Чи може лазер зчитати думки чіпа edge AI?

Лазерний промінь, сфокусований на робочому чіпі, розкриває, що саме «думає» кремній. Метод називають лазерною візуалізацією напруги — він перетворює дрібні коливання напруги на транзисторах у видимі світлові патерни.

Роботу надіслано на arXiv 26 серпня 2026 року. Авторів сім, вони представляють кілька інституцій. Своєму методу вони дали назву LLMscope.

Чому edge-інференс створює фізичну мішень

Великі мовні раніше жили в дата-центрах за зачиненими дверима та мережевими екранами. Тепер виробники переносять інференс на edge-прискорювачі — чіпи всередині телефонів, камер, промислових контролерів та транспортних засобів. Ці чіпи змушені завантажувати параметри моделі та проміжні стани в он-чіп пам'ять знову і знову під час кожного прямого проходу. Кожен цикл завантаження та обчислення створює фізичний сигнал. Він малий, але існує.

Edge-прискорювачі повторно використовують одні й ті самі буфери та обчислювальні підсхеми між адресами, плітками, модулями та шарами. Це архітектурний вибір заради ефективності за площею та споживанням енергії. Однак це також означає: однакові фізичні дроти несуть різні логічні значення в різні моменти часу. Якщо стежити за цими дротами у правильні миті — значення стають видимими.

Як лазер дивиться всередину

Лазерна візуалізація напруги сканує сфокусований промінь по кристалу, поки чіп працює. Транзистори, що перемикаються з гігагерцовою частотою, модулюють відбите світло. Чутливий детектор фіксує цю модуляцію. Результат — відео напругової активності з субмікронною просторовою роздільною здатністю та пікосекундним таймінгом.

Команда спрямувала цей мікроскоп на FPGA-прискорювач LLM. Вони зондували локалізовані пам'яті та обчислювальні підсхеми під час інференсу. З отриманих трас витягнули вкладення, патерни уваги, квантовані ваги MLP. Активції та інші стани інференсу теж стали доступними. Повне відновлення цільових значень демонстровано.

Атака не завжди вимагає зняття кришки корпусу. Сучасні корпуси з тонкими субстратами або flip-chip розташуванням можуть пропускати достатньо світла для роботи методу. Конкретні типи корпусів, що тестувалися, у документі не вказані.

Масштабування зусиль

Зчитування кожного біта поодинці зайняло б вічність. Автори виводять нижні оцінки, що пов'язують обсяг сканувань з розмірами цілей. Пряме відновлення масштабується лінійно відносно розміру атакованого активу. Більша модель — пропорційно більше лазерних сканувань.

Також запропоновано методологію відновлення значень активів навіть тоді, коли частина ваг або бітів залишилася непрочитаною. Резервність та структура квантованих нейромереж роблять це можливим. Пропущені фрагменти можна вивести з навколишнього контексту — аналогічно корекції помилок у зашумленому каналі.

Загальний час атаки на повну модель не повідомлено. Порівняння з іншими боковими каналами — аналізом споживання чи електромагнітним зондуванням — відсутнє. Контрзаходи не обговорювалися.

Що це означає для власника пристрою

Якщо ви володієте пристроєм, що запускає LLM на edge-прискорювачі, ваги моделі фізично присутні на цьому чіпі під час кожного запиту. Ваші дані інференсу теж там знаходяться. Визначений противник з доступом до «заліза» та лазерним обладнанням — такого є в університетських лабораторіях та деяких комерційних центрах аналізу відмов — може витягнути ці активи. Атака не залишає записів у журналах. Програмні тригери не спрацьовують.

Дослідження доводить існування вразливості. Воно не показує, наскільки поширене необхідне обладнання, скільки розгорнутих пристроїв реально схильні. Не каже, чи атаковано якийсь продукт у дикій природі.

Де закінчується пояснення

Концепція доведена на одному FPGA-прискорювачі. ASIC-прискорювачі, GPU чи NPU великих вендорів не тестувалися. Спутно-шумовий відношення, необхідне для кожного типу активів, не квантифіковано. Повний рецепт — вирівнювання, фокусування, синхронізація та кроки обробки даних — лише підсумовано, а не перелічено детально. Хтось, хто спробує відтворити, доведеться заповнити ці прогалини.

Лінійний закон масштабування — це нижня межа. Реальний шум, варіації упаковки та внутрішні джерела завад можуть підвищити витрати. Ці фактори не охарактеризовано.

Ця робота відкриває напрямок досліджень. Не закриває його.