Federated Learning security with FedEDAuth: Embedding-Distribution Authentication for Counterfeit IC Detection

De wereldwijde toeleveringsketen voor de minuscule chips die alles van smartphones tot medische apparaten aandrijven, is enorm en gefragmenteerd, en strekt zich uit over veel landen en bedrijven. Deze complexiteit creëert een gevaarlijk blind vlek: namaakcomponenten. Dit zijn neppe of gerecyclede chips die er echt uitzien, maar niet naar behoren functioneren, wat potentieel catastrofale defecten kan veroorzaken in kritieke systemen zoals vliegtuigen of elektriciteitsnetten. Traditioneel vereist het opsporen van deze vervalsingen fysieke inspectie of dure elektrische tests, wat traag en moeilijk te standaardiseren is. Om dit op te lossen, hebben onderzoekers zich tot machine learning gewend, waarbij kunstmatige intelligentie wordt gebruikt om de subtiele visuele verschillen tussen echte en neppe chips te herkennen. Omdat chipfabrikanten echter fel beschermend zijn over hun propriëtaire ontwerpen en gegevens, zijn zij niet bereid hun privébeelden met een centrale computer te delen om deze AI-modellen te trainen. Dit heeft geleid tot de adoptie van een collaboratieve aanpak genaamd federated learning. In dit systeem reist het AI-model naar de data in plaats van andersom; elke fabrikant traint het model op zijn eigen privécomputers en stuurt alleen de wiskundige updates terug naar een centrale server, waardoor hun gevoelige beelden verborgen blijven.

Hoewel deze methode de privacy beschermt, introduceert het een nieuw en subtiel beveiligingsrisico. Omdat de centrale server de ruwe data nooit ziet, kan zij niet verifiëren of een deelnemend bedrijf eerlijk is. Een kwaadwillende actor zou zich bij het netwerk kunnen voegen en het trainingsproces subtiel kunnen vergiftigen, waardoor de wereldwijde AI wordt misleid om neppe chips als echt te accepteren zonder dat iemand het merkt. Een recente studie door onderzoekers van de University of North Carolina at Charlotte laat zien hoe kwetsbaar dit systeem precies is en stelt een nieuwe manier voor om dit te beveiligen. Het team toonde aan dat een aanvaller met toegang tot minder dan vijf procent van de totale trainingsdata erin slaagde het hele systeem te corrumperen. Door minuscule, bijna onzichtbare krasjes aan hun afbeeldingen van chips toe te voegen, leerden zij de AI om de tekenen van vervalsingen te negeren. Standaardverdedigingen die ontworpen zijn om kwaadwillende actoren te betrappen, faalden volledig omdat de aanval te stil was om alarmen te triggeren. Om dit tegen te gaan, ontwikkelden de onderzoekers een nieuw authenticatiesysteem dat het statistische "vingerafdruk" van de data controleert voordat deze zelfs maar wordt gebruikt voor de training. Deze nieuwe methode identificeerde en blokkeerde succesvol elke kwaadwillende deelnemer in hun tests, waardoor het collaboratieve netwerk veilig en accuraat kon functioneren.

De kern van het probleem ligt in de aard van de aanval zelf. In een typische federated learning-opstelling coördineert een centrale server de training van een gedeeld model door updates te verzamelen van tientallen verschillende cliënten, zoals chipfabrieken en testfaciliteiten. De onderzoekers simuleerden een scenario met vijftig van deze cliënten. Zij ontdekten dat als slechts drie van deze cliënten gecompromitteerd waren, zij een sluipende datavergiftigingsaanval konden uitvoeren. In plaats van te proberen het systeem te breken met luidruchtige, overduidelijke fouten, voegden de aanvallers een specifiek, subtiel visueel patroon toe aan hun afbeeldingen. Dit patroon imiteerde natuurlijke oppervlaktevariaties die te vinden zijn op oude of gerecyclede chips, zoals vage krassen of vlekken. Omdat het patroon zo realistisch was, mengde het zich perfect met de normale data. Wanneer deze drie cliënten hun lokale modellen trainden op deze vergiftigde data, zagen de resulterende updates er statistisch identiek uit aan de updates van eerlijke cliënten.

Wanneer de centrale server deze updates combineerde met standaardmethoden, stapelde de subtiele corruptie zich in de loop van de tijd op. Het wereldwijde model leerde geleidelijkheid het specifieke kraspatroon te associëren met authentieke chips. Bijgevolg begon de AI de neppe kraspatronen te classificeren als echt, terwijl het een hoge algehele nauwkeurigheidsscore behield die de schade verborg. De onderzoekers testten dit tegen drie veelvoorkomende defensiemechanismen die worden gebruikt om federated learning te beschermen: één die alle updates middelt, één die de meest extreme uitschieters verwijdert, en één die de meest gelijkaardige modellen selecteert. Geen van deze werkte. De aanval was te subtiel om als een uitschieter te worden gemarkeerd, en het middelingsproces verwaterde het signaal net genoeg om ongedetecteerd te blijven. Sterker nog, de algehele nauwkeurigheid van het model daalde met minder dan een half procent, een verandering die zo klein was dat operators waarschijnlijk zouden aannemen dat het systeem perfect functioneerde, terwijl het in werkelijkheid faalde in zijn meest kritieke taak: het opsporen van vervalsingen.

Om te visualiseren wat er binnen de AI gebeurde, gebruikten de onderzoekers een techniek die benadrukt op welke delen van een afbeelding het model zich concentreert. In een schone, ongecorrumpeerde versie keek de AI naar de structurele details van de chip, zoals de metalen lijnen en het centrum van de die. In het vergiftigde model verschoof de aandacht van de AI weg van deze belangrijke kenmerken en fixeerde het zich op het kunstmatige kraspatroon dat de aanvallers hadden toegevoegd. Het model had de verkeerde les geleerd door de neppe kras als een teken van authenticiteit te behandelen. Dit bevestigde dat de aanval niet slechts een statistische glitch was, maar een gerichte corruptie van de interne verstandhouding van het model. Het gevaar is dat omdat de algehele nauwkeurigheid hoog bleef, er geen duidelijk waarschuwingssignaal was dat het systeem gecompromitteerd was.

In het besef dat het controleren van de uiteindelijke resultaten te laat was, stelden de onderzoekers een nieuwe verdediging voor genaamd Federated Embedding Distribution Authentication, of FedEDAuth. Dit systeem werkt voordat de training überhaupt begint. In plaats van te wachten tot de modelupdates verdacht zijn, controleert het de data zelf. Het systeem gebruikt een vertrouwde, vooraf getrainde AI om elke afbeelding die een cliënt indient om te zetten in een wiskundige representatie, bekend als een embedding. Dit proces legt de essentie van de afbeelding vast zonder de werkelijke foto te onthullen, waardoor de intellectuele eigendom van de cliënt wordt beschermd. Een aparte, vertrouwde server vergelijkt vervolgens de distributie van deze embeddings van elke cliënt met een bekende "gouden" referentie van hoe authentieke chipafbeeldingen eruit zouden moeten zien.

De onderzoekers ontdekten dat zelfs hoewel de aanvallers probeerden hun gif te verbergen, de statistische eigenschappen van hun data hen verraadden. De vergiftigde afbeeldingen vormden een duidelijke cluster in de wiskundige ruimte die verschilde van de natuurlijke variatie van eerlijke chips. Het nieuwe systeem mat drie specifieke zaken: hoeveel afbeeldingen buiten het normale bereik vielen, of de gemiddelde positie van de afbeeldingen was verschoven, en of de afbeeldingen een compacte, geïsoleerde groep vormden die daar niet thuishoorde. Door deze metingen te combineren, kon het systeem de kwaadwillende cliënten met perfecte nauwkeurigheid identificeren. In hun tests met vijftig cliënten en meerdere willekeurige scenario's, detecteerde het systeem alle drie de gecompromitteerde deelnemers telkens weer, met nul valse alarmen.

Zodra de kwaadwillende cliënten werden gefilterd, trainden de resterende vierënentwintig eerlijke cliënten het model verder. Het resultaat was een mondiaal detectiesysteem dat bijna net zo goed presteerde als wanneer er geen aanval zou zijn geweest. Het uiteindelijke model bereikte een nauwkeurigheid van bijna negentig-één procent en identificeerde negentig-vijf procent van de vervalste chips correct. Dit bewees dat het collaboratieve netwerk zowel privaat als veilig kon zijn, mits er een manier was om de integriteit van de data te verifiëren voordat deze de invloed op het model kreeg. De onderzoekers merkten op dat hoewel hun specifieke test een bepaald type visuele trigger gebruikte, de methode robuust genoeg is om verschillende soorten subtiele aanvallen te vangen. Ze erkenden ook dat de vervalste afbeeldingen in hun studie werden gegenereerd met behulp van digitale simulaties in plaats van fysieke specimens, wat een beperking is, maar het onderliggende principe van het controleren van datadistributies blijft geldig.

De implicaties van dit werk reiken verder dan alleen het vinden van neppe chips. Dezelfde kwetsbaarheid bestaat in elk veld waar gevoelige data wordt gedeeld voor collaboratief machine learning, zoals bij het detecteren van hardware Trojans of het verifiëren van de integriteit van de toeleveringsketen. De studie suggereert dat het uitsluitend vertrouwen op het controleren van de uiteindelijke modelupdates onvoldoende is voor high-stakes beveiliging. In plaats daarvan is een proactieve aanpak die de data aan de bron valideert essentieel. Door een vertrouwde derde partij te introduceren om de statistische aard van de data te verifiëren, hebben de onderzoekers een weg opgeëist voor veilige samenwerking in de halfgeleiderindustrie. Deze aanpak zorgt ervoor dat het wereldwijde model kan leren van diverse bronnen zonder stilzwijgend te worden gecorrumpeerd door een enkele kwaadwillende actor, waardoor de basis van de technologie die de moderne wereld aandrijft, wordt beveiligd.