Pesquisa extrai dados de modelos de IA de chips por sondagem óptica sem contato

Um pré-print no arXiv demonstra que uma técnica óptica sem contato conseguiu recuperar valores digitais completos de regiões de memória e computação em um chip FPGA de teste — apontando para um novo vetor de risco na proteção de modelos de inteligência artificial que rodam em dispositivos de borda (edge AI).

A técnica, batizada de electro-optical frequency mapping (EOFM), faz uma varredura óptica do chip e gera mapas seletivos de frequência. Ao alternar os dados-alvo com o valor 0x00 a cada 16 ciclos de clock — com clock de sistema de 200 MHz — os pesquisadores criaram um componente de 12,5 MHz usado para isolar posições de bits e decodificar os dados binários.

O que foi recuperado

No teste, o método reconstruiu as representações completas de entrada e saída na fronteira de flip-flop (FF), que correspondiam à matriz identidade programada. Também recuperou bytes completos da memória de bloco (BRAM) e decodificou uma saída registrada mais ampla.

O experimento rodou em uma placa Digilent Genesys 2 com FPGA AMD/Xilinx Kintex-7, usando um multiplicador de matriz sistólico reduzido com entradas de 8 bits e saídas de 17 bits. O alvo da pesquisa são ativos de modelo e de estado de inferência que ficam localizados em memórias e subcircuitos de computação durante a inferência.

Limites importantes

O próprio estudo deixa claro que se trata de uma demonstração em nível de fronteira, e não de uma extração ponta a ponta de um LLM completo em produção. O cenário pressupõe acesso físico ao verso do chip, equipamento EOFM especializado e a capacidade de executar ou repetir a inferência — condições que não são triviais de reunir fora de um laboratório.

Por outro lado, o método não exige contato elétrico com sinais internos, modificação do modelo nem acesso em texto simples ao armazenamento externo. Para quem trabalha com segurança de IA embarcada, isso é relevante: significa que pesos e estados de inferência podem, em tese, ser lidos por meios puramente físicos.

A pesquisa reforça um debate crescente sobre a proteção de propriedade intelectual em IA de borda — o mesmo tipo de modelo que roda em carros, câmeras e equipamentos industriais — e sugere que camadas de defesa contra leitura física deveriam entrar no desenho de chips que executam inferência sensível.