Ataques 'esponja' inflam o consumo de energia de redes neurais de pulso em dispositivos de borda
Pesquisadores demonstram ataques do tipo esponja contra redes neurais de pulso (SNNs), que aumentam a atividade sináptica interna do modelo — e, por consequência, seu consumo de energia — sem alterar a classe prevista pela rede, o que dificulta a detecção por monitoramento baseado apenas em corretude. Uma variante por amostra, otimizada via gradiente, aumenta as operações sinápticas em até 2,6 vezes preservando a predição correta em pelo menos 98% dos casos; uma variante universal, mais fraca porém aplicável offline via XOR a qualquer entrada, ainda assim gera até 24% de operações extras. Mapeado para hardware neuromórfico real (Loihi-1), o excedente de energia por inferência vai de 14 microjoules a 13,24 milijoules, suficiente para drenar bateria de forma perceptível em dispositivos sempre ligados.
SNNs são usadas justamente porque processam informação por eventos de pulso esparsos, em vez de ativações densas — o que as torna muito mais eficientes em energia e adequadas a hardware neuromórfico de borda, sempre ligado e alimentado por bateria. O estudo mostra que essa mesma característica cria uma superfície de ataque nova: se um adversário conseguir aumentar artificialmente a quantidade de eventos de pulso processados por uma entrada, ele infla diretamente o consumo de energia do dispositivo, sem precisar mudar a saída do modelo.
Os autores propõem dois modelos de ataque. No ataque por amostra, uma otimização baseada em gradiente constrói, para cada entrada, um trem de pulsos adversarial personalizado que maximiza as operações sinápticas (SynOps) mantendo a classe prevista praticamente inalterada — daí a dificuldade de detecção via monitoramento de acurácia. No ataque universal, uma única perturbação binária fixa, calculada offline, é aplicada via XOR a qualquer entrada subsequente, dispensando otimização por amostra em tempo real e tornando o ataque mais viável de se implantar na prática, ainda que com efeito proporcionalmente menor.
O impacto prático foi quantificado mapeando o aumento de SynOps para hardware neuromórfico real (chip Loihi-1 da Intel), resultando em sobrecarga de energia por inferência entre 14 microjoules e 13,24 milijoules — números pequenos isoladamente, mas que se acumulam de forma relevante em dispositivos que fazem inferência continuamente, como sensores de IoT ou wearables alimentados por bateria.
O ponto central para quem projeta esse tipo de sistema é que defesas tradicionais de robustez adversarial, focadas em preservar a acurácia da predição, não enxergam esse tipo de ataque, porque a esponja é desenhada precisamente para não mudar o resultado — apenas o custo de chegar até ele. Isso implica a necessidade de monitoramento direto de métricas de energia/atividade sináptica como sinal de segurança, e não apenas de corretude, à medida que SNNs se popularizam em aplicações de borda sensíveis a bateria.