Federated Learning security with FedEDAuth: Embedding-Distribution Authentication for Counterfeit IC Detection

स्मार्टफोन से लेकर चिकित्सा उपकरणों तक सब कुछ चलाने वाले नन्हे चिप्स की वैश्विक आपूर्ति श्रृंखला विशाल और खंडित है, जो कई देशों और कंपनियों में फैली हुई है। यह जटिलता एक खतरनाक अंध बिंदु (blind spot) पैदा करती है: नकली घटक। ये नकली या पुनर्चक्रित (recycled) चिप्स हैं जो असली दिखते हैं लेकिन प्रदर्शन करने में विफल रहते हैं, जिससे विमान या पावर ग्रिड जैसे महत्वपूर्ण सिस्टम में विनाशकारी विफलताएं हो सकती हैं। पारंपरिक रूप से, इन नकली चिप्स को खोजने के लिए भौतिक निरीक्षण या महंगे विद्युत परीक्षण की आवश्यकता होती है, जो धीमा और मानकीकृत करने में कठिन है। इसे हल करने के लिए, शोधकर्ताओं ने मशीन लर्निंग की ओर रुख किया है, जिसमें वास्तविक और नकली चिप्स के बीच सूक्ष्म दृश्य अंतरों को पहचानने के लिए आर्टिफिशियल इंटेलिजेंस का उपयोग किया जाता है। हालांकि, चूंकि चिप निर्माता अपने मालिकाना डिजाइनों और डेटा को लेकर बेहद सुरक्षात्मक होते हैं, वे इन AI मॉडलों को प्रशिक्षित करने के लिए अपने निजी चित्रों को एक केंद्रीय कंप्यूटर के साथ साझा करने के इच्छुक नहीं हैं। इसने 'फेडरेटेड लर्निंग' नामक एक सहयोगात्मक दृष्टिकोण को अपनाने की ओर ले गया है। इस प्रणाली में, AI मॉडल डेटा के पास जाता है न कि डेटा मॉडल के पास; प्रत्येक निर्माता अपने स्वयं के निजी कंप्यूटरों पर मॉडल को प्रशिक्षित करता है और केवल गणितीय अपडेट वापस भेजता है, जिससे उनके संवेदनशील चित्र छिपे रहते हैं।

हालांकि यह तरीका गोपनीयता की रक्षा करता है, यह एक नया और सूक्ष्म सुरक्षा जोखिम भी पैदा करता है। क्योंकि केंद्रीय सर्वर कभी भी कच्चे डेटा (raw data) को नहीं देख पाता है, इसलिए वह यह सत्यापित नहीं कर सकता कि भाग लेने वाली कंपनी ईमानदार है या नहीं। एक दुर्भावनापूर्ण अभिनेता नेटवर्क में शामिल होकर प्रशिक्षण प्रक्रिया को सूक्ष्म रूप से विषाक्त (poison) कर सकता है, जिससे वैश्विक AI को नकली चिप्स को असली के रूपए स्वीकार करने के लिए भ्रमित किया जा सकता है और किसी को पता भी नहीं चलेगा। यूनिवर्सिटी ऑफ नॉर्थ कैरोलिना एट चार्लोट के शोधकर्ताओं द्वारा हाल ही में किए गए एक अध्ययन ने प्रदर्शित किया है कि यह प्रणाली कितनी असुरक्षित है और यह इसे सुरक्षित करने का एक नया तरीका प्रस्तावित करता है। टीम ने दिखाया कि कुल प्रशिक्षण डेटा के पांच प्रतिशत से भी कम तक पहुंच रखने वाला हमलावर पूरे सिस्टम को सफलतापूर्वक भ्रष्ट कर सकता था। चिप्स की छवियों में सूक्ष्म, लगभग अदृश्य खरोंचें जोड़कर, उन्होंने AI को नकली चिप्स के संकेतों को अनदेखा करने के लिए सिखाया। मानक सुरक्षा उपाय, जो बुरे अभिनेताओं को पकड़ने के लिए डिज़ाइन किए गए थे, पूरी तरह से विफल रहे क्योंकि हमला बहुत शांत था ताकि अलार्म बज सके। इससे निपटने के लिए, शोधकर्ताओं ने एक नई प्रमाणीकरण प्रणाली विकसित की जो मॉडल को प्रशिक्षित करने के लिए उपयोग किए जाने से पहले ही डेटा के सांख्यिकीय "फिंगरप्रिंट" की जांच करती है। इस नई पद्धति ने अपने परीक्षणों में प्रत्येक दुर्भावनापूर्ण प्रतिभागी को सफलतापूर्वक पहचाना और ब्लॉक किया, जिससे सहयोगात्मक नेटवर्क सुरक्षित और सटीक रूप से कार्य कर सका।

समस्या का मूल कारण हमले की प्रकृति में निहित है। एक विशिष्ट फेडरेटेड लर्निंग सेटअप में, एक केंद्रीय सर्वर दर्जनों विभिन्न क्लाइंट्स (जैसे चिप फाउंड्री और परीक्षण सुविधाएं) से अपडेट एकत्र करके एक साझा मॉडल के प्रशिक्षण का समन्वय करता है। शोधकर्ताओं ने इन क्लाइंट्स के पचास सिम्युलेटेड परिदृश्य बनाए। उन्होंने पाया कि यदि इनमें से केवल तीन क्लाइंट समझौताग्रस्त (compromised) होते हैं, तो वे एक गुप्त डेटा पॉइज़निंग हमला कर सकते हैं। शोर मचाने वाली, स्पष्ट त्रुटियों के साथ सिस्टम को तोड़ने के बजाय, हमलावरों ने उनकी छवियों में एक विशिष्ट, सूक्ष्म दृश्य पैटर्न जोड़ा। यह पैटर्न पुराने या पुनर्चक्रित चिप्स पर पाए जाने वाले प्राकृतिक सतह के विविधताओं, जैसे कि हल्की खरोंच या धब्बे, की नकल करता था। क्योंकि पैटर्न इतना वास्तविक था, यह सामान्य डेटा के साथ पूरी तरह से मिल गया। जब इन तीन क्लाइंट्स ने अपने स्थानीय मॉडलों को इस विषाक्त डेटा पर प्रशिक्षित किया, तो परिणामी अपडेट ईमानदार क्लाइंट्स के अपडेट के सांख्यिकीय रूप से समान दिखे।

जब केंद्रीय सर्वर ने इन अपडेट्स को मानक तरीकों का उपयोग करके संयोजित किया, तो सूक्ष्म भ्रष्टाचार समय के साथ जमा होता गया। वैश्विक मॉडल धीरे-धीरे नकली खरोंच पैटर्न को प्रामाणिक चिप्स के रूप में पहचानना सीख गया। फलस्वरूप, AI नकली चिप्स को असली के रूप में गलत वर्गीकृत करने लगा, जबकि इसने एक उच्च समग्र सटीकता स्कोर बनाए रखा जिसने नुकसान को छिपा दिया। शोधकर्ताओं ने फेडरेटेड लर्निंग की रक्षा के लिए उपयोग किए जाने वाले तीन सामान्य रक्षा तंत्रों के विरुद्ध इसका परीक्षण किया: एक जो सभी अपडेट का औसत निकालता है, दूसरा जो सबसे चरम आउटलेर्स (outliers) को हटा देता है, और तीसरा जो सबसे समान मॉडलों का चयन करता है। उनमें से कोई भी काम नहीं आया। हमला इतना सूक्ष्म था कि उसे आउटलेयर के रूप में चिह्नित नहीं किया जा सका, और औसत प्रक्रिया ने सिग्नल को इतना पतला कर दिया कि वह पता लगाने योग्य नहीं रहा। वास्तव में, मॉडल की समग्र सटीकता आधे प्रतिशत से भी कम गिरी, एक ऐसा परिवर्तन जो इतना छोटा था कि ऑपरेटरों को लगेगा कि सिस्टम ठीक से काम कर रहा है जबकि वह वास्तव में अपने सबसे महत्वपूर्ण कार्य: नकली चिप्स को पकड़ने में विफल हो रहा था।

AI के भीतर क्या हो रहा था, इसे देखने के लिए शोधकर्ताओं ने एक ऐसी तकनीक का उपयोग किया जो यह उजागर करती है कि मॉडल छवि के किन हिस्सों पर ध्यान केंद्रित कर रहा है। एक स्वच्छ, अदूषित मॉडल में, AI चिप के संरचनात्मक विवरणों, जैसे कि धातु की रेखाओं और डाई के केंद्र को देखता था। विषाक्त मॉडल में, AI का ध्यान इन महत्वपूर्ण विशेषताओं से हटकर उस कृत्रिम खरोंच पैटर्न पर केंद्रित हो गया जिसे हमलावरों ने जोड़ा था। मॉडल ने गलत सबक सीखा था, नकली खरोंच को प्रमाणिकता के संकेत के रूप में माना। इसने पुष्टि की कि यह केवल एक सांख्यिकीय त्रुटि नहीं थी बल्कि मॉडल की आंतरिक समझ का लक्षित भ्रष्टाचार था। खतरा यह है कि चूंकि समग्र सटीकता उच्च बनी रही, इसलिए सिस्टम के समझौता होने का कोई स्पष्ट चेतावनी संकेत नहीं था।

यह समझते हुए कि अंतिम परिणामों की जांच करना बहुत देर हो चुकी थी, शोधकर्ताओं ने 'फेडरेटेड एम्बेडिंग डिस्ट्रीब्यूशन ऑथेंटिकेशन' (FedEDAuth) नामक एक नया बचाव प्रस्तावित किया। यह प्रणाली प्रशिक्षण शुरू होने से पहले ही कार्य करती है। मॉडल अपडेट संदिग्ध होने की प्रतीक्षा करने के बजाय, यह स्वयं डेटा की जांच करती है। यह प्रणाली एक विश्वसनीय, पूर्व-प्रशिक्षित AI का उपयोग करती है जो प्रत्येक क्लाइंट द्वारा सबमिट की गई छवि को एक गणितीय प्रतिनिधित्व में बदल देती है, जिसे 'एम्बेडिंग' कहा जाता है। यह प्रक्रिया वास्तविक चित्र को प्रकट किए बिना छवि के सार को कैप्चर करती है, जिससे क्लाइंट की बौद्धिक संपदा सुरक्षित रहती है। एक अलग, विश्वसनीय सर्वर इन एम्बेडिंग्स के वितरण की तुलना प्रामाणिक चिप छवियों के ज्ञात "गोल्डन" संदर्भ से करता है।

शोधकर्ताओं ने पाया कि भले ही हमलावरों ने अपने जहर को छिपाने की कोशिश की, लेकिन उनके डेटा के सांख्यिकीय गुण उन्हें उजागर कर देते हैं। विषाक्त छवियां गणितीय स्थान (mathematical space) में एक अलग क्लस्टर बनाती थीं जो ईमानदार चिप्स की प्राकृतिक भिन्नता से भिन्न थी। नई प्रणाली तीन विशिष्ट चीजों को मापती है: कितनी छवियां सामान्य सीमा से बाहर थीं, क्या छवियों की औसत स्थिति बदल गई थी, और क्या छवियां एक अलग, अलग समूह बनाती थीं। इन मापों को जोड़कर, सिस्टम ने पूर्ण सटीकता के साथ दुर्भावनापूर्ण क्लाइंट्स की पहचान की। पचास क्लाइंट्स और कई यादृच्छिक परिदृश्यों वाले अपने परीक्षणों में, सिस्टम ने हर बार तीनों समझौताग्रस्त प्रतिभागियों को पकड़ा, जिसमें शून्य गलत अलार्म (false alarms) थे।

एक बार जब दुर्भावनापूर्ण क्लाइंट्स को फ़िल्टर कर दिया गया, तो शेष सैंतालीस ईमानदार क्लाइंट्स ने मॉडल को प्रशिक्षित करना जारी रखा। परिणाम एक वैश्विक पहचान प्रणाली थी जो लगभग उतनी ही बेहतर प्रदर्शन करती थी जितना कि बिना किसी हमले के होता। अंतिम मॉडल ने लगभग इक्यानवे प्रतिशत की सटीकता प्राप्त की और काउंटरफिट चिप्स की पचानवे प्रतिशत पहचान की। इसने सिद्ध किया कि सहयोगात्मक नेटवर्क निजी और सुरक्षित दोनों हो सकता है, बशर्ते डेटा की अखंडता को सत्यापित करने का कोई तरीका हो। शोधकर्ताओं ने उल्लेख किया कि हालांकि उनके विशिष्ट परीक्षण में एक विशेष प्रकार के विजुअल ट्रिगर का उपयोग किया गया था, लेकिन यह विधि विभिन्न प्रकार के सूक्ष्म हमलों को पकड़ने के लिए पर्याप्त मजबूत है। उन्होंने यह भी स्वीकार किया कि उनके अध्ययन में काउंटरफिट छवियां भौतिक नमूनों के बजाय डिजिटल सिमुलेशन का उपयोग करके बनाई गई थीं, जो एक सीमा है, लेकिन डेटा वितरण की जांच करने का अंतर्निहित सिद्धांत वैध रहता है।

इस कार्य के निहितार्थ केवल नकली चिप्स खोजने तक ही सीमित नहीं हैं। वही भेद्यता (vulnerability) किसी भी ऐसे क्षेत्र में मौजूद है जहां सहयोगात्मक मशीन लर्निंग के लिए संवेदनशील डेटा साझा किया जाता है, जैसे कि हार्डवेयर ट्रोजन का पता लगाना या आपूर्ति श्रृंखला की अखंडता को सत्यापित करना। अध्ययन बताता है कि उच्च-स्तरीय सुरक्षा के लिए केवल अंतिम मॉडल अपडेट की जांच करने पर निर्भर रहना अपर्याप्त है। इसके बजाय, डेटा के स्रोत पर ही उसके सत्यापन के लिए एक सक्रिय दृष्टिकोण आवश्यक है। एक विश्वसनीय तीसरे पक्ष को डेटा की सांख्यिकीय प्रकृति को सत्यापित करने के लिए पेश करके, शोधकर्ताओं ने सुरक्षित सहयोग का एक मार्ग दिखाया है। यह दृष्टिकोण सुनिश्चित करता है कि वैश्विक मॉडल विविध स्रोतों से सीख सके बिना किसी एकल बुरे अभिनेता द्वारा चुपचाप भ्रष्ट हुए, जिससे आधुनिक दुनिया को चलाने वाली तकनीक की नींव सुरक्षित हो सके।