Attacking AI Accelerators by Leveraging Arithmetic Properties of Addition

Resumo Técnico: Ataque de Envelhecimento Acelerado em Aceleradores de IA

1. O Problema

A confiabilidade dos modelos de Inteligência Artificial (IA) depende intrinsecamente da integridade do hardware subjacente. Com a escalada da tecnologia de semicondutores para regimes nanométricos, os circuitos integrados (CIs) enfrentam desafios críticos de confiabilidade devido a fenômenos de envelhecimento, como a Instabilidade de Temperatura e Viés Negativo (NBTI). O NBTI causa o aumento gradual da tensão de limiar ($V_{th}$) em transistores PMOS, levando a atrasos de comutação, aumento do consumo de energia e, eventualmente, falhas funcionais.

Embora o envelhecimento seja um processo natural, ataques de hardware podem acelerar deliberadamente esse processo para induzir falhas prematuras ou degradação de desempenho. Ataques anteriores geralmente envolvem manipulação de carga de trabalho, circuitos Trojan adicionais ou variações térmicas, o que muitas vezes resulta em sobrecarga de área, consumo de energia ou é facilmente detectável por métodos de anomalia. O desafio atual é desenvolver um ataque que seja furtivo (sem alterar a funcionalidade lógica imediata), tenha custo zero de área e cause degradação significativa a longo prazo em aceleradores de IA, como arrays sístólicos.

2. Metodologia Proposta

Os autores propõem um novo ataque de envelhecimento baseado na propriedade comutativa da adição ($A + B = B + A$). O ataque visa os multiplicadores dentro das unidades MAC (Multiply-Accumulate), que são o núcleo dos aceleradores de IA.

• Mecanismo do Ataque:

  • Os multiplicadores são compostos por arrays de somadores (Full Adders e Half Adders).
  • A propriedade comutativa permite que as conexões de entrada de um somador sejam permutadas (ex: trocar as entradas B e C) sem alterar o resultado lógico da soma ($Sum = A \oplus B \oplus C$).
  • O Pulo do Gato: Embora a saída lógica permaneça correta, a permutação das entradas altera quais transistores PMOS específicos dentro do circuito sofrem estresse de viés negativo (estado "ON" com gate em 0V) com maior frequência.
  • Ao reconfigurar estrategicamente as conexões, o atacante pode forçar um subconjunto específico de transistores a operar sob estresse NBTI muito mais intenso do que o projetado, acelerando seu envelhecimento e aumentando o atraso de propagação ao longo do tempo.

• Algoritmo de Seleção (Algoritmo 1):

  • Utiliza uma travessia em profundidade (DFS) em grafos do circuito para identificar os caminhos críticos.
  • Simula o comportamento de envelhecimento para diferentes permutações de entrada em cada somador.
  • Seleciona greedymente (gananciosamente) os somadores e as permutações que maximizam o estresse nos transistores, visando causar o maior atraso possível com o menor número de alterações (para manter a furtividade).

• Modelo de Ameaça:

  • Assume-se que um fornecedor de IP não confiável ou uma fundição maliciosa (Vendor B) insere o defeito durante o projeto ou fabricação, antes do teste final pelo fabricante legítimo (Vendor A).
  • O ataque não altera a lógica booleana, tornando-o indetectável em testes funcionais padrão e em testes de tempo de vida (guard bands) baseados em envelhecimento natural.

3. Contribuições Principais

1. Novo Vetor de Ataque: Demonstração de que a exploração de propriedades matemáticas (comutatividade) em blocos lógicos pode ser usada para induzir envelhecimento acelerado sem alterar a funcionalidade imediata.
2. Baixa Sobrecarga: O ataque requer apenas o "rewiring" (reconexão) de pinos de entrada existentes, resultando em sobrecarga de área e software virtualmente nula.
3. Furtividade: Como a saída lógica é correta e as violações de tempo ocorrem apenas após anos de degradação acelerada, o ataque evade a maioria dos métodos de detecção de anomalias e testes de fábrica.
4. Aplicabilidade Universal: O método é aplicável a qualquer bloco lógico comutativo, sendo demonstrado em multiplicadores de arrays sístólicos (TPUs), CPUs e GPUs.

4. Resultados Experimentais

Os experimentos foram realizados utilizando a tecnologia GlobalFoundries 22nm e simulações no Cadence Spectre, considerando variações de processo e modelos de envelhecimento NBTI.

• Degradação de Atraso:

  • Em multiplicadores de 8 bits, o ataque causou um aumento adicional de 29% no atraso após 4 anos (comparado ao envelhecimento natural) em multiplicadores Array, e 48% em multiplicadores Wallace Tree, quando todos os somadores do caminho crítico foram alvo.
  • Multiplicadores de maior largura de bit (16 bits) mostraram uma degradação ainda mais severa, com aumentos de atraso de até 49% em 4 anos.

• Probabilidade de Erro:

  • O ataque aumentou significativamente a probabilidade de violações de tempo (timing violations).
  • Para multiplicadores de 16 bits com ataque total (M-All-100%), a probabilidade de erro atingiu 35% após 4 anos, comparado a 16% em versões de 8 bits.

• Impacto na Precisão de Modelos de IA:

  • O ataque foi testado em uma variedade de modelos (CNNs como Darknet, ResNet, VGG; GNNs; e Transformers como BERT) com conjuntos de dados como CIFAR-10, NCI-1 e SST-2.
  • Resultados Chave:
    • Darknet (CIFAR-10): Perda de precisão de até 55% após 4 anos.
    • VGG11: Perda de precisão de 62% (com multiplicadores de 16 bits e ataque total).
    • Média Geral: Uma perda de precisão de 38% em média para todos os modelos após 4 anos.
    • O ataque causou uma queda de precisão de até 64% em cenários específicos.
  • Modelos com menor precisão de bits (6-bit) sofreram degradação mais rápida e severa do que os de 16-bit, devido à menor margem de erro tolerável.

• Comparação com Trabalhos Anteriores:

  • O método proposto superou ataques baseados em "Trojan de Confiabilidade de Processo" e "Trojan Consciente de Carga de Trabalho" em termos de taxa de erro induzida, mantendo-se com custo de implementação zero.

5. Significado e Conclusão

Este trabalho revela uma vulnerabilidade fundamental e subestimada na arquitetura de hardware de IA: a dependência de propriedades matemáticas que, embora garantam a correção lógica, podem esconder desequilíbrios físicos de estresse nos transistores.

A implicação mais grave é que os mecanismos de defesa atuais (como guard bands de tempo) são insuficientes contra este tipo de ataque, pois eles são calibrados para o envelhecimento natural e não para a aceleração seletiva de transistores específicos através de reconfiguração de cabos. O ataque demonstra que um adversário pode comprometer a confiabilidade de sistemas críticos (veículos autônomos, diagnósticos médicos) ao longo do tempo, sem ser detectado durante a fabricação ou no início da operação, transformando hardware confiável em um sistema falho após alguns anos de uso.

O estudo conclui que a segurança de hardware para IA deve evoluir para considerar não apenas a lógica funcional, mas também a distribuição física de estresse térmico e elétrico nos componentes aritméticos.