Levantamento mapeia ataques termicos a sensores de percepcao e vazamento de telemetria de workloads de IA em veiculos autonomos
Um survey sistematiza treze trabalhos sobre duas familias distintas de ataque a veiculos autonomos que exploram o canal termico: falsificacao fisica de sensores infravermelhos usados para percepcao noturna, e vazamento de informacao por telemetria termica, de DVFS e de interrupcoes de evento termico que um co-inquilino de software sem privilegios pode observar para identificar (fingerprint) qual workload de percepcao — ou seja, qual modelo de visao computacional — esta em execucao. O trabalho argumenta que nenhuma dessas interfaces pode ser desligada sem comprometer a seguranca funcional do veiculo (SOTIF), criando uma classe de risco residual que sobrevive a qualquer mitigacao unica.
Veiculos autonomos combinam percepcao de seguranca critica (seus modelos de visao computacional e fusao sensorial) com restricoes termicas severas de hardware embarcado, e o survey argumenta que essas duas dimensoes nunca foram projetadas juntas com seguranca de confidencialidade em mente. Sensores infravermelhos usados para visao noturna e telemetria termica usada para confiabilidade do pacote de silicio (evitar superaquecimento, throttling de seguranca) foram concebidos como interfaces de confiabilidade fisica, nao como fronteiras que precisam resistir a um adversario adaptativo.
Isso cria duas familias de ataque distintas, mas conectadas pelo mesmo canal fisico. A primeira e um ataque de integridade de percepcao: um adversario fisico posicionado proximo ao veiculo pode falsificar o sinal infravermelho recebido pelos sensores de visao noturna, potencialmente induzindo o sistema de percepcao — que e, no fundo, um modelo de IA treinado para interpretar esses sinais — a classificar erroneamente obstaculos ou condicoes da via. A segunda e um ataque de vazamento de informacao por software: um processo co-inquilino sem privilegios especiais, rodando no mesmo SoC, consegue observar padroes de temperatura, de escalonamento de voltagem e frequencia (DVFS) e de interrupcoes de evento termico (TEI) exigidas para a seguranca do pacote, e usar esses padroes para inferir qual workload de percepcao esta ativo no momento — essencialmente, fazer fingerprinting do modelo de IA rodando no veiculo sem acesso direto aos seus dados ou pesos.
O ponto central do survey, e o que o torna relevante para alem de um catalogo de ataques, e a observacao de que fechar uma dessas vias deixa a outra intacta, porque elas exploram propriedades fisicas diferentes (um e sinal optico externo, o outro e telemetria interna de gerenciamento termico) que nao podem simplesmente ser desligadas sem violar requisitos de seguranca funcional (SOTIF) que protegem o veiculo contra superaquecimento real ou falha de percepcao em condicoes de baixa visibilidade. Isso coloca os fabricantes de AVs em uma tensao genuina entre seguranca funcional classica (evitar que o carro quebre ou perca percepcao) e seguranca de informacao (evitar que um atacante aprenda ou manipule o que o sistema de percepcao esta vendo).
Na pratica, o trabalho preenche uma lacuna real na literatura — pesquisas anteriores tratavam separadamente ataques classicos de spoofing de camera/LiDAR e canais laterais de microarquitetura, sem conectar os dois atraves do canal termico compartilhado — e aponta problemas abertos concretos para quem projeta essas plataformas: avaliacao em hardware automotivo real (nao apenas proxies de laboratorio), modelos de confianca para fusao sensorial sob spoofing de infravermelho, acoplamento termico entre chiplets em SoCs modernos, e telemetria termica baseada em capacidades (que restrinja quem pode ler esses sinais) como caminho de mitigacao a ser padronizado pela industria automotiva.