💻 computer science

Verifiable and Confidential DNN Inference on Low-End Edge Devices

Cet article présente VECODI, un cadre qui permet l'inférence de DNN vérifiable et confidentielle sur des dispositifs de bord de gamme inférieure en introduisant SHANGRI-LA, une nouvelle abstraction d'exécution sur les TEE TrustZone-M qui minimise la base de calcul de confiance et le surcoût tout en protégeant l'intégrité du modèle.

Auteurs originaux : Mohamed Khalil Kiri (EURECOM), Ivan De Oliveira Nunes (University of Zurich), Aurélien Francillon (EURECOM), Norrathep Rattanavipanon (PSU Phuket)

Publié 2026-06-08

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Mohamed Khalil Kiri (EURECOM), Ivan De Oliveira Nunes (University of Zurich), Aurélien Francillon (EURECOM), Norrathep Rattanavipanon (PSU Phuket)

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez que vous possédez une recette secrète pour un gâteau délicieux (ceci est le modèle d'IA). Vous voulez laisser une petite boulangerie locale (le périphérique de bord, comme une caméra intelligente ou un capteur) préparer ce gâteau pour les clients sans jamais leur donner la recette. En même temps, vous devez vous assurer que la boulangerie ne triche pas en servant un gâteau acheté en magasin en prétendant que c'est le vôtre, ou en préparant trop de gâteaux alors que vous n'en avez payé qu'un seul.

C'est exactement le problème que VECODI résout pour les micro-ordinateurs de faible coût.

Voici comment l'article le décompose, en utilisant des analogies simples :

Le Problème : Le dilemme de la « Zone de Confiance »

Habituellement, pour garder un secret en sécurité, on le place dans un coffre-fort ultra-sécurisé (appelé Environnement d'Exécution de Confiance ou TEE).

L'ancienne méthode : Pour protéger le modèle d'IA, les chercheurs essayaient de mettre l'intégralité du processus de cuisson à l'intérieur de ce coffre-fort.
- La faille : Le coffre est minuscule (comme une boîte à chaussures). Il ne peut pas contenir à la fois toute la recette et les bols de mélange. De plus, si le boulanger (le code de l'IA) commet une erreur ou possède un bug, il peut briser le coffre et voler les clés de tout ce qui s'y trouve.
L'autre méthode : Mettre la cuisson à l'extérieur, dans une cuisine ouverte.
- La faille : N'importe qui peut entrer, voler la recette ou remplacer le gâteau par un faux.

La Solution : VECODI et « Shangri-La »

Les auteurs ont créé un nouveau système appelé VECODI. Son ingrédient secret est un nouveau concept qu'ils appellent SHANGRI-LA.

Considérez la mémoire de l'ordinateur comme une maison avec deux pièces :

La Pièce Sécurisée (Le Coffre-fort) : Très petite, gardée par un robot. Seules les clés les plus critiques vivent ici.
La Pièce Normale (La Cuisine) : Grande, où se déroule toute la cuisine désordonnée. Elle est généralement non fiable.

SHANGRI-LA est une « Cabine de Verre Magique » construite à l'intérieur de la Pièce Normale.

Elle se trouve dans la cuisine ouverte, mais elle possède des parois de verre spéciales que les personnes dans la cuisine ne peuvent ni briser ni regarder à travers.
Le robot dans la Pièce Sécurisée détient les clés des parois de verre.
La Magie : Le modèle d'IA (la recette secrète) vit à l'intérieur de cette cabine de verre. Le code qui effectue la cuisson vit également là.
Le Meilleur de Tout : La Pièce Sécurisée (le Coffre-fort) n'a pas besoin de connaître la recette ou la manière de cuisiner. Elle doit juste savoir comment verrouiller et déverrouiller la cabine de verre. Cela permet de garder le Coffre-fort minuscule et sûr, même si le code de cuisson est énorme ou contient des bugs.

Comment cela fonctionne en situation réelle

La Configuration (Provisionnement) : Le propriétaire de l'IA (le Chef) place la partie secrète de la recette dans une boîte cryptée et la donne à la boulangerie. Le Chef donne également à la boulangerie une configuration spéciale de « Cabine de Verre ». Le Chef dit au robot de la boulangerie : « Ne laisse le propriétaire de la boulangerie cuisiner que si l'identité est vérifiée, et seulement 100 fois. »
La Cuisson (Inférence) : Lorsqu'un client veut un gâteau, le propriétaire de la boulangerie demande au robot d'ouvrir la Cabine de Verre.
- Le robot vérifie l'identité.
- Le robot transforme temporairement la Cabine de Verre en une « Zone Sécurisée » pendant une fraction de seconde.
- La cuisson se déroule à l'intérieur de la cabine. Les personnes dans la cuisine ouverte (les hackers) ne peuvent pas voir la recette ni toucher aux bols de mélange.
- Une fois le gâteau terminé, le robot verrouille la cabine et remet le gâteau.
La Preuve (Vérifiabilité) : Le propriétaire de la boulangerie ne se contente pas de remettre le gâteau ; il remet un reçu scellé signé par le robot.
- Ce reçu prouve : « Ce gâteau a été préparé en utilisant votre recette secrète, à l'intérieur de cette cabine spécifique, à ce moment précis, en utilisant cet ingrédient spécifique. »
- Le client peut vérifier le reçu pour s'assurer que la boulangerie n'a pas triché, sans jamais avoir besoin de voir la recette secrète ou les ingrédients bruts.

Pourquoi est-ce important (Les Résultats)

L'article a testé cela sur une véritable petite carte de développement (une NUCLEO-L552ZE-Q). Voici ce qu'ils ont trouvé :

Un Coffre-fort Minuscule : En déplaçant le code de cuisson lourd hors de la Pièce Sécurisée et vers la Cabine de Verre, ils ont réduit la taille de la « Zone de Confiance » (la partie qui doit être parfaitement sécurisée) de 95 %. Cela signifie que le système est beaucoup plus difficile à pirater car il y a moins de code à protéger.
Rapide : La « Cabine de Verre » n'ajoute presque aucun délai. Elle n'a ralenti le processus de cuisson que de 0,07 % (moins d'une milliseconde). C'est assez rapide pour des tâches en temps réel comme arrêter une voiture ou diagnostiquer un patient.
À l'abri du vol : Même si un hacker prend le contrôle de la boulangerie (la Pièce Normale), il ne peut pas voler la recette car elle est verrouillée dans la Cabine de Verre. Ils ne peuvent pas non plus cuisiner des gâteaux à l'infini car le robot compte les utilisations.

Résumé

VECODI est comme la construction d'une cuisine sécurisée et invisible à l'intérieur d'une maison normale et non fiable. Cela permet à de petits ordinateurs peu coûteux d'exécuter des modèles d'IA puissants et secrets sans nécessiter de matériel haut de gamme et coûteux, tout en prouvant au monde que les résultats sont authentiques et n'ont pas été altérés.

Résumé Technique : VECODI

Énoncé du Problème

Le déploiement de l'inférence de réseaux de neurones profonds (DNN) sur des dispositifs de bord (edge) à bas de gamme (par exemple, les microcontrôleurs) présente deux défis conflictuels : assurer la confidentialité du modèle contre les systèmes de bord compromis et permettre une inférence vérifiable sans engendrer un surcoût prohibitif.

Les solutions existantes font face à des limitations significatives :

Partitionnement de DNN protégé par TEE (TSDP) : Bien que ces approches protègent les couches sensibles du modèle au sein d'environnements d'exécution de confiance (TEE), elles nécessitent de placer le code d'inférence et les bibliothèques directement dans le Monde Sécurisé (Secure World). Cela augmente considérablement la base de confiance (TCB), élargit la surface d'attaque et sollicite excessivement la mémoire limitée des appareils bas de gamme.
Exécution complète dans le TEE : L'exécution de l'ensemble du pipeline dans le TEE est souvent irréalisable en raison des contraintes de mémoire (la RAM sécurisée fait typiquement quelques dizaines de kilo-octets, alors que les DNN nécessitent des méga-octets).
Exécution non sécurisée : L'exécution entièrement dans le Monde Normal (Non-Secure World) n'offre aucune protection contre l'extraction de modèles ou la falsification des résultats par un logiciel malveillant.

De plus, les approches actuelles échouent souvent à traiter les attaques par extraction de modèle (où les adversaires reconstruisent les modèles via des requêtes d'inférence) ou introduisent un surcoût de calcul excessif par le biais de preuves cryptographiques, ce qui les rend inadaptées aux dispositifs de bord à faible consommation d'énergie.

Méthodologie

Les auteurs proposent VECODI, un framework pour l'inférence de DNN vérifiable et confidentielle sur les plateformes ARM TrustZone-M. L'innovation centrale est une nouvelle abstraction d'exécution appelée SHANGRI-LA.

SHANGRI-LA : Un troisième environnement d'exécution

Contrairement aux architectures TrustZone-M traditionnelles qui séparent strictement le Monde Sécurisé (SW) et le Monde Non Sécurisé (NSW), SHANGRI-LA établit un troisième environnement d'exécution qui réside physiquement dans le Monde Non Sécurisé mais opère avec des privilèges élevés imposés par le Monde Sécurisé.

Modèle de privilèges : SHANGRI-LA possède des privilèges strictement compris entre les Mondes Sécurisé et Non Sécurisé. Il est protégé du Monde Non Sécurisé (empêchant la falsification du code/des données) mais ne peut pas interférer avec les composants du Monde Sécurisé.
Gestion de la mémoire : Le code et les données de SHANGRI-LA résident dans la RAM Non Sécurisée. Cependant, lors de la phase de Création (Create), le Monde Sécurisé marque temporairement ces régions comme Sécurisées pour empêcher tout accès. Juste avant l'exécution, l'API Exécuter (Execute) les re-marque de manière atomique comme Non Sécurisées, permettant au code de s'exécuter dans le Monde Normal tout en maintenant l'isolation vis-à-vis des autres processus Non Sécurisés.
Accès au matériel : SHANGRI-LA conserve un accès direct aux périphériques d'E/S matériels, garantissant que l'acquisition des données de capteurs ne peut être interceptée ou manipulée par le Monde Normal.

Protocole VECODI

VECODI orchestre les interactions entre quatre parties prenantes : un Fournisseur de Modèle (PVD), un Dispositif de Bord (DEV), un Consommateur de Modèle (CSM) et un Vérificateur (VRF). Le protocole se compose de quatre étapes :

Provisionnement (I1) : Le PVD partitionne le modèle DNN en une composante publique ( $M_{pub}$ ) et une composante privée ( $M_{pri}$ ). $M_{pri}$ est chiffrée. Le code d'inférence ( $F$ ), $M_{pub}$ et la version chiffrée de $M_{pri}$ sont installés dans le Monde Normal. Les métadonnées et les clés sont provisionnées dans le Monde Sécurisé via l'API Provision.
Autorisation (I2) : Le CSM demande l'accès au PVD. Le PVD émet un jeton d'autorisation signé ( $T_{CSM}$ ) spécifiant les limites d'utilisation. Le Monde Sécurisé du DEV met à jour la politique de l'instance SHANGRI-LA via l'API Authorize.
Inférence (I3) : Le CSM invoque l'API Create pour instancier SHANGRI-LA. Il appelle ensuite Execute, en fournissant un jeton signé. Le Monde Sécurisé valide la requête, bascule la mémoire de SHANGRI-LA en Non Sécurisée, et exécute $F$ . $F$ récupère les données brutes des capteurs, effectue l'inférence en utilisant $M$ , et génère une sortie ( $Out_F$ ).
Vérification (I4) : Si demandé, le Monde Sécurisé génère une Preuve d'Exécution (PoX) ( $T_{proof}$ ) signée avec la clé d'attestation du dispositif. Cette preuve lie l'entrée, l'ID spécifique du modèle, l'instance d'exécution et la sortie. Le VRF valide cette preuve sans avoir besoin d'accéder aux données d'entrée brutes.

Mécanismes de sécurité clés

Confidentialité : $M_{pri}$ est chiffrée dans la Flash et n'est déchiffrée dans la RAM Non Sécurisée protégée que lors de l'exécution. Le Monde Sécurisé garantit qu'aucun autre code Non Sécurisé ne peut accéder à cette mémoire.
Vérifiabilité : Le mécanisme de PoX garantit que la sortie a été produite par le code correct ( $F$ ) sur le bon modèle ( $M$ ) en utilisant des entrées de capteurs authentiques, sans révéler les entrées brutes au vérificateur.
Anti-extraction : L'API Authorize impose des limites d'utilisation strictes, atténuant les attaques d'extraction de modèle qui reposent sur des requêtes d'inférence à haute fréquence.

Contributions Clés

Abstraction SHANGRI-LA : L'introduction d'un environnement d'exécution léger, un troisième environnement sur TrustZone-M, qui fournit une isolation vis-à-vis du Monde Normal sans nécessiter l'exécution du code d'inférence au sein du Monde Sécurisé. Cela permet à des développeurs tiers de déployer des applications de confiance sans modifier les composants de base du Monde Sécurisé.
Inférence sécurisée et vérifiable : Un protocole complet (VECODI) qui atteint la confidentialité du modèle et une inférence vérifiable sur des dispositifs bas de gamme. Il combine SHANGRI-LA avec un mécanisme d'autorisation d'inférence et un schéma de preuve d'exécution qui préserve la confidentialité des entrées.
Implémentation pratique : Une implémentation prototype sur une carte de développement NUCLEO-L552ZE-Q (ARM Cortex-M33) démontrant la faisabilité de l'approche sur du matériel aux ressources limitées.

Résultats et Évaluation

Les auteurs ont évalué VECODI par rapport à une ligne de base où le code d'inférence s'exécute entièrement dans le Monde Sécurisé (conception D2) et une ligne de base Non Sécurisée.

Réduction de la TCB : VECODI réduit la TCB du Monde Sécurisé de 95,64 % (passant de 34 865 lignes de code à 1 523 LOC). Crucialement, la taille de la TCB est indépendante du code d'inférence ou de l'architecture du modèle, contrairement aux approches précédentes où la TCB croît avec l'application.
Empreinte mémoire : En conservant la composante publique du modèle ( $M_{pub}$ ) dans le Monde Normal et en ne dupliquant que la composante privée ( $M_{pri}$ ) dans la RAM Non Sécurisée protégée, VECODI évite de devoir stocker l'intégralité du modèle en clair dans la RAM Sécurisée, ce qui dépasse souvent la capacité des appareils bas de gamme.
Surcoût d'exécution (Runtime Overhead) : VECODI n'entraîne qu'un surcoût d'exécution de 0,83 ms (0,07 %) par rapport à une ligne de base Non Sécurisée. La génération de la preuve ajoute environ 230 ms, mais cela est comparable au coût de signature requis dans les systèmes sécurisés de base pour authentifier le dispositif.
Étude de cas : Dans un scénario de classification d'images par caméra, VECODI a maintenu une latence moyenne de 1428,42 ms par inférence, montrant un surcoût négligeable par rapport à la ligne de base (1427,57 ms).

Signification et Revendications

L'article affirme que VECODI représente une solution pratique pour l'inférence de DNN sécurisée sur les dispositifs de bord bas de gamme en changeant fondamentalement le modèle d'exécution. En introduisant SHANGRI-LA, les auteurs démontrent qu'il est possible de :

Découpler le code d'inférence de la Base de Confiance (TCB), réduisant ainsi la surface d'attaque et la taille de la TCB.
Permettre une inférence vérifiable et la confidentialité du modèle sans nécessiter de fonctionnalités matérielles de haut niveau (comme les MMU) ou sans subir de pénalités de performance prohibitives.
Prendre en charge les stratégies existantes de Partitionnement de DNN protégé par TEE sans modification, faisant de VECODI une amélioration directe pour les architectures de sécurité actuelles du bord.

Les auteurs affirment que SHANGRI-LA est d'un intérêt indépendant au-delà de l'inférence de DNN, car il permet le déploiement d'applications de confiance arbitraires sur les dispositifs TrustZone-M sans altérer le cœur du Monde Sécurisé, comblant ainsi une lacune dans les abstractions de sécurité actuelles pour le bas de gamme.