Képzeld el, hogy nem a szoftvert, hanem magát a szilíciumot „hallgatod le”. A neuromorf chipek, amelyek az agy analóg és eseményvezérelt működését utánozzák, radikálisan eltérnek a hagyományos, digitális von Neumann-architektúráktól. Ez az eltérés nem csupán teljesítménybeli előnyökkel jár, hanem egy teljesen új, fizikai szintű támadási felületet is megnyit. Itt a támadó nem a kódban, hanem az áramkörök fizikai viselkedésében keresi a sebezhetőséget.
Míg az előző fejezetben az események (tüskék) logikai manipulálásával foglalkoztunk, most egy szinttel lejjebb lépünk.
Mi történik, ha közvetlenül a hardver által generált fizikai jeleket használjuk fel, vagy ha szándékosan zavarjuk meg a chip fizikai működését?
A hardver mint információszivárgás forrása: Oldalcsatorna-támadások
A neuromorf rendszerek működésükből adódóan „zajosak”. Minden egyes neuron tüske egy apró fizikai esemény, ami energiafogyasztással és elektromágneses (EM) kisugárzással jár. Egy támadó számára ezek a melléktermékek nem zajok, hanem értékes információmorzsák. Az oldalcsatorna-támadások (Side-Channel Attacks, SCA) pont ezeket a nem szándékolt információs csatornákat használják ki.
Teljesítményanalízis (Power Analysis)
Egy neuromorf chip energiafelvétele közvetlen korrelációban áll a hálózatban zajló tüskeaktivitással. Egy komplexebb bemenet (pl. egy részletgazdag kép) több neuront aktivál, ami mérhetően megnöveli a chip áramfelvételét.
Egy támadó, aki precízen méri a chip tápellátását, következtetéseket vonhat le a feldolgozott adatok természetére vonatkozóan anélkül, hogy hozzáférne magukhoz az adatokhoz!
Például egy arcfelismerő rendszer esetében a különböző arcok más-más tüske-mintázatot és így eltérő energiafogyasztási profilt generálnak. Elegendő mintavételezéssel a támadó képes lehet egy „energia-ujjlenyomat” könyvtárat felépíteni, és később csupán a chip energiafelvételének monitorozásával azonosítani, hogy a rendszer melyik ismert arcot dolgozza fel.
// Pszeudokód egy egyszerű teljesítményanalízis alapú következtetésre
function infer_input_from_power(power_trace):
// 1. Létrehozunk egy könyvtárat ismert bemenetek energia-profiljából
power_profiles = {
"user_A_face": load_profile("profile_A.dat"),
"user_B_face": load_profile("profile_B.dat"),
"unknown_input": load_profile("noise_profile.dat")
}
// 2. Összehasonlítjuk a mért energiafelvételt a profilokkal
min_distance = infinity
best_match = "Nincs egyezés"
for name, profile in power_profiles.items():
distance = calculate_distance(power_trace, profile) // Pl. dinamikus idővetemedés (DTW)
if distance < min_distance:
min_distance = distance
best_match = name
// 3. Visszaadjuk a legvalószínűbb bemenetet
return best_match
Elektromágneses lehallgatás (EM Eavesdropping)
Az elv hasonló a teljesítményanalízishez, de itt a támadó nem a tápvezetéket, hanem a chip által kibocsátott elektromágneses sugárzást méri egy közeli antennával. Az EM-szivárgás még finomabb részleteket árulhat el, mivel térben is lokalizálható. Egy kellően érzékeny vevővel akár az is megállapítható lehet, hogy a chip melyik fizikai régiójában zajlik a legnagyobb aktivitás, ami további információt szolgáltathat a feldolgozási folyamatról.
A számítás manipulálása: Hibainjektálás (Fault Injection)
Míg az oldalcsatorna-támadások passzív lehallgatáson alapulnak, a hibainjektálás (más néven „glitching”) egy aktív támadási forma.
A cél itt az, hogy a chip fizikai környezetének rövid idejű, precízen időzített megzavarásával számítási hibákat idézzünk elő, amelyek a támadó számára kedvező kimenetelt eredményeznek.
Feszültséghibák (Voltage Glitching)
A támadó egy pillanatra lecsökkenti vagy megnöveli a chip tápfeszültségét. Egy neuromorf rendszerben ennek katasztrofális, de potenciálisan kihasználható következményei lehetnek.
Egy feszültségingadozás miatt:
- Egy neuron, amelynek éppen el kellett volna érnie a tüzelési küszöböt, „elhallgat”.
- Egy neuron, amelynek csendben kellett volna maradnia, tévesen tüzel.
- A szinaptikus súlyokat tároló analóg memóriacellák értéke megsérülhet.
Egy jól időzített feszültséghiba egy biztonsági ellenőrzőpont (pl. egy „access granted” / „access denied” döntést hozó neurális réteg) kimenetelét billentheti át a támadónak kedvező irányba!
Órajel-zavarás (Clock Glitching)
Bár sok neuromorf rendszer aszinkron, a legtöbb hibrid implementáció használ valamilyen belső órajelet az események szinkronizálására vagy az időbélyegek kezelésére.
Az órajel rövid idejű felgyorsítása vagy lelassítása káoszt okozhat a tüskék időzítésében, ami a Tüskés Neurális Hálózatok (SNN) esetében a kódolt információ teljes elvesztését vagy meghamisítását jelentheti. Mivel az SNN-ekben az információt gyakran a tüskék közötti időbeli különbség hordozza, az időzítés megzavarása egy alapvető támadási vektor.
Beépített árulók: Neuromorf hardveres trójaiak
A legkifinomultabb hardveres támadás a hardveres trójai bejuttatása a chipbe, jellemzően a gyártási folyamat során. Egy neuromorf trójai nem feltétlenül egy extra digitális áramkör, ami adatokat szivárogtat. Lehet sokkal alattomosabb is: egy extra neuron vagy egy kis neurális áramkör, amely normál működés közben inaktív, de egy specifikus, ritka bemeneti tüske-mintázatra (a „triggerre”) aktiválódik.
Amikor a trójai aktiválódik, képes lehet:
- Egy gátló szinapszissal elhallgattatni egy kulcsfontosságú neuront (pl. egy anomáliadetektáló neuront).
- Egy serkentő szinapszissal téves tüzelésre kényszeríteni egy másikat, hogy egy adott kategóriát hozzon ki győztesnek.
- Megváltoztatni a hálózat dinamikáját, hogy az egy előre meghatározott, hibás döntést hozzon.
AI Red Teaming szempontok és védekezési stratégiák
A neuromorf rendszerek hardveres RAI ed Teaming-je speciális eszközöket és mély fizikai ismereteket igényel.
A támadási vektorok nem a szoftveres absztrakciók szintjén, hanem a feszültség, időzítés és elektromágneses tér szintjén léteznek.
Az alábbi táblázat összefoglalja a tárgyalt támadásokat Red Teaming szemszögből:
| Támadási Vektor | Kihasznált Fizikai Jelenség | Potenciális Hatás | Lehetséges Védekezés |
|---|---|---|---|
| Teljesítményanalízis | Aktivitásfüggő energiafelvétel | Bemeneti adatok vagy belső állapotok kiszivárogtatása | Áramkörök az energiafelvétel simítására, zajgenerálás, hardveres maszkolás |
| Feszültséghibák (Glitching) | A félvezetők érzékenysége a tápfeszültségre | Döntési folyamat manipulálása, biztonsági ellenőrzések kikerülése | Feszültség-monitorozó áramkörök, redundancia, hibatűrő neurális kódolás |
| Hardveres Trójai | Manipulált áramköri elemek a chipben | Rejtett hátkapu, feltételhez kötött hibás működés | Biztonságos és ellenőrzött ellátási lánc, gyártás utáni fizikai ellenőrzés (pl. röntgen), anomáliadetektálás |
Ezek a támadások rávilágítanak, hogy a neuromorf AI biztonsága nem állhat meg a szoftveres szinten. A hardver és a szoftver közötti határ elmosódásával a védekezésnek is holisztikusnak kell lennie, amely magában foglalja az áramköri tervezést, a fizikai elrendezést és a gyártási folyamatokat is.