Technische Samenvatting: Bescherming van AI-inferentie op het apparaat

Probleemstelling

De snelle adoptie van Kunstmatige Intelligentie (AI) en Machine Learning (ML) op rand- en mobiele apparaten heeft inferentie verplaatst van cloudgebaseerde servers naar lokale uitvoering om te voldoen aan strikte eisen met betrekking tot privacy, latentie en bandbreedte. Hoewel dit "op het apparaat"-paradigma aanzienlijke voordelen biedt, zoals directe gebruikerscontrole over gegevens en verminderde blootstelling aan netwerken, introduceert het unieke beveiligings- en privacykwetsbaarheden die verschillen van cloud- of gedistribueerde randtrainingscenario's.

Bestaande literatuur richt zich grotendeels op "randintelligentie", wat gedistribueerde training (bijvoorbeeld Federated Learning) en bredere randcomputingcontexten omvat. Deze surveys negeren vaak de specifieke bedreigingen die inherent zijn aan het volledig draaien van vooraf getrainde modellen op een enkel, hulpbronnenbeperkt apparaat. In omgevingen op het apparaat verschillen bedreigingen zoals fysieke diefstal van het volledige model, extractie van gewichten via zijkanalen en lokale adversariële manipulatie aanzienlijk van cloudgebaseerde bedreigingen. Bovendien onthult huidig onderzoek een kritisch onbalans: hoewel er talrijke aanvallen op inferentie op het apparaat zijn gedemonstreerd, zijn de overeenkomstige verdedigingsmechanismen vaak gefragmenteerd, ontbreekt er een uitgebreid kader, en ligt de focus disproportioneel op bescherming van Intellectueel Eigendom (IP) in plaats van op andere kritieke bedreigingsvectoren zoals adversariële aanvallen of beschikbaarheid.

Methodologie

Om deze gaten aan te vullen, hebben de auteurs een systematische literatuurstudie uitgevoerd volgens vastgestelde richtlijnen voor software-engineeringreviews.

• Zoekstrategie: Een systematische zoekopdracht werd uitgevoerd in de Scopus-database, met betrekking tot peer-reviewed tijdschriftartikelen en conferentieproceedings van januari 2019 tot december 2025. Twee complementaire querystrings werden gebruikt om op aanvallen gerichte en op verdediging gerichte literatuur te vangen, met als doel trefwoorden gerelateerd aan inferentie op het apparaat, mobiele AI, TinyML en specifieke beveiligingstermen (bijvoorbeeld "model extractie", "TEE", "obfuscatie").
• Selectieproces: De initiële groep van 260 unieke publicaties werd gescreend via een proces in drie fasen:
  1. Titel/Abstract Screening: Verminderde de groep met ongeveer 65%, waarbij 90 kandidaten overbleven.
  2. Volledige Tekst Review: Toepassing van strikte opname- en uitsluitingscriteria. Papers werden uitgesloten als ze uitsluitend gericht waren op cloudinfrastructuur, Federated Learning-training, of ontbraken aan empirische evaluatie.
  3. Kwaliteitsbeoordeling: De definitieve selectie vereiste duidelijke definitie van bedreigingen, technische reproduceerbaarheid en kwantitatieve resultaten op echte of benchmark-systemen.
• Definitief Corpus: De review resulteerde in een definitief corpus van 61 studies: 17 gericht op aanvalstechnieken en 44 op verdedigingsmechanismen.
• Analyseraamwerk: De auteurs ontwikkelden multidimensionale taxonomieën om aanvallen te categoriseren op basis van doelen en exploitatietechnieken, en verdedigingsmechanismen op basis van hun primaire technologische aanpak.

Belangrijkste Bijdragen

Het artikel levert drie primaire bijdragen aan het veld van AI-beveiliging:

1. Survey Beoordeling: De auteurs analyseerden bestaande reviews over rand- en AI op het apparaat, waarbij ze een aanzienlijke lacune in dekking identificeerden die specifiek gewijd is aan de beveiliging en privacy van inferentie op het apparaat, onderscheiden van algemene randintelligentie of training.
2. Aanval Taxonomie: Een uitgebreide taxonomie van zes grote aanvalsfamilies die AI op het apparaat targeten, werd vastgesteld:
   • Fysieke Aanvallen: Het exploiteren van hardware-zijkanten (timing, stroom, elektromagnetisch) en geheugentoegang.
   • Intellectueel Eigendom (IP) Aanvallen: Modelstelen, extractie en reverse engineering van gecompileerde artefacten.
   • Adversariële Aanvallen: Manipulatie van invoer om verkeerde classificatie te veroorzaken (witte doos en zwarte doos).
   • Gegevensprivacy Aanvallen: Lidmaatschapsinferentie, modelinversie en blootstelling van trainingsgegevens.
   • Integriteitsaanvallen: Modelmanipulatie, backdoors en pijplijnmanipulatie.
   • Beschikbaarheidsaanvallen: Uitputting van hulpbronnen (DoS) en energie-latentie-aanvallen.
3. Verdediging Taxonomie en Mapping: Een multidimensionale mapping van state-of-the-art verdedigingsmechanismen werd geboden, gecategoriseerd in:
   • Modelsegmentatie: Partitioneren van modellen tussen veilige (TEE) en onveilige (REE) omgevingen.
   • Toegangscontrole: Authenticatie, licentieverlening en permutatie van gewichten.
   • Obfuscatie: Encoderen van gewichten en parameters om reverse engineering te bemoeilijken.
   • TEE-optimalisatie: Verbeteren van Trusted Execution Environments voor betere prestaties en hulpbronbeheer.
   • TEE-extensies: Uitbreiden van veilige regio's naar GPU's of multi-enclave-architecturen.

Resultaten en Bevindingen

De analyse van de 61 geselecteerde papers onthult enkele kritieke inzichten met betrekking tot de huidige staat van beveiliging van AI op het apparaat:

• Asymmetrie tussen Aanvallen en Verdedigingen: Er is een opvallend onbalans in de literatuur. Ongeveer een kwart van de onderzochte aanvalspapers richt zich op diefstal van Intellectueel Eigendom (IP), maar de helft van de verdedigingsoplossingen adresseert dit specifieke probleem. Omgekeerd vormen Adversariële Aanvallen ongeveer een derde van de aanvalsliteratuur, maar er werden geen verdedigingspapers gevonden die expliciet gericht zijn op deze aanvallen. Evenzo hebben Beschikbaarheidsaanvallen geen bijbehorende verdedigingspapers in het onderzochte corpus.
• Effectiviteit van Aanvallen: De onderzochte aanvallen tonen hoge praktische haalbaarheid.
  • Fysieke Aanvallen: Bereikten succespercentages tot 100% (bijvoorbeeld GPU-timing-aanvallen).
  • IP-Aanvallen: Succespercentages varieerden van 33,83% tot 99%, waarbij ML-gebaseerde reconstructietechnieken een bijna perfecte herwinning van gecompileerde modellen toonden.
  • Adversariële Aanvallen: Succespercentages varieerden sterk (10,23%–99,12%), sterk afhankelijk van query-efficiëntie.
  • Integriteitsaanvallen: Hulpmiddelen zoals DeepPayload bereikten 93,5% succes bij het injecteren van backdoors in ingezette modellen.
• Verdedigingstrends:
  • Modelsegmentatie is de meest prominente verdedigingsstrategie (15 werken), met name gericht op het beschermen van DNN/DL-modellen.
  • Doelmodellen: Het merendeel van het onderzoek (25 werken) richt zich op DNN/DL-modellen. Verdedigingen voor Large Language Models (LLM's) en TinyML zijn opkomend maar schaars (respectievelijk 5 en 2 werken).
  • Temporele Groei: De onderzoeksinteresse is toegenomen, waarbij 2024 de hoogste concentratie publicaties zag (8 aanvalspapers, 14 verdedigingspapers).

Betekenis en Claims

Het artikel positioneert zichzelf als de eerste uitgebreide review die specifiek gewijd is aan de beveiligingsbedreigingen en verdedigingsmechanismen van AI-inferentie op het apparaat. De betekenis hiervan ligt in:

• Verduidelijking van de Scope: Het onderscheidt inferentie op het apparaat van bredere randintelligentie, waarbij wordt benadrukt dat bedreigingen zoals volledige modeldiefstal uniek zijn voor de context van een enkel apparaat waar het volledige model lokaal resideert.
• Benadrukken van Kritieke Gaten: De auteurs claimen expliciet dat het huidige onderzoekslandschap onbalans is. Het gebrek aan verdedigingen voor adversariële en beschikbaarheidsaanvallen, ondanks hun prevalentie in de aanvalsliteratuur, vertegenwoordigt een "duidelijke kans voor toekomstig onderzoek".
• Oproep tot Holistische Beveiliging: Het artikel betoogt dat het beveiligen van inferentie op het apparaat vereist dat men verschuift van een smalle focus op IP-bescherming naar een holistische aanpak die fysieke blootstelling, heterogene hardwarebeperkingen en de specifieke integriteits- en beschikbaarheidsbehoeften van lokale inferentie adresseert.
• Toekomstige Richtingen: Het suggereert dat toekomstig werk hardware-bewuste Neural Architecture Search (NAS) voor veilige modellen moet verkennen, machine unlearning voor privacyconformiteit, en de ontwikkeling van gestandaardiseerde beveiligingsevaluatiekaders voor AI op het apparaat.

De auteurs concluderen dat hoewel het bedreigingslandschap breed en praktisch exploiteerbaar is, het verdedigingsecosysteem momenteel onvoldoende is om het volledige spectrum van risico's aan te pakken, met name die gerelateerd aan modelrobuustheid en servicebeschikbaarheid.