Résumé Technique : Décodage par Consensus Sémantique pour la Génération de Code Verilog

1. Énoncé du Problème

L'adoption croissante des modèles de langage de grande taille (LLM) pour la génération de code Verilog dans la conception matérielle introduit des vulnérabilités de sécurité critiques, spécifiquement les attaques par porte dérobée (backdoor attacks). Dans ces attaques, des adversaires empoisonnent les données d'entraînement pour injecter des déclencheurs malveillants (triggers) qui provoquent la génération de chevaux de Troie matériels (par exemple, des registres furtifs pour la fuite de canaux auxiliaires) lorsque des motifs de déclenchement spécifiques apparaissent dans la spécification d'entrée.

Les enjeux pour le matériel sont uniques et bien plus élevés que pour le logiciel :

• Irréversibilité : Une fois qu'une puce possédant une porte dérobée est fabriquée, la vulnérabilité devient un cheval de Troie matériel permanent. La remédiation nécessite une recréation coûteuse ou est impossible pour les systèmes déployés.
• Furtivité : Les déclencheurs avancés (par exemple, des modificateurs sémantiques comme « sécurité » ou des phrases stylistiques) se fondent naturellement dans les spécifications de conception, échappant ainsi aux méthodes de détection traditionnelles.
• Limites des défenses existantes :
  • Les défenses proactives (sanitisation des données, réentraînement) nécessitent un accès aux données d'entraînement, ce dont les utilisateurs de LLM tiers sont généralement dépourvus.
  • Les défenses passives (filtrage d'entrée, paraphrase, vérification de sortie) peinent face aux déclencheurs sémantiquement furtifs. Le filtrage échoue souvent à détecter les déclencheurs en langage naturel, la paraphrase peut corrompre les exigences fonctionnelles, et la vérification ne détecte les menaces qu'après la génération du code malveillant.

2. Hypothèse Centrale et Intuition

Les auteurs proposent un biais structurel dans la conception des déclencheurs de portes dérobées, dicté par la double exigence d'efficacité (déclencher de manière fiable un comportement malveillant) et de furtivité (préserver l'utilité du modèle sur des entrées saines).

Hypothèse 1 (Biais de Localité du Déclencheur) : Les attaquants sont fortement biaisés vers l'intégration de déclencheurs dans les exigences non fonctionnelles (par exemple, les modificateurs de style, les descripteurs de qualité, la documentation) plutôt que dans les exigences fonctionnelles (par exemple, la largeur de bit, le timing, le type de reset, les spécifications d'E/S).

• Raisonnement : Modifier les exigences fonctionnelles risque de provoquer une détection via des échecs de testbench (discrépances comportementales). En revanche, les modificateurs non fonctionnels offrent un espace sémantique pour les déclencheurs sans altérer la correction fonctionnelle du matériel.
• Implication : Si les exigences fonctionnelles peuvent être isolées et priorisées, les exigences non fonctionnelles contenant les déclencheurs peuvent être naturellement supprimées sans compromettre le comportement matériel prévu.

3. Méthodologie : Décodage par Consensus Sémantique (SCD)

Le SCD est une défense passive au moment de l'inférence qui ne nécessite aucun réentraînement du modèle ni accès à des données d'entraînement saines. Il opère en deux étapes :

A. Extraction des Exigences Fonctionnelles

Un modèle extracteur dédié ($E_\phi$) est entraîné pour décomposer une spécification d'entrée $x$ en :

• $s$ (Exigences Fonctionnelles) : Spécifications essentielles déterminant le comportement du matériel (ex: « 8 bits », « synchrone »).
• $e$ (Exigences Non Fonctionnelles) : Préférences qui n'affectent pas la vérification (ex: « code propre », « sécurité »).

L'extracteur est entraîné sur un ensemble de données de 9 600 paires $\langle$exigence, code Verilog$\rangle$ de haute qualité, construites via une annotation par des ingénieurs professionnels, une génération basée sur la RAG et un filtrage par « LLM-as-Judge ». Il est conçu pour être agnostique aux déclencheurs, se concentre sur la connaissance du domaine plutôt que sur des motifs de déclenchement spécifiques.

B. Décodage par Consensus Sémantique

Au lieu de rejeter rigidement le contenu non fonctionnel (ce qui dégraderait la qualité de la génération), le SCD fusionne de manière adaptative les distributions de sortie du modèle :

1. Génération de Logits Doubles : À chaque étape de décodage, le modèle génère des logits basés sur :
   • $\ell_{full}$ : La spécification complète de l'utilisateur (contenant des déclencheurs potentiels).
   • $\ell_{key}$ : Les exigences fonctionnelles extraites uniquement (exemptes de déclencheurs).
2. Mesure de Divergence : Le système calcule la distance de racine carrée moyenne (RMS) ($D$) entre $\ell_{full}$ et $\ell_{key}$.
   • Entrées saines : $D \approx 0$ (les distributions s'alignent ; les jetons non fonctionnels n'affectent que le style).
   • Entrées avec déclencheur : $D$ est élevé (les distributions divergent ; les déclencheurs pilotent la génération).
3. Fusion Adaptative : Les logits finaux ($\ell_{SCD}$) sont calculés comme suit :
   $$\ell_{SCD} = \ell_{key} + w(D) \cdot (\ell_{full} - \ell_{key})$$
   Où le poids $w(D) = \exp(-\beta \cdot D)$.
   • Si $D$ est faible (entrée saine), $w(D) \approx 1$, préservant la pleine qualité de la génération.
   • Si $D$ est élevé (présence d'un déclencheur), $w(D) \ll 1$, supprimant le décalage induit par le déclencheur et revenant au consensus fonctionnel ($\ell_{key}$).

L'analyse théorique (Théorème 1) démontre que ce mécanisme impose une limite supérieure à l'efficacité de l'attaquant, car l'augmentation de la force du déclencheur augmente simultanément la divergence, ce qui supprime exponentiellement l'influence du déclencheur.

4. Résultats Expérimentaux

Les auteurs ont évalué le SCD sur trois LLM de code (CodeLlama-7B, DeepSeek-Coder-7B, Qwen2.5-Coder-7B) à travers deux benchmarks Verilog (VerilogEval-v2, ResBench) contre trois attaques représentatives (BadPre, InSent, RTL-Breaker).

• Efficacité de la Défense (ASR) :

  • Sans défense, les taux de succès d'attaque (ASR) atteignaient en moyenne 89 %.
  • Le SCD a réduit l'ASR moyen à 2,16 % (VerilogEval) et 1,39 % (ResBench).
  • DeepSeek-Coder a atteint un ASR de 0,00 % sur toutes les attaques et tous les benchmarks sous SCD.
  • Le SCD a surpassé les lignes de base existantes (ONION, Back-Translation, Paraphrasing) d'au moins 10 points de pourcentage.

• Qualité de la Génération (Pass@1) :

  • Contra-irement aux méthodes de filtrage qui dégradent la qualité, le SCD préserve ou améliore le Pass@1.
  • Sur VerilogEval, le SCD a amélioré le Pass@1 jusqu'à 8,90 points de pourcentage par rapport à la ligne de base saine pour CodeLlama.
  • Cela confirme que l'extraction des exigences fonctionnelles produit souvent des spécifications plus claires et plus ciblées qui bénéficient à la génération de code.

• Robustesse :

  • Taux d'empoisonnement : Le SCD a maintenu un ASR faible (<5 %) même à des taux d'empoisonnement élevés (jusqu'à 10 %).
  • Échelle du Modèle : Le SCD est resté efficace sur des tailles de modèles allant de 0,5B à 14B de paramètres.
  • Hyperparamètres : Un $\beta = 1,5$ par défaut offrait un compromis optimal entre sécurité et utilité.

5. Contributions Clés

1. Validation de l'Hypothèse : Le papier fournit une analyse théorique et des preuves empiriques soutenant l'hypothèse selon laquelle les attaquants sont biaisés vers l'intégration de déclencheurs dans les exigences non fonctionnelles en raison de contraintes pratiques (risque de vérification, paradoxe de rareté-fréquence).
2. Mécanisme de Défense Novateur : La proposition du Décodage par Consensus Sémantique (SCD), une défense à l'inférence qui atténue de manière adaptative les portes dérobées en alignant la génération sur les exigences fonctionnelles, ne nécessitant aucun réentraînement du modèle.
3. Évaluation Exhaustive : Des expériences étendues démontrant la capacité du SCD à réduire l'ASR d'environ 89 % à <3 % tout en maintenant ou en améliorant la qualité de la génération de code sur plusieurs modèles et benchmarks.
4. Open Source : Publication du code source, des modèles entraînés et des jeux de données pour faciliter la réplication.

6. Signification et Revendications

Le papier affirme que le SCD comble une lacune critique en matière de sécurité matérielle en fournissant une défense pratique à l'inférence pour les utilisateurs de LLM tiers qui n'ont pas accès aux données d'entraînement. En exploitant le biais structurel des attaques par porte dérobée, le SCD neutralise efficacement les déclencheurs furtifs qui échappent à la détection traditionnelle.

Les auteurs positionnent le SCD comme une première ligne de défense, particulièrement efficace contre la classe prédominante d'attaques par porte dérobée exploitant les exigences non fonctionnelles. Ils reconnaissent que les attaques adaptatives intégrant des déclencheurs au sein des exigences fonctionnelles restent un défi, suggérant une stratégie de « défense en profondeur » où le SCD est combiné à la validation par testbench et à la vérification formelle. Ce travail souligne que la sécurité dans la conception matérielle doit prioriser l'irréversibilité ; ainsi, prévenir la génération de chevaux de Troie lors de l'étape d'inférence est plus viable que de tenter de corriger les vulnérabilités après la fabrication.