💻 computer science

Verifiable and Confidential DNN Inference on Low-End Edge Devices

Questo articolo presenta VECODI, un framework che consente l'inferenza DNN verificabile e riservata su dispositivi edge di fascia bassa introducendo SHANGRI-LA, una nuova astrazione di esecuzione su TEE TrustZone-M che minimizza la base di computazione affidabile e l'overhead proteggendo al contempo l'integrità del modello.

Autori originali: Mohamed Khalil Kiri (EURECOM), Ivan De Oliveira Nunes (University of Zurich), Aurélien Francillon (EURECOM), Norrathep Rattanavipanon (PSU Phuket)

Pubblicato 2026-06-08

📖 5 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Mohamed Khalil Kiri (EURECOM), Ivan De Oliveira Nunes (University of Zurich), Aurélien Francillon (EURECOM), Norrathep Rattanavipanon (PSU Phuket)

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina di avere una ricetta segreta per una torta deliziosa (questo è il modello AI). Vuoi lasciare che una piccola pasticceria locale (il dispositivo edge, come una telecamera intelligente o un sensore) cuocia la torta per i clienti senza mai dare loro la ricetta. Allo stesso tempo, devi assicurarti che la pasticceria non bari, ad esempio servendo una torta comprata al supermercato spacciandola per la tua, o cucinando troppe torte quando ne hai pagata solo una.

Questo è esattamente il problema che VECODI risolve per i computer minuscoli e a basso costo.

Ecco come il documento lo suddivide, usando semplici analogie:

Il Problema: Il dilemma della "Zona di Fiducia"

Di solito, per mantenere un segreto al sicuro, lo si mette in un caveau super sicuro (chiamato Ambiente di Esecuzione Fidato o TEE - Trusted Execution Environment).

Il modo vecchio: Per proteggere il modello AI, i ricercatori cercavano di mettere l'intero processo di cottura all'interno di questo caveau.
- Il difetto: Il caveau è minuscolo (come una scatola di scarpe). Non può contenere sia l'intera ricetta che le ciotole per mescolare. Inoltre, se il pasticciere (il codice dell'IA) commette un errore o ha un bug, può rompere il caveau e rubare le chiavi di tutto il resto all'interno.
L'altro modo: Mettere la cottura all'esterno, in una cucina aperta.
- Il difetto: Chiunque può entrare, rubare la ricetta o sostituire la torta con una falsa.

La Soluzione: VECODI e "Shangri-La"

Gli autori hanno creato un nuovo sistema chiamato VECODI. Il suo ingrediente segreto è un nuovo concetto che chiamano SHANGRI-LA.

Pensa alla memoria del computer come a una casa con due stanze:

La Stanza Sicura (Il Caveau): Molto piccola, sorvegliata da un robot. Qui vivono solo le chiavi più critiche.
La Stanza Normale (La Cucina): Grande, dove avviene tutta la parte disordinosa della cottura. Di solito non è affidabile.

SHANGRI-LA è una "Cabina di Vetro Magica" costruita all'interno della Stanza Normale.

Si trova nella cucina aperta, ma ha pareti di vetro speciali che le persone in cucina non possono rompere o guardare attraverso.
Il robot nella Stanza Sicura detiene le chiavi per le pareti di vetro.
La Magia: Il modello AI (la ricetta segreta) vive all'interno di questa cabina di vetro. Anche il codice che esegue la cottura vive lì dentro.
La parte migliore: La Stanza Sicura (il Caveau) non ha bisogno di conoscere la ricetta o come cucinare. Deve solo sapere come chiudere e aprire la cabina di vetro. Questo mantiene il Caveau piccolo e sicuro, anche se il codice della cottura è enorme o presenta dei bug.

Come funziona nella vita reale

La Configurazione (Provisioning): Il proprietario della ricetta (lo Chef) mette la parte segreta della ricetta in una scatola criptata e la consegna alla pasticceria. Lo Chef fornisce anche alla pasticceria una configurazione speciale per la "Cabina di Vetro". Lo Chef dice al robot della pasticceria: "Lascia che il proprietario della pasticceria cucini solo se è lui, e solo 100 volte."
La Cottura (Inference): Quando un cliente vuole una torta, il proprietario della pasticceria chiede al robot di aprire la Cabina di Vetro.
- Il robot controlla l'identità.
- Il robot trasforma temporaneamente la Cabina di Vetro in una "Zona Sicura" per un brevissimo istante.
- La cottura avviene all'interno della cabina. Le persone nella cucina aperta (gli hacker) non possono vedere la ricetta né toccare le ciotole.
- Una volta finita la torta, il robot chiude la cabina e consegna la torta.
La Prova (Verifiability): Il proprietario della pasticceria non si limita a consegnare la torta; consegna anche una ricevuta sigillata firmata dal robot.
- Questa ricevuta prova: "Questa torta è stata cucinata usando la tua ricetta segreta, all'interno di questa specifica cabina, in questo esatto momento, usando questo specifico ingrediente."
- Il cliente può controllare la ricevuta per assicurarsi che la pasticceria non abbia barato, senza mai dover vedere la ricetta segreta o gli ingredienti grezzi.

Perché è una grande novità (I Risultati)

Il documento ha testato questo sistema su una vera e piccola scheda di sviluppo (una NUCLEO-L552ZE-Q). Ecco cosa hanno scoperto:

Caveau Minuscolo: Spostando il pesante codice di cottura dalla Stanza Sicura alla Cabina di Vetro, hanno ridotto la dimensione della "Zona di Fiducia" (la parte che deve essere perfettamente sicura) del 95%. Questo significa che il sistema è molto più difficile da hackerare perché c'è meno codice da proteggere.
Veloce: La "Cabina di Vetro" aggiunge quasi nessun ritardo. Ha rallentato il processo di cottura solo dello 0,07% (meno di un millisecondo). È abbastanza veloce per compiti in tempo reale, come fermare un'auto o diagnosticare un paziente.
Sicurezza contro il furto: Anche se un hacker prende il controllo della pasticceria (la Stanza Normale), non può rubare la ricetta perché è chiusa nella Cabina di Vetro. Inoltre, non può cucinare infinite torte perché il robot conta le utilizazioni.

Riassunto

VECODI è come costruire una cucina sicura e invisibile all'interno di una casa normale e non affidabile. Permette a computer piccoli e economici di eseguire modelli AI potenti e segreti senza bisogno di hardware costosi e di alto livello, pur dimostrando al mondo che i risultati sono autentici e non sono stati manomessi.

Riepilogo Tecnico: VECODI

Problematica

Il dispiegamento dell'inferenza di Reti Neurali Profonde (DNN) su dispositivi edge a basse prestazioni (ad es. microcontrollori) presenta due sfide contrastanti: garantire la riservatezza del modello contro sistemi edge compromessi e abilitare un'inferenza verificabile senza incorrere in un overhead proibitivo.

Le soluzioni esistenti affrontano limitazioni significative:

Partizionamento DNN protetto da TEE (TSDP): Sebbene questi approcci proteggano gli strati sensibili del modello all'interno di Ambienti di Esecuzione Fiduciari (TEE), richiedono l'inserimento del codice e delle librerie di inferenza direttamente nel Mondo Sicuro (Secure World). Ciò amplia significativamente la Base di Calcolo Fidata (TCB), aumenta la superficie di attacco e mette sotto sforzo la memoria limitata dei dispositivi a basse prestazioni.
Esecuzione TEE completa: L'esecuzione dell'intera pipeline nel TEE è spesso impraticabile a causa dei vincoli di memoria (la RAM Sicura è tipicamente di decine di kilobyte, mentre le DNN richiedono megabyte).
Esecuzione non fidata: L'esecuzione interamente nel Mondo Normale (Non-Secure World) non offre alcuna protezione contro l'estrazione del modello o la falsificazione dei risultati da parte di malware.

Inoltre, gli approveri attuali spesso non affrontano gli attacchi di estrazione del modello (dove gli avversari ricostruiscono i modelli tramite query di inferenza) o introducono un eccessivo overhead computazionale attraverso prove crittografiche, rendendoli inadatti per dispositivi edge con risorse limitate di potenza.

Metodologia

Gli autori propongono VECODI, un framework per l'inferenza DNN verificabile e riservata su piattaforme ARM TrustZone-M. L'innovazione principale è una nuova astrazione di esecuzione chiamata SHANGRI-LA.

SHANGRI-LA: Un Terzo Ambiente di Runtime

A differenza delle tradizionali architetture TrustZone-M che separano rigorosamente il Mondo Sicuro (SW) dal Mondo Non-Sicuro (NSW), SHANGRI-LA stabilisce un terzo ambiente di runtime che risiede fisicamente nel Mondo Non-Sicuro, ma opera con privilegi elevati garantiti dal Mondo Sicuro.

Modello di Privilegi: SHANGRI-LA possiede privilegi strettamente intermedi tra il Mondo Sicuro e il Mondo Non-Sicuro. È protetto dal Mondo Non-Sicuro (impedendo la manomissione di codice/dati) ma non può interferire con i componenti del Mondo Sicuro.
Gestione della Memoria: Il codice e i dati di SHANGRI-LA risiedono nella RAM Non-Sicura. Tuttavia, durante la fase di Creazione (Create), il Mondo Sicuro marca temporaneamente queste regioni come Sicure per impedirne l'accesso. Appena prima dell'esecuzione, l'API Esecuzione (Execute) le rimarca atomicamente come Non-Sicure, consentendo al codice di girare nel Mondo Normale pur mantenendo l'isolamento dagli altri processi Non-Sicuri.
Accesso all'Hardware: SHANGRI-LA mantiene l'accesso diretto alle periferiche di I/O hardware, garantendo che l'acquisizione dei dati sensoriali non possa essere intercettata o manipolata dal Mondo Normale.

Protocollo VECODI

VECODI orchestra le interazioni tra quattro stakeholder: un Fornitore di Modelli (PVD), un Dispositivo Edge (DEV), un Consumatore di Modelli (CSM) e un Verificatore (VRF). Il protocollo consiste in quattro fasi:

Provisioning (I1): Il PVD partiziona il modello DNN in una componente pubblica ( $M_{pub}$ ) e una componente privata ( $M_{pri}$ ). $M_{pri}$ è criptata. Il codice di inferenza ( $F$ ), $M_{pub}$ e la $M_{pri}$ criptata sono installati nel Mondo Normale. Metadati e chiavi sono forniti al Mondo Sicuro tramite l'API Provision.
Autorizzazione (I2): Il CSM richiede l'accesso al PVD. Il PVD emette un token di autorizzazione firmato ( $T_{CSM}$ ) che specifica i limiti di utilizzo. Il Mondo Sicuro del DEV aggiorna la policy dell'istanza SHANGRI-LA tramite l'API Authorize.
Inferenza (I3): Il CSM invoca l'API Create per istanziare SHANGRI-LA. Successivamente chiama Execute, fornendo un token firmato. Il Mondo Sicuro valida la richiesta, sposta la memoria di SHANGRI-LA in modalità Non-Sicura ed esegue $F$ . $F$ recupera i dati sensoriali grezzi, esegue l'inferenza utilizzando $M$ e genera un output ( $Out_F$ ).
Verifica (I4): Se richiesto, il Mondo Sicuro genera una Prova di Esecuzione (PoX) ( $T_{proof}$ ) firmata con la chiave di attestazione del dispositivo. Questa prova lega l'input, l'ID specifico del modello, l'istanza di esecuzione e l'output. Il VRF valida questa prova senza necessitare l'accesso ai dati di input grezzi.

Meccanismi di Sicurezza Chiave

Riservatezza: $M_{pri}$ è criptata nella Flash e viene decriptata solo nella RAM Non-Sicura protetta durante l'esecuzione. Il Mondo Sicuro garantisce che nessun altro codice Non-Sicuro possa accedere a questa memoria.
Verificabilità: Il meccanismo PoX garantisce che l'output sia stato prodotto dal codice corretto ( $F$ ) sul modello corretto ( $M$ ) utilizzando input sensoriali autentici, senza rivelare gli input grezzi al verificatore.
Anti-Estrazione: L'API Authorize impone limiti di utilizzo rigorosi, mitigando gli attacchi di estrazione del modello basati su query di inferenza ad alta frequenza.

Contributi Chiave

Astrazione SHANGRI-LA: L'introduzione di un ambiente di runtime leggero, un terzo ambiente su TrustZone-M, che fornisce isolamento dal Mondo Normale senza richiedere l'esecuzione del codice di inferenza all'interno del Mondo Sicuro. Ciò consente a sviluppatori terzi di distribuire applicazioni fidate senza modificare i componenti core del Mondo Sicuro.
Inferenza Sicura e Verificabile: Un protocollo completo (VECODI) che ottiene la riservatezza del modello e l'inferenza verificabile su dispositivi a basse prestazioni. Combina SHANGRI-LA con un meccanismo di autorizzazione dell'inferenza e uno schema di prova di esecuzione che preserva la privacy degli input.
Implementazione Pratica: Un prototipo implementato su una scheda di sviluppo NUCLEO-L552ZE-Q (ARM Cortex-M33) che dimostra la fattibilità dell'approccio su hardware con risorse limitate.

Risultati e Valutazione

Gli autori hanno valutato VECODI rispetto a un baseline in cui il codice di inferenza gira interamente nel Mondo Sicuro (design D2) e un baseline Non-Sicuro.

Riduzione della TCB: VECODI riduce la TCB del Mondo Sicuro del 95,64% (da 34.865 righe di codice a 1.523 LOC). Fondamentalmente, la dimensione della TCB è indipendente dal codice di inferenza o dall'architettura del modello, a differenza degli approcci precedenti dove la TCB cresce con l'applicazione.
Impronta di Memoria: Mantenendo la componente pubblica del modello ( $M_{pub}$ ) nel Mondo Normale e duplicando solo la componente privata ( $M_{pri}$ ) nella RAM Non-Sicura protetta, VECODI evita la necessità di memorizzare l'intero modello in chiaro nella RAM Sicura, che spesso supera la capacità dei dispositivi a basse prestazioni.
Overhead di Runtime: VECODI comporta un overhead di runtime di soli 0,83 ms (0,07%) rispetto a un baseline Non-Sicuro. La generazione della prova aggiunge circa 230 ms, ma questo è paragonabile al costo di firma richiesto nei sistemi sicuri di base per autenticare il dispositivo.
Caso di Studio: In uno scenario di classificazione di immagini basato su telecamera, VECODI ha mantenuto una latenza media di 1428,42 ms per inferenza, mostrando un overhead trascurabile rispetto al baseline (1427,57 ms).

Significato e Rivendicazioni

Il documento afferma che VECODI rappresenta una soluzione pratica per l'inferenza DNN sicura su dispositivi edge a basse prestazioni cambiando fondamentalmente il modello di esecuzione. Introducendo SHANGRI-LA, gli autori dimostrano che è possibile:

Disaccoppiare il codice di inferenza dalla Base di Calcolo Fidata, minimizzando così la superficie di attacco e la dimensione della TCB.
Abilitare l'inferenza verificabile e la riservatezza del modello senza richiedere hardware ad alte prestazioni (come le MMU) o incorrere in penalità di prestazione proibitive.
Supportare le attuali strategie di Partizionamento DNN protetto da TEE senza modifiche, rendendolo un miglioramento "drop-in" per le attuali architetture di sicurezza edge.

Gli autori asseriscono che SHANGRI-LA è di interesse indipendente oltre l'inferenza DNN, poiché consente il dispiegamento di arbitrarie applicazioni fidate su dispositivi TrustZone-M senza alterare il core del Mondo Sicuro, colmando una lacuna nelle attuali astrazioni di sicurezza per dispositivi a basse prestazioni.