Résumé technique : SoK : Paysage d'attaques et de défenses des systèmes d'IA embarqués sur mobile

Énoncé du problème

Les systèmes d'IA embarqués sur mobile (MOAI - Mobile On-device AI) représentent un changement de paradigme où les modèles d'IA sont déployés localement sur les appareils des utilisateurs finaux plutôt que de dépendre de services cloud distants. Bien que cette architecture offre des avantages significatifs en termes de confidentialité (traitement local des données), de latence (absence de transmission réseau) et de capacité hors ligne, elle modifie fondamentalement le paysage de la sécurité. Contrairement aux systèmes basés sur le cloud où les modèles résident dans des environnements serveurs contrôlés, les systèmes MOAI stockent des artefacts de modèles propriétaires directement sur les appareils des utilisateurs. Ce stockage local expose les modèles à un ensemble unique de menaces, notamment l'ingénierie inverse, le vidage de mémoire et l'extraction non autorisée, qui ne sont pas prévalents dans les logiciels mobiles traditionnels ou les contextes d'IA cloud.

La littérature existante s'est largement concentrée sur l'IA en périphérie (Edge AI), le TinyML ou des sous-ensembles spécifiques comme le vol de modèles, manquant d'un cadre holistique traitant les risques de sécurité de bout en bout des systèmes MOAI. Il existe une lacune critique dans la compréhension de la manière dont l'inférence locale redéfinit les limites de confiance entre les entrées de l'utilisateur, les modèles résidents sur l'appareil, les runtimes et l'isolation matérielle, ainsi qu'un manque de directives systématiques sur les piliers de sécurité fondamentaux et les solutions de défense pratiques.

Méthodologie

Cet article présente la première systématisation des connaissances (SoK) concernant la sécurité des MOAI. Les auteurs adoptent une perspective holistique de système mobile, analysant les architectures MOAI comme des compositions stratifiées de logiciels mobiles traditionnels et de composants neuronaux locaux. La méthodologie comprend :

1. Caractérisation architecturale : Définition des systèmes MOAI à travers quatre couches distinctes : l'interface d'entrée, l'artefact du modèle d'IA, l'exécution du runtime et l'isolation matérielle.
2. Dérivation des piliers de sécurité : Établissement de trois piliers de sécurité centraux qui capturent les propriétés de protection essentielles des systèmes MOAI.
3. Modélisation des menaces : Formalisation de trois types d'adversaires basés sur leurs capacités et leurs points de manipulation : au niveau de l'entrée, au niveau du modèle et au niveau de l'exécution.
4. Développement de la taxonomie : Catégorisation systématique des attaques et des mécanismes de défense existants basés sur les modèles de menace définis et les phases de déploiement (pré-déploiement, exécution, post-déploiement).
5. Analyse croisée des piliers : Mise en correspondance des attaques et des défenses avec les piliers de sécurité pour identifier les lacunes, les compromis et les problèmes ouverts.

Contributions clés

1. Piliers de sécurité des systèmes MOAI

L'article établit un cadre caractérisant la sécurité des MOAI via trois piliaux :

• Pilier I : Intégrité des entrées gouvernées par l'utilisateur : Garantir l'intégrité des données acquises via les capteurs et les interactions utilisateur avant qu'elles ne soient consommées par le modèle.
• Pilier II : Sécurité du modèle résident sur l'appareil : Protéger la confidentialité et l'intégrité des artefacts de modèles (poids, structure) stockés sur l'appareil contre l'extraction et la modification.
• Pilier III : Confinement de l'environnement natif de l'appareil : Garantir que l'environnement d'exécution du runtime (OS, mémoire, matériel) isole les états d'inférence des composants non approuvés.

2. Paysage complet des attaques et taxonomie

Les auteurs classent les attaques MOAI en cinq catégories distinctes basées sur trois modèles de menace :

• Attaques adverses : Incluant l'exploitation de la similitude des modèles, la reconstruction de gradients et la manipulation du prétraitement. Elles ciblent principalement le Pilier I mais exploitent souvent l'accessibilité du Pilier II.
• Attaques par porte dérobée (Backdoor) : Impliquant l'injection de charge utile, l'exploitation de la quantification de modèles et la stéganographie d'image pour implanter des déclencheurs. Elles couplent les Piliers I et II.
• Attaques par poids adverses : Altération directe des paramètres (ex: TYPHON) pour modifier le comportement de l'inférence, ciblant le Pilier II.
• Attaques par vol de modèle : Utilisation de l'analyse statique, de l'analyse dynamique et des attaques par canaux auxiliaires pour extraire les artefacts du modèle. Elles ciblent le Pilier II et s'étendent au Pilier III lorsque les modèles ne sont récupérables que pendant l'exécution.
• Attaques par énergie-latence : Ciblant la disponibilité du modèle en augmentant la consommation de ressources, couvrant les trois piliers.

3. Paysage complet des défenses et taxonomie

Les défenses sont classées par phase de déploiement et mécanisme :

• Obfuscation de modèle : Au niveau logiciel (renommage, couplage d'opérateurs) et au niveau matériel (division des modèles avec des secrets matériels) pour entraver l'extraction.
• Autorisation de modèle : Liaison de l'utilité du modèle à des contextes d'applications authentifiés (ex: MMGuard) pour empêcher l'utilisation non autorisée.
• Environnements d'exécution de confiance (TEE) : Exécution des modèles ou des composants sensibles dans des enclaves isolées matériellement (offloading monolithique, partitionné ou obscurci).
• Tatouage numérique de modèle (Watermarking) : Vérification de la propriété post-déploiement (ex: THEMIS) pour détecter toute réutilisation non autorisée.

4. Identification des problèmes ouverts

L'analyse révèle neuf problèmes critiques (OP1–OP9) où la recherche actuelle est insuffisante :

• Écarts de praticité : De nombreuses attaques (ex: perturbations adverses) nécessitent des hypothèses (comme le contrôle de l'entrée) qui sont peu pratiques dans les déploiements MOAI réels (OP1, OP5).
• Discrétion et précision : Définir des portes dérobées furtives sans changements observables (OP2) et localiser précisément les poids critiques pour la manipulation (OP3) reste difficile.
• Complexité de l'extraction : Le chiffrement personnalisé et les frameworks non standard compliquent l'extraction fiable des modèles (OP4).
• Limites des défenses : Les défenses font face à des compromis en termes d'équivalence d'exécution (OP6), de robustesse de l'application côté client (OP7), de faisabilité du déploiement TEE à travers un matériel hétérogène (OP8) et de robustesse du tatouage numérique face au redéploiement (OP9).

5. Directions de recherche futures

L'article esquisse trois directions émergentes :

• Entraînement sur l'appareil : Traiter les risques de sécurité introduits par les mises à jour locales des modèles et l'exposition des gradients.
• IA générative sur l'appareil (On-device GenAI) : Étudier les menaces uniques dans les grands modèles de langage (LLM) et les modèles génératifs, telles que l'injection de prompts et le jailbreaking.
• Systèmes MOAI agentiques : Sécuriser les flux de travail où les agents d'IA interagissent avec les services de l'OS, les outils et les interfaces inter-applications, nécessissant une gouvernance d'action de bout en bout.

Résultats et conclusions

La systématisation révèle une « asymétrie de sécurité » dans les systèmes MOAI. Le Pilier II (Sécurité du modèle résident sur l'appareil) est la préoccupation centrale, car le stockage local expose intrinsèquement les modèles. Cependant, la faisabilité des attaques est fortement contrainte par le pipeline de déploiement :

• Faisabilité des attaques : Bien que le stockage local permette théoriquement l'extraction de modèles, les attaques pratiques sont entravées par le chiffrement, l'hétérogénéité des frameworks et la difficulté de manipuler les entrées gouvernées par l'utilisateur.
• Compromis de défense : Les défenses existantes imposent souvent des surcoûts importants. Par exemple, les solutions basées sur le TEE améliorent la confidentialité mais font face à des goulots d'étranglement en termes de pression mémoire et d'intégration matérielle. Les techniques d'obfuscation peuvent augmenter la taille du package ou l'utilisation de la RAM, et les mécanismes d'autorisation peuvent introduire une latence au démarrage.
• Couverture partielle : Aucune défense unique ne couvre efficacement tous les piliers. Par exemple, les TEE protègent les états d'exécution (Pilier III) mais peuvent ne pas empêcher totalement l'extraction pré-déploiement si le modèle n'est pas chiffré avant le chargement.

Signification

Ce travail établit le premier cadre systématique pour comprendre les paysages d'attaque et de défense des systèmes MOAI. En allant au-delà des enquêtes isolées sur le vol de modèles ou la sécurité de l'Edge, il offre une vue unifiée de la manière dont l'inférence locale redéfinit les exigences de sécurité. L'article sert de référence fondamentale pour les chercheurs et les praticiens, offrant une taxonomie structurée pour guider le développement de systèmes MOAI sécurisés. Il souligne que sécuriser les MOAI nécessite plus que la simple protection de l'artefact du modèle ; cela exige une approche holistique qui prend en compte l'intégrité des entrées, le confinement de l'exécution et les réalités pratiques des contraintes de déploiement mobile. Les problèmes ouverts identifiés et les directions futures constituent une feuille de route pour faire progresser la recherche dans ce domaine critique.