Ataque de canal lateral de energia infere dados de treinamento de modelos de ML embarcados mesmo sem acesso as saidas
Ataques de inferencia de pertencimento normalmente dependem de observar probabilidades ou rotulos previstos por um modelo, o que leva muitos sistemas embarcados a suprimir essas saidas como mitigacao de privacidade. O PSCMIA mostra que isso nao basta: analisando apenas o tracado de consumo de energia durante a execucao do modelo em microcontroladores reais, o ataque ainda consegue inferir, com ate 0,907 de AUC-ROC, se uma amostra especifica fez parte do conjunto de treinamento.
Ataques de inferencia de pertencimento (membership inference attacks, MIA) tentam responder se uma amostra especifica foi usada para treinar um modelo, o que e uma violacao de privacidade relevante quando os dados de treinamento sao sensiveis (registros medicos, biometria, conversas privadas). A defesa padrao contra esse tipo de ataque em dispositivos embarcados e simplesmente nao expor as probabilidades de predicao do modelo, devolvendo apenas o rotulo final ou nem isso, na suposicao de que sem acesso a saida detalhada o atacante fica sem sinal suficiente para o ataque funcionar.
O PSCMIA (Power Side-Channel Membership Inference Attack) demonstra que essa suposicao e falsa para sistemas de ML embarcados. Em vez de depender da saida do modelo, o ataque observa o consumo fisico de energia do dispositivo durante a execucao da inferencia, que varia de forma dependente dos dados sendo processados independentemente do que o modelo decide expor como resultado. Como a computacao em si vaza informacao atraves de um canal fisico, suprimir a saida logica do modelo nao elimina esse vazamento.
Os autores validaram o ataque em quatro bases de dados (MNIST, FMNIST, CIFAR10, CINIC10), em arquiteturas totalmente conectadas e convolucionais, rodando em duas plataformas de microcontrolador reais (STM32F3 e XMEGA). Os resultados mostram AUC-ROC de ate 0,907 em modelos totalmente conectados a partir apenas do tracado de energia, sem nunca observar probabilidade ou rotulo previsto, e em 11 das 16 combinacoes de modelo, dataset e hardware testadas, o PSCMIA supera ate ataques que tem acesso ao rotulo previsto (label-only MIA), uma defesa hoje considerada suficiente por muitos sistemas.
A implicacao pratica e direta para quem projeta dispositivos de IA de borda (cameras inteligentes, wearables, sensores industriais com inferencia local): proteger a privacidade dos dados de treinamento restringindo apenas a interface logica do modelo e insuficiente quando o atacante tem acesso fisico ou proximo ao hardware, exigindo contramedidas de nivel de canal lateral (mascaramento de consumo, ruido injetado) ja consolidadas em criptografia embarcada, mas ainda raramente aplicadas a modelos de aprendizado de maquina.