No mundo moderno da eletrônica, os projetos de chips de computador são escritos em uma linguagem especializada chamada Nível de Transferência de Registrador, ou RTL (Register Transfer Level). Durante décadas, engenheiros criaram manualmente essas instruções intrincadas para dizer ao hardware exatamente como processar dados. Recentemente, um novo tipo de inteligência artificial conhecido como modelo de linguagem de grande escala começou a escrever esse código automaticamente. Esses modelos podem pegar uma frase simples descrevendo uma função de hardware e gerar o código complexo e sintetizável necessário para construí-la, prometendo acelerar a criação de tudo, desde smartphones até satélites. No entanto, essa conveniência introduz um perigo oculto. Assim como um aprendiz humano pode aprender maus hábitos de um professor falho, esses modelos de IA podem ser secretamente corrompidos durante seu treinamento. Um invasor poderia injetar instruções maliciosas nos dados de aprendizado do modelo, fazendo com que ele se comporte normalmente na maior parte do tempo, mas insira uma falha oculta, como um Trojan de hardware, sempre que uma frase específica e aparentemente inocente for usada. Isso cria uma ameaça silenciosa na cadeia de suprimentos, onde um chip pode parecer funcionar perfeitamente até que um gatilho específico ative uma função secreta e prejudicial.

O desafio para os defensores é que esses modelos são frequentemente massivos, complexos e treinados em dados que nenhuma empresa consegue verificar totalmente. Os métodos tradicionais para corrigir um modelo envenenado geralmente exigem o retreinamento de todo o sistema do zero, um processo que é tão computacionalmente caro e pesado em termos de dados que é muitas vezes impossível para as equipes de design realizar. Além disso, simplesmente tentar fazer o modelo "esquecer" os dados ruins muitas vezes quebra sua capacidade de escrever código bom, deixando o hardware inútil. Pesquisadores da Universidade Central da Flórida desenvolveram uma nova abordagem chamada RTLGuard para resolver esse dilema. Em vez de reconstruir todo o modelo, eles usam uma técnica leve que combina um pequeno modelo "professor" confiável com o grande modelo "aluno" potencialmente envenenado. O professor, que foi treinado em um pequeno conjunto de dados limpos e verificados, guia o aluno para desaprender os comportamentos maliciosos, mantendo intacta sua capacidade de escrever código de hardware correto.

Os pesquisadores testaram este método criando primeiro seus próprios modelos envenenados. Eles pegaram modelos de IA padrão de código aberto e os ajustaram usando uma mistura de dados limpos e amostras maliciosas projetadas para esconder Trojans de hardware. Esses Trojans eram sutis; os modelos ainda produziriam código que parecia correto e funcionava como esperado sob condições normais, mas incorporariam falhas ocultas que poderiam vazar dados, desligar sistemas ou degradar o desempenho quando uma frase de gatilho específica fosse usada. Em seus experimentos, esses modelos envenenados falharam em gerar código seguro cerca de 91 por cento das vezes quando testados com frases de gatilho, enquanto sua capacidade de gerar código correto e funcional caiu significativamente. Os pesquisadores então aplicaram o RTLGuard, usando uma versão muito menor e limpa da mesma família de modelos como o professor. Este professor não precisava saber quais eram os gatilhos maliciosos específicos; ele simplesmente fornecia uma referência confiável do que seria o código correto e seguro.

Os resultados mostraram que essa abordagem professor-aluno neutralizou com sucesso a ameaça sem destruir a utilidade do modelo. Quando os pesquisadores usaram um modelo professor do mesmo tamanho que o aluno envenenado, a taxa de sucesso do ataque caiu de 91 por cento para apenas 16 por cento. Mesmo quando o professor era significamente menor que o aluno envenenado, a defesa permaneceu eficaz, reduzindo a taxa de sucesso do ataque para entre 20 e 30 por cento. Crucialmente, os modelos não perderam sua capacidade de realizar seu trabalho. Antes da defesa, os modelos envenenados eram capazes de gerar código funcional e correto apenas cerca de 19 por cento das vezes. Após serem limpos pelo RTLGuard, sua taxa de sucesso em gerar código funcional saltou para mais de 45 por cento. Esse progresso ocorreu em diferentes tipos de arquiteturas de IA e mesmo quando o professor e o aluno pertenciam a famílias diferentes, sugerindo que o método é robusto e adaptável.

O estudo também explorou por que este método funciona tão bem, decompondo o processo em três partes. O sistema primeiro usou supervisão padrão para ensinar o aluno a escrever código correto novamente. Em seguida, utilizou uma técnica chamada destilação de conhecimento, onde o aluno imita as escolhas do professor para cada palavra que gera, efetivamente sobrescrevendo os maus hábitos aprendidos durante a fase de envenenamento. Finalmente, alinhou as representações internas dos dois modelos, garantindo que o "processo de pensamento" do aluno correspondesse à lógica limpa do professor. Os pesquisadores descobriram que usar os três componentes juntos produziu os melhores resultados, superando em muito os métodos que dependiam de apenas uma dessas técnicas. Eles também compararam o RTLGuard com outras estratégias de defesa existentes, como aquelas projetadas para fazer modelos esquecerem dados específicos ou para destilar padrões de atenção. Nessas comparações, o RTLGuard alcançou consistentemente uma taxa menor de ataques bem-sucedidos, mantendo uma maior qualidade de código, provando que uma recuperação direcionada e leve é mais eficaz do que correções amplas e pesadas.

Uma das descobertas mais significativas foi que a defesa funcionou mesmo quando os modelos foram testados em dados que nunca haviam visto antes. Os pesquisadores avaliaram os modelos limpos em um conjunto diferente de problemas de design de hardware do que os usados durante o treinamento, e os modelos continuaram a resistir aos ataques enquanto geravam código de alta qualidade. Isso sugere que a defesa não apenas memoriza uma lista de exemplos ruins para evitar, mas aprende uma compreensão fundamental de princípios de design seguro a partir do professor. Os pesquisadores também verificaram seus resultados usando múltiplos métodos, incluindo o uso de um segundo sistema de IA independente para verificar as saídas e a inspeção manual de uma amostra do código. Essas verificações confirmaram que a redução nos ataques era real e que os erros restantes não eram apenas artefatos do processo de teste.

Este trabalho destaca uma mudança crítica em como podemos proteger o futuro do design de hardware. Em vez de assumir que um modelo é ou perfeitamente seguro ou completamente quebrado, o RTLGuard demonstra que sistemas comprometidos podem ser reparados de forma eficiente. A abordagem requer apenas uma pequena quantidade de dados confiáveis e uma fração do poder computacional necessário para o retreinamento total, tornando-a uma solução prática para empresas que dependem de modelos de IA de terceiros. Ao usar um guia confiável para direcionar o modelo de volta ao comportamento seguro, os pesquisadores mostraram que é possível manter a velocidade e a conveniência do design automatizado sem sacrificar a segurança do produto final. O estudo conclui que este framework professor-aluno oferece um caminho viável para proteger a integridade da cadeia de suprimentos de chips contra ameaças ocultas baseadas em dados.