Ataque por canal lateral eletromagnético extrai prompts e respostas de LLM rodando localmente em Raspberry Pi
Pesquisadores demonstraram que um atacante com acesso físico a um dispositivo de borda pode captar emanações eletromagnéticas durante a inferência de um LLM local e reconstruir, sem tocar no software, tanto os tokens gerados quanto o prompt original do usuário. No LLaMA-3.2-1B-Instruct rodando em um Raspberry Pi 5, a técnica atingiu 97,2% de acerto na identificação de palavras-chave sensíveis geradas pelo modelo.
A motivação de rodar modelos de linguagem localmente em dispositivos de borda é justamente evitar enviar dados sensíveis a servidores de nuvem. Este artigo mostra que essa premissa de privacidade é falsa quando o atacante tem acesso físico ao hardware: basta posicionar uma sonda eletromagnética próxima ao chip para captar emanações produzidas durante a computação da inferência, sem necessidade de comprometer o sistema operacional ou o software do dispositivo.
Os autores descrevem três variantes de ataque com threat models diferentes. No ataque de "profiling", o atacante já conhece um conjunto de 50 palavras-chave sensíveis (médicas ou relacionadas a privacidade) e treina um classificador para reconhecer o traço eletromagnético correspondente a cada uma, atingindo 97,2% de acerto. No ataque de reconstrução, mais geral, o atacante recupera as representações internas (hidden states) do modelo a partir do traço eletromagnético e usa essas representações para prever o token entre as 128 mil possibilidades do vocabulário completo, chegando a 94,3% de acerto nas classes já perfiladas; mesmo para palavras nunca vistas antes, o token correto aparece entre as 100 primeiras posições do ranking em 67% dos casos. Por fim, um ataque de inversão de estado oculto usa essas mesmas representações recuperadas para reconstruir semanticamente o prompt original do usuário.
O aspecto tecnicamente notável é que o ataque é inteiramente passivo: não exige modificar o firmware, instalar malware ou interagir com a rede — apenas coletar traços eletromagnéticos durante um número limitado de execuções de treinamento/perfilamento prévias. Isso o torna difícil de detectar por qualquer controle de segurança baseado em software, já que o vazamento ocorre na camada física, fora do alcance de antivírus, sandboxing ou criptografia de disco.
Na prática, isso é relevante para qualquer produto que promova LLMs em dispositivos de borda (assistentes domésticos, wearables, hardware médico) como solução de privacidade on-device. O artigo demonstra que, sem blindagem eletromagnética ou contramedidas de hardware (como ruído injetado ou balanceamento de potência), um atacante com posse física breve do aparelho pode extrair tanto o que o usuário perguntou quanto o que o modelo respondeu — incluindo informações médicas e pessoais sensíveis — mesmo que o software nunca tenha sido comprometido.