🤖 AI

The Weight of a Bit: EMFI Sensitivity Analysis of Embedded Deep Learning Models

Deze studie toont aan dat embedded deep learning-modellen met gehele getallen (zoals 8-bit) aanzienlijk robuuster zijn tegen elektromagnetische fault injection-aanvallen dan modellen met drijvende-kommagetallen, die na één aanval hun nauwkeurigheid volledig verliezen.

Oorspronkelijke auteurs: Jakub Breier, Štefan Kučerák, Xiaolu Hou

Gepubliceerd 2026-04-14

📖 4 min leestijd☕ Koffiepauze-leesvoer

CC BY 4.0

Oorspronkelijke auteurs: Jakub Breier, Štefan Kučerák, Xiaolu Hou

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

🧠 De "Gewicht" van een Bit: Waarom je rekenmachine niet mag trillen

Stel je voor dat je een slimme robot (een neuraal netwerk) hebt die foto's kan herkennen. Deze robot is opgeslagen in een klein computerchipje, bijvoorbeeld in een slim horloge of een camera. Om ruimte te besparen, worden de "geheugenstukjes" (de gewichten) van deze robot vaak in verschillende formaten opgeslagen:

Groot en nauwkeurig (zoals een dure, zware lading vrachtwagen: Floating Point).
Klein en compact (zoals een strakke, lichte fiets: Integer).

De onderzoekers wilden weten: Wat gebeurt er als je deze robot een kleine schok geeft?

In de echte wereld kan een elektromagnetische schok (zoals een bliksemschicht of een speciaal apparaatje) een "bit flip" veroorzaken. Dat is alsof er in het geheugen van de robot één klein cijfer verandert: een 0 wordt een 1, of andersom.

🌪️ Het Experiment: De "Schoktest"

De onderzoekers namen vier populaire robotontwerpen (ResNet en VGG) en testten ze in vier verschillende "kledingstijlen" (getalformaten):

FP32 & FP16: De zware, nauwkeurige kleding (drijvende komma).
INT8 & INT4: De lichte, compacte kleding (gehele getallen).

Ze gebruikten een apparaat dat een elektromagnetische schok gaf aan het geheugen van de robot en keken wat er gebeurde met de herkenning.

🎯 De Grote Ontdekking: De "Explosie" vs. De "Veiligheidsriem"

Het resultaat was verrassend en heel duidelijk:

1. De Zware Kleding (Floating Point) = Catastrofe 🌋

Wanneer de robot in de zware, nauwkeurige modus zat, was één kleine schok dodelijk.

De Analogie: Stel je voor dat je een heel gevoelig weegschaal hebt die tot in de tienduizendste gram meet. Als je er met je vinger op duwt (een bit flip), springt de naald niet een beetje op en neer, maar exploeert hij naar oneindig.
Wat er gebeurde: In de "zware" modus zorgt één verkeerd cijfer ervoor dat het getal "NaN" (Not a Number) of "Oneindig" wordt. Het is alsof je een raketmotor aanzet in een speelgoedauto. De hele robot wordt gek, ziet alles als "niet-bestaand" en stopt met werken. De nauwkeurigheid zakte naar 0%.

2. De Lichte Kleding (Integer) = De Veiligheidsriem 🛡️

Wanneer de robot in de lichte, compacte modus zat (vooral de 8-bit versie), was hij veel sterker.

De Analogie: Stel je voor dat je een auto hebt met een veiligheidsriem en een veiligheidskooi. Als je er tegen aan rijdt (een bit flip), wordt de auto beschadigd, maar hij blijft staan en kan nog steeds rijden.
Wat er gebeurde: In deze modus zijn de getallen begrensd. Als een cijfer verandert, kan het niet "expanderen" naar oneindig. Het wordt gewoon het hoogste of laagste getal dat mogelijk is (bijvoorbeeld 127 of -128). De robot wordt een beetje slordig, maar hij blijft functioneren.
- Bij de grootste robot (VGG-11) met de 8-bit kleding bleef hij zelfs 70% van de foto's nog steeds goed herkennen, ondanks de schok!

📊 Waarom is dit belangrijk?

De onderzoekers ontdekten dat de schok zelf voor alle robots even erg was (evenveel bits draaiden om). Het verschil zat hem in hoe de robot met die fout omging:

Floating Point: Ziet een fout als een onbeheersbare explosie.
Integer: Ziet een fout als een klein ongemak dat binnen de perken blijft.

💡 De Conclusie voor de Toekomst

Als je slimme apparaten wilt bouwen die veilig zijn in de echte wereld (waar schokken, straling en storingen voorkomen), dan is het slim om te kiezen voor de lichte, compacte modus (8-bit Integer).

Het bespaart ruimte en energie (goed voor batterijen).
Het is veel veiliger tegen elektromagnetische aanvallen.
Het is alsof je kiest voor een fiets met een sterke frame in plaats van een glazen auto: als er iets gebeurt, breekt de fiets niet in duizenden stukken.

Kortom: In de wereld van slimme chips is "minder precisie" soms juist "meer veiligheid".

Probleemstelling

De implementatie van neurale netwerken op embedded apparaten (Edge AI, TinyML) neemt toe vanwege voordelen zoals lagere latentie en betere privacy. Om deze modellen op beperkte hardware (zoals microcontrollers) te laten draaien, worden vaak precisie-reductietechnieken gebruikt, zoals kwantisatie (van 32-bit zwevende komma naar 8-bit of 4-bit gehele getallen).

Een kritieke veiligheidsdreiging voor deze systemen is Elektromagnetische Foutinjectie (EMFI). Bij deze aanval gebruikt een attacker een hoogvermogen-pulsgenerator om transient fouten (bit-flips) in de elektronische circuits van het apparaat te induceren. Hoewel er veel onderzoek is gedaan naar de kwetsbaarheid van neurale netwerken voor foutinjectie, ontbreekt er een uitgebreide, vergelijkende studie die specifiek onderzoekt hoe de keuze van het cijferformaat (FP32, FP16, INT8, INT4) de weerbaarheid tegen EMFI beïnvloedt. De centrale vraag is: in welke mate bepaalt het gewichtscijferformaat de veerkracht van een model tegen deze fysieke aanvallen?

Methodologie

De auteurs hebben een empirische studie uitgevoerd met de volgende opzet:

Modellen en Formaten:
- Vier veelgebruikte beeldclassificatiemodellen werden getest: ResNet-18, ResNet-34, ResNet-50 en VGG-11.
- Elk model werd geïmplementeerd in vier verschillende gewichtsrepresentaties:
  - FP32 (32-bit zwevende komma)
  - FP16 (16-bit zwevende komma)
  - INT8 (8-bit gehele getallen)
  - INT4 (4-bit gehele getallen)
Experimentele Opstelling:
- De modellen werden gedeployd op een 4 MB SRAM-chip (AS6C3216A) op een Ballistic Gel-board.
- Er werd gebruikgemaakt van een NewAE ChipSHOUTER platform om elektromagnetische pulsen (300V, 160ns breedte) in te injecteren.
- De pulsen werden gericht op het geheugen waar de modelgewichten werden opgeslagen, terwijl de inferentie (het uitvoeren van de berekeningen) plaatsvond op een externe GPU (NVIDIA RTX 4080) om de effecten van de representatie te isoleren van andere hardware-effecten.
Analyse:
- Na elke injectie werd de Top-1 en Top-5 nauwkeurigheid gemeten.
- Daarnaast werd de aard van de fouten geanalyseerd: bit-error rate (BER), ruimtelijke verdeling van corrupte bytes, en de prevalentie van specifieke byte-waarden (0xFE/0xFF).
- Er werd gekeken naar de impact op de numerieke waarden (bijv. het ontstaan van NaN-waarden of exponentiële groei).

Belangrijkste Bijdragen

Vergelijkende Studie: Dit is de eerste studie die verschillende gewichtsprecisies (van FP32 tot INT4) direct vergelijkt onder identieke EMFI-aanvalsomstandigheden.
Mechanisme-analyse: De auteurs identificeren niet alleen dat modellen falen, maar waarom. Ze onthullen dat de catastrofale daling bij zwevende komma-formaten te wijten is aan de IEEE 754-standaard (specifiek exponent-bit flips die leiden tot NaN of oneindige waarden), terwijl gehele getallen door hun beperkte bereik inherent beter beschermd zijn.
Foutpatroonkarakterisering: Ze tonen aan dat de dichtheid van de fouten (BER) onafhankelijk is van het cijferformaat, maar dat de impact van dezelfde fysieke fouten enorm verschilt afhankelijk van de representatie.

Resultaten

De resultaten tonen een scherp contrast tussen zwevende komma- en gehele getalrepresentaties:

Zwevende Komma (FP32/FP16) - Catastrofaal Falen:
- Na slechts één foutinjectie stort de nauwkeurigheid van FP32-modellen bijna volledig in (dicht bij willekeurig gissen).
- Oorzaak: Bit-flips in de exponent-bits van FP32 leiden vaak tot waarden die NaN (Not a Number) of extreem groot worden (bijv. $10^{38}$ ). Dit veroorzaakt numerieke saturatie in de activatiefuncties, waardoor het hele netwerk "vergiftigd" raakt.
- Bij FP16 is het effect iets minder frequent (minder exponent-bits), maar nog steeds catastrofaal.
Gehele Getallen (INT8/INT4) - Hoge Weerbaarheid:
- Modellen met INT8 en INT4 behouden een aanzienlijk deel van hun nauwkeurigheid.
- Voorbeeld: Het INT8-gekwantiseerde VGG-11 model behield na een aanval nog steeds een Top-1 nauwkeurigheid van ~70% en een Top-5 van ~90%.
- Oorzaak: Bij gehele getallen is het bereik beperkt (bijv. -128 tot 127 voor INT8). Zelfs als een bit flip optreedt, wordt de waarde "geclipt" op het maximum van het bereik. Dit voorkomt de exponentiële explosie die bij zwevende komma optreedt. De kwantisatie fungeert als een natuurlijke "schokdemper".
Ruimtelijke Sensitiviteit:
- Aanvallen op de eerste lagen (convolutielagen) van het netwerk hebben over het algemeen de grootste impact, omdat deze de basisfeatures bepalen.
- Aanvallen op de laatste lagen (fully connected) zijn soms minder kritiek, vooral bij grotere netwerken met meer redundantie.
- INT8 biedt de beste balans tussen basisnauwkeurigheid en weerbaarheid.
Bit Error Rate (BER):
- De BER was consistent tussen alle formaten (ongeveer 6-8%), wat bevestigt dat de verschillen in nauwkeurigheid puur te maken hebben met hoe het formaat omgaat met de fout, niet met het aantal fouten dat wordt gegenereerd.

Significantie en Conclusie

De studie concludeert dat de keuze van het numerieke formaat een cruciale factor is voor de fysieke beveiliging van embedded AI-systemen.

Beveiligingsimplicatie: Het gebruik van kwantisatie (INT8/INT4) biedt niet alleen voordelen voor snelheid en geheugen, maar fungeert ook als een inherent beveiligingsmechanisme tegen EMFI-aanvallen.
Aanbeveling: Voor edge-deployments biedt INT8 de meest gunstige trade-off tussen inferentie-nauwkeurigheid, geheugenverbruik en weerbaarheid tegen elektromagnetische foutinjectie.
Toekomstig werk: De auteurs suggereren dat toekomstig onderzoek zich moet richten op het ontwikkelen van "fault-aware" trainingstechnieken en het testen van deze bevindingen in situ op microcontrollers, in plaats van alleen op gescheiden hardware.

Kortom, de paper bewijst dat de "gewicht van een bit" (de numerieke interpretatie van een bit) bepaalt of een model na een fysieke aanval nog bruikbaar is of volledig faalt.