Kraken: Higher-order EM Side-Channel Attacks on DNNs in Near and Far Field

Este trabajo presenta "Kraken", el primer ataque de canal lateral electromagnético de alto orden capaz de extraer parámetros de modelos de aprendizaje profundo directamente de las unidades Tensor Core de las GPUs, demostrando la vulnerabilidad de estos sistemas tanto en campo cercano como en campo lejano a través de obstáculos.

Lo esencial

¡Claro que sí! Imagina que este artículo es como una historia de espionaje tecnológico, pero en lugar de robar secretos de un banco, los espías están robando los "cerebros" de las inteligencias artificiales (IA).

Aquí tienes la explicación de la investigación "Kraken" en un lenguaje sencillo, con analogías para que cualquiera pueda entenderlo:

🕵️‍♂️ La Misión: Robar el Cerebro de la IA

Imagina que una empresa ha gastado millones de dólares entrenando a un robot superinteligente (una Red Neuronal o IA) para que hable como un humano o reconozca imágenes. Ese robot es su propiedad privada, su "secreto de cocina".

El problema es que un ladrón no necesita entrar a la cocina a robar la receta escrita. En su lugar, puede espiar cómo se mueve la olla mientras se cocina. Si la olla hace un ruido diferente cuando se echa sal que cuando se echa azúcar, el espía puede deducir la receta solo escuchando.

En el mundo digital, ese "ruido" es la energía eléctrica y las ondas de radio que emite la tarjeta gráfica (GPU) de la computadora mientras piensa.

🦑 ¿Qué hace el "Kraken"? (El nombre del ataque)

Los investigadores crearon un nuevo método de espionaje llamado Kraken. Hasta ahora, los ladrones solo podían escuchar a la IA cuando estaba "hablando" con el usuario (a través de internet). Pero Kraken es mucho más peligroso porque puede escuchar directamente a la tarjeta gráfica de la computadora, incluso si está en otra habitación.

Aquí están sus dos superpoderes principales:

1. El Ojo de Halcón (Ataque de Campo Cercano)

Imagina que tienes un microscopio súper potente. Los investigadores usaron cámaras de infrarrojos para ver el "interior" de la tarjeta gráfica (el chip de silicio) sin tocarlo.

• La analogía: Piensa en la tarjeta gráfica como una ciudad llena de trabajadores (llamados warps o grupos de 32 trabajadores). Antes, los espías intentaban escuchar a un solo trabajador gritando su secreto. Era difícil porque había mucho ruido de fondo.
• La innovación de Kraken: En lugar de escuchar a uno, Kraken escucha a todo el grupo de 32 trabajadores al mismo tiempo. Como todos hacen el mismo movimiento casi al mismo tiempo, sus "gritos" se suman y el secreto se escucha mucho más claro. Esto permite robar las "pesas" (los números secretos) de la IA mucho más rápido que nunca antes.

2. El Oído a Distancia (Ataque de Campo Lejano)

Este es el truco más impresionante. ¿Alguna vez has sentido que la radio de tu coche se entromete cuando pasas cerca de un cable de alta tensión? Eso es radiación electromagnética.

• La analogía: Imagina que la tarjeta gráfica es una radio que transmite su secreto en una frecuencia específica. Antes, los investigadores pensaban que tenían que estar pegados a la radio para escucharla.
• La innovación de Kraken: Demostraron que se puede escuchar esa "radio" desde 1 metro de distancia, e incluso a través de un cristal (como una ventana).
  • Usaron una antena especial (como una radio de espías) para captar las ondas que salían de una tarjeta gráfica potente (una RTX 4090) mientras ejecutaba un modelo de lenguaje gigante (como Llama).
  • Aunque el cristal debilita la señal (como cuando hablas a través de una ventana cerrada), el mensaje secreto aún se puede descifrar.

🧠 ¿Qué es lo que roban exactamente?

No roban todo el cerebro de la IA de golpe (sería demasiado grande).

• El caso de los "LoRA": Muchas empresas toman una IA pública y le hacen pequeños ajustes (como ponerle un nuevo acento o enseñarle jerga específica). Estos ajustes son como "parches" pequeños. Kraken puede robar solo esos parches.
• El resultado: Con esos parches robados, el ladrón puede copiar la versión personalizada de la IA y venderla o usarla sin pagar a la empresa original.

🛡️ ¿Cómo nos protegemos?

El artículo también nos da una lección de seguridad:

1. El escudo de metal: Si quieres proteger tu IA de este tipo de espionaje a distancia, necesitas poner la computadora dentro de una caja de metal (como una jaula de Faraday). Esto bloquea las ondas de radio, igual que un ascensor bloquea la señal del móvil.
2. El problema de la "receta": El artículo menciona que, a veces, la forma en que se guardan los números (cuantización) ya delata información antes de que empiece el espionaje. Es como si la receta dijera: "Usamos sal hasta el máximo de la botella", lo cual ya le da una pista al ladrón.

🏁 Conclusión

En resumen, este paper nos dice: "Cuidado, tus secretos digitales no solo están en la nube, también están en el aire que te rodea".

Han demostrado que es posible robar los cerebros de las inteligencias artificiales más modernas simplemente escuchando las ondas electromagnéticas que emiten sus tarjetas gráficas, incluso a través de paredes o ventanas. Es una advertencia de que, en el futuro, proteger la privacidad de la IA requerirá blindar físicamente las computadoras, no solo protegerlas con contraseñas.

Resumen técnico

Resumen Técnico: Kraken - Ataques de Canal Lateral de Orden Superior por EM en DNNs

1. Problema y Contexto

La inversión masiva en el entrenamiento de modelos de aprendizaje automático (ML) modernos, especialmente Grandes Modelos de Lenguaje (LLMs) y redes neuronales profundas (DNN), ha convertido a estos modelos en objetivos primarios para el robo de propiedad intelectual.

• Amenaza Actual: Los métodos existentes de "robo de modelos" se basan principalmente en el acceso a APIs, lo que permite a los defensores implementar contramedidas como limitación de tasa o ruido adversario.
• Brecha de Seguridad: Aunque se han demostrado ataques de canal lateral físico (consumo de energía o radiación electromagnética) en microcontroladores y FPGAs, y en núcleos CUDA generales de GPU, no existían ataques efectivos contra las unidades Tensor Core (las más utilizadas actualmente por su alto rendimiento) ni contra la extracción de pesos de LLMs en el campo lejano (a distancia).
• Desafío: La naturaleza paralela de las GPU y la complejidad de las implementaciones modernas (uso de instrucciones Tensor Core) hacen que los modelos de filtrado de fugas tradicionales (basados en un solo hilo) sean ineficientes.

2. Metodología

Los autores proponen un enfoque de dos niveles para extraer pesos de modelos DNN mediante análisis de canal lateral electromagnético (EM):

A. Ataque en Campo Cercano (Near-Field)

• Objetivo: Extraer pesos de una CNN en una GPU (Jetson Orin Nano) utilizando sondas EM.
• Modelo de Fuga a Nivel de "Warp":
  • En lugar de analizar el consumo de un solo hilo (como en trabajos previos), el modelo considera el consumo de energía agregado de todos los 32 hilos de un "warp" (grupo de hilos en la arquitectura GPU).
  • Se aprovecha que los hilos en un warp ejecutan instrucciones simultáneamente (SIMT) y escriben en registros con valores intermedios dependientes de los mismos pesos.
  • Se utiliza un análisis de correlación de potencia (CPA) basado en la distancia de Hamming (Hamming Distance) de los registros sobrescritos por instrucciones Tensor Core (ej. IMMA.16816.S8.S8).
• Ataque de Orden Superior:
  • Se introduce una técnica novedosa para DNNs que combina múltiples valores intermedios que dependen del mismo peso pero que ocurren en diferentes momentos o en diferentes instrucciones dentro de la misma traza.
  • Se utiliza una función de combinación (suma de consumos) y una función de pre-procesamiento (cuadrado de la suma) para reducir el ruido y acelerar la convergencia del ataque.
• Preparación: Se realiza un "floorplan" (plano de suelo) del chip mediante imágenes infrarrojas para identificar con precisión los Streaming Multiprocessors (SM) y colocar la sonda EM cerca de las particiones que contienen los registros sensibles.

B. Ataque en Campo Lejano (Far-Field)

• Objetivo: Demostrar la fuga de información de un LLM (Llama 3.2 1B) a distancia, incluso a través de obstáculos.
• Configuración: Se utiliza una antena Vivaldi y un Radio Definido por Software (SDR) para capturar la radiación electromagnética a 25 cm y 100 cm de distancia (incluso a través de vidrio).
• Modelado de Señal: Se asume que la señal de reloj de la GPU actúa como una portadora modulada en amplitud con información relacionada a los pesos.
• Complejidad del Ataque (CPA):
  • Dado que una instrucción Tensor Core (ej. HMMA) calcula productos punto que dependen de múltiples pesos (ej. 8 pesos), un ataque directo tendría una complejidad exponencial.
  • Estrategia: Se utiliza un enfoque de "estado fijo". Si se conocen los primeros $n-1$ pesos o se fijan las entradas, se puede aislar el último peso. Además, se aprovecha que los pesos en LLMs suelen estar en un rango limitado, reduciendo el espacio de búsqueda de 16 bits a ~12.3 bits.
• Prueba de Concepto: Se extrae el octavo peso de las matrices de proyección ($W_q, W_k, W_v$) de Llama 3.2 utilizando 2 millones de trazas capturadas a 100 cm a través de vidrio.

3. Contribuciones Clave

1. Modelo de Fuga a Nivel de Warp: Primer enfoque específico para GPU que modela el consumo energético de todos los hilos de un warp simultáneamente, superando significativamente a los métodos basados en hilos individuales.
2. Ataque de Orden Superior para DNNs: Primera aplicación de ataques de orden superior en el contexto de DNNs, combinando múltiples fugas temporales para acelerar la extracción de pesos sin necesidad de acceso a API.
3. Extracción en Campo Lejano: Primera demostración de un ataque de canal lateral EM en campo lejano contra un LLM en una GPU comercial (RTX 4090), mostrando que la información de los pesos se filtra incluso a 1 metro de distancia y a través de vidrio.
4. Análisis de Cuantización: Discusión sobre cómo los esquemas de cuantización (afín y por bloques) pueden filtrar información sobre los pesos incluso antes de realizar un ataque de canal lateral.

4. Resultados

• Campo Cercano:
  • El modelo de nivel de warp redujo drásticamente el número de trazas necesarias para extraer pesos: de millones (en trabajos previos como BarraCUDA) a solo 100k - 300k trazas.
  • La combinación de fugas de orden superior (combinando 2 o 3 valores intermedios) permitió recuperar claves con un rango de clave (key rank) de 0 tras solo 10,000 trazas.
• Campo Lejano:
  • Se logró detectar fugas relacionadas con los pesos y el número de tokens generados a 100 cm de distancia.
  • Aunque la señal es más débil a través del vidrio, la correlación estadística (t-statistic) fue suficiente para identificar la presencia de información de los pesos.
  • Se demostró que la frecuencia de reloj de la GPU (2565 MHz) sigue filtrando información incluso cuando la frecuencia de operación cambia debido a la carga (boost clock).

5. Significado e Impacto

• Nueva Vector de Amenaza: Este trabajo establece que la protección de modelos DNN no puede basarse únicamente en el aislamiento de APIs o en la ofuscación de software. La seguridad física (blindaje EM) es crítica, incluso para dispositivos en entornos de consumo.
• Vulnerabilidad de las GPU Modernas: Demuestra que las unidades Tensor Core, diseñadas para acelerar el ML, introducen nuevas vulnerabilidades de canal lateral debido a su alto paralelismo y patrones de acceso a memoria específicos.
• Implicaciones para LLMs: Pone en riesgo la propiedad intelectual de modelos LLMs ajustados (fine-tuned) mediante técnicas como LoRA, ya que un adversario podría extraer los pesos ajustados sin necesidad de acceso físico invasivo (como retirar el disipador de calor).
• Defensa: Sugiere que las contramedidas efectivas deben incluir blindaje electromagnético (metálico) y técnicas de ofuscación a nivel de hardware (mezcla de hilos, enmascaramiento), ya que las soluciones puramente software pueden ser insuficientes contra ataques de orden superior.

En conclusión, el artículo "Kraken" redefine el estado del arte en el robo de modelos, demostrando que la extracción de pesos de DNNs es factible mediante ataques de canal lateral electromagnético de alta precisión, tanto en proximidad como a distancia, aprovechando las arquitecturas modernas de GPU.