The Weight of a Bit: EMFI Sensitivity Analysis of Embedded Deep Learning Models

Resumen Técnico: Análisis de Sensibilidad a la Inyección de Fallos Electromagnéticos en Modelos de Aprendizaje Profundo Embebidos

1. Planteamiento del Problema

La implementación de redes neuronales en dispositivos embebidos (Edge AI y TinyML) ha crecido rápidamente para reducir la latencia y mejorar la privacidad. Sin embargo, esta accesibilidad física introduce nuevas vulnerabilidades frente a ataques de inyección de fallos (FIA), específicamente la Inyección de Fallos Electromagnéticos (EMFI).

El problema central abordado es la falta de estudios comparativos exhaustivos sobre cómo las diferentes representaciones numéricas de los pesos de los modelos (desde punto flotante de alta precisión hasta enteros cuantizados agresivamente) afectan la resiliencia del modelo ante ataques EMFI. Mientras que se sabe que la cuantización reduce el tamaño del modelo, no está claro si esto mejora o empeora su seguridad física frente a la corrupción de bits en memoria.

2. Metodología

Los autores diseñaron un estudio empírico riguroso para evaluar la degradación de la precisión bajo ataques EMFI reales.

• Configuración Experimental:
  • Hardware: Se utilizó una plataforma de inyección de bajo costo (NewAE ChipSHOUTER) para generar pulsos electromagnéticos transitorios.
  • Objetivo (DUT): Un chip de memoria SRAM de 4 MB (AS6C3216A) alojado en una tarjeta Ballistic Gel, simulando la memoria donde se almacenan los pesos del modelo.
  • Ataque: Se inyectaron pulsos únicos de 300 V y 160 ns de ancho. Se realizó un escaneo superficial para identificar la región más vulnerable del chip (coordenadas ~7, 35), logrando una tasa de éxito de corrupción de bytes del ~15%.
  • Modelos: Se desplegaron cuatro arquitecturas de clasificadores de imágenes comunes: ResNet-18, ResNet-34, ResNet-50 y VGG-11, entrenadas en ImageNet-1K.
  • Formatos de Peso: Se evaluaron cuatro representaciones numéricas:
    1. FP32: Punto flotante de 32 bits (precisión completa).
    2. FP16: Punto flotante de 16 bits.
    3. INT8: Entero de 8 bits (cuantización estándar).
    4. INT4: Entero de 4 bits (cuantización agresiva).
• Procedimiento: Se corrompieron segmentos de 4 MB de los pesos de los modelos y se ejecutó la inferencia en un GPU (NVIDIA RTX 4080) para medir la degradación en la precisión Top-1 y Top-5, aislando así el impacto matemático de la corrupción de memoria sin interferencias del hardware de inferencia embebido.

3. Contribuciones Clave

1. Estudio Comparativo Unificado: Es el primer estudio que compara directamente FP32, FP16, INT8 e INT4 bajo las mismas condiciones de ataque EMFI y con los mismos modelos.
2. Caracterización del Patrón de Fallo: Más allá de la precisión, los autores analizaron la naturaleza de los errores inyectados:
   • Tasa de Error de Bit (BER): Se determinó que la densidad de fallos es independiente del formato (aprox. 6-8% en todos los casos).
   • Patrones de Bytes: Se observó una alta prevalencia de bytes con valores 0xFE y 0xFF en los formatos enteros, lo cual es crítico para entender la diferencia en resiliencia.
3. Análisis de Mecanismos de Fallo: Se identificaron las causas raíz de la degradación: la corrupción de los bits del exponente en punto flotante (que genera NaN o valores infinitos) frente a la saturación acotada en enteros.

4. Resultados Principales

• Colapso de los Modelos en Punto Flotante (FP32/FP16):

  • Tras una sola inyección de fallo, los modelos en FP32 y FP16 sufrieron una degradación casi total de la precisión (cayendo al nivel de adivinanza aleatoria, ~0.1%).
  • Causa: Los bits de error en los campos de exponente del estándar IEEE 754 provocan que los pesos se conviertan en NaN (Not a Number) o en valores extremadamente grandes ($\approx 10^{38}$). Esto satura las funciones de activación y propaga el error catastróficamente por toda la red.
  • En FP32, aproximadamente el 1.27% de los pesos se convirtieron en NaN; en FP16, el 0.10%.

• Resiliencia Superior de los Enteros (INT8/INT4):

  • Los modelos cuantizados mostraron una resistencia significativamente mayor.
  • INT8: Ofreció el mejor equilibrio. En la red más grande (VGG-11), mantuvo una precisión Top-1 del ~70% y Top-5 del ~90% tras el ataque.
  • Mecanismo de Protección: En formatos enteros, un bit flip simplemente cambia el valor a otro entero dentro del rango limitado (ej. [-128, 127]). No hay "explosión" de magnitud ni generación de NaN. La cuantización actúa como un "amortiguador" natural que limita el daño.

• Análisis Espacial:

  • La sensibilidad varía según la capa atacada. Las capas iniciales (Front) son críticas: su corrupción destruye las representaciones de características.
  • En VGG-11 con INT8, atacar las capas intermedias (que contienen la gran capa totalmente conectada FC6) tuvo un impacto menor debido a la redundancia paramétrica, mientras que atacar las primeras o últimas capas causó una caída significativa.

5. Significado e Implicaciones

Este trabajo demuestra que la elección del formato numérico no es solo una decisión de eficiencia (memoria/velocidad), sino un factor crítico de seguridad física:

1. Riesgo Oculto en Punto Flotante: El uso de FP32 o FP16 en dispositivos embebidos expone a los modelos a un riesgo catastrófico ante ataques EMFI, donde un solo fallo puede inutilizar el sistema completamente.
2. Ventaja de Seguridad de la Cuantización: La cuantización a enteros (especialmente INT8) proporciona una protección intrínseca ("máscara numérica") contra fallos de bits de alta magnitud, sin necesidad de hardware adicional de corrección de errores.
3. Recomendación para Edge AI: Para despliegues en entornos donde la seguridad física es una preocupación, se recomienda encarecidamente el uso de INT8, ya que ofrece el mejor compromiso entre precisión base, huella de memoria y resiliencia ante ataques EMFI.

En conclusión, el artículo establece que la arquitectura de representación de datos es tan importante como el diseño de la red para la robustez de los sistemas de IA embebidos frente a amenazas físicas.