Kraken: Higher-order EM Side-Channel Attacks on DNNs in Near and Far Field

Este trabalho apresenta o "Kraken", um ataque de canal lateral de alta ordem que, pela primeira vez, extrai parâmetros de redes neurais profundas diretamente das unidades Tensor Core de GPUs utilizando análise de potência de campo próximo e demonstra vazamento de informações de grandes modelos de linguagem a até 100 cm de distância em campo distante.

O essencial

Imagine que você tem uma receita secreta de bolo muito valiosa, guardada em uma cozinha blindada. Você vende o bolo, mas não a receita. O artigo que você leu, chamado "Kraken", revela que, mesmo com a cozinha blindada, é possível "roubar" a receita apenas observando como a cozinha funciona de fora, sem nunca entrar nela.

Aqui está a explicação do que os pesquisadores descobriram, usando analogias do dia a dia:

1. O Problema: O Roubo de "Cérebros" Digitais

Hoje em dia, as Inteligências Artificiais (como o ChatGPT) são como cérebros digitais extremamente caros. Empresas gastam milhões de dólares para treiná-los. O segredo desses cérebros são os "pesos" (números que definem como a IA pensa). Se alguém roubar esses números, pode copiar o cérebro inteiro sem pagar nada.

Até agora, os ladrões tentavam roubar esses cérebros de duas formas:

• Perguntando muito: Encher a IA de perguntas para tentar adivinhar como ela funciona (como tentar adivinhar a receita provando o bolo).
• Espionagem de perto: Colocar um microfone ou sensor bem grudado no computador para ouvir o que ele faz (ataques de "campo próximo").

2. A Grande Descoberta: O "Kraken" e o Campo Longínquo

Os autores deste artigo criaram uma nova técnica chamada Kraken. Eles descobriram duas coisas revolucionárias:

A. Ouvindo o "Ruído" dos Super-Heróis (Tensor Cores)

Os computadores modernos têm peças especiais chamadas Tensor Cores (como motores de alta performance para IA). Antes, os ladrões só conseguiam espionar as peças comuns (CUDA Cores).

• A Analogia: Imagine que o computador é uma orquestra. Antes, os ladrões conseguiam ouvir apenas os violinos (peças comuns). O Kraken conseguiu ouvir os tamborins gigantes (Tensor Cores), que tocam muito mais forte e rápido.
• O Truque: Eles criaram um "mapa de calor" (um plano do chip) para saber exatamente onde colocar o ouvido. Eles perceberam que, quando o computador calcula algo, ele usa grupos de 32 "trabalhadores" (chamados warps) ao mesmo tempo. Em vez de ouvir um trabalhador, eles ouviram o barulho coletivo de todos os 32 juntos. Isso torna o sinal muito mais claro e o roubo muito mais rápido.

B. Espionando através da Parede (Campo Longínquo)

Esta é a parte mais assustadora e impressionante.

• A Analogia: Imagine que você está tentando ouvir uma conversa secreta em uma sala ao lado.
  • Campo Próximo: Você cola o ouvido na porta (necessário antes).
  • Campo Longínquo (A nova descoberta): Você consegue ouvir a conversa através da parede e a 100 metros de distância, apenas captando as ondas de rádio que vazam do computador.
• O Experimento: Eles pegaram uma placa de vídeo potente (RTX 4090) rodando uma IA gigante (Llama 3). Colocaram um receptor de rádio a 1 metro de distância, com um vidro no meio (como uma janela). Mesmo com o vidro bloqueando, eles conseguiram captar sinais que revelavam os segredos da IA.

3. Como eles fazem isso? (A Técnica do "Detetive")

Eles usam uma técnica chamada Análise de Correlação de Potência.

• A Analogia: Imagine que você quer descobrir qual botão um funcionário apertou em um painel de luzes. Você não vê o dedo dele, mas você vê que, quando ele aperta o botão "A", a luz pisca de um jeito específico e a fiação esquenta um pouco mais.
• No Computador: Quando a IA usa um número secreto (o peso) para calcular algo, o computador consome uma quantidade específica de energia e emite uma pequena radiação.
• O "Pulo do Gato" (Ataque de Ordem Superior): Antes, os ladrões olhavam para um único cálculo. O Kraken olha para vários cálculos ao mesmo tempo que usam o mesmo número secreto. É como se, em vez de ouvir uma palavra, você ouvisse a mesma palavra repetida 10 vezes em frases diferentes. Isso torna muito mais fácil decifrar o segredo, mesmo com muito ruído de fundo.

4. Por que isso importa?

• Para as Empresas: Elas achavam que estavam seguras se não tivessem acesso físico ao servidor. O artigo mostra que não é seguro. Mesmo que o servidor esteja em um prédio trancado, se alguém estiver com um receptor de rádio na rua (ou no prédio vizinho), pode roubar a IA.
• Para a Segurança: O vidro não protege. A distância não protege (até 1 metro foi testado com sucesso).
• O Futuro: Isso força as empresas a criarem "blindagens" melhores (como gaiolas de metal) para impedir que essas ondas de rádio vazem, ou a desenvolverem IAs que não "vazam" informações tão facilmente.

Resumo em uma frase:

Os pesquisadores criaram um método de espionagem superpoderoso que consegue "ler" os segredos de uma Inteligência Artificial apenas captando as ondas de rádio que ela emite, mesmo que o computador esteja a 1 metro de distância e atrás de uma janela, sem precisar tocar no aparelho.

Resumo técnico

Aqui está um resumo técnico detalhado do artigo "Kraken: Higher-order EM Side-Channel Attacks on DNNs in Near and Far Field", apresentado em português:

1. O Problema

O investimento massivo (milhões de dólares) no treinamento de modelos de Aprendizado de Máquina (ML) modernos, especialmente Redes Neurais Profundas (DNNs) e Grandes Modelos de Linguagem (LLMs), transformou esses modelos em alvos primários para roubo de Propriedade Intelectual (PI).

• Ameaça Atual: Ataques de "roubo de modelo" baseados em APIs são comuns, mas podem ser mitigados por limitações de taxa (rate limiting), quantização ou ruído adversarial.
• Limitação das Técnicas Existentes: Ataques de canal lateral físico (Side-Channel Attacks - SCA) anteriores focaram principalmente em núcleos CUDA de propósito geral ou em microcontroladores/FPGAs. Eles frequentemente ignoraram a arquitetura específica dos Tensor Cores (unidades especializadas em multiplicação de matrizes usadas em GPUs modernas para LLMs) e não exploraram ataques de ordem superior (combinação de múltiplos vazamentos). Além disso, a extração de pesos via canais eletromagnéticos (EM) em campo distante (far-field) para LLMs era uma área inexplorada.

2. Metodologia

Os autores desenvolveram uma abordagem que combina análise de arquitetura de GPU, modelagem de vazamento de energia e ataques de canal lateral eletromagnético (EM) em duas frentes: Campo Próximo (Near-Field) e Campo Distante (Far-Field).

A. Modelagem de Vazamento Específica de GPU (Nível Warp)

• Arquitetura: As GPUs executam threads em grupos de 32 chamados warps. O trabalho anterior tentava analisar o consumo de energia de uma única thread, o que gera muito ruído devido ao paralelismo massivo.
• Inovação: Os autores propõem um modelo de vazamento no nível do warp. Eles assumem que, em implementações otimizadas, todos os 32 threads de um warp executam instruções Tensor Core (como IMMA ou HMMA) simultaneamente.
• Modelo: Em vez de analisar um único valor intermediário, o modelo agrega o consumo de energia (ou radiação EM) de todos os threads do warp que processam o mesmo peso com entradas diferentes. Isso cria um sinal de vazamento mais forte e preciso.

B. Ataques de Ordem Superior

• Conceito: Em DNNs, o mesmo peso é utilizado em múltiplos produtos escalares (dot products) com diferentes entradas ao longo do tempo (ex: uma kernel de convolução deslizando sobre a imagem ou atenção em LLMs).
• Técnica: Os autores combinam vazamentos de múltiplos pontos no tempo (diferentes instruções Tensor Core que usam o mesmo peso) para reduzir o número de medições necessárias. Isso é análogo a ataques de ordem superior usados para quebrar mascaramento em criptografia, mas aplicado aqui para acelerar a extração de pesos de redes neurais.

C. Configuração Experimental

• Campo Próximo: Utilizou-se um Jetson Orin Nano. Foi criada uma planta baixa (floorplan) do die do chip usando imagens infravermelhas para identificar os Streaming Multiprocessors (SMs). Uma sonda EM foi posicionada sobre as sub-partições dos SMs.
• Campo Distante: Utilizou-se uma GPU NVIDIA RTX 4090 executando o modelo Llama 3.2 1B. A radiação foi captada a 25 cm e 100 cm de distância (através de vidro), utilizando um Rádio Definido por Software (SDR) sintonizado na frequência de clock da GPU (~2.565 GHz).

3. Principais Contribuições

1. Primeiro Modelo de Vazamento no Nível Warp para Tensor Cores: Demonstraram que modelar o consumo de energia de todos os threads de um warp é significativamente mais eficiente do que modelos de thread única, permitindo a extração de pesos em unidades Tensor Core (antes inexploradas em SCA).
2. Primeiro Ataque de Ordem Superior em DNNs: Introduziram a combinação de múltiplos vazamentos intermediários dependentes do mesmo peso para acelerar a convergência do ataque, reduzindo drasticamente o número de traços necessários.
3. Prova de Conceito em Campo Distante (Far-Field): Realizaram a primeira extração de pesos de um LLM via radiação EM em campo distante (até 100 cm através de vidro), demonstrando que o vazamento ocorre mesmo sem acesso físico direto ao die do chip.
4. Análise de Quantização: Discutiram como esquemas de quantização podem vazar informações sobre os pesos antes mesmo de um ataque de canal lateral ser iniciado.

4. Resultados

• Campo Próximo (Eficiência):
  • O modelo de nível warp reduziu a necessidade de traços de milhões (como no trabalho anterior BarraCUDA) para apenas 100.000 traços em média para extrair pesos.
  • A combinação de ataques de ordem superior (combinando 2 ou 3 vazamentos de warp) permitiu que a classificação da chave (key rank) chegasse a 0 com apenas 10.000 traços.
  • A extração foi bem-sucedida em uma CNN de 2 camadas e em implementações de LLMs.
• Campo Distante (Viabilidade):
  • Foi possível observar vazamento relacionado a pesos e hiperparâmetros (como número de tokens gerados e tamanho de batch) a 100 cm de distância, através de uma barreira de vidro.
  • Em um ataque de prova de conceito para o Llama 3.2 1B (alvejando o 8º peso de uma matriz, com os 7 anteriores conhecidos), os autores conseguiram identificar o peso correto a 100 cm de distância com 2 milhões de traços.
  • A frequência de clock da GPU (2.565 GHz) mostrou-se um portador eficaz de informações dependentes de dados, mesmo quando a frequência de operação variava devido à carga.

5. Significado e Implicações

• Segurança de IA: O trabalho demonstra que a proteção de modelos de IA não pode depender apenas de ofuscação de API ou isolamento lógico. A segurança física (blindagem EM) é crucial, especialmente para hardware moderno que utiliza Tensor Cores.
• Vulnerabilidade de LLMs: A descoberta de que LLMs (como Llama) vazam informações de pesos via EM em campo distante é alarmante, sugerindo que modelos proprietários hospedados em data centers podem ser vulneráveis a espionagem física se não houver blindagem adequada.
• Evolução de Ataques SCA: A transição de ataques de primeira ordem (thread única) para modelos de ordem superior e nível de warp representa um avanço metodológico que pode ser aplicado a outros aceleradores de hardware.
• Limitações e Mitigação: O ataque em campo distante ainda é um "prova de conceito" e requer recursos computacionais significativos para processar milhões de traços. Para mitigação, os autores sugerem o uso de blindagem metálica (especialmente para campo distante) e técnicas de ofuscação de hardware (como masking ou shuffling) para ataques de campo próximo.

Em resumo, o artigo "Kraken" estabelece um novo marco na segurança de DNNs, provando que a extração de modelos via canais laterais eletromagnéticos é viável em hardware de ponta (Tensor Cores) e em cenários de campo distante, desafiando as suposições atuais sobre a segurança física de modelos de IA.