit identifizieren. In ihren Tests mit fünfzig Clients und mehreren Zufallsszenarien detektierte das System alle drei kompromittierten Teilnehmer jedes einzelne Mal, bei null Fehlalarmen.

Sobini die bösartigen Clients herausgefiltert worden waren, setzten die verbleibenden siebenundvierzig ehrlichen Clients das Training fort. Das Ergebnis war ein globales Detektionssystem, das fast so gut funktionierte wie ohne jeglichen Angriff. Das finale Modell erreichte eine Genauigkeit von fast einundneunzig Prozent und identifizierte neunundfünfzig Prozent der gefälschten Chips korrekt. Dies bewies, dass das kollaborative Netzwerk sowohl privat als auch sicher sein kann, sofern es eine Möglichkeit gibt, die Integrität der Daten zu verifizieren, bevor sie das Modell beeinflussen. Die Forscher merkten an, dass ihr spezifischer Test zwar einen bestimmten Typ von visuellem Trigger verwendete, die Methode jedoch robust genug ist, um verschiedene Arten subtiler Angriffe zu erfassen. Sie räumten auch ein, dass die gefälschten Bilder in ihrer Studie mittels digitaler Simulationen statt physischer Exemplare erzeugt wurden, was eine Einschränkung darstellt, das zugrunde liegende Prinzip der Überprüfung von Datenverteilungen jedoch gültig bleibt.

Die Implikationen dieser Arbeit reichen weit über das Finden gefälschter Chips hinaus. Dieselbe Schwachstelle existiert in jedem Bereich, in dem sensible Daten für kollaboratives maschinelles Lernen geteilt werden, wie etwa bei der Erkennung von Hardware-Trojanern oder der Verifizierung der Integrität der Lieferkette. Die Studie legt nahe, dass es für die Hochsicherheits-Kontrolle nicht ausreicht, sich allein auf die Überprüfung der finalen Modell-Updates zu verlassen. Stattdessen ist ein proaktiver Ansatz, der die Daten an der Quelle validiert, unerlässlich. Durch die Einführung eines vertrauenswürdigen Dritten zur Verifizierung der statistischen Natur der Daten haben die Forscher einen Weg für eine sichere Zusammenarbeit in der Halbleiterindustrie aufgezeigt. Dieser Ansatz stellt sicher, dass das globale Modell aus vielfältigen Quellen lernen kann, ohne durch einen einzelnen böswilligen Akteur stillschweigend korrumpiert zu werden, und sichert so das Fundament der Technologie, die die moderne Welt antreibt.