Imagine que, sem tocar em um único cabo de rede, sem hackear login algum e sem interceptar nenhum pacote de dados, fosse possível “ouvir” o que uma inteligência artificial está pensando — literalmente, captando o zumbido eletromagnético que o chip emite enquanto processa uma pergunta. É exatamente isso que um grupo de pesquisadores europeus acaba de demonstrar. O ataque se chama Kraken, e ele consegue reconstruir os parâmetros internos — os famosos “pesos” — de redes neurais e modelos de linguagem rodando dentro de GPUs da Nvidia, apenas analisando a radiação eletromagnética que esses chips vazam involuntariamente durante a inferência. Nenhum código malicioso instalado, nenhuma violação de rede: só uma antena, um osciloscópio e muita estatística.
A descoberta importa porque os pesos de um modelo de IA são, hoje, um dos ativos mais valiosos da indústria de tecnologia. Empresas gastam dezenas de milhões de dólares e meses de treinamento para chegar a um conjunto de parâmetros que funciona bem — e normalmente protegem esse resultado atrás de APIs fechadas, contratos de licenciamento e criptografia. O Kraken mostra que essa proteção pode ter um ponto cego físico: o próprio hardware que executa o modelo entrega pistas sobre ele pelo ar, mesmo quando todo o software está perfeitamente seguro.
O que é um ataque de canal lateral eletromagnético
Em segurança da informação, um “ataque de canal lateral” não tenta quebrar a lógica de um sistema — ele explora efeitos colaterais físicos que esse sistema produz sem querer. Todo componente eletrônico, ao processar informação, consome energia elétrica de forma variável: operações diferentes, com dados diferentes, geram picos de consumo diferentes. Esses picos, por sua vez, produzem pequenas variações no campo eletromagnético ao redor do chip, como um efeito colateral do fluxo de corrente pelos circuitos.
A técnica usada pelo Kraken para interpretar esse ruído chama-se análise de correlação de energia (Correlation Power Analysis, ou CPA na sigla em inglês), uma metodologia clássica de criptoanálise adaptada aqui para um alvo novo. A lógica é: se um pesquisador consegue prever, matematicamente, como o consumo de energia deveria variar de acordo com um determinado valor candidato de um parâmetro, e depois compara essa previsão estatística com o sinal eletromagnético realmente capturado, ele pode testar milhares de valores possíveis até achar aquele que “bate” com o sinal real. Repetindo esse processo parâmetro por parâmetro, é possível reconstruir, pouco a pouco, os pesos inteiros de uma rede neural — sem nunca ter acesso ao código, ao modelo original ou aos dados de treinamento.
Por que as GPUs vazam esse sinal
GPUs modernas são especialmente suscetíveis a esse tipo de escuta porque foram desenhadas para máxima eficiência em paralelismo, não para blindagem contra emissões eletromagnéticas. Diferentemente de chips voltados a aplicações de segurança (como os usados em cartões bancários ou chaves de autenticação), que já incorporam contramedidas físicas contra canal lateral, os processadores gráficos de mercado são otimizados para velocidade de cálculo bruta. Cada operação aritmética executada pelos milhares de núcleos de uma GPU deixa sua “assinatura” elétrica, e essa assinatura escapa do chip como radiação eletromagnética — um fenômeno inevitável em qualquer circuito digital de alta frequência.
O trabalho anterior a este, um ataque batizado de BarraCUDA e publicado por pesquisadores das mesmas universidades, já havia demonstrado em 2023 que era possível extrair pesos de redes neurais rodando em GPUs da linha Jetson da Nvidia (voltada para dispositivos embarcados e de borda) medindo esse vazamento eletromagnético. O artigo foi formalmente publicado no USENIX Security Symposium de 2025, uma das conferências mais respeitadas da área de segurança da informação. Mas o BarraCUDA tinha uma limitação importante: ele só conseguia atacar os chamados CUDA Cores, os núcleos de propósito geral que fazem cálculos aritméticos convencionais dentro da GPU.
Como o Kraken consegue “ler” os Tensor Cores
O problema é que praticamente nenhum modelo de IA relevante hoje roda só em CUDA Cores. Desde a geração de GPUs baseadas em arquitetura Volta, a Nvidia passou a incluir um segundo tipo de unidade de processamento, os Tensor Cores, otimizados especificamente para as multiplicações de matrizes que são o coração matemático de redes neurais e modelos de linguagem. É nos Tensor Cores que a esmagadora maioria da carga de trabalho de IA moderna — de reconhecimento de imagem a modelos de linguagem como o Llama — efetivamente acontece. Um ataque que só enxerga os CUDA Cores, portanto, fica cego para onde o trabalho pesado realmente ocorre.
É aqui que está a principal contribuição do Kraken: ele é a primeira demonstração pública de extração de parâmetros de rede neural especificamente a partir de Tensor Cores. Para isso, os pesquisadores tiveram que resolver um problema técnico específico: os Tensor Cores não processam um dado de cada vez, mas operam em unidades chamadas warps — grupos de 32 threads (linhas de execução) que trabalham em sincronia, todas processando fatias da mesma operação de multiplicação de matriz ao mesmo tempo. Isso significa que o sinal elétrico captado do lado de fora não representa o cálculo de um único número, mas a soma combinada da atividade de 32 threads simultâneas — um sinal muito mais “borrado” e difícil de decifrar do que o de um núcleo único.
A solução foi desenvolver o que os autores chamam de análise de correlação em nível de warp: em vez de tentar isolar o comportamento de uma única thread (o que seria estatisticamente inviável nesse cenário), o modelo de previsão de consumo de energia passa a somar o efeito estimado das 32 threads do warp inteiro, tratando o grupo como uma unidade só. Combinada a uma variante de “ordem superior” da análise de correlação — que cruza múltiplos pontos do sinal ligados ao mesmo parâmetro em vez de olhar para um só —, essa abordagem permitiu reconstruir pesos com uma eficiência notável: em média, cerca de 300 mil capturas de sinal foram suficientes, uma fração das milhões que o BarraCUDA original precisava para atacar os CUDA Cores, apesar de os Tensor Cores operarem em frequências de clock mais altas, o que teoricamente tornaria o sinal mais difícil de isolar.
Dois cenários de captura: encostado no chip ou a um metro de distância
Os pesquisadores testaram o Kraken em dois hardwares: uma placa de borda Jetson Orin Nano (voltada para robótica e dispositivos embarcados) e uma GeForce RTX 4090, uma das GPUs mais usadas atualmente para treinar e rodar modelos de IA em estações de trabalho. E o fizeram em dois cenários de ataque bem distintos, que mostram a amplitude do risco.
No cenário de campo próximo, o mais controlado, uma sonda eletromagnética é posicionada fisicamente muito próxima do encapsulamento do chip — no caso do experimento, um chip sem sua tampa metálica dissipadora de calor, exposto diretamente. Os pesquisadores usaram imagem infravermelha para localizar precisamente onde, na superfície do silício, ficam as unidades de processamento que queriam espionar, e posicionaram a sonda logo acima delas. Esse é o cenário que exige acesso físico direto ao equipamento, mas produz o sinal mais limpo e a extração mais confiável.
No cenário de campo distante, muito mais preocupante do ponto de vista prático, o ataque foi realizado com uma antena receptora a 25 centímetros do equipamento sem nenhum obstáculo, e também a 100 centímetros de distância — captando o sinal através de uma barreira de vidro. Nesse cenário, sintonizando a antena na frequência de operação de clock da GPU (cerca de 2.565 MHz no caso testado), os pesquisadores conseguiram identificar vazamento de informação relacionado aos pesos de um modelo de linguagem real e atual, o Llama 3.2 1B, especificamente nas matrizes de projeção de atenção do modelo (as chamadas matrizes Wq, Wk e Wv, que fazem parte do mecanismo que permite ao modelo “prestar atenção” em diferentes partes do texto). Esse resultado ainda é descrito pelos próprios autores como uma prova de conceito exploratória, não uma extração completa e prática à distância — mas já é suficiente para acender um alerta: em tese, um modelo de linguagem rodando em uma sala com paredes de vidro poderia vazar pistas sobre seus próprios pesos para alguém posicionado do lado de fora, sem qualquer acesso físico ao equipamento.
O que isso significa para a propriedade intelectual dos modelos de IA
O impacto direto dessa pesquisa é sobre o modelo de negócio que sustenta boa parte da indústria de inteligência artificial atual. Empresas que treinam modelos proprietários — sejam grandes modelos de linguagem (LLMs) de uso geral, sejam redes especializadas para diagnóstico médico, reconhecimento facial, pontuação de crédito ou qualquer outra aplicação de alto valor — normalmente confiam que, mesmo distribuindo o hardware que roda esses modelos (por exemplo, em dispositivos de borda, caixas eletrônicos, carros autônomos ou até chips embarcados em produtos de consumo), os pesos internos continuam protegidos, porque o software e a rede estão isolados. O Kraken é mais uma evidência de que essa confiança pode ser parcialmente falsa: o próprio hardware, funcionando exatamente como projetado, entrega informação por um canal que a maioria das arquiteturas de segurança de software simplesmente não cobre.
Isso é particularmente relevante para cenários de “IA de borda” — modelos que rodam localmente em dispositivos físicos, como câmeras inteligentes, robôs, veículos e sensores industriais, em vez de em um servidor remoto trancado em um data center. Nesses casos, um adversário pode, em tese, ter acesso físico prolongado ao equipamento (comprando um exemplar do produto no mercado, por exemplo) para tentar replicar o cenário de campo próximo, ou até tentar capturas remotas em ambientes controlados para o cenário de campo distante. Vale reforçar, no entanto, que os próprios autores descrevem a extração via GPUs de alto desempenho como a RTX 4090 e a captação à distância como resultados iniciais e exploratórios, não como uma receita pronta e trivial de roubo de modelos — o ataque ainda exige equipamento especializado (sondas de radiofrequência, osciloscópios de alta taxa de amostragem, antenas direcionais e rádios definidos por software) e conhecimento técnico avançado em análise estatística de sinais.
De todo modo, o recado para a indústria é claro: segurança de modelos de IA não pode parar na camada de software. Da mesma forma que a indústria de cartões inteligentes e de criptografia de hardware precisou, ao longo de décadas, desenvolver blindagens físicas contra canal lateral — como ruído eletromagnético proposital, variação aleatória de tempo de execução e blindagem de metal —, pesquisas como o Kraken sinalizam que o mesmo tipo de defesa pode se tornar necessário para chips que executam inteligência artificial de alto valor, à medida que o valor econômico dos pesos desses modelos continua crescendo.
Fontes
Horvath, P.; Shumailov, I.; Chmielewski, L.; Batina, L.; Yarom, Y. “Kraken: Higher-order EM Side-Channel Attacks on DNNs in Near and Far Field”. Artigo submetido ao arXiv em março de 2026 (arXiv:2603.02891), com publicação prevista na IEEE Conference on Secure and Trustworthy Machine Learning (SaTML) de 2026.
Horvath, P.; Chmielewski, L.; Weissbart, L.; Batina, L.; Yarom, Y. “BarraCUDA: Edge GPUs do Leak DNN Weights”. Publicado originalmente no arXiv em dezembro de 2023 (arXiv:2312.07783) e, em versão revisada, nos Anais do 34º USENIX Security Symposium (USENIX Security 2025).