Federated Learning security with FedEDAuth: Embedding-Distribution Authentication for Counterfeit IC Detection

A cadeia de suprimentos global para os minúsculos chips que alimentam tudo, desde smartphones até dispositivos médicos, é vasta e fragmentada, estendendo-se por muitos países e empresas. Essa complexidade cria um ponto cego perigoso: componentes falsificados. Estes são chips falsos ou reciclados que parecem reais, mas falham em desempenhar sua função, podendo causar falhas catastróficas em sistemas críticos, como aeronaves ou redes elétricas. Tradicionalmente, encontrar essas falsificações exige inspeção física ou testes elétricos caros, o que é lento e difícil de padronizar. Para resolver isso, pesquisadores recorreram ao aprendizado de máquina, usando inteligência artificial para detectar as sutis diferenças visuais entre chips reais e falsos. No entanto, como os fabricantes de chips são ferozmente protetores de seus designs e dados proprietários, eles não estão dispostos a compartilhar suas imagens privadas com um computador central para treinar esses modelos de IA. Isso levou à adoção de uma abordagem colaborativa chamada aprendizado federado. Neste sistema, o modelo de IA viaja até os dados, em vez de o contrário; cada fabricante treina o modelo em seus próprios computadores privados e envia apenas as atualizações matemáticas de volta para um servidor central, mantendo suas imagens sensíveis ocultas.

Embora este método proteja a privacidade, ele introduz um risco de segurança novo e sutil. Como o servidor central nunca vê os dados brutos, ele não pode verificar se uma empresa participante é honesta. Um ator malicioso poderia ingressar na rede e envenenar sutilmente o processo de treinamento, enganando a IA global para aceitar chips falsos como reais sem que ninguém perceba. Um estudo recente realizado por pesquisadores da Universidade do Norte da Carolina em Charlotte demonstra o quão vulnerável esse sistema é e propõe uma nova maneira de protegê-lo. A equipe mostrou que um atacante com acesso a menos de cinco por cento dos dados totais de treinamento poderia corromper com sucesso todo o sistema. Ao adicionar pequenos riscos, quase invisíveis, às suas imagens de chips, eles ensinaram a IA a ignorar os sinais de falsificações. As defesas padrão projetadas para pegar maus atores falharam completamente porque o ataque era silencioso demais para disparar alarmes. Para combater isso, os pesquisadores desenvolveram um novo sistema de autenticação que verifica a "impressão digital" estatística dos dados antes mesmo de serem usados para treinar o modelo. Este novo método identificou e bloqueou com sucesso todos os participantes maliciosos em seus testes, permitindo que a rede colaborativa funcionasse de forma segura e precisa.

O cerne do problema reside na natureza do próprio ataque. Em uma configuração típica de aprendizado federado, um servidor central coordena o treinamento de um modelo compartilhado coletando atualizações de dezenas de clientes diferentes, como fundições de chips e instalações de teste. Os pesquisadores simularam um cenário com cinquenta desses clientes. Eles descobriram que, se apenas três desses clientes fossem comprometidos, eles poderiam lançar um ataque de envenenamento de dados furtivo. Em vez de tentar quebrar o sistema com erros barulhentos e óbvios, os atacantes adicionaram um padrão visual específico e sutil às suas imagens. Esse padrão imitava variações superficiais naturais encontradas em chips antigos ou reciclados, como riscos leves ou manchas. Como o padrão era tão realista, ele se misturava perfeitamente aos dados normais. Quando esses três clientes treinaram seus modelos locais com esses dados envenenados, as atualizações resultantes pareceram estatisticamente idênticas às atualizações dos clientes honestos.

Quando o servidor central combinava essas atualizações usando métodos padrão, a corrupção sutil se acumulava ao longo do tempo. O modelo global gradualmente aprendeu a associar o padrão de risco falso com chips autênticos. Consequentemente, a IA começou a classificar incorretamente chips falsos reais como genuínos, tudo isso mantendo uma pontuação de precisão geral alta que escondia o dano. Os pesquisadores testaram isso contra três mecanismos de defesa comuns usados para proteger o aprendizado federado: um que faz a média de todas as atualizações, um que remove os valores discrepantes mais extremos e um que seleciona os modelos mais similares. Nenhum deles funcionou. O ataque era sutil demais para ser sinalizado como um valor discrepante, e o processo de média diluiu o sinal o suficiente para permanecer indetectável. Na verdade, a precisão geral do modelo caiu menos de meio por cento, uma mudança tão pequena que os operadores provavelmente assumiriam que o sistema estava funcionando perfeitamente, enquanto ele estava, na verdade, falhando em sua tarefa mais crítica: detectar falsificações.

Para visualizar o que estava acontecendo dentro da IA, os pesquisadores usaram uma técnica que destaca quais partes de uma imagem o modelo está focando. Em um modelo limpo e não corrompido, a IA olhava para os detalhes estruturais do chip, como as linhas metálicas e o centro do die. No modelo envenenado, a atenção da IA deslocou-se desses recursos importantes e fixou-se no padrão de risco artificial que os atacantes haviam adicionado. O modelo aprendeu a lição errada, tratando o risco falso como um sinal de autenticidade. Isso confirmou que o ataque não era apenas um erro estatístico, mas uma corrupção direcionada do entendimento interno do modelo. O perigo é que, como a precisão geral permaneceu alta, não havia um sinal de aviso óbvio de que o sistema havia sido comprometido.

Reconhecendo que verificar os resultados finais era tarde demais, os pesquisadores propuseram uma nova defesa chamada Autenticação de Distribuição de Embedding Federado, ou FedEDAuth. Este sistema opera antes mesmo do início do treinamento. Em vez de esperar para ver se as atualizações do modelo são suspeitas, ele verifica os próprios dados. O sistema usa uma IA pré-treinada e confiável para converter cada imagem que um cliente envia em uma representação matemática, conhecida como embedding. Esse processo captura a essência da imagem sem revelar a foto real, protegendo a propriedade intelectual do cliente. Um servidor separado e confiável então compara a distribuição desses embeddings de cada cliente contra uma referência "golden" conhecida do que as imagens de chips autênticos devem parecer.

Os pesquisadores descobriram que, embora os atacantes tenham tentado esconder seu veneno, as propriedades estatísticas de seus dados os traíram. As imagens envenenadas formavam um cluster distinto no espaço matemático que era diferente da variação natural dos chips honestos. O sistema mediu três coisas específicas: quantas imagens caíam fora da faixa normal, se a posição média das imagens havia mudado e se as imagens formavam um grupo apertado e isolado que não pertencia ali. Ao combinar essas medições, o sistema conseguiu identificar os clientes maliciosos com precisão perfeita. Em seus testes envolvendo cinquenta clientes e múltiplos cenários aleatórios, o sistema detectou todos os três participantes comprometidos todas as vezes, com zero alarmes falsos.

Uma vez que os clientes maliciosos foram filtrados, os quarenta e sete clientes honestos restantes continuaram o treinamento do modelo. O resultado foi um sistema de detecção global que performou quase tão bem quanto faria sem qualquer ataque. O modelo final alcançou uma precisão de quase noventa e um por cento e identificou corretamente noventa e cinco por cento dos chips falsificados. Isso provou que a rede colaborativa pode ser tanto privada quanto segura, desde que haja uma maneira de verificar a integridade dos dados antes que eles influenciem o modelo. Os pesquisadores observaram que, embora seu teste específico tenha usado um tipo particular de gatilho visual, o método é robusto o suficiente para capturar diferentes tipos de ataques sutis. Eles também reconheceram que as imagens falsificadas em seu estudo foram geradas usando simulações digitais em vez de espécimes físicos, o que é uma limitação, mas o princípio subjacente de verificar distribuições de dados permanece válido.

As implicações deste trabalho estendem-se para além da simples detecção de chips falsos. A mesma vulnerabilidade existe em qualquer campo onde dados sensíveis são compartilhados para aprendizado de máquina colaborativo, como na detecção de Trojans de hardware ou na verificação da integridade da cadeia de suprimentos. O estudo sugere que confiar apenas na verificação das atualizações finais do modelo é insuficiente para segurança de alto nível. Em vez disso, uma abordagem proativa que valida os dados na fonte é essencial. Ao introduzir uma terceira parte confiável para verificar a natureza estatística dos dados, os pesquisadores mostraram um caminho para a colaboração segura na indústria de semicondutores. Esta abordagem garante que o modelo global possa aprender com diversas fontes sem ser silenciosamente corrompido por um único ator malicioso, protegendo a base da tecnologia que alimenta o mundo moderno.