💻 computer science

Attacking AI Accelerators by Leveraging Arithmetic Properties of Addition

Questo lavoro presenta un nuovo attacco hardware che sfrutta le proprietà commutative dell'addizione per causare un invecchiamento non uniforme dei transistor negli acceleratori AI, riducendo la precisione dell'inferenza fino al 64% in quattro anni senza richiedere overhead di area o software.

Autori originali: Masoud Heidary, Biresh Kumar Joardar

Pubblicato 2026-03-31

📖 4 min di lettura☕ Lettura da pausa caffè

CC BY 4.0

Autori originali: Masoud Heidary, Biresh Kumar Joardar

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

🛡️ Il "Veleno Silenzioso" nei Cervelli delle Macchine

Immagina che i moderni computer che guidano le auto a guida autonoma, diagnosticano malattie o riconoscono le tue foto siano come cucine di lusso. In queste cucine, il lavoro principale (cucinare i piatti, ovvero fare i calcoli) viene svolto da dei cuochi velocissimi (i processori) che usano coltelli affilatissimi (i moltiplicatori) e tavole da taglio (i sommatore).

Questi cuochi lavorano così velocemente che, se un coltello si ottunde anche di un millesimo di millimetro, il piatto viene rovinato.

🕵️‍♂️ L'Attacco: Non rompere il coltello, ma cambiane l'impugnatura

Fino a oggi, gli hacker cercavano di rompere questi computer inserendo virus software o danneggiando fisicamente i chip. Ma questo nuovo studio descrive un attacco molto più subdolo, come se un fabbro disonesto che costruisce i coltelli decidesse di invertire l'impugnatura di alcuni di essi.

Ecco il trucco:

La regola matematica: In matematica, l'addizione è "commutativa". Significa che 2 + 3 dà lo stesso risultato di 3 + 2. Non importa l'ordine in cui metti i numeri, il risultato è lo stesso.
Il trucco fisico: Anche se il risultato matematico è lo stesso, l'ordine in cui i fili sono collegati ai transistor (i piccoli interruttori dentro il chip) cambia.
L'effetto veleno: I transistor hanno una "pelle" che si usura se viene sottoposta a una certa tensione elettrica per troppo tempo (un fenomeno chiamato NBTI, che è come se la pelle si seccasse e si crepasse). Normalmente, l'usura è distribuita in modo abbastanza uniforme.
Il sabotaggio: L'hacker (che potrebbe essere un produttore di chip corrotto) scambia i fili di ingresso in modo che certi transistor lavorino sotto stress molto più intenso del necessario, mentre altri riposano. È come se, invece di far lavorare tutti i cuochi della cucina a turno, obbligassi un solo cuoco a lavorare 24 ore su 24 senza mai fermarsi, mentre gli altri stanno a guardare.

⏳ Il Risultato: Un invecchiamento accelerato

Poiché questi transistor specifici lavorano sotto stress eccessivo, si "invecchiano" molto più velocemente del normale.

Anno 1-2: Tutto sembra funzionare perfettamente. Il computer è veloce e preciso. Nessuno si accorge di nulla perché il risultato matematico è corretto.
Anno 3-4: Quei transistor stanchi iniziano a diventare lenti. Il segnale elettrico impiega più tempo a passare.
Il disastro: Quando il computer deve fare un calcolo urgente (come frenare un'auto o diagnosticare un tumore), il segnale arriva in ritardo. Il computer commette errori. Non è un virus, è solo che il "coltello" è diventato troppo lento per tagliare in tempo.

📉 Cosa succede all'Intelligenza Artificiale?

Gli autori dello studio hanno testato questo trucco su diversi modelli di Intelligenza Artificiale (come quelli usati per riconoscere immagini o analizzare testi).

Dopo 4 anni di utilizzo, l'accuratezza di questi sistemi è crollata drasticamente.
In alcuni casi, l'AI ha smesso di funzionare correttamente fino al 64% delle volte.
È come se un medico che per anni ha diagnosticato correttamente le malattie, improvvisamente iniziasse a confondere un raffreddore con una polmonite, non perché ha perso la testa, ma perché il suo stethoscopio è diventato troppo lento per sentire i battiti.

🎭 Perché è pericoloso?

Questo attacco è terribile per tre motivi:

Invisibile: Non cambia il risultato immediato. Se provi il computer oggi, funziona. Il danno è nascosto nel tempo.
Nessun costo extra: Non serve aggiungere circuiti complessi o virus. Basta riordinare due fili durante la produzione. È come se un architetto decidesse di spostare una porta di due centimetri: la casa è uguale, ma la struttura interna è indebolita.
Difficile da scoprire: I controlli di qualità dopo la produzione non lo vedono, perché il chip sembra funzionare perfettamente. Il problema emerge solo dopo anni di utilizzo intenso.

In sintesi

Immagina di comprare un'auto nuova. Il produttore, invece di usare materiali scadenti, decide di stringere eccessivamente le viti del motore in modo che, dopo 4 anni di guida, il motore si blocchi improvvisamente in autostrada. L'auto sembra nuova, ma ha un difetto di progettazione nascosto che la distruggerà lentamente.

Questo studio ci avverte che dobbiamo stare attenti a chi costruisce i nostri chip, perché anche un piccolo cambiamento nell'ordine dei fili può trasformare un supercomputer in un disastro silenzioso nel giro di pochi anni.

Titolo: Attacco agli Acceleratori AI Sfruttando le Proprietà Aritmetiche dell'Addizione

1. Il Problema

La affidabilità dei modelli di Intelligenza Artificiale (AI) dipende strettamente dall'integrità dell'hardware sottostante. Con il continuo scalaggio tecnologico verso regimi nanometrici, i circuiti integrati (IC) sono sempre più vulnerabili a fenomeni di invecchiamento come l'Instabilità della Temperatura di Bias Negativo (NBTI). L'NBTI causa un aumento graduale della tensione di soglia ( $V_{th}$ ) nei transistor PMOS, portando a un aumento dei ritardi di commutazione e, infine, a errori funzionali o fallimenti.

Sebbene l'invecchiamento sia un processo naturale, gli attaccanti possono accelerarlo intenzionalmente per compromettere i sistemi critici (come veicoli autonomi o dispositivi medici) o gli acceleratori AI. Le tecniche di attacco esistenti spesso richiedono modifiche al carico di lavoro, l'inserimento di circuiti trojan aggiuntivi o manipolazioni evidenti che possono essere rilevate dai sistemi di anomalia. Il problema centrale affrontato da questo lavoro è la necessità di un attacco di invecchiamento hardware stealth (nascosto), che non richieda overhead di area o software, ma che riesca a degradare le prestazioni nel lungo termine portando a errori di inferenza.

2. Metodologia

L'attacco proposto sfrutta una proprietà fondamentale dell'aritmetica: la commutatività dell'addizione ( $A + B = B + A$ ).

Concetto Chiave: In un sommatore completo (Full Adder), gli input possono essere scambiati (es. scambiare i pin di ingresso B e C) senza alterare il risultato logico (somma e riporto rimangono invariati). Tuttavia, questo scambio cambia quali transistor PMOS specifici sono sottoposti a stress (bias negativo) durante l'operazione.
Meccanismo di Attacco:
1. L'attaccante (ipotizzato come una fonderia non fidata o un fornitore di IP di terze parti) modifica le connessioni fisiche degli ingressi dei sommatore all'interno dei moltiplicatori.
2. Questa manipolazione è progettata per massimizzare la probabilità che certi transistor PMOS siano nello stato "ON" (con gate a 0V), sottoponendoli a uno stress NBTI accelerato rispetto al design originale.
3. L'attacco viene implementato utilizzando un algoritmo greedy (Algoritmo 1) che esegue una traversata depth-first del grafo del circuito (MAC unit - Multiply-Accumulate) per identificare i percorsi critici e i sommatore più vulnerabili da "tamperare" (rewire).
4. L'obiettivo è creare uno squilibrio nello stress dei transistor, accelerando il degrado di percorsi specifici fino a causare violazioni temporali (timing violations) durante l'inferenza, anche se il circuito passa i test funzionali iniziali.
Implementazione: L'attacco è stato applicato a moltiplicatori (Array e Wallace Tree) all'interno di array sistolici, che sono il cuore degli acceleratori AI (es. TPU, GPU). L'attacco è stato simulato sia per moltiplicatori a punto fisso che per la parte di mantissa dei moltiplicatori in virgola mobile (IEEE 754).

3. Contributi Chiave

Nuova Vettore di Attacco: Dimostrazione che la semplice permutazione dei pin di ingresso in blocchi logici commutativi può essere utilizzata come vettore di attacco fisico per l'invecchiamento accelerato.
Stealth ed Efficienza: L'attacco non richiede circuiti aggiuntivi (zero overhead di area), non altera la logica funzionale (l'output è corretto al tempo $t=0$ ) e non modifica il carico di lavoro, rendendolo estremamente difficile da rilevare con i metodi tradizionali di test post-manifattura.
Algoritmo di Targeting: Sviluppo di una strategia algoritmica per identificare selettivamente i percorsi critici e i transistor da colpire per massimizzare il degrado con un budget di attacco minimo.
Valutazione Olistica: Analisi completa che va dal livello del transistor (NBTI, variazioni di processo) fino all'impatto sui modelli AI reali (CNN, GNN, Transformer).

4. Risultati Sperimentali

Gli esperimenti sono stati condotti utilizzando la tecnologia GlobalFoundries 22nm con simulazioni Monte Carlo (50k iterazioni) per considerare le variazioni di processo e l'attività casuale degli input.

Degrado del Ritardo:
- Dopo 4 anni di operazione, l'attacco su un moltiplicatore a 8-bit (Array) ha causato un aumento del ritardo del 29% rispetto all'invecchiamento naturale.
- Per i moltiplicatori a 16-bit, l'aumento del ritardo è stato ancora più marcato (fino al 49% per l'architettura Wallace Tree).
- La distribuzione dello stress sui transistor viene spostata verso valori estremi, creando colli di bottiglia critici.
Probabilità di Errore:
- L'attacco porta a un aumento significativo della probabilità di errori di temporizzazione (timing violations). Un moltiplicatore a 16-bit tamperato completamente (M-All-100%) ha mostrato una probabilità di errore del 35% dopo 4 anni, contro il 16% di una versione a 8-bit.
- L'attacco supera le prestazioni di tecniche precedenti come i "Trojan sensibili al carico di lavoro" e i "Trojan basati sull'affidabilità del processo".
Impatto sull'Accuratezza dei Modelli AI:
- L'attacco è stato testato su vari modelli (Darknet, ResNet, VGG, GNN, BERT) e dataset (CIFAR-10, NCI-1, SST-2).
- Nonostante l'uso di "guard band" temporali statiche (progettate per l'invecchiamento naturale), l'attacco ha causato un calo drastico dell'accuratezza di inferenza.
- Risultato Principale: Dopo 4 anni, si è osservata una perdita di accuratezza fino al 64% in alcuni scenari. In media, i modelli hanno subito una perdita del 38-51% (a seconda dell'architettura e del dataset).
- I modelli con moltiplicatori a bit più basso (es. 6-bit) sono risultati più vulnerabili, con un crollo dell'accuratezza dal 82% al 22% in 4 anni.

5. Significato e Implicazioni

Questo lavoro evidenzia una vulnerabilità fondamentale e trascurata nell'hardware per l'AI: la dipendenza dalle proprietà matematiche dei blocchi aritmetici può essere sfruttata per compromettere la sicurezza a lungo termine.

Minaccia alla Sicurezza: L'attacco dimostra che anche sistemi progettati con margini di sicurezza (guard band) possono essere resi inaffidabili se l'invecchiamento non è uniforme e viene accelerato strategicamente.
Difficoltà di Rilevamento: Poiché il circuito rimane funzionalmente corretto e non richiede modifiche strutturali visibili, questo tipo di attacco è quasi impossibile da rilevare prima della distribuzione o durante i test standard.
Impatto Industriale: La metodologia è applicabile a una vasta gamma di architetture, inclusi CPU, GPU e acceleratori AI basati su array sistolici, rappresentando una minaccia significativa per la fiducia nella catena di approvvigionamento dei semiconduttori (supply chain).

In conclusione, il paper fornisce una prova convincente che la manipolazione fisica sottile delle connessioni interne ai moltiplicatori può degradare le prestazioni degli acceleratori AI in modo irreversibile e catastrofico nel tempo, ponendo nuove sfide per la progettazione di hardware affidabile e sicuro.