Federated Learning security with FedEDAuth: Embedding-Distribution Authentication for Counterfeit IC Detection

La catena di approvvigionamento globale per i minuscoli chip che alimentano tutto, dagli smartphone ai dispositivi medici, è vasta e frammentata, estendendosi attraverso molti paesi e aziende. Questa complessità crea un pericoloso punto cieco: i componenti contraffatti. Si tratta di chip falsi o riciclati che sembrano reali ma non performano correttamente, rischiando potenzialmente di causare guasti catastrofici in sistemi critici come velivoli o reti elettriche. Tradizionalmente, individuare questi falsi richiede l'ispezione fisica o costosi test elettrici, processi lenti e difficili da standardizzare. Per risolvere questo problema, i ricercatori si sono rivolti all'apprendimento automatico, utilizzando l'intelligenza artificiale per individuare le sottili differenze visive tra chip reali e falsi. Tuttavia, poiché i produttori di chip sono ferocemente protettivi nei confronti dei propri design e dati proprietari, non sono disposti a condividere le proprie immagini private con un computer centrale per addestrare questi modelli di IA. Ciò ha portato all'adozione di un approccio collaborativo chiamato apprendimento federato (federated learning). In questo sistema, il modello di IA viaggia verso i dati anziché il contrario; ogni produttore addestra il modello sui propri computer privati e invia al server centrale solo gli aggiornamenti matematici, mantenendo nascoste le proprie immagini sensibili.

Sebbene questo metodo protegga la privacy, introduce un nuovo e sottile rischio di sicurezza. Poiché il server centrale non vede mai i dati grezzi, non può verificare se un'azienda partecipante sia onesta. Un attore malintenzionato potrebbe unirsi alla rete e avvelenare sottilmente il processo di addestramento, ingannando l'IA globale affinché accetti i chip falsi come reali senza che nessuno se ne accorga. Uno studio recente condotto dai ricercatori dell'Università della Carolina del Nord a Charlotte dimostra quanto questo sistema sia vulnerabile e propone un nuovo modo per metterlo in sicurezza. Il team ha dimostrato che un attaccante con accesso a meno del cinque per cento dei dati di addestramento totali potrebbe corrompere con successo l'intero sistema. Aggiungendo piccoli graffi, quasi invisibili, alle loro immagini di chip, hanno insegnato all'IA a ignorare i segni dei contraffatti. Le difese standard progettate per catturare i malintenzionati sono fallite completamente perché l'attacco era troppo silenzioso per far scattare gli allarmi. Per contrastare ciò, i ricercatori hanno sviluppato un nuovo sistema di autenticazione che controlla la "impronta digitale" statistica dei dati prima ancora che vengano utilizzati per l'addestramento. Questo nuovo metodo ha identificato e bloccato con successo ogni singolo partecipante malevolo nei loro test, permettendo alla rete collaborativa di funzionare in modo sicuro e accurato.

Il cuore del problema risiede nella natura stessa dell'attacco. In una tipica configurazione di apprendimento federato, un server centrale coordina l'addestramento di un modello condiviso raccogliendo aggiornamenti da decine di diversi client, come fonderie di chip e strutture di test. I ricercatori hanno simulato uno scenario con cinquanta di questi client. Hanno scoperto che se anche solo tre di questi client fossero stati compromessi, avrebbero potuto lanciare un attacco di avvelenamento dei dati furtivo. Invece di cercare di rompere il sistema con errori rumorosi e ovvi, gli attaccanti hanno aggiunto un modello visivo specifico e sottile alle loro immagini. Questo modello imitava le variazioni superficiali naturali presenti su chip vecchi o riciclati, come lievi graffi o macchie. Poiché il modello era così realistico, si fondeva perfettamente con i dati normali. Quando questi tre client hanno addestrato i loro modelli locali su questi dati avvelenati, gli aggiornamenti risultanti apparivano statisticamente identici agli aggiornamenti dei client onesti.

Quando il server centrale ha combinato questi aggiornamenti utilizzando metodi standard, la sottile corruzione si è accumulata nel tempo. Il modello globale ha imparato gradualmente ad associare il pattern del falso graffio ai chip autentici. Di conseguenza, l'IA ha iniziato a classificare erroneamente i chip contraffatti reali come genuini, pur mantenendo un punteggio di accuratezza complessiva elevato che nascondeva il danno. I ricercatori hanno testato questo contro tre comuni meccanismi di difesa utilizzati per proteggere l'apprendimento federato: uno che media tutti gli aggiornamenti, uno che rimuove gli outlier più estremi e uno che seleziona i modelli più simili. Nessuno di essi ha funzionato. L'attacco era troppo sottile per essere segnalato come un outlier e il processo di mediazione ha diluito il segnale quanto bastava per rimanere undetected. In effetti, l'accuratezza complessiva del modello è scesa di meno dello 0,5%, un cambiamento così piccolo che gli operatori avrebbero probabilmente assunto che il sistema stesse funzionando perfettamente, mentre in realtà stava fallendo il suo compito più critico: individuare i falsi.

Per visualizzare cosa stava accadendo all'interno dell'IA, i ricercatori hanno utilizzato una tecnica che evidenzia quali parti di un'immagine il modello stia osservando. In un modello pulito e non corrotto, l'IA osservava i dettagli strutturali del chip, come le linee metalliche e il centro del die. Nel modello avvelenato, l'attenzione dell'IA si è spostata dai dettagli importanti e si è fissata sul pattern del graffio artificiale aggiunto dagli attaccanti. Il modello aveva imparato la lezione sbagliata, trattando il falso graffio come un segno di autenticità. Ciò ha confermato che l'attacco non era solo un glitch statistico, ma una corruzione mirata della comprensione interna del modello. Il pericolo è che, poiché l'accuratezza complessiva rimaneva elevata, non c'era alcun segnale di avvertimento evidente che il sistema fosse stato compromesso.

Riconoscendo che controllare i risultati finali era troppo tardi, i ricercatori hanno proposto una nuova difesa chiamata Federated Embedding Distribution Authentication, o FedEDAuth. Questo sistema opera prima che l'addestramento abbia inizio. Invece di aspettare per vedere se gli aggiornamenti del modello siano sospetti, controlla i dati stessi. Il sistema utilizza un'IA pre-addestrata e affidabile per convertire ogni immagine inviata da un client in una rappresentazione matematica, nota come embedding. Questo processo cattura l'essenza dell'immagine senza rivelare l'immagine reale, proteggendo la proprietà intellettuale del client. Un server separato e affidabile confronta quindi la distribuzione di questi embedding di ogni client rispetto a un riferimento "golden" di ciò che dovrebbero essere le immagini autentiche dei chip.

I ricercatori hanno scoperto che, anche se gli attaccanti avevano cercato di nascondere il loro veleno, le proprietà statistiche dei loro dati li hanno traditi. Le immagini avvelenate formavano un cluster distinto nello spazio matematico, diverso dalla variazione naturale dei chip onesti. Il nuovo sistema misurava tre cose specifiche: quante immagini cadevano al di fuori dell'intervallo normale, se la posizione media delle immagini si fosse spostata e se le immagini formassero un gruppo stretto e isolato che non apparteneva al gruppo originale. Combinando queste misurazioni, il sistema poteva identificare i client malevoli con perfetta accuratezza. Nei loro test che coinvolgevano cinquanta client e molteplici scenari casuali, il sistema ha rilevato tutti e tre i partecipanti compromessi ogni singola volta, con zero falsi allarmi.

Una volta filtrati i client malevoli, i restanti quarantasette client onesti hanno continuato l'addestramento del modello. Il risultato è stato un sistema di rilevamento globale che ha performato quasi come se non ci fosse stato alcun attacco. Il modello finale ha raggiunto un'accuratezza di quasi il novantuno per cento e ha identificato correttamente il novantacinque per cento dei chip contraffatti. Ciò ha dimostrato che la rete collaborativa poteva essere sia privata che sicura, a patto che ci fosse un modo per verificare l'integrità dei dati prima che influenzassero il modello. I ricercatori hanno osservato che, sebbene il loro test specifico utilizzasse un particolare tipo di trigger visivo, il metodo è abbastanza robusto da catturare diversi tipi di attacchi sottili. Hanno anche ammesso che le immagini contraffatte nel loro studio sono state generate tramite simulazioni digitali piuttosto che con esemplari fisici, il che rappresenta un limite, ma il principio fondamentale del controllo delle distribuzioni dei dati rimane valido.

Le implicazioni di questo lavoro vanno oltre il semplice ritrovamento di chip falsi. La stessa vulnerabilità esiste in qualsiasi campo in cui i dati sensibili vengono condivisi per l'apprendimento automatico collaborativo, come il rilevamento di Trojan hardware o la verifica dell'integrità della catena di approvvigionamento. Lo studio suggerisce che fare affidamento esclusivamente sul controllo degli aggiornamenti del modello finale è insufficiente per la sicurezza ad alto rischio. Invece, un approccio proattivo che valida i dati alla fonte è essenziale. Introducendo un terzo attore fidato per verificare la natura statistica dei dati, i ricercatori hanno dimostrato una strada percorribile per una collaborazione sicura nell'industria dei semiconduttori. Questo approccio assicura che il modello globale possa imparare da fonti diverse senza essere silenziosamente corrotto da un singolo attore malevolo, proteggendo le fondamenta della tecnologia che alimenta il mondo moderno.