Resumen Técnico: SoK: Panorama de Ataques y Defensas de los Sistemas de IA en Dispositivos Móviles

Planteamiento del Problema

Los sistemas de IA en dispositivos móviles (MOAI, por sus siglas en inglés) representan un cambio de paradigma donde los modelos de IA se despliegan localmente en los dispositivos del usuario final en lugar de depender de servicios remotos en la nube. Si bien esta arquitectura ofrece ventajas significativas en privacidad (procesamiento de datos local), latencia (sin transmisión de red) y capacidad offline, altera fundamentalmente el panorama de seguridad. A diferencia de los sistemas basados en la nube, donde los modelos residen en entornos de servidor controlados, los sistemas MOAI almacenan artefactos de modelos propietarios directamente en los dispositivos del usuario. Este almacenamiento local expone a los modelos a un conjunto único de amenazas, incluyendo la ingeniería inversa, el volcado de memoria (memory dumping) y la extracción no autorizada, que no son prevalentes en el software móvil tradicional o en los contextos de IA en la nube.

La literatura existente se ha centrado en gran medida en el Edge AI, TinyML o subconjuntos específicos como el robo de modelos, careciendo de un marco holístico que aborde los riesgos de seguridad de extremo a extremo de los sistemas MOAI. Existe una brecha crítica en la comprensión de cómo la inferencia local redefine los límites de confianza entre las entradas del usuario, los modelos residentes en el dispositivo, los entornos de ejecución (runtimes) y el aislamiento de hardware, así como una falta de orientación sistemática sobre los pilares de seguridad fundamentales y las soluciones de defensa prácticas.

Metodología

Este artículo presenta la primera sistematización de conocimiento (SoK) integral respecto a la seguridad de MOAI. Los autores adoptan una perspectiva de sistema móvil holística, analizando las arquitecturas MOAI como composiciones por capas de software móvil tradicional y componentes neuronales locales. La metodología consiste en:

1. Caracterización Arquitectónica: Definir los sistemas MOAI a través de cuatro capas distintas: Interfaz de Entrada, Artefacto del Modelo de IA, Ejecución del Entorno de Ejecución (Runtime) y Aislamiento de Hardware.
2. Derivación de Pilares de Seguridad: Establecer tres pilares de seguridad centrales que capturan las propiedades de protección esenciales de los sistemas MOAI.
3. Modelado de Amenazas: Formalizar tres tipos de adversarios basados en sus capacidades y puntos de manipulación: a nivel de entrada, a nivel de modelo y a nivel de ejecución.
4. Desarrollo de Taxonomía: Categorizar sistemáticamente los ataques y mecanismos de defensa existentes basándose en los modelos de amenaza definidos y las fases de despliegue (pre-despliegue, tiempo de ejecución, post-despliegue).
5. Análisis Transversal de Pilares: Mapear ataques y defensas con los pilares de seguridad para identificar brechas, compensaciones (trade-offs) y problemas abiertos.

Contribuciones Clave

1. Pilares de Seguridad de los Sistemas MOAI

El artículo establece un marco que caracteriza la seguridad de MOAI mediante tres pilares:

• Pilar I: Integridad de la Entrada Gobernada por el Usuario: Garantizar la integridad de los datos adquiridos de sensores e interacciones del usuario antes de que sean consumidos por el modelo.
• Pilar II: Seguridad del Modelo Residente en el Dispositivo: Proteger la confidencialidad e integridad de los artefactos del modelo (pesos, estructura) almacenados en el dispositivo contra la extracción y modificación.
• Pilar III: Confinamiento del Entorno Nativo del Dispositivo: Garantizar que el entorno de ejecución del runtime (SO, memoria, hardware) aísle los estados de inferencia de los componentes no confiables.

2. Panorama de Ataques y Taxonomía Integral

Los autores categorizan los ataques MOAI en cinco categorías distintas basadas en tres modelos de amenaza:

• Ataques Adversarios: Incluyendo la explotación de similitud de modelos, reconstrucción de gradientes y manipulación de preprocesamiento. Estos apuntan principalmente al Pilar I, pero a menudo aprovechan la accesibilidad del Pilar II.
• Ataques de Puerta Trasera (Backdoor Attacks): Que involucran inyección de carga útil (payload), explotación de cuantización de modelos y esteganografía de imágenes para implantar disparadores (triggers). Estos vinculan los Pilares I y II.
• Ataques de Pesos Adversarios: Manipulación directa de parámetros (por ejemplo, TYPHON) para alterar el comportamiento de la inferencia, apuntando al Pilar II.
• Ataques de Robo de Modelos: Utilizando análisis estático, análisis dinámico y ataques de canal lateral para extraer artefactos de modelos. Estos apuntan al Pilar II y se extienden al Pilar III cuando los modelos solo son recuperables durante el tiempo de ejecución.
• Ataques de Energía-Latencia: Apuntando a la disponibilidad del modelo mediante el aumento del consumo de recursos, abarcando los tres pilares.

3. Panorama de Defensas y Taxonomía Integral

Las defensas se categorizan por fase de despliegue y mecanismo:

• Ofuscación de Modelos: Oscurecimiento a nivel de software (renombrado, acoplamiento de operadores) y a nivel de hardware (división de modelos con secretos de hardware) para dificultar la extracción.
• Autorización de Modelos: Vincular la utilidad del modelo a contextos de aplicaciones autenticadas (por ejemplo, MMGuard) para evitar el uso no autorizado.
• Entornos de Ejecución Confiables (TEE): Ejecutar modelos o componentes sensibles dentro de enclaves aislados por hardware (ofrenda monolítica, particionada u ofuscación de transferencia/offloading).
• Marcado de Agua de Modelos (Watermarking): Verificación de propiedad post-despliegue (por ejemplo, THEMIS) para detectar el uso no autorizado.

4. Identificación de Problemas Abiertos

El análisis revela nueve problemas abiertos críticos (OP1–OP9) donde la investigación actual es insuficiente:

• Brechas de Practicidad: Muchos ataques (por ejemplo, perturbaciones adversarias) requieren suposiciones (como el control de la entrada) que son poco prácticas en despliegues de MOAI en el mundo real (OP1, OP5).
• Sigilo y Precisión: Definir puertas traseras sigilosas sin cambios observables (OP2) y localizar con precisión los pesos críticos para la manipulación (OP3) sigue siendo difícil.
• Complejidad de Extracción: El cifrado personalizado y los frameworks no estándar complican la extracción fiable del modelo (OP4).
• Limitaciones de Defensa: Las defensas enfrentan compromisos en la equivalencia ejecutable (OP6), la robustez de la aplicación en el lado del cliente (OP7), la viabilidad de despliegue de TEE en hardware heterogéneo (OP8) y la robustez del marcado de agua contra el redestpliegue (OP9).

5. Direcciones de Investigación Futura

El artículo describe tres direcciones emergentes:

• Entrenamiento en el Dispositivo: Abordar los riesgos de seguridad introducidos por las actualizaciones locales del modelo y la exposición de gradientes.
• IA Generativa en el Dispositivo (On-device GenAI): Investigar amenazas únicas en los Grandes Modelos de Lenguaje (LLMs) y modelos generativos, tales como la inyección de prompts y el jailbreaking.
• Sistemas MOAI Agénticos: Asegurar flujos de trabajo donde los agentes de IA interactúan con servicios del SO, herramientas e interfaces entre aplicaciones, lo que requiere una gobernanza de acción de extremo a extremo.

Resultados y Hallazgos

La sistematización revela una "asimetría de seguridad" en los sistemas MOAI. El Pilar II (Seguridad del Modelo Residente en el Dispositivo) es la preocupación central, ya que el almacenamiento local expone inherentemente los modelos. Sin embargo, la practicidad de los ataques está fuertmente limitada por el pipeline de despliegue:

• Viabilidad de Ataque: Aunque el almacenamiento local permite teóricamente la extracción de modelos, los ataques prácticos se ven obstaculizados por el cifrado, la heterogeneidad de los frameworks y la dificultad de manipular las entradas gobernadas por el usuario.
• Compromisos de Defensa (Trade-offs): Las defensas existentes suelen incurrir en sobrecargas significativas. Por ejemplo, las soluciones basadas en TEE mejoran la confidencialidad pero enfrentan cuellos de botella en la presión de memoria e integración de hardware. Las técnicas de ofuscación pueden aumentar el tamaño del paquete o el uso de RAM, y los mecanismos de autorización pueden introducir latencia de inicio.
• Cobertura Parcial: Ninguna defensa única cubre todos los pilares de manera efectiva. Por ejemplo, los TEE protegen los estados de ejecución (Pilar III) pero pueden no prevenir totalmente la extracción pre-despliegue si el modelo no está cifrado antes de la carga.

Significancia

Este trabajo establece el primer marco sistemático para comprender los paisajes de ataque y defensa de los sistemas MOAI. Al ir más allá de las encuestas aisladas de robo de modelos o seguridad de borde (edge security), proporciona una visión unificada de cómo la inferencia local redefine los requisitos de seguridad. El artículo sirve como una referencia fundamental para investigadores y profesionales, ofreciendo una taxonomía estructurada para guiar el desarrollo de sistemas MOAI seguros. Destaca que asegurar MOAI requiere más que solo proteger el artefacto del modelo; demanda un enfoque holístico que considere la integridad de la entrada, el confinamiento de la ejecución y las realidades prácticas de las restricciones de despliegue móvil. Los problemas abiertos identificados y las direcciones futuras proporcionan una hoja de ruta para avanzar la investigación en este dominio crítico.