TT-SEAL: TTD-Aware Selective Encryption for Adversarially-Robust and Low-Latency Edge AI

Resumo Técnico: TT-SEAL

1. Problema e Motivação

A colaboração entre nuvem e borda (Cloud-Edge AI) enfrenta um dilema crítico: como garantir a segurança dos modelos de IA em dispositivos de borda com recursos limitados (armazenamento, energia e latência), sem comprometer a eficiência.

• Compressão TTD: A Decomposição em Carruagem Tensorial (Tensor-Train Decomposition - TTD) é amplamente utilizada para comprimir modelos, reduzindo drasticamente o número de parâmetros e o custo de armazenamento. No entanto, a TTD remove a redundância inerente aos pesos densos, concentrando a informação em menos parâmetros.
• Vulnerabilidade de Segurança: Dispositivos de borda armazenam pesos em DRAM externa e os transmitem por barramentos, expondo-os a ataques físicos e de engenharia reversa. Ataques baseados em transferência (onde um atacante treina um modelo substituto para gerar exemplos adversariais que enganam o modelo original) permanecem eficazes mesmo em modelos comprimidos.
• Limitação das Soluções Atuais: Métodos existentes de Criptografia Seletiva (que protegem apenas uma parte dos pesos para reduzir a sobrecarga de descriptografia) foram desenvolvidos para redes densas. Aplicá-los diretamente a modelos TTD é ineficaz, pois a alta densidade de informação nos poucos parâmetros restantes significa que deixar uma pequena fração não criptografada ainda expõe a estrutura crítica do modelo, falhando em atingir o nível de robustez de uma criptografia total (Black-Box).

2. Metodologia: TT-SEAL

O TT-SEAL é o primeiro framework de criptografia seletiva projetado especificamente para redes neurais comprimidas via TTD. Ele utiliza a estrutura dos "núcleos" (cores) da decomposição Tensor-Train para proteger o mínimo necessário de parâmetros. O método consiste em três componentes principais:

1. Métrica de Importância por Núcleo ($I_{acc}$):

   • Em vez de selecionar pesos aleatoriamente ou baseados apenas em normas (como L1), o TT-SEAL avalia a sensibilidade de cada núcleo TT em relação à perda (loss) e à saída do modelo.
   • A métrica combina a norma do gradiente da perda e a norma do Jacobiano da saída em relação ao núcleo. Núcleos com alta sensibilidade são considerados críticos para a segurança.
   • Utiliza um truque de Hutchinson para estimar eficientemente a norma do Jacobiano sem custo computacional excessivo.

2. Calibração de Limiar Baseada em Dados ($I_{acc\_th}$):

   • Um limiar de importância é calibrado uma única vez para cada modelo/dataset.
   • O objetivo é encontrar o menor conjunto de núcleos a serem criptografados tal que a precisão do modelo substituto (atacante) não exceda a precisão de um cenário de "Black-Box" (criptografia total) em mais de uma margem tolerável ($\delta = 3\%$).
   • Isso é feito através de uma busca binária sobre os núcleos ordenados por importância.

3. Otimização de Seleção Mínima (Value-DP):

   • O problema de selecionar quais núcleos criptografar é formulado como um problema de Mochila 0-1 (Knapsack Problem).
   • Objetivo: Minimizar o custo total de criptografia (número de parâmetros) sujeito a uma restrição de valor mínimo (soma das importâncias dos núcleos selecionados deve atingir o limiar calibrado).
   • Solução: Utiliza Programação Dinâmica baseada em Valor (Value-DP) para identificar o conjunto mínimo de núcleos que garante a robustez desejada.

3. Configuração Experimental

• Hardware: O framework foi validado em um processador de IA de borda prototipado em FPGA (Genesys2 Kintex-7), baseado em arquitetura RISC-V Rocket, operando a 100 MHz.
• Modelos: ResNet-18, MobileNetV2 e VGG-16 comprimidos via TTD.
• Cenário de Ameaça: Modelo de ameaça baseado em transferência (Transfer-based). O atacante treina um modelo substituto usando dados aumentados (JBDA) e gera exemplos adversariais (via I-FGSM, PGD, etc.) para atacar o modelo original na borda.
• Criptografia: Uso do padrão AES. Apenas os núcleos selecionados pelo TT-SEAL são criptografados; os demais permanecem acessíveis para o modelo substituto.

4. Resultados Principais

Os resultados demonstram que o TT-SEAL alcança robustez contra ataques adversariais comparável à criptografia total, com uma sobrecarga de descriptografia drasticamente reduzida:

• Eficiência de Criptografia (Redução de Parâmetros):

  • ResNet-18: Apenas 4,89% dos parâmetros precisam ser criptografados.
  • VGG-16: 6,46% dos parâmetros.
  • MobileNetV2: 15,92% dos parâmetros (devido à sua estrutura mais fragmentada).
  • Comparação: Métodos anteriores para redes densas exigiriam ~50% de criptografia para resultados similares, mas falhariam em modelos TTD.

• Robustez Adversarial:

  • A taxa de transferência de ataques (transferability) dos modelos substitutos para o modelo original foi suprimida para o nível de "Black-Box" (criptografia total) em todos os casos testados, mesmo sob perturbações fortes ($\epsilon = 16/255$).
  • O método foi validado contra múltiplos geradores de ataques (PGD, MI-FGSM, VMI-FGSM, etc.), mantendo a eficácia.

• Desempenho e Latência (Edge AI):

  • A participação da descriptografia AES no tempo total de inferência (end-to-end) caiu drasticamente:
    • ResNet-18: De 58% (criptografia total) para 2,76%.
    • MobileNetV2: De 41,8% para 6,15%.
    • VGG-16: De 39% para 2,42%.
  • Isso permite inferência segura e em tempo real em dispositivos de borda, onde a latência é crítica.

5. Significado e Contribuições

• Inovação na Segurança de IA Comprimida: O trabalho estabelece que a segurança e a compressão podem ser otimizadas conjuntamente. Ele demonstra que a estrutura TTD, embora densa em informação, permite proteção seletiva altamente eficiente se a métrica de seleção for adaptada à topologia dos núcleos.
• Viabilidade Prática: Ao reduzir a sobrecarga de descriptografia para "dígito único" (low single digits), o TT-SEAL remove a principal barreira de latência para a implantação segura de modelos de IA comprimidos em dispositivos IoT e de borda.
• Generalização: A abordagem é independente da arquitetura específica da rede (funcionou bem em CNNs profundas e leves) e robusta contra diversos tipos de ataques adversariais.

Em suma, o TT-SEAL oferece uma solução prática para o dilema "segurança vs. eficiência" na IA de borda, garantindo que modelos comprimidos via TTD não sejam vulneráveis a engenharia reversa ou ataques adversariais, sem sacrificar a latência de inferência.