Avaliando mecanismos de confiança para RAG local rodando totalmente offline em um Raspberry Pi 5, pesquisadores descobrem que seus pacotes de conhecimento assinados e versionados — o canal de atualização proposto para dispositivos sem conectividade constante — podem ser envenenados sem quebrar nenhuma verificação de assinatura ou hash, desde que o atacante consiga assinar o pacote corretamente. Em 30 perguntas antes respondidas corretamente, as respostas corretas caíram a zero após a injeção, com 14 delas retornando exatamente a resposta maliciosa inserida.
Um novo metodo chamado BMO ataca um problema especifico de modelos de IA distribuidos em muitos dispositivos (celulares, IoT): se um unico aparelho e comprometido e seu modelo e extraido, exemplos adversariais criados contra ele funcionam igualmente bem em todos os outros dispositivos que rodam a mesma copia do modelo. A defesa decompoe os parametros do modelo em um componente de posicao e um de curvatura da fronteira de decisao, injetando ruido apenas na curvatura para gerar uma fronteira levemente diferente em cada dispositivo, sem perder acuracia. Nos testes, a taxa media de defesa saltou de 22,32% (melhor linha de base) para 68,68%.
Pesquisadores demonstraram que um atacante com acesso físico a um dispositivo de borda pode captar emanações eletromagnéticas durante a inferência de um LLM local e reconstruir, sem tocar no software, tanto os tokens gerados quanto o prompt original do usuário. No LLaMA-3.2-1B-Instruct rodando em um Raspberry Pi 5, a técnica atingiu 97,2% de acerto na identificação de palavras-chave sensíveis geradas pelo modelo.
Pesquisadores treinaram um agente de Deep Q-Network para aprender combinacoes evasivas de timing de probes, flags TCP e tamanho de payload contra um IDS real baseado em Zeek rodando em um Raspberry Pi 3B+, com deteccao por XGBoost, MLP e CNN 1D. Mesmo em cenario black-box, onde o atacante nao ve os parametros internos do modelo defensivo, as taxas de evasao alcancaram entre 61,9% e 98,3%, e o efeito da visibilidade de features sobre a evasao nao foi monotonico nem uniforme entre os modelos.
Um post do Microsoft Security Blog descreve como a execução de modelos de IA fora da nuvem, em hardware operado pelo próprio cliente, desloca modelo, dados e autoridade de decisão para uma infraestrutura que o provedor não controla diretamente, criando uma nova superfície para prompt injection, adulteração de modelo e firmware malicioso. Como resposta, propõe uma arquitetura em camadas que combina mediação determinística das ações de agentes, atestação de runtime e verificação de proveniência de artefatos antes de liberar credenciais e modelos sensíveis ao dispositivo de borda.
Pesquisadores demonstram que o paradigma de decodificação colaborativa nuvem-borda — em que um modelo pequeno local processa dados privados e funde suas distribuições de próximo token com um LLM na nuvem que só vê dados públicos — ainda vaza quantidades substanciais de contexto privado, usando um novo framework de avaliação baseado em datasets de QA. A defesa proposta, CoVeil, otimiza dinamicamente o sinal transmitido durante a decodificação e reduz o vazamento em até 87,2% com perda mínima de acurácia.
Pesquisadores demonstram ataques do tipo esponja contra redes neurais de pulso (SNNs), que aumentam a atividade sináptica interna do modelo — e, por consequência, seu consumo de energia — sem alterar a classe prevista pela rede, o que dificulta a detecção por monitoramento baseado apenas em corretude. Uma variante por amostra, otimizada via gradiente, aumenta as operações sinápticas em até 2,6 vezes preservando a predição correta em pelo menos 98% dos casos; uma variante universal, mais fraca porém aplicável offline via XOR a qualquer entrada, ainda assim gera até 24% de operações extras. Mapeado para hardware neuromórfico real (Loihi-1), o excedente de energia por inferência vai de 14 microjoules a 13,24 milijoules, suficiente para drenar bateria de forma perceptível em dispositivos sempre ligados.
Pesquisadores introduzem um ataque de backdoor clean-label contra redes neurais de pulso que reordena os timestamps dos eventos de amostras da classe-alvo, preservando exatamente a contagem de eventos por pixel e por polaridade — de forma que a amostra continua com o rótulo original correto e parece estatisticamente idêntica a uma amostra limpa quando agregada no tempo. O ataque atinge taxa de sucesso de 100% nas configurações mais fortes, contra modelos convolucionais e baseados em transformer, em três datasets neuromórficos diferentes. Defesas que colapsam o eixo temporal antes de inspecionar as amostras são cegas a esse ataque por construção, já que a informação maliciosa vive exclusivamente na ordem temporal dos eventos.