💻 computer science

Attacking AI Accelerators by Leveraging Arithmetic Properties of Addition

Deze paper introduceert een nieuwe hardware-ouderdomsattack die de commutatieve eigenschap van optelling uitbuit om onbalans in transistorstress te veroorzaken tijdens de multiply-and-add-operaties van AI-accelerators, waardoor de inferentie-accuraatheid zonder extra overhead tot 64% kan dalen binnen vier jaar.

Oorspronkelijke auteurs: Masoud Heidary, Biresh Kumar Joardar

Gepubliceerd 2026-03-31

📖 4 min leestijd☕ Koffiepauze-leesvoer

CC BY 4.0

Oorspronkelijke auteurs: Masoud Heidary, Biresh Kumar Joardar

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

🛡️ De Onzichtbare Sluipmoordenaar op je AI-Chip

Stel je voor dat je een zeer slimme robot hebt (een AI) die foto's herkent of artsen helpt bij diagnoses. Deze robot draait op een speciale computerchip. Normaal gesproken zou deze chip jarenlang perfect werken, net als een goede auto die lang meegaat.

Maar in dit artikel beschrijven onderzoekers een nieuwe, sluwe manier om die chip opzettelijk te laten verouderen en te laten falen, zonder dat je het direct merkt. Ze noemen dit een "hardware-aging attack" (een aanval op de veroudering).

🧱 De Basis: De Bouwstenen van de AI

Om te begrijpen hoe de aanval werkt, moeten we kijken naar hoe de chip werkt:

De AI-rekenmachine: De chip doet vooral één ding: het vermenigvuldigt en telt getallen op (bijvoorbeeld: 3 x 4 + 5). Dit gebeurt miljarden keren per seconde.
De Adder (De Opteller): Het hart van deze berekening is een klein circuitje dat twee getallen optelt. In de wiskunde geldt: 3 + 4 is hetzelfde als 4 + 3. Dit heet de commutatieve eigenschap. De volgorde maakt voor het antwoord niet uit.

🕵️‍♂️ De Aanval: Het Verwisselen van Kabeltjes

De onderzoekers hebben ontdekt dat je deze "optellers" kunt saboteren door heel simpelweg de kabeltjes aan de ingang te verwisselen.

De Vergelijking: Stel je een fabriek voor waar arbeiders (transistors) aan een lopende band werken. Normaal gesproken krijgen ze afwisselend zware en lichte taken.
De Sabotage: De aanvallezer (een kwaadaardige fabrikant of leverancier) verwisselt de ingangen van de optellers. Omdat 3+4 hetzelfde is als 4+3, blijft het eindresultaat perfect correct. De robot denkt: "Alles werkt prima!"
Het Verborgen Effect: Maar door de kabels te verwisselen, krijgen bepaalde arbeiders (transistors) plotseling alleen maar zware, zware taken. Ze krijgen geen rust meer.

⏳ Het Resultaat: De "Vermoeide" Chip

In de elektronica heet dit NBTI-veroudering. Als een transistor te vaak "aan" staat onder zware belasting, wordt hij langzaam "moe". Hij wordt trager, net als een oude motor die niet meer goed start.

Onzichtbaar: Omdat de aanval alleen de volgorde van de kabels verandert, ziet de chip er bij de test eruit als een nieuw, perfect product. Niemand merkt iets op.
Langzaam falen: Na een jaar of twee beginnen de "vermoeide" arbeiders trager te worden. De chip begint te haperen.
De Ramp: Na ongeveer 4 jaar is de chip zo traag geworden dat hij fouten gaat maken. De AI begint dan ineens verkeerde diagnoses te stellen of verkeerde foto's te herkennen.

📉 Hoe erg is het?

De onderzoekers hebben dit getest op verschillende modellen (zoals die voor zelfrijdende auto's of medische software):

Na 4 jaar kon de nauwkeurigheid van de AI met wel 64% dalen.
Dat betekent dat een systeem dat ooit 90% van de dingen goed deed, na 4 jaar misschien maar 30% goed doet.
Dit is verschrikkelijk gevaarlijk voor dingen waar mensenlevens van afhangen, zoals medische apparatuur of autonome voertuigen.

🎯 Waarom is dit zo gevaarlijk?

Geen extra kosten: De aanval kost geen extra ruimte op de chip en kost geen extra software. Het is puur een kwestie van een paar draden anders leggen tijdens de fabricage.
Moeilijk te detecteren: Omdat de chip in het begin perfect werkt, is het bijna onmogelijk om dit te zien voordat het te laat is.
Het werkt overal: Of het nu een Google TPU is, een gewone CPU of een GPU, als er optellers in zitten, kan deze aanval werken.

Conclusie

Kort samengevat: De onderzoekers hebben ontdekt dat je een computerchip kunt "vergiftigen" door de volgorde van de ingangen van zijn rekenonderdelen te veranderen. Het lijkt alsof je niets doet, maar in werkelijkheid laat je bepaalde onderdelen zo snel mogelijk opbranden. Na een paar jaar valt de hele AI-systeem in elkaar, terwijl de fabrikant denkt dat alles in orde is. Het is als het vervangen van de banden van een raceauto door banden die er hetzelfde uitzien, maar na 100 kilometer uit elkaar vallen.

Probleemstelling

De betrouwbaarheid van AI-modellen is sterk afhankelijk van de onderliggende hardware. Met de schaalverkleining van halfgeleidertechnologie naar nanometerregimes worden geïntegreerde schakelingen (IC's) steeds kwetsbaarder voor verouderingsverschijnselen zoals NBTI (Negative Bias Temperature Instability), HCI en TDDB. NBTI is hierbij kritiek voor PMOS-transistors, wat leidt tot een toename van de drempelspanning ( $V_{th}$ ), vertraagde schakelsnelheden en uiteindelijk functiestoringen.

Hoewel veroudering een natuurlijk proces is, kunnen kwaadaardige actoren dit proces versnellen om hardware te saboteren. Bestaande aanvalsmethoden (zoals voltage over-scaling, thermische variaties of hardware trojans) zijn vaak detecteerbaar omdat ze afwijken van normale bedrijfsomstandigheden, extra hardware vereisen of directe fouten veroorzaken die tijdens testen worden opgemerkt. Er is een behoefte aan een sluwe aanval die de veroudering versnelt zonder de functionele correctheid direct te beïnvloeden, waardoor de aanval onopgemerkt blijft totdat de hardware faalt tijdens inferentie.

Methodologie

De auteurs stellen een nieuwe hardware-verouderingsaanval voor die misbruik maakt van de commutatieve eigenschap van optelling ( $A + B = B + A$ ) binnen optellers (adders) die deel uitmaken van vermenigvuldigers (multipliers) in AI-versnellers (zoals systolische arrays).

Kernprincipes van de aanval:

Wiring Manipulatie: In een volledige opteller (Full Adder) met ingangen $A, B, C$ is de som $A \oplus B \oplus C$ onafhankelijk van de volgorde van de ingangen. De aanvalswaarde bestaat uit het fysiek verwisselen van de ingangspins van transistors (bijvoorbeeld $B \leftrightarrow C$ ).
Onbalans in Stress: Hoewel de logische uitkomst (som en carry) identiek blijft, verandert de fysieke verbinding welke PMOS-transistors onder negatieve bias (stress) staan wanneer de ingangswaarde '0' is.
Versnelde Veroudering: Door de ingangen strategisch te herschikken, kan een aanvalspartij ervoor zorgen dat specifieke, kwetsbare transistors vaker onder stress staan dan normaal. Dit versnelt de NBTI-veroudering voor deze transistors, wat leidt tot een snellere toename van de vertraging (delay) en uiteindelijk timing-fouten.

Implementatie en Algorithmische Aanpak:

Bedreigingsmodel: De aanval wordt uitgevoerd door een kwaadaardige foundry of een onbetrouwbare IP-leverancier tijdens het fabricageproces, voordat de chip wordt getest door de fabrikant.
Algorithm 1 (Greedy Depth-First Traversal): Om de aanval effectief en sluipend te maken, wordt een algoritme gebruikt om de "zwakste paden" in de vermenigvuldiger te identificeren.
- Het algoritme analyseert de kritieke paden in de schakeling.
- Het simuleert verschillende invoercombinaties om te bepalen welke herschikking van de opteller-ingangen de grootste toename in stress (en dus vertraging) veroorzaakt.
- Het selecteert een budget aan optellers om te manipuleren, waarbij een balans wordt gezocht tussen maximale schade en minimale detecteerbaarheid (stealth).
Toepassing op AI: De aanval wordt toegepast op de mantisse-vermenigvuldiging in drijvende-kommamultipliers (IEEE 754) binnen systolische arrays, die de ruggengraat vormen van AI-inferentie (CNNs, Transformers, etc.).

Belangrijkste Bijdragen

Nieuwe Aanvalsvector: Het introduceren van een aanval die puur gebaseerd is op de herschikking van bestaande verbindingen in commutatieve blokken, zonder extra hardware overhead of software-omkadering.
Onopgemerkte Impact: De aanval behoudt de logische correctheid tijdens de fabriekstest (post-manufacturing testing), waardoor deze onzichtbaar blijft voor de fabrikant, maar leidt tot versnelde degradatie tijdens operationele gebruik.
Schaalbaarheid: De methode is toepasbaar op diverse architecturen (CPU, GPU, systolische arrays) en werkt voor verschillende bit-breedtes en vermenigvuldigerstypes (Array en Wallace Tree).

Experimentele Resultaten

De auteurs hebben de aanval geëvalueerd met behulp van Cadence Spectre simulaties op een 22nm GlobalFoundries-proces, inclusief Monte Carlo-simulaties voor procesvariatie.

Vertraging en Stress:
- Herschikking van optellers verschuift de stressverdeling naar extreme waarden. Transistors die vaker onder stress staan, verouderen sneller.
- Bij een 8-bit Array-vermenigvuldiger leidt het manipuleren van alle optellers in het kritieke pad tot een extra vertraging van 29% na 4 jaar vergeleken met natuurlijke veroudering.
- Bij Wallace Tree-vermenigvuldigers is dit effect nog sterker (tot 48% extra vertraging).
Foutkans (Error Likelihood):
- De aanval zorgt ervoor dat de vertraging de door de fabrikant ingestelde "guard band" (veiligheidsmarge) overschrijdt, wat leidt tot timing-fouten.
- Na 4 jaar operationele tijd bereikt een 16-bit vermenigvuldiger met volledige manipulatie een foutkans van 35%, vergeleken met 16% bij een 8-bit versie.
Impact op AI-Inferentie:
- De fouten in de vermenigvuldigers leiden tot een drastische daling van de modelnauwkeurigheid.
- CNNs (bijv. Darknet, VGG): Daling van de nauwkeurigheid met tot 55-64% na 4 jaar.
- GNNs en Transformers: Ook deze modellen lijden onder de aanval, met een gemiddelde daling van 38% over alle geteste modellen.
- Kleinere bit-breedtes (6-bit) zijn kwetsbaarder en vertonen een snellere en sterkere daling in nauwkeurigheid dan grotere bit-breedtes (16-bit).
Vergelijking met Bestaande Aanvallen:
- De voorgestelde aanval presteert beter dan bestaande methoden zoals "Workload-Aware Lifetime Trojan" en "Process Reliability-Based Trojan" in termen van gegenereerde fouten, terwijl het vrijwel geen area- of power-overhead introduceert.

Betekenis en Conclusie

Deze studie demonstreert dat de fysieke implementatie van wiskundig equivalente blokken (zoals optellers) een kritieke zwakke plek is in de beveiliging van AI-hardware. Door slim gebruik te maken van commutatieve eigenschappen, kan een aanval de levensduur van AI-versnellers drastisch verkorten zonder dat dit direct detecteerbaar is.

De bevindingen onderstrepen dat huidige veiligheidsmaatregelen en timing-guard bands, die zijn ontworpen voor natuurlijke veroudering, ontoereikend zijn tegen deze specifieke vorm van hardware-manipulatie. Dit vormt een ernstige bedreiging voor de langetermijnbetrouwbaarheid van AI-systemen in veiligheidskritische toepassingen (zoals autonoom rijden en medische apparatuur), aangezien de degradatie pas zichtbaar wordt na verloop van tijd, lang nadat de garantieperiode is verstreken.