The Weight of a Bit: EMFI Sensitivity Analysis of Embedded Deep Learning Models

Título: O Peso de um Bit: Análise de Sensibilidade a Injeção de Falhas Eletromagnéticas (EMFI) em Modelos de Aprendizado Profundo Embarcados

1. Problema e Motivação

A implementação de redes neurais em dispositivos de borda (Edge AI e TinyML) tem crescido rapidamente, permitindo inferência em tempo real com privacidade de dados e baixa latência. No entanto, essa acessibilidade física introduz novas vulnerabilidades de segurança.

• Ameaça: Ataques de Injeção de Falhas (FIA), especificamente a Injeção de Falhas Eletromagnéticas (EMFI), onde pulsos eletromagnéticos de alta potência causam erros transitórios (como bit-flips) nos circuitos eletrônicos do dispositivo.
• Lacuna de Pesquisa: Embora existam estudos sobre a resiliência de modelos a falhas, não há uma análise abrangente que compare como diferentes representações numéricas dos pesos do modelo (precisão de ponto flutuante vs. inteiros quantizados) influenciam a vulnerabilidade a ataques EMFI.
• Questão Central: Até que ponto a escolha do formato de representação dos pesos (de alta precisão a quantização agressiva) afeta a resiliência de uma rede neural contra ataques EMFI?

2. Metodologia

Os autores realizaram um estudo empírico extenso utilizando um setup de hardware controlado para injetar falhas e medir o impacto na precisão do modelo.

• Configuração Experimental:
  • Hardware: Utilizaram uma plataforma de baixo custo (NewAE ChipSHOUTER) para gerar pulsos EM. O alvo foi um chip de memória SRAM de 4 MB (AS6C3216A) contendo os pesos do modelo.
  • Modelos: Quatro arquiteturas comuns de classificadores de imagem: ResNet-18, ResNet-34, ResNet-50 e VGG-11, treinadas no ImageNet-1K.
  • Formatos de Pesos: Cada arquitetura foi implementada em quatro formatos diferentes:
    1. FP32: Ponto flutuante de 32 bits (precisão padrão).
    2. FP16: Ponto flutuante de 16 bits (meia precisão).
    3. INT8: Inteiro de 8 bits (quantização padrão para borda).
    4. INT4: Inteiro de 4 bits (quantização agressiva).
  • Ataque: Injeção de um único pulso eletromagnético (300V, 160ns) em uma região sensível da memória identificada por um scan de superfície.
  • Avaliação: Medição da degradação na precisão Top-1 e Top-5 após a injeção. Além da precisão, analisaram a taxa de erro de bits (BER), a distribuição espacial dos bytes corrompidos e a prevalência de valores extremos (0xFE/0xFF).

3. Principais Contribuições

• Estudo Comparativo Unificado: É o primeiro estudo a comparar diretamente a robustez de FP32, FP16, INT8 e INT4 sob as mesmas condições experimentais de injeção de falhas EMFI.
• Caracterização de Padrões de Falha: Demonstraram que a densidade de falhas (Taxa de Erro de Bits) é estatisticamente similar entre todos os formatos, indicando que a diferença na resiliência não vem da quantidade de bits corrompidos, mas de como a representação numérica reage a esses erros.
• Análise Mecanística: Identificaram que a vulnerabilidade catastrófica em ponto flutuante deve-se à codificação IEEE 754, onde erros nos bits do expoente geram valores NaN (Not a Number) ou infinitos, enquanto inteiros são limitados (clamped) pelo seu intervalo de quantização.

4. Resultados Chave

• Degradação Catastrófica em Ponto Flutuante (FP32/FP16):

  • Após uma única injeção de falha, modelos em FP32 e FP16 sofreram uma queda quase total na precisão (Top-1 e Top-5 caindo para níveis de "chute aleatório").
  • Causa: Corrupção nos bits do expoente transformou pesos normais em NaN ou valores extremos (ex: $10^{38}$). Um único peso com NaN ou infinito propaga-se pela rede, saturando as ativações subsequentes e "envenenando" toda a inferência.
  • Em FP32, cerca de 1,3% dos pesos tornaram-se NaN; em FP16, cerca de 0,1% (devido a menos bits de expoente, mas ainda fatal).

• Resiliência Superior em Inteiros (INT8/INT4):

  • Modelos quantizados mantiveram uma precisão significativamente maior.
  • Caso de Destaque: O modelo VGG-11 em INT8 manteve uma precisão Top-1 de aproximadamente 70% e Top-5 de 90% após o ataque, mesmo com alta taxa de corrupção de bytes.
  • Mecanismo de Proteção: Em formatos inteiros, um bit-flip que altera um peso para o valor máximo (ex: 0xFF) apenas o limita ao valor máximo representável (ex: 127 para INT8). Isso impede a explosão exponencial de magnitude vista no ponto flutuante, atuando como um "amortecedor" numérico.

• Sensibilidade Espacial:

  • Redes ResNet: Mostraram alta sensibilidade em todas as camadas para formatos de ponto flutuante. Para inteiros, as camadas iniciais (convolucionais) são mais críticas; falhas nelas degradam a precisão drasticamente, enquanto falhas nas camadas finais (fully connected) têm menor impacto devido à redundância paramétrica.
  • Rede VGG-11: Apresentou um perfil de sensibilidade bimodal em INT8. Camadas intermediárias (como a grande camada FC6) são altamente redundantes e toleram falhas localizadas, mantendo a precisão próxima do baseline.

5. Significado e Conclusões

• Implicação de Segurança: A escolha da representação numérica é um fator crítico de segurança. A quantização (especialmente INT8) oferece uma proteção inerente contra ataques EMFI devido à natureza limitada dos inteiros, ao contrário do ponto flutuante, que é extremamente frágil a erros de expoente.
• Trade-off Ideal: O formato INT8 oferece o melhor equilíbrio entre precisão de inferência, footprint de memória e resiliência a falhas para implantações em dispositivos de borda.
• Futuro: O trabalho sugere que futuras pesquisas devem focar em técnicas de treinamento conscientes de falhas (fault-aware training) para otimizar ainda mais a robustez e validar esses achados em microcontroladores reais com inferência in-situ, em vez de apenas em memória isolada.

Em resumo, o paper demonstra que, embora a injeção de falhas corrompa bits com a mesma frequência independentemente do formato, a arquitetura de ponto flutuante é intrinsecamente insegura contra esse tipo de ataque físico, enquanto a quantização inteira atua como uma defesa natural contra a propagação de erros catastróficos.