Pesquisadores usam PUFs de hardware para rastrear roubo de modelos de IA via destilação de conhecimento
Um novo método embute assinaturas físicas únicas (PUFs, Physical Unclonable Functions) derivadas de FPGAs diretamente nos logits do modelo professor durante a destilação de conhecimento, fazendo com que qualquer modelo aluno treinado a partir desses logits herde uma identidade rastreável ao dispositivo de origem. A técnica resiste a modificações pós-destilação e permite atribuir vazamentos de propriedade intelectual a um dispositivo específico, algo que watermarking de software tradicional não consegue.
A destilação de conhecimento (knowledge distillation) é uma técnica legítima e amplamente usada para comprimir um modelo grande (“professor”) em um modelo menor (“aluno”) que aprende a imitar suas saídas, permitindo implantação em dispositivos com menos recursos. O problema de segurança que o artigo ataca é que essa mesma técnica é a via mais comum de roubo de propriedade intelectual de modelos proprietários: um adversário com acesso apenas às saídas (logits) de uma API paga pode treinar um modelo aluno que replica boa parte da capacidade do professor, sem nunca ter acesso aos pesos originais — efetivamente clonando o investimento de treinamento do dono do modelo.
As defesas existentes contra esse tipo de roubo se dividem em duas categorias insuficientes: watermarking de software, que costuma não sobreviver ao processo de destilação porque a marca fica diluída ou removida quando o aluno aprende apenas um subconjunto do comportamento do professor; e controle de acesso baseado em hardware, que impede cópia mas não oferece nenhuma granularidade para identificar qual dispositivo específico vazou o modelo depois que o vazamento já ocorreu. A proposta deste trabalho é fechar essa lacuna combinando as duas abordagens: usar uma PUF (Physical Unclonable Function) — uma característica física única e não clonável de cada chip, aqui derivada de osciladores em anel medidos em uma FPGA Xilinx Zynq-7020 — para gerar uma assinatura específica do dispositivo, e superpor essa assinatura aos logits do professor durante o processo de destilação.
O resultado técnico interessante é que a assinatura sobrevive ao processo de destilação porque é embutida na própria distribuição de probabilidade que o aluno aprende a imitar, e não em um padrão superficial que pode ser removido por fine-tuning adicional. Os autores demonstram que o framework é agnóstico à arquitetura — funciona tanto para CNNs quanto Vision Transformers e encoders — e implementam um pipeline de recuperação em duas etapas (um decodificador neural seguido de refinamento por distância de Hamming) que mantém alta precisão de identificação mesmo sob condições ruidosas, além de um esquema de codificação multinível para suportar identificação em escala, com muitos dispositivos diferentes.
Na prática, isso dá a provedores de modelos proprietários uma ferramenta de responsabilização pós-vazamento: se um modelo aluno suspeito aparece publicamente ou em um concorrente, é possível extrair a assinatura PUF embutida e rastreá-la até o dispositivo físico específico que serviu os logits originais usados no treinamento não autorizado — por exemplo, identificando qual cliente de uma API ou qual unidade de hardware de borda foi a fonte do vazamento. Isso é particularmente relevante para empresas que distribuem modelos via hardware dedicado (edge AI, dispositivos embarcados) onde rastrear a origem de um vazamento entre milhares de unidades implantadas seria de outra forma impraticável.