Amulet: l'AI sul telefono al sicuro senza rallentare?

Immagina di avere un modello di intelligenza artificiale potente direttamente sul tuo smartphone. Comodo, ma rischioso: se un malintenzionato estrae i "pesi" del modello (il suo cervello), può rubarlo o manipolarlo. Finora la soluzione era rinchiudere tutto in una cassaforte digitale chiamata TEE (Trusted Execution Environment). Il guaio? La cassaforte ha poca memoria. Il modello andava tagliato a fette e passato dentro-fuori in continuazione: un rallentamento mostruoso, anche 100 volte più lento.

Ecco Amulet, un framework appena pubblicato su arXiv. L'idea è furba: dentro la cassaforte (TEE) si "sporca" il modello con tecniche matematiche di offuscamento. Il modello trasformato diventa illeggibile per un ladro, ma resta perfettamente eseguibile dalla GPU del telefono. Così sta tutto nella memoria normale, veloce e capiente. Per ogni inferenza servono solo due scambi lampo con la cassaforte: input dentro, output fuori.

La sicurezza? Garantita da una prova teorica: l'offuscamento non lascia trapelare informazioni sui pesi originali. La velocità? Solo 2,8-4,8 volte più lenta di un modello non protetto, contro gli ordini di grandezza dei metodi classici. Testato su architetture diverse, da ResNet-18 a GPT-2, Amulet batte lo stato dell'arte attuale di 2,2 volte. L'AI on-device diventa finalmente sicura e scattante.

Amulet affronta il collo di bottiglia memoria-prestazioni dei TEE (es. ARM TrustZone, Intel SGX) su dispositivi edge. L'approccio classico "partition-and-load" soffre di overhead di context switch (world switch) e banda limitata bus sicuro/non-sicuro. Amulet sposta il paradigma: offusca i pesi W in W' = O(W, K) all'interno del TEE usando chiavi K derivate da PUF o TRNG hardware. L'operazione O è progettata per essere omomorfa rispetto all'inferenza: f(W', x) = f(W, x) per ogni input x, permettendo esecuzione diretta su acceleratori non fidati (GPU/NPU).

Le tecniche di offuscamento includono: permutazione strutturata di canali/filtri (preservando topologia), aggiunta di rumore gaussiano calibrato annullato da strati di normalizzazione successivi, e mascheramento lineare dei pesi. La sicurezza information-theoretic si basa sul fatto che I(W; W' | K) = 0: dato W', l'entropia condizionata di W rimane massima senza K. K non lascia mai il TEE.

Benchmark: ResNet-18 (CIFAR-100), MobileNetV2, BERT-base, GPT-2. Overhead latenza: 2.8x (CNN) - 4.8x (Transformer) vs baseline non protetto. Speedup 8-9x vs esecuzione full-TEE (partitioning). Speedup 2.2x vs HETEE / ModelObfuscator (SOTA obfuscation). Accuracy drop < 0.5%. Overhead memoria TEE: costante O(1) vs O(Model Size).