Memahami Batas Keamanan Perlindungan LLM On-Device Berbasis Obfuskasi

Large Language Model (LLM) on-device menghadapi tantangan kritis: melindungi kekayaan intelektual sekaligus menjaga efisiensi komputasi. Trusted Execution Environment (TEE) menawarkan solusi yang menjanjikan, tetapi hambatan komputasi bawaannya membatasi penerapan langsung. Untuk mengatasi hal ini, metode TEE-Shielded LLM Partition (TSLP) menerapkan skema obfuskasi yang efisien pada lapisan yang intensif komputasi, mengalihkannya ke GPU eksternal sambil mempertahankan hanya operasi ringan di dalam TEE. Meskipun semakin banyak pendekatan berbasis TSLP bermunculan, mekanisme pertahanan ini sebagian besar masih heuristik. Akibatnya, beberapa metode terbukti rentan terhadap serangan adversarial khusus yang dirancang untuk mengeksploitasi implementasi arsitektural spesifiknya. Makalah ini membahas pertanyaan penelitian mendasar: dapatkah kita menetapkan primitif bersama untuk menyatukan metodologi sebelumnya yang representatif, mencirikan batas keamanan komposisinya, dan memperluasnya secara sistematis? Dengan memformalkan primitif obfuskasi sebagai dual-tuple komputasi linear yang memenuhi sifat aljabar tertentu, penulis menunjukkan bahwa transformasi bobot tingkat matriks dari beberapa kerangka TSLP efisien yang representatif dapat dinyatakan sebagai komposisi primitif tersebut. Bentuk kanonis dari komposisi primitif ini, yang dilambangkan sebagai $\text{PriorBoundary}$, mendefinisikan batas keamanan keluarga primitif ini. Makalah ini kemudian mengungkap kerentanan $\text{PriorBoundary}$ melalui metodologi serangan berpanduan primitif yang baru, $\text{SysAttack}$, yang menunjukkan kerentanan bersama pada beberapa metode TSLP terkemuka yang diterbitkan di forum kelas atas, seperti ArrowCloak (Security'25), TSQP (S&P'25), dan LoRO (NeurIPS'25). Terakhir, penulis memperkenalkan dua primitif obfuskasi baru dan mengintegrasikannya dengan konstruksi yang ada untuk merumuskan $\text{SysDefense}$, yang memperluas batas keamanan sebelumnya $\text{PriorBoundary}$.

Makalah ini memformalkan sekumpulan primitif obfuskasi, yang didefinisikan sebagai dual-tuple komputasi linear yang memenuhi sifat aljabar tertentu. Primitif ini berfungsi sebagai blok penyusun untuk menyatakan transformasi bobot tingkat matriks yang digunakan dalam kerangka TSLP. Penulis menunjukkan bahwa beberapa kerangka TSLP efisien yang representatif dapat dinyatakan sebagai komposisi primitif tersebut. Bentuk kanonis dari komposisi primitif ini, yang dilambangkan sebagai $\text{PriorBoundary}$, mendefinisikan batas keamanan keluarga primitif ini. Untuk mengungkap kerentanan, penulis memperkenalkan metodologi serangan berpanduan primitif yang baru, $\text{SysAttack}$, yang secara sistematis mengeksploitasi struktur aljabar primitif tersebut. Serangan ini dirancang untuk memulihkan bobot asli dari komputasi yang diobfuskasi, sehingga menembus batas keamanan. Metodologi ini melibatkan analisis komposisi primitif dan identifikasi kelemahan aljabar yang memungkinkan inversi secara efisien. Penulis kemudian memperkenalkan dua primitif obfuskasi baru dan mengintegrasikannya dengan konstruksi yang ada untuk merumuskan $\text{SysDefense}$, yang memperluas batas keamanan sebelumnya $\text{PriorBoundary}$. Primitif baru ini dirancang untuk menahan serangan aljabar yang mengompromikan batas awal, memberikan jaminan keamanan yang lebih kuat. Makalah ini menyediakan analisis formal atas sifat keamanan $\text{PriorBoundary}$ dan $\text{SysDefense}$, termasuk bukti keamanan dan analisis kompleksitas serangan.