Sintesi Tecnica: SoK: Panorama di Attacco e Difesa dei Sistemi di IA On-device Mobile

Problematica

I sistemi di IA On-device Mobile (MOAI) rappresentano un cambio di paradigma in cui i modelli di IA vengono implementati localmente sui dispositivi dell'utente finale anziché fare affidamento su servizi cloud remoti. Sebbene questa architettura offra significativi vantaggi in termini di privacy (elaborazione locale dei dati), latenza (assenza di trasmissione di rete) e capacità offline, essa altera fondamentalmente il panorama della sicurezza. A differenza dei sistemi basati su cloud, dove i modelli risiedono in ambienti server controllati, i sistemi MOAI memorizzano artefatti di modelli proprietari direttamente sui dispositivi degli utenti. Questa memorizzazione locale espone i modelli a un insieme unico di minacce, tra cui l'ingegneria inversa, il dumping della memoria e l'estrazione non autorizzata, che non sono prevalenti nel software mobile tradizionale o nei contesti di IA in cloud.

La letteratura esistente si è concentrata ampiamente su Edge AI, TinyML o sottogruppi specifici come il furto di modelli (model stealing), mancando di un quadro olistico che affronti i rischi di sicurezza end-to-end dei sistemi MOAI. Esiste una lacuna critica nella comprensione di come l'inferenza locale rimodelli i confini di fiducia tra input dell'utente, modelli residenti nel dispositivo, runtime e isolamento hardware, così come una mancanza di guida sistematica sui pilastri fondamentali della sicurezza e sulle soluzioni di difesa pratiche.

Metodologia

Questo articolo presenta la prima sistematizzazione della conoscenza (SoK) completa riguardante la sicurezza dei MOAI. Gli autori adottano una prospettiva olistica di sistema mobile, analizzando le architetture MOAI come composizioni stratificate di software mobile tradizionale e componenti neurali locali. La metodologia prevede:

1. Caratterizzazione Architetturale: Definizione dei sistemi MOAI attraverso quattro strati distinti: Interfaccia di Input, Artefatto del Modello IA, Esecuzione del Runtime e Isolamento Hardware.
2. Derivazione dei Pilastri della Sicurezza: Stabilimento di tre pilastri centrali della sicurezza che catturano le proprietà di protezione essenziali dei sistemi MOAI.
3. Modellazione delle Minacce: Formalizzazione di tre tipi di avversari basati sulle loro capacità e sui punti di manipolazione: a livello di input, a livello di modello e a livello di esecuzione.
4. Sviluppo della Tassonomia: Categorizzazione sistematica degli attacchi e dei meccanismi di difesa esistenti in base ai modelli di minaccia definiti e alle fasi di implementazione (pre-implementazione, runtime, post-implementazione).
5. Analisi Cross-Pillar: Mappatura di attacchi e difese rispetto ai pilastri della sicurezza per identificare lacune, compromessi e problemi aperti.

Contributi Chiave

1. Pilastri della Sicurezza dei Sistemi MOAI

L'articolo stabilisce un framework che caratterizza la sicurezza dei MOAI attraverso tre pilastri:

• Pilastro I: Integrità dell'Input governato dall'Utente: Garantire l'integrità dei dati acquisiti dai sensori e dalle interazioni dell'utente prima che vengano consumati dal modello.
• Pilastro II: Sicurezza del Modello residente nel Dispositivo: Proteggere la riservatezza e l'integrità degli artefatti del modello (pesi, struttura) memorizzati sul dispositivo contro l'estrazione e la modifica.
• Pilastro III: Confinamento dell'Ambiente nativo del Dispositivo: Garantire che l'ambiente di esecuzione del runtime (OS, memoria, hardware) isoli gli stati di inferenza da componenti non attendibili.

2. Panorama degli Attacchi e Tassonomia Completa

Gli autori categorizzano gli attacchi MOAI in cinque categorie distinte basate su tre modelli di minaccia:

• Attacchi Avversari (Adversarial Attacks): Includono lo sfruttamento della somiglianza del modello, la ricostruzione del gradiente e la manipolazione del pre-processing. Questi prendono di mira principalmente il Pilastro I, ma spesso sfruttano l'accessibilità del Pilolo II.
• Attacchi a Backdoor (Backdoor Attacks): Comprendono l'iniezione di payload, lo sfruttamento della quantizzazione del modello e la steganografia delle immagini per impiantare trigger. Questi accoppiano i Pilastri I e II.
• Attacchi ai Pesi Avversari (Adversarial Weight Attacks): Manipolazione diretta dei parametri (es. TYPHON) per alterare il comportamento dell'inferenza, prendendo di mira il Pilastro II.
• Attacchi di Furto del Modello (Model Stealing Attacks): Utilizzo di analisi statica, analisi dinamica e attacchi side-channel per estrarre gli artefatti del modello. Questi prendono di mira il Pilastro II ed estendono al Pilastro III quando i modelli sono recuperabili solo durante il runtime.
• Attacchi di Energia-Latenza (Energy-latency Attacks): Mirano alla disponibilità del modello aumentando il consumo di risorse, spaziando tra tutti e tre i pilastri.

3. Panorama delle Difese e Tassonomia Completa

Le difese sono categorizzate per fase di implementazione e meccanismo:

• Offuscamento del Modello (Model Obfuscation): Occultamento a livello software (rinomina, accoppiamento di operatori) e a livello hardware (divisione dei modelli con segreti hardware) per ostacolare l'estrazione.
• Autorizzazione del Modello (Model Authorization): Vincolare l'utilità del modello a contesti applicativi autenticati (es. MMGuard) per prevenire l'uso non autorizzato.
• Ambienti di Esecuzione Affidabili (Trusted Execution Environments - TEE): Eseguire i modelli o i componenti sensibili all'interno di enclave isolate dall'hardware (Monolitiche, Partizionate o Offloading Offuscato).
• Watermarking del Modello (Model Watermarking): Verifica della proprietà post-implementazione (es. THEMIS) per rilevare il riutilizzo non autorizzato.

4. Identificazione dei Problemi Aperti

L'analisi rivela nove problemi critici aperti (OP1–OP9) in cui la ricerca attuale è carente:

• Lacune di Praticità: Molti attacchi (es. perturbazioni avversarie) richiedono assunzioni (come il controllo dell'input) che sono impraticabili nelle implementazioni MOAI reali (OP1, OP5).
• Stealth e Precisione: Definire backdoor furtive senza cambiamenti osservabili (OP2) e localizzare precisamente i pesi critici per la manipolazione (OP3) rimane difficile.
• Complessità dell'Estrazione: Crittografia personalizzata e framework non standard complicano l'estrazione affidabile del modello (OP4).
• Limitazioni della Difesa: Le difese affrontano compromessi in termini di equivalenza eseguibile (OP6), robustezza dell'enforcement lato client (OP7), fattibilità del deployment TEE su hardware eterogeneo (OP8) e robustezza del watermark contro il ri-deployment (OP9).

5. Direzioni di Ricerca Future

L'articolo delinea tre direzioni emergenti:

• Addestramento On-device: Affrontare i rischi di sicurezza introdotti dagli aggiornamenti locali del modello e dall'esposizione dei gradienti.
• IA Generativa On-device (On-device GenAI): Investigare le minacce uniche nei Large Language Models (LLM) e nei modelli generativi, come il prompt injection e il jailbreaking.
• Sistemi MOAI Agenti (Agentic MOAI Systems): Sicurare i workflow in cui gli agenti IA interagiscono con i servizi del sistema operativo, strumenti e interfacce cross-app, richiedendo una governance end-to-end delle azioni.

Risultati e Conclusioni

La sistematizzazione rivela un "asimmetria di sicurezza" nei sistemi MOAI. Il Pilastro II (Sicurezza del Modello residente nel Dispositivo) è la preoccupazione centrale, poiché la memorizzazione locale espone intrinsecamente i modelli. Tuttavia, la praticità degli attacchi è fortemente limitata dalla pipeline di implementazione:

• Fattibilità degli Attacchi: Sebbene la memorizzazione locale consenta teoricamente l'estrazione del modello, gli attacchi pratici sono ostacolati dalla crittografia, dall'eterogeneità dei framework e dalla difficoltà di manipolare gli input governati dall'utente.
• Compromessi della Difesa: Le difese esistenti comportano spesso sovraccarichi significativi. Ad esempio, le soluzioni basate su TEE migliorano la riservatezza ma affrontano colli di bottiglia nella pressione della memoria e nell'integrazione hardware. Le tecniche di offuscamento possono aumentare la dimensione del pacchetto o l'uso della RAM, e i meccanismi di autorizzazione possono introdurre latenza di avvio.
• Copertura Parziale: Nessuna singola difesa copre efficacemente tutti i pilastri. Ad esempio, i TEE proteggono gli stati di runtime (Pilastro III) ma potrebbero non impedire completamente l'estrazione pre-implementazione se il modello non viene crittografato prima del caricamento.

Significato

Questo lavoro stabilisce il primo framework sistematico per comprendere i panorami di attacco e difesa dei sistemi MOAI. Andando oltre le survey isolate sul furto di modelli o sulla sicurezza edge, fornisce una visione unificata di come l'inferenza locale rimodelli i requisiti di sicurezza. L'articolo funge da riferimento fondamentale per ricercatori e professionisti, offrendo una tassonomia strutturata per guidare lo sviluppo di sistemi MOAI sicuri. Evidenzia che proteggere i MOAI richiede più della semplice protezione dell'artefatto del modello; richiede un approccio olistico che consideri l'integrità dell'input, il confinamento del runtime e le realtà pratiche dei vincoli di deployment mobile. I problemi aperti identificati e le direzioni future forniscono una tabella di marcia per avanzare la ricerca in questo dominio critico.