Pesquisadores usam Intel TDX para proteger inferência privada de adaptadores LoRA dos dois lados do cliente e do provedor
O artigo propõe um sistema de proteção bilateral para inferência privada com adaptadores LoRA usando Intel Trust Domain Extensions (TDX), garantindo simultaneamente que entradas e saídas do cliente permaneçam privadas e que os parâmetros proprietários do adaptador não sejam expostos ao próprio cliente. Cliente e proprietário do adaptador verificam atestado remoto e identidade da aplicação de forma independente antes de liberar segredos, e toda a inferência ocorre dentro de um domínio de confiança isolado em hardware. Testes em hardware TDX real mostram bloqueio de modificações maliciosas antes da liberação de segredos e sobrecarga de desempenho inferior a 1% em relação à execução nativa.
Serviços em nuvem que oferecem inferência com adaptadores LoRA privados enfrentam uma tensão de confiança em duas direções simultâneas: o cliente precisa que suas entradas e saídas permaneçam privadas do próprio provedor do serviço, enquanto o proprietário do adaptador LoRA precisa que seus parâmetros proprietários — muitas vezes o resultado de um fine-tuning caro e específico — não sejam expostos nem ao cliente nem ao operador da infraestrutura em que o modelo roda. Resolver isso exige um mecanismo que proteja segredos de ambas as partes simultaneamente, sem que nenhuma delas precise confiar cegamente na outra ou no operador da nuvem.
A solução técnica se baseia no Intel Trust Domain Extensions (TDX), uma tecnologia de ambiente de execução confiável que isola a execução de um domínio de confiança do restante do sistema, incluindo do próprio hipervisor. O protocolo exige que cliente e proprietário do adaptador verifiquem, cada um de forma independente, o atestado remoto do ambiente, a identidade da aplicação em execução e sua vinculação à chave pública TLS real usada na comunicação, antes de liberar qualquer segredo — entradas sensíveis de um lado, a chave de decriptação dos pesos do adaptador do outro. Uma imagem imutável e somente leitura, combinada com verificação de consumo de bytes, conecta identidades aprovadas aos objetos de inferência, de forma que qualquer tentativa de substituir a aplicação ou alterar parâmetros de boot é detectada e bloqueada antes da liberação de qualquer segredo.
Os resultados experimentais em hardware TDX real validam tanto a segurança quanto a viabilidade prática do sistema: modificações controladas na aplicação e nos parâmetros de boot foram rejeitadas antes da liberação de segredos, confirmando que o mecanismo de atestado funciona como esperado contra tentativas de adulteração. Em termos de correção funcional, 400 diálogos de teste produziram sequências de tokens idênticas entre a inferência protegida dentro do domínio de confiança e a execução nativa sem proteção, e o custo de desempenho medido ao longo de 12 ciclos independentes de boot do domínio de confiança foi de apenas 0,94% de sobrecarga em relação à execução nativa.
Na prática, esse tipo de arquitetura é relevante para o mercado crescente de marketplaces de adaptadores LoRA e serviços de fine-tuning como serviço, onde provedores de modelo base precisam hospedar adaptadores de terceiros sem poder inspecioná-los livremente, e clientes precisam de garantias de que seus dados não serão expostos ao proprietário do adaptador nem ao operador da nuvem. Demonstrar que essa proteção bilateral pode ser alcançada com overhead de desempenho inferior a 1% remove um obstáculo prático comum à adoção de hardware confidencial — o custo de desempenho — abrindo caminho para que esse tipo de garantia criptográfica se torne padrão em serviços de inferência de LoRA que lidam com dados ou modelos sensíveis.