Dans le monde moderne de l'électronique, les plans des puces informatiques sont écrits dans un langage spécialisé appelé Register Transfer Level, ou RTL. Depuis des décennies, des ingénieurs façonnent manuellement ces instructions complexes pour dire au matériel exactement comment traiter les données. Récemment, un nouveau type d'intelligence artificielle connu sous le nom de grand modèle de langage a commencé à écrire ce code automatiquement. Ces modèles peuvent prendre une simple phrase décrivant une fonction matérielle et générer le code complexe et synthétisable nécessaire pour la construire, promettant d'accélérer la création de tout, des smartphones aux satellites. Cependant, cette commodité introduit un danger caché. Tout comme un apprenti humain pourrait apprendre de mauvaises habitudes d'un maître défaillant, ces modèles d'IA peuvent être secrètement corrompus lors de leur entraînement. Un attaquant pourrait injecter des instructions malveillantes dans les données d'apprentissage du modèle, le faisant se comporter normalement la plupart du temps, mais l'amenant à insérer une faille cachée, telle qu'un cheval de Troie matériel, chaque fois qu'une phrase spécifique, apparemment innocente, est utilisée. Cela crée une menace silencieuse dans la chaîne d'approvisionnement, où une puce peut sembler fonctionner parfaitement jusqu'à ce qu'un déclencheur spécifique active une fonction secrète et dommageable.

Le défi pour les défenseurs est que ces modèles sont souvent massifs, complexes et entraînés sur des données qu'aucune entreprise ne peut vérifier entièrement. Les méthodes traditionnelles pour corriger un modèle empoisonné nécessitent généralement de réentraîner l'ensemble du système à partir de zéro, un processus si coûteux en calcul et en données qu'il est souvent impossible pour les équipes de conception de l'effectuer. De plus, le simple fait d'essayer de faire « oublier » les mauvaises données au modèle compromet souvent sa capacité à écrire du bon code, rendant le matériel inutile. Des chercheurs de l'Université de la Floride centrale ont développé une nouvelle approche appelée RTLGuard pour résoudre ce dilemme. Au lieu de reconstruire l'intégralité du modèle, ils utilisent une technique légère qui associe un petit modèle « enseignant » de confiance à un grand modèle « étudiant » potentiellement empoisonné. L'enseignant, qui a été entraîné sur un petit ensemble de données propres et vérifiées, guide l'étudiant pour qu'il désapprenne les comportements malveillants tout en préservant sa capacité à écrire du code matériel correct.

Les chercheurs ont testé cette méthode en créant d'abord leurs propres modèles empoisonnés. Ils ont pris des modèles d'IA standards et open-source et les ont affinés en utilisant un mélange de données propres et d'échantillons malveillants conçus pour cacher des chevaux de Troie matériels. Ces chevaux de Troie étaient subtils ; les modèles produisaient toujours un code qui semblait correct et fonctionnait comme prévu dans des conditions normales, mais ils intégraient des failles cachées qui pouvaient fuiter des données, arrêter des systèmes ou dégrader les performances lorsqu'une phrase de déclenchement spécifique était utilisée. Dans leurs expériences, ces modèles empoisonnés échouaient à générer du code sécurisé environ 91 % du temps lors des tests avec des phrases de déclenchement, tandis que leur capacité à générer du code correct et fonctionnel chutait considérablement. Les chercheurs ont ensuite appliqué RTLGuard, en utilisant une version beaucoup plus petite et propre de la même famille de modèles comme enseignant. Cet enseignant n'avait pas besoin de connaître les déclencheurs malveillants spécifiques ; il fournissait simplement une référence fiable de ce que devrait être un code correct et sûr.

Les résultats ont montré que cette approche enseignant-étudiant a réussi à neutraliser la menace sans détruire l'utilité du modèle. Lorsque les chercheurs ont utilisé un modèle enseignant de la même taille que l'étudiant, le taux de réussite de l'attaque est passé de 91 % à seulement 16 %. Même lorsque l'enseignant était nettement plus petit que l'étudiant empoisonné, la défense est restée efficace, réduisant le taux de réussite de l'attaque à une valeur comprise entre 20 et 30 %. Crucialement, les modèles n'ont pas perdu leur capacité à faire leur travail. Avant la défense, les modèles empoisonnés n'étaient capables de générer du code fonctionnel et correct qu'environ 19 % du temps. Après avoir été nettoyés par RTLGuard, leur taux de réussite dans la génération de code fonctionnel est passé à plus de 45 %. Cette amélioration s'est produite à travers différents types d'architectures d'IA et même lorsque les modèles enseignant et étudiant appartenaient à des familles différentes, suggérant que la méthode est robuste et adaptable.

L'étude a également exploré pourquoi cette méthode fonctionne si bien en décomposant le processus en trois parties. Le système a d'abord utilisé une supervision standard pour réapprendre à l'étudiant à écrire du code correct. Il a ensuite utilisé une technique appelée distillation de connaissances, où l'étudiant imite les choix de l'enseignant pour chaque mot qu'il génère, écrasant ainsi les mauvaises habitudes apprises lors de la phase d'empoisonnement. Enfin, il a aligné les représentations internes des deux modèles, garantissant que le « processus de pensée » de l'étudiant corresponde à la logique propre de l'enseignant. Les chercheurs ont constaté que l'utilisation de ces trois composants ensemble produisait les meilleurs résultats, surpassant de loin les méthodes qui ne reposaient que sur l'une de ces techniques. Ils ont également comparé RTLGuard à d'autres stratégies de défense existantes, telles que celles conçues pour faire oublier des données spécifiques ou pour distiller les schémas d'attention. Dans ces comparaisons, RTLGuard a systématiquement obtenu un taux plus faible d'attaques réussies tout en maintenant une qualité de code plus élevée, prouvant qu'une récupération ciblée et légère est plus efficace que des corrections larges et lourdes.

L'une des découvertes les plus significatives est que la défense a fonctionné même lorsque les modèles étaient testés sur des données qu'ils n'avaient jamais vues auparavant. Les chercheurs ont évalué les modèles nettoyés sur un autre ensemble de problèmes de conception matérielle que ceux utilisés pendant l'entraînement, et les modèles ont continué à résister aux attaques tout en générant un code de haute qualité. Cela suggère que la défense ne se contente pas de mémoriser une liste de mauvais exemples à éviter, mais apprend plutôt une compréhension fondamentale des principes de conception sûre grâce à l'enseignant. Les chercheurs ont également vérifié leurs résultats à l'aide de plusieurs méthodes, notamment en demandant à un second système d'IA indépendant de vérifier les sorties et en inspectant manuellement un échantillon du code. Ces vérifications ont confirmé que la réduction des attaques était réelle et que les erreurs restantes n'étaient pas de simples artefacts du processus de test.

Ce travail met en lumière un changement critique dans la manière dont nous pourrions sécuriser l'avenir de la conception matérielle. Plutôt que de supposer qu'un modèle est soit parfaitement sûr, soit complètement cassé, RTLGuard démontre que les systèmes compromis peuvent être réparés efficacement. L'approche ne nécessite qu'une petite quantité de données de confiance et une fraction de la puissance de calcul nécessaire pour un réentraînement complet, ce qui en fait une solution pratique pour les entreprises qui dépendent de modèles d'IA tiers. En utilisant un guide de confiance pour réorienter le modèle vers un comportement sûr, les chercheurs ont montré qu'il est possible de maintenir la rapidité et la commodité de la conception automatisée sans sacrifier la sécurité du produit final. L'étude conclut que ce cadre enseignant-étudiant offre une voie viable pour protéger l'intégrité de la chaîne d'approvisionnement des puces contre les menaces cachées basées sur les données.