Resumo Técnico: SoK: Panorama de Ataques e Defesas de Sistemas de IA On-device Móvel

Declaração do Problema

Os sistemas de IA On-device Móvel (MOAI - Mobile On-device AI) representam uma mudança de paradigma onde modelos de IA são implantados localmente em dispositivos de usuários finais, em vez de dependerem de serviços remotos na nuvem. Embora esta arquitetura ofereça vantagens significativas em privacidade (processamento de dados local), latência (sem transmissão de rede) e capacidade offline, ela altera fundamentalmente o cenário de segurança. Diferente dos sistemas baseados em nuvem, onde os modelos residem em ambientes de servidor controlados, os sistemas MOAI armazenam artefatos de modelos proprietários diretamente nos dispositivos dos usuários. Este armazenamento local expõe os modelos a um conjunto único de ameaças, incluindo engenharia reversa, despejo de memória (memory dumping) e extração não autorizada, que não são prevalentes no software móvel tradicional ou em contextos de IA na nuvem.

A literatura existente tem se concentrado amplamente em Edge AI, TinyML ou subconjuntos específicos como roubo de modelos (model stealing), carecendo de um framework holístico que aborde os riscos de segurança de ponta a ponta dos sistemas MOAI. Existe uma lacuna crítica na compreensão de como a inferência local remodela as fronteiras de confiança entre entradas do usuário, modelos residentes no dispositivo, runtimes e isolamento de hardware, bem como uma falta de orientação sistemática sobre pilares de segurança fundamentais e soluções de defesa práticas.

Metodologia

Este artigo apresenta a primeira sistematização de conhecimento (SoK) abrangente relativa à segurança de MOAI. Os autores adotam uma perspectiva de sistema móvel holística, analisando as arquiteturas MOAI como composições em camadas de software móvel tradicional e componentes neurais locais. A metodologia envolve:

1. Caracterização Arquitetônica: Definir sistemas MOAI através de quatro camadas distintas: Interface de Entrada, Artefato do Modelo de IA, Execução de Runtime e Isolamento de Hardware.
2. Derivação de Pilares de Segurança: Estabelecer três pilares centrais que capturam as propriedades de proteção essenciais dos sistemas MOAI.
3. Modelagem de Ameaças: Formalizar três tipos de adversários com base em suas capacidades e pontos de manipulação: nível de entrada, nível de modelo e nível de execução.
4. Desenvolvimento de Taxonomia: Categorizar sistematicamente ataques e mecanismos de defesa existentes com base nos modelos de ameaça definidos e nas fases de implantação (pré-implantação, runtime, pós-implantação).
5. Análise Cross-Pillar: Mapear ataques e defesas para os pilares de segurança para identificar lacunas, trade-offs e problemas em aberto.

Principais Contribuições

1. Pilares de Segurança de Sistemas MOAI

O artigo estabelece um framework caracterizando a segurança de MOAI através de três pilares:

• Pilar I: Integridade da Entrada governada pelo Usuário: Garantir a integridade dos dados adquiridos de sensores e interações do usuário antes que sejam consumidos pelo modelo.
• Pilar II: Segurança do Modelo residente no Dispositivo: Proteger a confidencialidade e a integridade dos artefatos do modelo (pesos, estrutura) armazenados no dispositivo contra extração e modificação.
• Pilar III: Confinamento do Ambiente nativo do Dispositivo: Garantir que o ambiente de execução de runtime (SO, memória, hardware) isole os estados de inferência de componentes não confiáveis.

2. Panorama de Ataques e Taxonomia Abrangente

Os autores categorizam os ataques MOAI em cinco categorias distintas baseadas em três modelos de ameaça:

• Ataques Adversários: Incluindo exploração de similaridade de modelo, reconstrução de gradiente e manipulação de pré-processamento. Estes visam primariamente o Pilar I, mas frequentemente utilizam a acessibilidade do Pilar II.
• Ataques de Backdoor: Envolvendo injeção de payload, exploração de quantização de modelo e esteganografia de imagem para implantar gatilhos. Estes acoplam os Pilares I e II.
• Ataques de Pesos Adversários: Alteração direta de parâmetros (ex: TYPHON) para alterar o comportamento da inferência, visando o Pilar II.
• Ataques de Roubo de Modelo: Utilizando análise estática, análise dinâmica e ataques de canal lateral para extrair artefatos de modelo. Estes visam o Pilar II e estendem-se ao Pilar III quando os modelos só são recuperáveis durante o runtime.
• Ataques de Energia-latência: Visando a disponibilidade do modelo ao aumentar o consumo de recursos, abrangendo os três pilares.

3. Panorama de Defesas e Taxonomia Abrangente

As defesas são categorizadas por fase de implantação e mecanismo:

• Ofuscação de Modelo: Ocultação em nível de software (renomeação, acoplamento de operadores) e em nível de hardware (divisão de modelos com segredos de hardware) para dificultar a extração.
• Autorização de Modelo: Vincular a utilidade do modelo a contextos de aplicativos autenticados (ex: MMGuard) para evitar o uso não autorizado.
• Ambientes de Execução Confiáveis (TEE): Executar modelos ou componentes sensíveis dentro de enclaves isolados por hardware (Offloading Monolítico, Particionado ou Ofuscado).
• Watermarking de Modelo: Verificação de propriedade pós-implantação (ex: THEMIS) para detectar o reuso não autorizado.

4. Identificação de Problemas em Aberto

A análise revela nove problemas críticos em aberto (OP1–OP9) onde a pesquisa atual falha:

• Lacunas de Praticidade: Muitos ataques (ex: perturbações adversárias) exigem suposições (como controle de entrada) que são impraticáveis em implantações MOAI do mundo real (OP1, OP5).
• Sigilo e Precisão: Definir backdoors furtivos sem mudanças observáveis (OP2) e localizar precisamente pesos críticos para manipulação (OP3) continua sendo difícil.
• Complexidade de Extração: Criptografia customizada e frameworks não padronizados complicam a extração confiável de modelos (OP4).
• Limitações de Defesa: As defesas enfrentam trade-offs em equivalência executável (OP6), robustez de aplicação no lado do cliente (OP7), viabilidade de implantação de TEE em hardware heterogêneo (OP8) e robustez de watermarking contra redeploys (OP9).

5. Direções de Pesquisa Futura

O artigo delineia três direções emergentes:

• Treinamento On-device: Abordar os riscos de segurança introduzidos por atualizações locais de modelos e exposição de gradientes.
• GenAI On-device: Investigar ameaças únicas em Grandes Modelos de Linguagem (LLMs) e modelos generativos, como prompt injection e jailbreaking.
• Sistemas MOAI Agênticos: Securar fluxos de trabalho onde agentes de IA interagem com serviços do SO, ferramentas e interfaces entre aplicativos, exigindo governança de ação de ponta a ponta.

Resultados e Descobertas

A sistematização revela uma "assimetria de segurança" nos sistemas MOAI. O Pilar II (Segurança do Modelo residente no Dispositivo) é a preocupação central, pois o armazenamento local expõe inerentemente os modelos. No entanto, a praticidade dos ataques é fortemente restringida pelo pipeline de implantação:

• Viabilidade de Ataque: Embora o armazenamento local teoricamente permita a extração de modelos, ataques práticos são dificultados pela criptografia, heterogeneidade de frameworks e pela dificuldade de manipular entradas governadas pelo usuário.
• Trade-offs de Defesa: As defesas existentes frequentemente incorrem em overheads significativos. Por exemplo, soluções baseadas em TEE melhoram a confidencialidade, mas enfrentam gargalos em pressão de memória e integração de hardware. Técnicas de ofuscação podem aumentar o tamanho do pacote ou o uso de RAM, e mecanismos de autorização podem introduzir latência de inicialização.
• Cobertura Parcial: Nenhuma defesa única cobre todos os pilares de forma eficaz. Por exemplo, TEEs protegem estados de runtime (Pilar III), mas podem não prevenir totalmente a extração pré-implantação se o modelo não for criptografado antes do carregamento.

Significância

Este trabalho estabelece o primeiro framework sistemático para compreender os panoramas de ataque e defesa de sistemas MOAI. Ao ir além de surveys isolados de roubo de modelos ou segurança de edge, ele fornece uma visão unificada de como a inferência local remodela os requisitos de segurança. O artigo serve como uma referência fundamental para pesquisadores e profissionais, oferecendo uma taxonomia estruturada para guiar o desenvolvimento de sistemas MOAI seguros. Ele destaca que assegurar MOAI requer mais do que apenas proteger o artefato do modelo; exige uma abordagem holística que considere a integridade da entrada, o confinamento do runtime e as realidades práticas das restrições de implantação móvel. Os problemas em aberto identificados e as direções futuras fornecem um roteiro para avançar a pesquisa neste domínio crítico.