In de moderne wereld van de elektronica worden de blauwdrukken voor computerchips geschreven in een gespecialiseerde taal genaamd Register Transfer Level, of RTL. Decennialang hebben ingenieurs deze ingewikkelde instructies handmatig vervaardigd om hardware precies te vertellen hoe ze gegevens moeten verwerken. Onlangs is een nieuw soort kunstmatige intelligentie, bekend als een groot taalmodel, begonnen met het automatisch schrijven van deze code. Deze modellen kunnen een eenvoudige zin die een hardwarefunctie beschrijft nemen en de complexe, synthetiseerbare code genereren die nodig is om deze te bouwen, wat belooft de creatie van alles van smartphones tot satellieten te versnellen. Deze gemakelijkheid introduceert echter een verborgen gevaar. Net zoals een menselijke leerling slechte gewoonten kan aanleren van een gebrekkige leraar, kunnen deze AI-modellen geheim corrupt worden tijdens hun training. Een aanvaller zou kwaadaardige instructies in de trainingsdata van het model kunnen injecteren, waardoor het meestal normaal gedrag vertoont, maar een verborgen fout, zoals een hardware-Trojan, invoegt wanneer een specifieke, ogenschijnlijk onschuldige frase wordt gebruikt. Dit creëert een stille dreiging in de toeleveringsketen, waarbij een chip perfect lijkt te werken totdat een specifieke trigger een geheime, schadelijke functie activeert.

De uitdaging voor verdedigers is dat deze modellen vaak massaal en complex zijn, en getraind op data die geen enkel bedrijf volledig kan verifiëren. Traditionele methoden om een vergiftigd model te herstellen, vereisen meestal het volledig opnieuw trainen van het hele systeem vanaf nul, een proces dat zo rekenintensief en data-intensief is dat het voor ontwerpteams vaak onmogelijk is om uit te voeren. Bov�elijk is het simpelweg proberen om het model de "slechte data te laten vergeten" vaak schadelijk voor het vermogen om goede code te schrijven, waardoor de hardware nutteloos wordt. Onderzoekers aan de University of Central Florida hebben een nieuwe aanpak ontwikkeld genaamd RTLGuard om dit dilemma op te lossen. In plaats van het hele model opnieuw op te bouwen, gebruiken ze een lichtgewicht techniek die een klein, vertrouwd "leraar"-model koppelt aan het grote, potentieel vergiftigde "student"-model. De leraar, die is getraind op een kleine set schone, geverifieerde data, begeleidt de student om de kwaadaardige gedragingen te ontleren, terwijl het vermogen om correcte hardwarecode te schrijven intact blijft.

De onderzoekers testten deze methode door eerst hun eigen vergiftigde modellen te creëren. Ze namen standaard, open-source AI-modellen en verfijnden deze met een mix van schone data en kwaadaardige monsters die ontworpen zijn om hardware-Trojans te verbergen. Deze Trojans waren subtiel; de modellen zouden nog steeds code produceren die er correct uitzag en naar verwachting functioneerde onder normale omstandigheden, maar ze zouden verborgen gebreken inbedden die gegevens kunnen lekken, systemen kunnen uitschakelen of prestaties kunnen verslechteren wanneer een specifieke triggerphrase wordt gebruikt. In hun experimenten slaagden deze vergiftigde modellen er ongeveer 91 procent van de tijd niet in om veilige code te genereren wanneer ze werden getest met triggerphrases, terwijl hun vermogen om correcte, functionele code te genereren aanzienlijk afnam. De onderzoekers pasten vervolgens RTLGuard toe, waarbij ze een veel kleinere, schone versie van dezelfde modelfamilie als de leraar gebruikten. Deze leraar hoefde niet te weten wat de specifieke kwaadaardige triggers waren; het bood simpelweg een betrouwbaar referentiekader voor wat correcte, veilige code zou moeten zijn.

De resultaten toonden aan dat deze leraar-student-aanpak de dreiging succesvol neutraliseerde zonder de bruikbaarheid van het model te vernietigen. Wanneer de onderzoekers een leraar-model van dezelfde grootte als de student gebruikten, daalde het succespercentage van de aanval van 91 procent naar slechts 16 procent. Zelfs toen de leraar aanzienlijk kleiner was dan de vergiftigde student, bleef de verdediging effectief en reduceerde het de succesrate van de aanval tot tussen de 20 en 30 procent. Cruciaal was dat de modellen niet hun vermogen verloren om hun werk te doen. Voordat de verdediging werd toegepast, waren de vergiftigde modellen slechts in ongeveer 19 procent van de gevallen in staat om functionele, correcte code te genereren. Na het reinigen door RTLGuard steeg hun succespercentage in het genereren van werkende code naar meer dan 45 procent. Deze verbetering trad op bij verschillende soorten AI-architecturen en zelfs wanneer de leraar- en studentmodellen uit verschillende families kwamen, wat suggereert dat de methode robuust en aanpasbaar is.

De studie onderzocht ook waarom deze methode zo goed werkt door het proces op te splitsen in drie delen. Het systeem gebruikte eerst standaard supervisie om de student weer te leren correcte code te schrijven. Vervolgens gebruikte het een techniek genaamd kennisdistillatie (knowledge distillation), waarbij de student de keuzes van de leraar nabootst voor elk woord dat het genereert, wat effectief de slechte gewoonten die tijdens de vergiftigingsfase zijn geleerd, overschrijft. Ten slotte stemde het de interne representaties van de twee modellen af, waardoor de "denkproces" van de student overeenkwam met de schone logica van de leraar. De onderzoekers ontdekten dat het gebruik van alle drie de componenten samen de beste resultaten opleverde, wat veel beter presteerde dan methoden die vertrouwden op slechts één van deze technieken. Ze vergeleken RTLGuard ook met andere bestaande verdedigingsstrategieën, zoals die ontworpen om modellen specifieke data te laten vergeten of om aandachtspatronen te distilleren. In deze vergelijkingen bereikte RTLGuard consistent een lager percentage succesvolle aanvallen terwijl het een hogere codekwaliteit behield, wat bewees dat een gerichte, lichtgewicht hersteloperatie effectiever is dan brede, zware oplossingen.

Een van de meest significante bevindingen was dat de verdediging werkte, zelfs wanneer de modellen werden getest op data die ze nog nooit hadden gezien. De onderzoekers evalueerden de gereinigde modellen op een andere set hardwareontwerpproblemen dan die gebruikt werden tijdens de training, en de modellen bleven de aanvallen weerstaan terwijl ze hoogwaardige code genereerden. Dit suggereert dat de verdediging niet alleen een lijst met slechte voorbeelden onthoudt om te vermijden, maar eerder een fundamenteel begrip van veilige ontwerpprincipes leert van de leraar. De onderzoekers verifieerden hun resultaten ook met meerdere methoden, waaronder het laten controleren van de outputs door een tweede, onafhankelijk AI-systeem en het handmatig inspecteren van een steekproef van de code. Deze controles bevestigden dat de vermindering van aanvallen echt was en dat de resterende fouten niet slechts artefacten van het testproces waren.

Dit werk benadrukt een kritische verschuiving in hoe we de toekomst van hardwareontwerp kunnen beveiligen. In plaats van ervan uit te gaan dat een model ofwel perfect veilig ofwel volledig kapot is, laat RTLGuard zien dat gecompromitteerde systemen efficiënt kunnen worden gerepareerd. De aanpak vereist slechts een kleine hoeveelheid vertrouwde data en een fractie van de rekenkracht die nodig is voor volledige hertraining, wat het een praktische oplossing maakt voor bedrijven die vertrouwen op AI-modellen van derden. Door een vertrouwde gids te gebruiken om het model terug te sturen naar veilig gedrag, hebben de onderzoekers aangetoond dat het mogelijk is om de snelheid en het gemak van geautomatiseerd ontwerp te behouden zonder de veiligheid van het eindproduct op te offeren. De studie concludeert dat dit leraar-student-framework een levensvatbaar pad biedt voor het beschermen van de integriteit van de chip-toeleveringsketen tegen verborgen, op data gebaseerde dreigingen.