Timing-Angriffe auf Multi-Agent-RL: Experiment zeigt Vorhersagbarkeit von Aktionen auf Mikrocontrollern

Timing-Angriffe auf Multi-Agent-RL: Ein Experiment

Ein aktueller Blogpost auf der Entwicklerplattform dev.to widmet sich einer bislang wenig beachteten Sicherheitslücke an der Schnittstelle von Multi-Agent-Reinforcement-Learning (MARL) und eingebetteter Hardware. Im Kern steht die Frage: Kann ein Angreifer die nächste Aktion eines auf einem Mikrocontroller ausgeführten MARL-Modells vorhersagen, ohne jemals die Eingabedaten zu kennen? Der Schlüssel dazu liegt in der Inferenzzeit – also jener Zeitspanne, die das Modell benötigt, um aus einer Beobachtung eine Handlungsentscheidung abzuleiten. Der Autor des Beitrags argumentiert, dass verschiedene Aktionen unterschiedlich lange Rechenzeiten beanspruchen können, etwa weil sie unterschiedlich viele neuronale Schichten durchlaufen oder verschiedene Zweige eines Entscheidungsbaums aktivieren. Ein Angreifer, der die Ausführungszeit präzise misst, könnte aus diesen zeitlichen Unterschieden ein Muster ableiten und so die gewählte Aktion rekonstruieren. Das Experiment simuliert genau dieses Szenario: Ein MARL-Modell wird auf einem Mikrocontroller betrieben, während ein passiver Beobachter die Dauer jeder Inferenz erfasst. Ziel ist es, aus den reinen Timing-Daten die Aktionen des Agenten zu klassifizieren – ein klassischer Side-Channel-Angriff, übertragen auf lernende Multi-Agenten-Systeme.

Ergebnisse und potenzielle Implikationen

Die im Blogpost vorgestellten Ergebnisse zeigen, dass die Inferenzzeiten tatsächlich systematisch mit den gewählten Aktionen variieren. Ein Angreifer kann demnach allein durch Timing-Messungen mit hoher Genauigkeit auf die nächste Aktion eines Agenten schließen, ohne Zugriff auf Sensordaten oder Modellparameter zu benötigen. Für Entwickler und Betreiber solcher Systeme ergeben sich daraus ernstzunehmende Sicherheitsimplikationen: Selbst wenn die Kommunikation verschlüsselt und das Modell vor direktem Zugriff geschützt ist, kann die schiere Rechenzeit als Seitenkanal Informationen preisgeben. Besonders kritisch ist dies in Szenarien, in denen MARL für sicherheitsrelevante Entscheidungen eingesetzt wird – etwa in der Robotik, bei autonomen Fahrzeugen oder in verteilten Steuerungssystemen. Der Blogpost mahnt daher, bereits beim Entwurf von Inferenz-Pipelines für Mikrocontroller auf konstante Ausführungszeiten zu achten oder die Timing-Charakteristika durch gezielte Maßnahmen zu verschleiern. Die Untersuchung unterstreicht, dass hardwarenahe Seitenkanäle auch bei modernen KI-Verfahren nicht vernachlässigt werden dürfen.