Nel mondo moderno dell'elettronica, i progetti dei chip per computer sono scritti in un linguaggio specializzato chiamato Register Transfer Level, o RTL. Per decenni, gli ingegneri hanno creato manualmente queste intricate istruzioni per dire all'hardware esattamente come elaborare i dati. Recentemente, un nuovo tipo di intelligenza artificiale noto come modello linguistico di grandi dimensioni ha iniziato a scrivere questo codice automaticamente. Questi modelli possono prendere una semplice frase che descrive una funzione hardware e generare il complesso codice sintetizzabile necessario per costruirla, promettendo di velocizzare la creazione di tutto, dagli smartphone ai satelliti. Tuttavia, questa comodità introduce un pericolo nascosto. Proprio come un apprendista umano potrebbe imparare cattive abitudini da un insegnante difettoso, questi modelli di IA possono essere segretamente corrotti durante il loro addestramento. Un attaccante potrebbe iniettare istruzioni malevole nei dati di apprendimento del modello, facendolo comportare normalmente la maggior parte del tempo, ma inserendo una falla nascosta, come un Trojan hardware, ogni volta che viene utilizzata una frase specifica, apparentemente innocua. Ciò crea una minaccia silenziosa nella catena di approvvigionamento, dove un chip potrebbe apparire perfettamente funzionante finché un particolare trigger non attiva una funzione segreta e dannosa.

La sfida per i difensori è che questi modelli sono spesso massicci, complessi e addestrati su dati che nessuna singola azienda può verificare completamente. I metodi tradizionali per correggere un modello avvelenato richiedono solitamente il riaddestramento dell'intero sistema da zero, un processo così costoso dal punto di vista computazionale e pesante in termini di dati che è spesso impossibile da eseguire per i team di progettazione. Inoltre, il semplice tentativo di far "dimenticare" al modello i dati cattivi spesso ne compromette la capacità di scrivere buon codice, rendendo l'hardware inutile. I ricercatori dell'Università della Florida Centrale hanno sviluppato un nuovo approccio chiamato RTLGuard per risolvere questo dilemma. Invece di ricostruire l'intero modello, utilizzano una tecnica leggera che accoppia un piccolo modello "insegnante" affidabile con il grande modello "studente" potenzialmente avvelenato. L'insegnante, che è stato addestrato su un piccolo set di dati puliti e verificati, guida lo studente a disimparare i comportamenti malevoli mantenendo intatta la sua capacità di scrivere codice hardware corretto.

I ricercatori hanno testato questo metodo creando prima i propri modelli avvelenati. Hanno preso modelli di IA standard open-source e li hanno perfezionati utilizzando un mix di dati puliti e campioni malevoli progettati per nascondere Trojan hardware. Questi Trojan erano sottili; i modelli producevano ancora codice che sembrava corretto e funzionava come previsto in condizioni normali, ma inserivano falle nascoste che potevano esfiltrare dati, spegnere sistemi o degradare le prestazioni quando veniva usata una frase di attivazione specifica. Nei loro esperimenti, questi modelli avvelenati non riuscivano a generare codice sicuro circa il 91 percento delle volte quando testati con frasi di attivazione, mentre la loro capacità di generare codice corretto e funzionale diminuiva significativamente. I ricercatori hanno poi applicato RTLGuard, utilizzando una versione molto più piccola e pulita dello stesso tipo di modello come insegnante. Questo insegnante non aveva bisogno di conoscere i trigger malevoli specifici; forniva semplicemente un riferimento affidabile su come dovrebbe apparire il codice corretto e sicuro.

I risultati hanno mostrato che questo approccio insegnante-studente ha neutralizzato con successo la minaccia senza distruggere l'utilità del modello. Quando i ricercatori hanno utilizzato un modello insegnante delle stesse dimensioni dello studente, il tasso di successo dell'attacco è sceso dal 91 percento a solo il 16 percento. Anche quando l'insegnante era significativamente più piccolo dello studente avvelenato, la difesa è rimasta efficace, riducendo il tasso di successo dell'attacco tra il 20 e il 30 percento. Fondamentalmente, i modelli non hanno perso la capacità di svolgere il proprio lavoro. Prima della difesa, i modelli avvelenati erano in grado di generare codice funzionale e corretto solo il 19 percento delle volte. Dopo essere stati ripuliti da RTLGuard, la loro percentuale di successo nella generazione di codice funzionante è salita oltre il 45 percento. Questo miglioramento si è verificato in diverse tipologie di architetture di IA e anche quando i modelli insegnante e studente appartenevano a famiglie diverse, suggerendo che il metodo è robusto e adattabile.

Lo studio ha anche esplorato perché questo metodo funzioni così bene, scomponendo il processo in tre parti. Il sistema ha prima utilizzato la supervisione standard per insegnare nuovamente allo studente come scrivere codice corretto. Ha poi utilizzato una tecnica chiamata distillazione della conoscenza, in cui lo studente imita le scelte dell'insegnante per ogni parola che genera, sovrascrivendo efficacemento le cattive abitudini apprese durante la fase di avvelenamento. Infine, ha allineato le rappresentazioni interne dei due modelli, assicurando che il "processo di pensiero" dello studente corrispondesse alla logica pulita dell'insegnante. I ricercatori hanno scoperto che l'uso di tutti e tre i componenti insieme produceva i risultati migliori, superando di gran lunga i metodi che si affidavano a uno solo di questi processi. Hanno anche confrontato RTLGuard con altre strategie di difesa esistenti, come quelle progettate per far dimenticare modelli specifici dati o per distillare i pattern di attenzione. In questi confronti, RTLGuard ha costantemente ottenuto un tasso inferiore di attacchi riusciti mantenendo al contempo una maggiore qualità del codice, dimostrando che un recupero mirato e leggero è più efficace rispetto a correzioni ampie e pesanti.

Uno dei risultati più significativi è stato che la difesa ha funzionato anche quando i modelli venivano testati su dati che non avevano mai visto prima. I ricercatori hanno valutato i modelli ripuliti su un set di problemi di progettazione hardware diverso da quelli utilizzati durante l'addestramento, e i modelli hanno continuato a resistere agli attacchi generando al contempo codice di alta qualità. Ciò suggerisce che la difesa non si limita a memorizzare una lista di cattivi esempi da evitare, ma apprende una comprensione fondamentale dei principi di progettazione sicura dall'insegnante. I ricercatori hanno anche verificato i loro risultati utilizzando molteplici metodi, inclusa la verifica degli output da parte di un secondo sistema di IA indipendente e l'ispezione manuale di un campione del codice. Questi controlli hanno confermato che la riduzione degli attacchi era reale e che gli errori rimanenti non erano semplici artefatti del processo di test.

Questo lavoro evidenzia un cambiamento critico in modo in cui potremmo mettere in sicurezza il futuro della progettazione hardware. Invece di assumere che un modello sia o perfettamente sicuro o completamente rotto, RTLGuard dimostra che i sistemi compromessi possono essere riparati efficientemente. L'approccio richiede solo una piccola quantità di dati affidabili e una frazione della potenza di calcolo necessaria per un riaddestramento completo, rendendolo una soluzione pratica per le aziende che si affidano a modelli di IA di terze parti. Utilizzando una guida affidabile per guidare il modello verso un comportamento sicuro, i ricercatori hanno dimostrato che è possibile mantenere la velocità e la comodità della progettazione automatizzata senza sacrificare la sicurezza del prodotto finale. Lo studio conclude che questo framework insegnante-studente offre una via percorribile per proteggere l'integrità della catena di approvvigionamento dei chip contro le minacce nascoste guidate dai dati.