ROBBIN usa Rowhammer para implantar backdoors em modelos de IA direto na memória
Pesquisadores demonstram um ataque "hardware-aware" que explora os bit-flips do Rowhammer em DRAM DDR4 real para injetar backdoors em redes neurais durante a inferência, atingindo cerca de 90% de taxa de sucesso mantendo mais de 83% de acurácia normal, adaptando o ataque ao padrão específico de cada chip.
Rowhammer é uma técnica de injeção de falha em hardware já bem conhecida: acessar repetidamente uma linha de DRAM pode inverter bits em linhas vizinhas fisicamente próximas. Trabalhos anteriores já usaram isso para inverter bits nos pesos de um modelo e plantar um backdoor, mas projetavam o ataque em nível puramente algorítmico, ignorando quais bit-flips o hardware real de fato produziria — o que gerava ataques pouco confiáveis, com corrupção colateral em posições não desejadas que degradava tanto a taxa de sucesso do ataque quanto a acurácia em entradas normais.
O ROBBIN inverte essa lógica: primeiro caracteriza empiricamente o padrão de bit-flips explorável de um chip DDR4 específico, e só então escolhe iterativamente o mapeamento de páginas de DRAM para os pesos do modelo, de modo que os bit-flips que aquele hardware realmente produz coincidam com o backdoor desejado — tratando cada flip induzido por hammering como parte integral do design do ataque, em vez de descartar flips colaterais como ruído a ser tolerado.
O ponto mais preocupante é que esse ataque mira a camada abaixo do modelo em si: se um atacante (ou um processo/VM co-residente malicioso) tem acesso à memória da máquina que serve o modelo, ele pode inverter bits nos pesos sem nunca tocar no arquivo do modelo em disco. Isso significa que verificações de integridade baseadas em hash do arquivo ou escâneres de backdoor que analisam o modelo salvo não detectam nada — a cópia em disco permanece limpa, e só a cópia em memória, ativa durante a inferência, está comprometida.
Os experimentos em ResNet-20 e VGG-16 com CIFAR-10, em três chips DDR4 comerciais diferentes, mostram consistência próxima de 90% de taxa de sucesso do ataque com acurácia limpa acima de 83% em todos os dispositivos testados, apesar da variabilidade natural de padrões de bit-flip entre chips — um resultado mais robusto e preocupante do que ataques de Rowhammer anteriores que dependiam de mapas de bit-flip conhecidos previamente, ainda que a demonstração se limite a modelos pequenos em ambiente de laboratório.