SparseBleed: ataque de canal lateral via otimizações de esparsidade de hardware vaza atributos sensíveis de modelos
Pesquisadores apresentam o SparseBleed, o primeiro ataque de inferência de atributos a nível de hardware que contorna defesas de privacidade consideradas estado da arte, explorando o fato de que otimizações de esparsidade em aceleradores de IA (AVX2/AVX-512/AMX da Intel, Tensor Cores da NVIDIA com esparsidade 2:4, e bibliotecas como oneDNN e cuSPARSE) criam assinaturas de tempo estáveis que funcionam como proxy da confiança do modelo. Sem precisar de acesso a gradientes, pesos, rótulos ou traços de energia, o ataque recupera com 99,8% de acurácia o rótulo de saída verdadeiro (procedimento cirúrgico) em um modelo de saúde treinado sobre dados Texas-100X, usando apenas uma única consulta.
O SparseBleed parte de uma observação incomum: otimizações de desempenho em hardware de IA, feitas para acelerar execução esparsa (pular cálculos quando muitos valores são zero), não são neutras do ponto de vista de segurança — elas introduzem variações de tempo de execução que dependem do padrão de esparsidade da entrada, e esse padrão, por sua vez, está correlacionado com o quão confiante o modelo está sobre aquela entrada específica. Em outras palavras, uma otimização pensada puramente para velocidade vira um canal lateral de informação sobre o comportamento interno do modelo.
O que torna o ataque particularmente perigoso é sua ausência de pré-requisitos: ele não precisa de acesso a gradientes, logits, pesos, rótulos verdadeiros, traços de consumo de energia, manipulação de DVFS (escalonamento dinâmico de tensão e frequência) ou caches compartilhados — canais que defesas anteriores de inferência de atributos foram desenhadas para bloquear. Basta medir o tempo de resposta de uma única consulta ao modelo para extrair informação suficiente, o que o torna genericamente aplicável contra praticamente qualquer backend que use otimizações de esparsidade, e os autores validam isso em nove bibliotecas distintas e hardware tanto da Intel quanto da NVIDIA.
Os números de eficácia reforçam a gravidade: em dados do Texas-100X (registros médicos), o ataque infere o atributo sensível 'sexo' com 66,39% de acurácia — já significativamente acima do acaso — mas o resultado mais alarmante é a recuperação do rótulo verdadeiro de saída, 'procedimento cirúrgico', com 99,8% de acurácia, essencialmente quebrando a confidencialidade da predição mesmo quando o modelo e a API não deveriam revelar esse dado diretamente. Isso é particularmente grave em domínios como saúde e finanças, onde modelos são implantados justamente sob a premissa de que apenas uma resposta controlada (não a confiança interna do modelo) é exposta ao consumidor da API.
As mitigações testadas mostram o dilema clássico entre segurança e desempenho: desabilitar completamente as otimizações de esparsidade para garantir tempo de execução constante elimina o canal lateral, mas custa até o dobro de latência em Tensor Cores esparsos da NVIDIA e cerca de 25% mais energia em microbenchmarks de AMX — um custo dificilmente aceitável em produção de alto volume. Já uma defesa de padding, que equaliza as respostas ao tempo do pior caso, consegue mascarar o vazamento de tempo com apenas 7,24% de overhead médio de desempenho nas nove bibliotecas testadas e praticamente nenhuma energia extra, sugerindo um caminho prático de mitigação sem abandonar os ganhos de desempenho da esparsidade. Na prática, o trabalho mostra que decisões de engenharia de hardware tomadas sem considerar segurança podem anular defesas de privacidade cuidadosamente projetadas em outras camadas do sistema.