Los chips neuromórficos son eficientes, pero inseguros

Los chips inspirados en el cerebro que corren dispositivos embebidos muestran una eficiencia de procesamiento notable, pero aún están lejos de madurar en materia de seguridad, advierte la periodista técnica Venus Kohli en un análisis publicado por Electronics Weekly.

Por qué la arquitectura tradicional se quedó corta

Los procesadores convencionales se construyen sobre el modelo de von Neumann, donde un único bus compartido conecta la memoria con el procesador. El cuello de botella de esa arquitectura es conocido: el procesador se detiene esperando que termine la transmisión de datos. En lugar de gastarse en cómputo, la energía se gasta en transportar información.

En sistemas embebidos, donde la baja latencia es crítica sobre dispositivos locales con recursos limitados, la arquitectura se desplaza hacia una Harvard modificada para ganar rendimiento. Ahí instrucciones y datos viajan por buses separados. Los buses divididos alivian la congestión, pero no evitan que el procesador se detenga si los datos no llegan a tiempo.

Ambas arquitecturas siguen separando el lugar donde se almacenan los datos del lugar donde se procesan. Por esa misma separación, la complejidad y la latencia se multiplican a medida que crecen los datos, sobre todo con la llegada de la IA al mundo embebido.

La arquitectura neuromórfica responde a ese problema fusionando memoria y cómputo en vez de separarlos, imitando a las neuronas del cerebro humano. El beneficio en embebidos es un presupuesto más liviano de energía y memoria para ajustar modelos existentes y ejecutarlos a escala en inferencia.

Detrás de esta idea están los memristores, componentes que combinan las capacidades de memoria y resistencia. La resistencia conmuta entre estados y mantiene el estado incluso después de cortar la alimentación. Dispuestos en una matriz densa de barras cruzadas, estos memristores forman memoria resistiva de acceso aleatorio (ReRAM), donde el peso se almacena como resistencia y se procesa en el mismo lugar.

¿Qué ataques amenazan a un chip neuromórfico?

Al fusionar memoria y cómputo, sin embargo, la muralla de seguridad se afloja. Aparecen nuevos tipos de ataques dirigidos al silicio y a los circuitos de temporización del chip.

Los chips neuromórficos ejecutan redes neuronales de impulsos (SNN) dirigidas por eventos, donde cada neurona acumula la entrada que recibe. Cuando la carga acumulada cruza cierto umbral, la neurona dispara un pulso eléctrico breve hacia la siguiente y vuelve a quedar en silencio. Es decir, el chip solo computa durante el impulso.

Y ese impulso es un evento físico que produce resultados medibles para alguien que esté escuchando. Un pequeño pico de corriente aparece en el medidor de consumo. Cuando los impulsos se repiten, un atacante puede extraer un patrón temporizado. A veces los impulsos también generan interferencia electromagnética.

Ataque de canal lateral: busca filtrar información a través de esos resultados analógicos medibles, como consumo, fluctuaciones de voltaje e interferencia electromagnética. A partir de los patrones de consumo, un atacante puede aplicar ingeniería inversa sobre el sistema para extraer información de los pesos almacenados, su orden y el tamaño de los canales. Estos ataques también funcionan de forma remota: rastreando fluctuaciones de voltaje se puede reconstruir el modelo propietario completo, una amenaza real de privacidad y de propiedad intelectual.

Hay un matiz interesante. Durante la ejecución de la red, las neuronas disparan y vuelven al silencio en una fase refractaria. Ese patrón de disparo y pausa genera señales de reloj que un atacante puede mapear. Pero la temporización resulta ser el canal lateral más débil, porque el comportamiento de conmutación del memristor es no lineal e impredecible. La aleatoriedad de los impulsos actúa como defensa natural.

Ataque de inyección de fallas: el atacante introduce un error en el sistema para extraer datos o provocar una falla. Un ejemplo es el ataque sobre matrices de memristores, donde se lee repetidamente la misma fila de celdas en una ventana corta. Eso consume algo de corriente y genera calor, que pasa a las celdas vecinas y voltea sus bits. Los expertos han analizado el ataque hasta alcanzar una tasa de volteo de bits del 70% en 10.000 ciclos, suficiente para corromper las decisiones de la red y sus resultados de cómputo.

Otro caso es la inyección de fallas por láser, basada en el efecto fotoeléctrico. Un láser infrarrojo sobre el chip neuromórfico genera pares electrón-hueco que producen un impulso no deseado en las neuronas y corrompen bits. Estos ataques se pueden iniciar incluso durante la fabricación, y pasan inadvertidos hasta que el chip entra en operación.

Troyanos de hardware: modificaciones maliciosas construidas, colocadas y ocultas en el chip durante la fabricación o en las instalaciones del fabricante de equipos. Son frecuentes en proyectos con múltiples socios, donde distintas empresas acceden al chip como parte de la cadena de suministro. Se activan ante condiciones específicas para envenenar los pesos de la red, acceder a los datos o tomar control del chip.

¿Cómo se defiende un sistema neuromórfico?

Los sistemas embebidos neuromórficos todavía no maduran: carecen de arranque seguro, verificación de identidad y autenticación. Un atacante puede obtener acceso no autorizado y manipular el firmware o el hardware sin mayor dificultad.

El primer paso a nivel de hardware es prevenir troyanos e inyección por láser mediante funciones físicamente no clonables (PUF), que entregan una huella digital única para cada chip, y un entorno de ejecución confiable (TEE) que aísle las funciones críticas del resto de la aplicación. Los diseños más nuevos implementan matrices de memristores tolerantes a fallas que corren sumas de verificación para prevenir errores.

Si no se puede actuar a nivel de hardware, quedan las defensas por software:

• Entrenamiento adversario: los datos normales se entrenan contra entradas defectuosas.
• Monitoreo de firma de consumo: para detectar troyanos una vez activados.
• Regularización del tren de impulsos: para empujar los patrones de disparo a mantenerse suaves y estables.

La industria ya está incorporando seguridad integrada con criptografía post-cuántica sobre tarjetas neuromórficas para sistemas embebidos. Un ejemplo es el Akida AKD1000 de BrainChip, producto de la firma australiana elegido por la taiwanesa Chelpis Quantum, especializada en ciberseguridad, para construir infraestructura de seguridad a nivel cuántico.

Para quien está evaluando IA en el borde en la región, el punto práctico es que un chip neuromórfico expuesto físicamente, en un poste, una planta o un vehículo, entrega un canal lateral que un servidor en un rack simplemente no tiene. La eficiencia energética que hace atractiva esta arquitectura para el terreno es la misma que la vuelve legible desde afuera. Las referencias del análisis están disponibles en arXiv.