«TPUXtract» permite a los atacantes robar los modelos de IA de las organizaciones

Los investigadores han demostrado cómo recrear una red neuronal utilizando señales electromagnéticas (EM) que emanan del chip que la ejecuta.

El método, llamado «TPUXtract», fue proporcionado por el Departamento de Ingeniería Eléctrica e Informática de la Universidad Estatal de Carolina del Norte. Utilizando equipos valorados en miles de dólares y una técnica novedosa llamada «plantillas en línea», un equipo de cuatro logró lograr esto. Derivar los hiperparámetros de una red neuronal convolucional (CNN) (la configuración que define su estructura y comportamiento) se ejecuta en una Unidad de procesamiento tensorial (TPU) de Google Edge con una precisión del 99,91%.

En la práctica, TPUXtract permite que un ciberatacante sin información previa robe esencialmente un modelo de inteligencia artificial (IA): puede recrear un modelo en su totalidad y utilizar los datos reales con los que fue entrenado con fines de robo intelectual de propiedad de la tienda (IP). Ciberataques de seguimiento.

Así funciona TPUXtract al recrear modelos de IA

El estudio se realizó en Google Coral Dev Board, una computadora de placa única para aprendizaje automático (ML) en dispositivos más pequeños: Think Edge, Internet de las cosas (IoT), dispositivos médicos, sistemas automotrices, etc. Los investigadores prestaron especial atención a la Unidad de procesamiento de tensor de borde (TPU) de la placa, el circuito integrado de aplicación específica (ASIC) en el corazón del dispositivo, que le permite realizar de manera eficiente tareas complejas de aprendizaje automático.

Cualquier dispositivo electrónico como este emite radiación EM como subproducto de su funcionamiento, cuya naturaleza está influenciada por los cálculos que realiza. Sabiendo esto, los investigadores llevaron a cabo sus experimentos colocando una sonda EM encima del TPU (eliminando cualquier obstrucción, como ventiladores de refrigeración) y centrándola en la parte del chip que emitía las señales EM más fuertes. Luego alimentaron la máquina con datos de entrada y registró las señales filtradas.

Para comprender estas señales, primero determinaron que una red neuronal cuantifica (comprime) sus datos de entrada antes de procesarlos. Sólo cuando los datos están en un formato adecuado para la TPU se dispara la señal EM del chip, lo que indica que los cálculos han comenzado.

En este punto, los investigadores podrían comenzar a mapear la firma EM del modelo. Sin embargo, habría sido prácticamente imposible estimar todas las docenas o cientos de capas comprimidas que componen la red al mismo tiempo.

Cada capa de una red neuronal tiene una combinación de propiedades: realiza un determinado tipo de cálculo, tiene un determinado número de nodos, etc. Es importante destacar que «la propiedad de la primera capa influye en la ‘firma’ o la». Patrón de canal lateral “Por lo tanto, intentar comprender algo sobre la segunda, décima o centésima capa se vuelve cada vez más imposible, ya que se basa en todas las propiedades de la anterior.

“Entonces, si hay ‘N’ niveles y ‘K’ números de combinaciones [of hyperparameters] «Para cada capa, el coste computacional habría aumentado de N a K», explica. Los investigadores examinaron redes neuronales con 28 a 242 capas (N) y estimaron que K (el número total de configuraciones posibles para una capa determinada) era 5.528.

En lugar de gastar cantidades infinitas de potencia informática en el problema, llegaron a la conclusión de que podían aislar y analizar cada capa por turno.

Para recrear cada capa de una red neuronal, los investigadores crearon «plantillas» (miles de combinaciones simuladas de hiperparámetros) y leyeron las señales que emitían mientras procesaban datos. Luego compararon estos resultados con las señales del modelo que querían aproximar. La simulación más cercana se consideraría correcta. Luego aplicaron el mismo proceso a la siguiente capa.

«En un día pudimos recrear completamente una red neuronal que a los desarrolladores les habría llevado semanas o meses de cálculos», informa Kurian.

La IA robada crea riesgo de propiedad intelectual y cibercrimen para las empresas

Aprovechar TPUXtract no es trivial. Además de muchos conocimientos técnicos, el proceso también requiere una variedad de dispositivos costosos y especializados.

Los investigadores de NCSU utilizaron una estación de sonda Riscure EM con una etapa XYZ motorizada para escanear la superficie del chip y una sonda electromagnética altamente sensible para detectar las señales de radio débiles. Un osciloscopio Picscope 6000E registró las trazas, el dispositivo icWaves Field-Programmable Gate Array (FPGA) de Riscure las alineó en tiempo real y el transceptor icWaves utilizó filtros de paso de banda y demodulación AM/FM para traducir y filtrar señales irrelevantes.

Por complicado y costoso que pueda ser para un solo hacker, Kurian dice: «Puede ser una empresa competidora la que quiera hacer esto, [and they could] dentro de unos días. Por ejemplo, un competidor quiere desarrollarse más [a copy of] ChatGPT sin hacer todo el trabajo. Esto puede ahorrarles mucho dinero”.

Sin embargo, el robo de propiedad intelectual es sólo una de las posibles razones por las que alguien podría querer robar un modelo de IA. Los atacantes malintencionados también podrían beneficiarse al observar los botones y diales que controlan un modelo de IA popular. Investigarlos en busca de vulnerabilidades de ciberseguridad.

Y para los particularmente ambiciosos, los investigadores también citaron cuatro estudios que se centraron en robar parámetros regulares de redes neuronales. En teoría, estos métodos podrían usarse en combinación con TPUXtract para recuperar la totalidad de cualquier modelo de IA: parámetros e hiperparámetros en su conjunto.

Para abordar estos riesgos, los investigadores sugirieron que los desarrolladores de IA podrían introducir ruido en el proceso de inferencia de la IA mediante operaciones ficticias o la ejecución simultánea de operaciones aleatorias, o confundir el análisis al aleatorizar el orden de las capas durante el procesamiento.

«Durante el proceso de capacitación», dice Kurian, «los desarrolladores deben insertar estas capas, y el modelo debe entrenarse para que sepa que no debe tener en cuenta estas capas ruidosas».