Federated Learning security with FedEDAuth: Embedding-Distribution Authentication for Counterfeit IC Detection

La cadena de suministro global para los diminutos chips que impulsan desde teléfonos inteligentes hasta dispositivos médicos es vasta y fragmentada, extendiéndose a través de muchos países y empresas. Esta complejidad crea un punto ciego peligroso: los componentes falsificados. Estos son chips falsos o reciclados que parecen reales pero fallan en su funcionamiento, lo que potencialmente puede causar fallos catastróficos en sistemas críticos como aeronaves o redes eléctricas. Tradicionalmente, encontrar estas falsificaciones requiere inspección física o pruebas eléctricas costosas, lo cual es lento y difícil de estandarizar. Para resolver esto, los investigadores han recurrido al aprendizaje automático, utilizando la inteligencia artificial para detectar las sutiles diferencias visuales entre chips reales y falsos. Sin embargo, debido a que los fabricantes de chips protegen ferozmente sus diseños y datos patentados, no están dispuestos a compartir sus imágenes privadas con una computadora central para entrenar estos modelos de IA. Esto ha llevado a la adopción de un enfoque colaborativo llamado aprendizaje federado. En este sistema, el modelo de IA viaja hacia los datos en lugar de que los datos viajen hacia él; cada fabricante entrena el modelo en sus propias computadoras privadas y envía únicamente las actualizaciones matemáticas de vuelta a un servidor central, manteniendo ocultas sus imágenes sensibles.

Si bien este método protege la privacidad, introduce un riesgo de seguridad nuevo y sutil. Debido a que el servidor central nunca ve los datos brutos, no puede verificar si una empresa participante es honesta. Un actor malicioso podría unirse a la red y envenenar sutilmente el proceso de entrenamiento, engañando a la IA global para que acepte chips falsos como reales sin que nadie lo note. Un estudio reciente realizado por investigadores de la Universidad de Carolina del Norte en Charlotte demuestra cuán vulnerable es este sistema y propone una nueva forma de asegurar este proceso. El equipo demostró que un atacante con acceso a menos del cinco por ciento de los datos totales de entrenamiento podía corromper con éxito todo el sistema. Al añadir pequeños arañazos, casi invisibles, a sus imágenes de chips, enseñaron a la IA a ignorar los signos de las falsificaciones. Las defensas estándar diseñadas para detectar actores malintencionados fallaron por completo porque el ataque era demasiado silencioso para activar las alarmas. Para contrarrestar esto, los investigadores desarrollaron un nuevo sistema de autenticación que verifica la "huella digital" estadística de los datos antes de que se utilicen para entrenar el modelo. Este nuevo método identificó y bloqueó con éxito a todos los participantes maliciosos en sus pruebas, permitiendo que la red colaborativa funcionara de manera segura y precisa.

El núcleo del problema reside en la naturaleza del ataque en sí. En una configuración típica de aprendizaje federado, un servidor central coordina el entrenamiento de un modelo compartido recolectando actualizaciones de docenas de diferentes clientes, tales como fundiciones de chips e instalaciones de prueba. Los investigadores simularon un escenario con cincuenta de estos clientes. Descubrieron que si solo tres de estos clientes estuvieran comprometidos, podrían lanzar un ataque de envenenamiento de datos sigiloso. En lugar de intentar romper el sistema con errores ruidosos y obvios, los atacantes añadieron un patrón visual específico y sutil a sus imágenes. Este patrón imitaba las variaciones superficiales naturales encontradas en chips viejos o reciclados, como rayones tenues o manchas. Debido a que el patrón era tan realista, se mezclaba perfectamente con los datos normales. Cuando estos tres clientes entrenaron sus modelos locales con estos datos envenenados, las actualizaciones resultantes fueron estadísticamente idénticas a las de los clientes honestos.

Cuando el servidor central combinaba estas actualizaciones utilizando métodos estándar, la corrupción sutil se acumulaba con el tiempo. El modelo global aprendía gradualmente a asociar el patrón de rayón falso con chips auténticos. En consecuencia, la IA comenzó a clasificar erróneamente chips falsos como genuinos, todo ello mientras mantenía una puntuación de precisión general alta que ocultaba el daño. Los investigadores probaron esto contra tres mecanismos de defensa comunes utilizados para proteger el aprendizaje federado: uno que promedia todas las actualizaciones, uno que elimina los valores atípicos más extremos y uno que selecciona los modelos más similares. Ninguno de ellos funcionó. El ataque era demasiado sutil para ser detectado como un valor atípico, y el proceso de promediado diluyó la señal lo suficiente como para permanecer indetectado. De hecho, la precisión general del modelo cayó menos de un medio por ciento, un cambio tan pequeño que los operadores probablemente asumirían que el sistema funciona perfectamente cuando en realidad está fallando en su tarea más crítica: detectar falsificaciones.

Para visualizar lo que estaba sucediendo dentro de la IA, los investigadores utilizaron una técnica que resalta en qué partes de una imagen se está enfocando el modelo. En un modelo limpio y no corrompido, la IA observaba los detalles estructurales del chip, como las líneas metálicas y el centro del troquel (die). En el modelo envenenado, la atención de la IA se desplazó lejos de estas características importantes y se fijó en el patrón de rayón artificial que los atacantes habían añadido. El modelo había aprendido la lección equivocada, tratando el rayón falso como un signo de autenticidad. Esto confirmó que el ataque no era solo un error estadístico, sino una corrupción dirigida de la comprensión interna del modelo. El peligro es que, debido a que la precisión general se mantuvo alta, no hubo una señal de advertencia obvia de que el sistema había sido comprometido.

Reconociendo que revisar los resultados finales era demasiado tarde, los investigadores propusieron una nueva defensa llamada Autenticación de Distribución de Incrustación Federada, o FedEDAuth. Este sistema opera antes de que comience el entrenamiento. En lugar de esperar a ver si las actualizaciones del modelo son sospechosas, verifica los datos mismos. El sistema utiliza una IA preentrenada y confiable para convertir cada imagen que un cliente envía en una representación matemática, conocida como una incrustación (embedding). Este proceso captura la esencia de la imagen sin revelar la imagen real, protegiendo la propiedad intelectual del cliente. Un servidor separado y confiable compara entonces la distribución de estas incrustaciones de cada cliente contra una referencia "dorada" conocida de cómo deberían ser las imágenes de chips auténticos.

Los investigadores descubrieron que, aunque los atacantes intentaron ocultar su veneno, las propiedades estadísticas de sus datos los delataron. Las imágenes envenenadas formaban un grupo (cluster) distinto en el espacio matemático que era diferente de la variación natural de los chips honestos. El nuevo sistema midió tres cosas específicas: cuántas imágenes caían fuera del rango normal, si la posición promedio de las imágenes se había desplazado y si las imágenes formaban un grupo estrecho y aislado que no pertenecía allí. Al combinar estas mediciones, el sistema pudo identificar a los clientes maliciosos con total precisión. En sus pruebas que involucraron cincuenta clientes y múltiples escenarios aleatorios, el sistema detectó a los tres participantes comprometidos en cada ocasión, con cero falsas alarmas.

Una vez que los clientes maliciosos fueron filtrados, los cuarenta y siete clientes honestos restantes continuaron el entrenamiento. El resultado fue un sistema de detección global que funcionó casi tan bien como si no hubiera habido ningún ataque. El modelo final alcanzó una precisión de casi el noventa y uno por ciento e identificó correctamente el noventa y cinco por ciento de los chips falsificados. Esto demostró que la red colaborativa podía ser tanto privada como segura, siempre que existiera una forma de verificar la integridad de los datos antes de que influyeran en el modelo. Los investigadores señalaron que, si bien su prueba específica utilizó un tipo particular de disparador visual, el método es lo suficientemente robusto como para detectar diferentes tipos de ataques sutiles. También reconocieron que las imágenes falsificadas en su estudio fueron generadas mediante simulaciones digitales en lugar de especímenes físicos, lo cual es una limitación, pero el principio subyacente de verificar las distribuciones de datos sigue siendo válido.

Las implicaciones de este trabajo se extienden más allá de la detección de chips falsos. La misma vulnerabilidad existe en cualquier campo donde se compartan datos sensibles para el aprendizaje automático colaborativo, como la detección de troyanos de hardware o la verificación de la integridad de la cadena de suministro. El estudio sugiere que confiar únicamente en la verificación de las actualizaciones finales del modelo es insuficiente para la seguridad de alto nivel. En cambio, un enfoque proactivo que valide los datos en la fuente es esencial. Al introducir un tercero de confianza para verificar la naturaleza estadística de los datos, los investigadores han mostrado un camino hacia la colaboración segura en la industria de los semiconductores. Este enfoque asegura que el modelo global pueda aprender de diversas fuentes sin ser silenciadamente corrompido por un solo actor malintencionado, asegurando así la base de la tecnología que impulsa el mundo moderno.