GradLock: ataque de cadeia de suprimentos injeta dados sensíveis diretamente nos pesos de um modelo de IA
O GradLock é um ataque de injeção em tempo de treinamento que embute dados sensíveis do conjunto de treino diretamente nos parâmetros de um modelo, a partir de um componente de código aberto comprometido na cadeia de suprimentos de IA. A técnica usa indexação determinística sem estado para criar "cofres" de dados isolados dentro do modelo e um mecanismo de trava de gradiente que impede o payload de se degradar durante o treinamento, permitindo recuperação quase perfeita (SSIM próximo de 1,0) em menos de um segundo, mesmo depois de quantização, poda ou fine-tuning. Em um estudo com usuários, 93,3% dos participantes não perceberam a lógica maliciosa embutida no código.
O cenário de ameaça do GradLock é a cadeia de suprimentos de IA de código aberto: bibliotecas de treino, scripts de fine-tuning ou checkpoints baixados de repositórios públicos que, uma vez comprometidos, passam a instruir o processo de treinamento a memorizar e reter dados específicos dentro dos próprios pesos do modelo final — sem que o atacante precise manter qualquer acesso ao ambiente de treinamento depois disso.
Tecnicamente, o ataque cria "cofres" de dados isolados usando indexação determinística sem estado, o que permite localizar e extrair informações específicas dos pesos do modelo de forma previsível, sem depender de metadados externos. O componente mais original é a "trava de gradiente dinâmica": durante etapas subsequentes de otimização (incluindo fine-tuning feito por terceiros de boa-fé, depois que o modelo já foi distribuído), esse mecanismo protege o payload injetado de ser sobrescrito ou apagado pelo gradiente normal do treinamento, algo que ataques de injeção anteriores não conseguiam garantir.
Isso importa porque desloca o risco de vazamento de dados de treino de um problema de "o modelo generalizou demais e reconstrução por model inversion é possível" para um problema deliberado de cadeia de suprimentos: qualquer biblioteca, script ou checkpoint de terceiros usado no pipeline de treinamento vira um vetor plausível de exfiltração de dados privados, com fidelidade de reconstrução próxima de pixel-perfect e robustez a otimizações padrão de deploy como quantização e poda — as mesmas técnicas que equipes de ML aplicam rotineiramente sem pensar nelas como superfície de segurança.
O dado mais preocupante do estudo é o de detectabilidade: 93,3% dos participantes de um estudo de implantação não identificaram a lógica maliciosa no código, o que sugere que revisão de código manual — a defesa mais comum hoje contra pacotes maliciosos — não é suficiente para pegar esse tipo de ataque em pipelines de treinamento de IA. Isso reforça a necessidade de auditoria automatizada e proveniência verificável (assinatura, hash, SBOM) para qualquer componente de terceiros usado para treinar modelos que lidam com dados sensíveis.