5.3.3 Edge AI hardverek teszteléshez

A peremhálózat (Edge) mint új frontvonal

Amíg az előző fejezetekben tárgyalt GPU-k és specializált processzorok a központosított, nagy számítási kapacitást igénylő AI-rendszerek motorjai, addig egyre több intelligencia települ ki a hálózat peremére, azaz az „edge”-re. Az Edge AI azt jelenti, hogy az adatfeldolgozás és a döntéshozatal helyben, magán az eszközön történik, nem pedig egy távoli adatközpontban. Ennek okai a késleltetés csökkentése (egy önvezető autó nem várhat a felhő válaszára), a sávszélességgel való takarékoskodás és az adatvédelem (a szenzitív adatok nem hagyják el az eszközt).

Red Teamer szempontból ez a paradigma-váltás mindent megváltoztat:

• Új támadási felület: A fizikai eszköz maga válik sebezhetővé. Hozzáférhetünk a hardverhez, firmware-t dumpolhatunk, feszültségingadozással (fault injection) zavarhatjuk meg a működést.
• Erőforrás-korlátok mint sebezhetőségek: Az edge eszközökön futó modelleket gyakran drasztikusan optimalizálják – kvantálják, tömörítik (pruning). Ezek a folyamatok olyan numerikus pontatlanságokat és mintázatokat hozhatnak létre, amelyek kihasználhatóak adverzariális támadásokkal. Egy 8 bites kvantált modell sokkal érzékenyebb lehet a bemeneti zajra, mint a 32 bites lebegőpontos eredetije.
• Elosztott rendszerek komplexitása: Egy központi rendszer helyett több száz vagy ezer, egymással kommunikáló „okos” eszközt kell vizsgálnunk, amelyek együttes viselkedése új, rendszerszintű sebezhetőségeket eredményezhet.

A Red Teamer Edge AI laborja

A sikeres Edge AI tesztelés alapja a célhardverhez legközelebb álló környezet felépítése. Nem kell feltétlenül pont ugyanazt a chipet beszerezned, de a kategóriájában és teljesítményében hasonló eszközzel kell dolgoznod. Az alábbi táblázat bemutat néhány népszerű és elérhető platformot, amelyek kiválóak egy AI Red Team laborba.

Esettanulmány: Adverzariális betörés egy „okos” zárrendszeren

Tegyük fel, hogy egy irodaház intelligens beléptetőrendszerét kell tesztelnünk. A rendszer minden ajtónál egy kamerát és egy kis, falra szerelt dobozt használ, amely helyben, egy Edge TPU-szerű chipen futtat egy arcfelismerő modellt. A célunk, hogy jogosultság nélkül bejussunk egy zárt területre.

1. Fázis: A környezet replikálása és felderítés

Nem kezdhetünk el élesben próbálkozni. Beszerzünk egy Google Coral Dev Boardot, ami valószínűleg hasonló képességekkel bír, mint a célhardver. A feladatunk kideríteni, milyen modellt használ a rendszer. Egy OSINT kutatás után kiderül, hogy a gyártó egy kvantált MobileNetV2 architektúrát használ, amelyet TensorFlow Lite formátumban telepít az eszközökre. Sikerül letöltenünk a modell egy általános, előtanított verzióját.

2. Fázis: A támadás kidolgozása a laborban

A célunk egy ún. „célzott támadás” (targeted attack) végrehajtása: azt akarjuk, hogy a rendszer a mi arcunkat (a támadóét) egy regisztrált, jogosultsággal rendelkező kolléga arcának (a célpontnak) ismerje fel. Ehhez egy fizikai, kinyomtatható „adverzariális matricát” fogunk generálni, amit a támadó viselhet.

A laborban, a Coral Dev Boardon futtatva a modellt, egy egyszerű Python szkripttel generáljuk a perturbációt. Ahelyett, hogy egy komplex, iteratív módszert használnánk, ami lassú lenne az edge eszközön, egy gyors, egy lépéses módszerre (pl. FGSM-variáns) támaszkodunk.

# Pszeudokód egy célzott adverzariális matrica generálásához
import tflite_runtime.interpreter as tflite
import numpy as np

# Betöltjük a kvantált modellt a Coral hardverre
interpreter = tflite.Interpreter(model_path="face_recognition_model.tflite")
interpreter.allocate_tensors()

input_details = interpreter.get_input_details()
output_details = interpreter.get_output_details()

# Képek előkészítése (támadó és a célpont, akinek a helyébe lépünk)
tamado_kepe = preprocess_image("attacker_face.jpg")
celpont_kepe = preprocess_image("authorized_user_face.jpg")

# Megszerezzük a célpont "lenyomatát" (a modell kimenetét)
interpreter.set_tensor(input_details[0]['index'], celpont_kepe)
interpreter.invoke()
celpont_embedding = interpreter.get_tensor(output_details[0]['index'])

# Itt jön a "mágia": egy optimalizációs lépés,
# ami olyan `perturbacio`-t keres, ami a `tamado_kepe`-re adva
# a modell kimenetét a `celpont_embedding`-hez közelíti.
# Ez általában gradiens-alapú módszerrel történik.
perturbacio = generate_targeted_perturbation(
 model=interpreter,
 attacker_image=tamado_kepe,
 target_embedding=celpont_embedding
)

# A perturbációt egy nyomtatható matricává alakítjuk
adverzarialis_matrica = create_printable_patch(perturbacio)
save_image(adverzarialis_matrica, "attack_patch.png")
print("Támadó matrica generálva.")

3. Fázis: A támadás végrehajtása

A generált `attack_patch.png` fájlt kinyomtatjuk egy öntapadós lapra. A matrica egy furcsa, színes, zajos mintázatnak tűnik. A red teamer a homlokára vagy a szemüvegére ragasztja, majd odasétál a tesztelt ajtóhoz. A kamera látja az arcát a matricával együtt. A helyi AI feldolgozza a képet, és a matrica által okozott, gondosan kiszámított zavar miatt a modell kimenete szinte tökéletesen megegyezik a célpont jogosult felhasználó embeddingjével. A zár kattan, az ajtó kinyílik.