Vitória em segurança de chips da University of Idaho coloca a IA nos dois lados da disputa

Pesquisadores de segurança de chips da University of Idaho conquistaram o primeiro lugar em uma competição de 2026 na qual a IA generativa atuou tanto como defensora quanto como atacante. O estudante de graduação Lloyd Alcorn e o professor assistente Zain Ul Abideen desenvolveram um fluxo de trabalho que ocultava informações sensíveis de design de chips enquanto testava o que um adversário assistido por IA conseguiria reconstruir.

Essa combinação cria a verdadeira tensão. A IA pode ajudar engenheiros a proteger a propriedade intelectual dentro de um design, mas a mesma classe de tecnologia pode ajudar um atacante a interpretar os arquivos protegidos. Portanto, uma defesa não pode ter sucesso apenas tornando um circuito difícil de ser lido por uma pessoa.

O projeto venceu o GenAI-Guided Hardware IP Redaction and Red-Teaming Challenge na 63ª Design Automation Conference, conhecida como DAC. O resultado não estabelece um padrão de segurança pronto para produção. Mas mostra como a segurança de design de chips com IA está se tornando um problema de medição adversarial, em vez de um ato pontual de ocultar informações.

Segurança de chips da University of Idaho vence na DAC

O projeto vencedor tratou o design protegido de chips como algo que precisa permanecer funcional enquanto resiste ativamente à reconstrução.

Alcorn, estudante do último ano de engenharia elétrica, trabalhou com Abideen durante uma competição remota realizada de junho a julho de 2026. Os prêmios foram entregues durante a DAC, uma importante conferência sobre design de chips e automação de design eletrônico.

A University of Idaho afirmou que a conferência reúne mais de 5.000 pesquisadores, engenheiros, profissionais da indústria e estudantes. Alcorn competiu com participantes tanto da academia quanto da indústria, apesar de participar como estudante de graduação.

A tarefa envolvia IP de hardware: a lógica reutilizável, as arquiteturas, as constantes e as estruturas de controle que conferem a um chip parte de seu comportamento distintivo. Essa propriedade costuma aparecer em código de nível de transferência de registradores, ou RTL, que descreve como a lógica digital processa e transfere dados.

Alcorn e Abideen criaram um sistema de segurança que ofuscava informações críticas sobre a funcionalidade e a propriedade intelectual de um chip. A ofuscação altera a forma como um design aparece a um observador, preservando seu comportamento pretendido.

Esse segundo requisito é importante. Um esquema de proteção que prejudica a simulação, a integração, o timing ou o desempenho computacional tem pouco valor prático. A equipe precisava ocultar informações valiosas sem comprometer a operação do design.

De acordo com o relato da universidade sobre o projeto vencedor, Alcorn adaptou e testou repetidamente o fluxo de trabalho de proteção. Ele verificou que os designs protegidos continuavam funcionando corretamente e mediu os efeitos sobre energia e timing.

Em seguida, realizou uma avaliação adversarial assistida por IA. Essa avaliação perguntou quais informações um atacante ainda poderia inferir do design alterado, em vez de presumir que o código transformado era automaticamente seguro.

A competição formalizou esse conflito por meio de equipes azuis e vermelhas. As equipes azuis ocultavam detalhes sensíveis, enquanto as equipes vermelhas usavam IA generativa para tentar reconstrução, engenharia reversa e auditoria.

Os organizadores descreveram vários alvos de proteção. Entre eles estavam nomes de módulos, hierarquia de circuitos, comportamento de máquinas de estados finitos, constantes proprietárias, estruturas criptográficas e lógica de controle sensível. Uma equipe vermelha poderia então usar IA para inferir as funções ou relações originais.

É por isso que o prêmio é mais significativo do que uma premiação convencional de design estudantil. A equipe não apenas pediu a um sistema de IA que gerasse um circuito. Ela trabalhou na fronteira mais difícil entre usabilidade e sigilo, expondo depois a defesa a um atacante inteligente.

Por que a redação de IP de hardware está se tornando mais difícil

A redação de IP de hardware agora precisa resistir a máquinas capazes de raciocinar sobre código, estrutura, padrões de nomenclatura e comportamento de circuitos.

A redação tradicional costuma depender da remoção de comentários descritivos, da renomeação de sinais ou da ocultação de blocos selecionados do design. Essas medidas podem dificultar uma inspeção casual, mas não necessariamente eliminam as relações incorporadas em um circuito funcional.

Um módulo com nomes anônimos ainda possui entradas, saídas, comportamento de timing e conexões. Uma máquina de estados ainda percorre padrões. Um componente criptográfico pode manter constantes ou fluxos de dados reconhecíveis depois que seus rótulos desaparecem.

A IA generativa altera a economia de examinar essas pistas. Ela pode resumir RTL desconhecido, propor funções prováveis para módulos, comparar estruturas repetidas e gerar hipóteses sobre lógica ausente. Um atacante ainda precisa de conhecimento técnico, mas a IA pode reduzir o custo de explorar muitas possibilidades.

A mesma capacidade ajuda os defensores. Um engenheiro de segurança pode usar um fluxo de trabalho assistido por IA para identificar nomes reveladores, localizar cones de lógica sensíveis, propor transformações e revisar se essas mudanças preservam o comportamento pretendido.

Um cone de lógica é o conjunto de elementos de circuito que influencia uma determinada saída. Se uma saída crítica para a segurança puder ser rastreada até portas ou constantes reconhecíveis, ocultar apenas os rótulos pode oferecer proteção fraca.

A abordagem da equipe da University of Idaho reflete esse uso duplo. A IA apoiou o fluxo de trabalho defensivo e depois ajudou a investigar o resultado sob uma perspectiva adversarial. A ferramenta não era inerentemente protetora nem inerentemente hostil.

Essa dinâmica já aparece em toda a agenda de pesquisa de automação de design eletrônico. A agenda de pesquisa em segurança da DAC de 2026 inclui explicitamente ataques e defesas de hardware baseados em IA, engenharia reversa, ofuscação de hardware e automação de design que preserva a segurança.

A conferência também solicitou trabalhos sobre modelos fundamentais para EDA, verificação agêntica, automação de design físico e benchmarks para avaliar sistemas de IA. EDA refere-se ao software usado para projetar, simular, verificar e preparar sistemas eletrônicos para fabricação.

Esses avanços tornam a segurança de design de chips com IA um alvo em constante movimento. Uma transformação que derrota um modelo ou uma estratégia de prompt pode vazar informações para um modelo mais poderoso, um agente especializado ou um fluxo de trabalho que combine IA com análise formal.

A ameaça também vai além do roubo de código-fonte. Um design reconstruído pode revelar algoritmos proprietários, verificações de segurança, estruturas criptográficas ou decisões de implementação. Essas informações podem apoiar falsificação, clonagem, descoberta de vulnerabilidades ou modificação maliciosa.

O NIST descreve a cadeia de suprimentos de semicondutores como uma rede que abrange propriedade intelectual, design, fabricação, testes, encapsulamento e distribuição. Seu programa de segurança de hardware trata pirataria de IP, engenharia reversa e cavalos de Troia de hardware como preocupações relacionadas ao design voltado à confiança.

Um cavalo de Troia de hardware é uma lógica maliciosa adicionada a um circuito para alterar o comportamento, vazar informações ou criar acesso oculto. Ao contrário de uma vulnerabilidade comum de software, ele pode se tornar parte do dispositivo físico.

A redação por si só não consegue interromper todos esses riscos. No entanto, a competição aborda uma etapa inicial importante: limitar o que os artefatos de design revelam quando precisam circular entre equipes, ferramentas, fornecedores ou instalações.

Esse requisito é difícil porque a produção de semicondutores é distribuída. Um design pode atravessar múltiplas fronteiras organizacionais e técnicas antes que um componente finalizado chegue a um produto.

Cada fronteira cria um conflito. Os parceiros precisam de informação suficiente para executar simulação, verificação, integração, fabricação ou testes. O proprietário do IP quer revelar apenas o necessário para essas tarefas.

A redação de IP de hardware tenta administrar esse conflito. A IA generativa acelera ambos os lados, por isso a proteção agora precisa de testes adversariais repetíveis, em vez de confiança baseada na obscuridade.

A verdadeira disputa foi usabilidade versus sigilo

O problema decisivo não é se um design pode ser ocultado, mas se ele pode permanecer útil depois que suas características mais reveladoras forem removidas.

Um defensor poderia, teoricamente, tornar a reconstrução impossível retendo todo o design. Essa abordagem também impede que colaboradores legítimos o simulem, testem ou integrem.

A proteção prática precisa preservar um nível acordado de utilidade. Um artefato redigido pode precisar compilar, passar em testes funcionais, expor interfaces definidas e atender a restrições de timing. Cada capacidade preservada também pode revelar informações adicionais.

Isso cria uma troca semelhante à anonimização de dados. Remover identificadores óbvios não garante privacidade quando as relações entre os campos restantes podem revelar as informações ausentes.

A estrutura de um circuito pode ser igualmente informativa. Entradas, saídas, operações repetidas, padrões de consulta e transições de estado podem identificar um componente mesmo quando seus nomes e comentários originais desapareceram.

Um método de ofuscação pode adicionar transformações ou comportamento baseado em chaves para tornar o design mais difícil de interpretar. No entanto, essas mudanças podem elevar o consumo de energia, estender caminhos críticos de timing, aumentar a área ou complicar a verificação.

A equipe da University of Idaho mediu energia e timing porque a segurança não pode ser avaliada isoladamente. Uma defesa que imponha uma penalidade de implementação inaceitável terá dificuldade para sobreviver a uma revisão comercial de design.

A DARPA identificou o mesmo obstáculo fundamental em seu programa de automação de silício seguro. A agência observou que a segurança em nível de chip frequentemente enfrenta obstáculos econômicos e compromissos técnicos, enquanto alterações tardias de design são excepcionalmente difíceis.

Sua resposta foi um fluxo de design automatizado capaz de avaliar alternativas arquiteturais em relação a metas de segurança e implementação. Esse enquadramento corresponde de perto ao problema exposto pelo desafio da DAC, embora os programas sejam separados.

A automação importa porque o design de chips já envolve um vasto espaço de busca. Engenheiros equilibram função, desempenho, energia, área, confiabilidade, esforço de verificação, restrições de fabricação e cronogramas de entrega.

A segurança acrescenta outro objetivo, mas não pode simplesmente se sobrepor a todos os demais requisitos. Um design protegido ainda precisa se tornar um produto funcional.

A IA pode ajudar a explorar transformações candidatas mais rapidamente. Ela também pode ajudar um adversário a buscar padrões que sobreviveram a essas transformações. A disputa resultante é iterativa, não estática.

Uma equipe azul altera o design. Uma equipe vermelha busca significado preservado. A equipe azul então ajusta a transformação, verifica novamente a funcionalidade e mede quaisquer novos custos.

Esse ciclo se assemelha aos testes modernos de segurança de software, nos quais defensores examinam continuamente o código e atacantes buscam continuamente formas de contornar as proteções. O hardware impõe uma restrição mais severa porque os erros podem persistir após a fabricação.

Um patch de software frequentemente pode ser implantado após o lançamento. Um design de chip com falhas pode exigir substituição cara, uma nova rodada de fabricação ou controles compensatórios em outras partes do sistema.

Isso torna a avaliação pré-silício especialmente valiosa. Pré-silício refere-se ao trabalho realizado antes que um design se torne um chip fabricado. Testes assistidos por IA podem examinar artefatos de design enquanto os engenheiros ainda podem revisá-los.

Portanto, o resultado de Idaho apoia um mecanismo, não uma resposta universal. Use IA para auxiliar a proteção, preserve a utilidade do design, meça os custos de implementação e ataque o resultado antes de confiar nele.

Esse mecanismo pode melhorar a disciplina de engenharia mesmo quando o modelo produz sugestões imperfeitas. Ele obriga a equipe a definir o que deve permanecer utilizável, o que deve permanecer secreto e quais evidências caracterizam uma defesa bem-sucedida.

A Segurança no Design de Chips com IA Precisa de Evidências Melhores

Um primeiro lugar demonstra sucesso competitivo, mas ainda não prova que o fluxo de trabalho consegue proteger a propriedade intelectual comercial de semicondutores.

O relatório público da University of Idaho não fornece um artigo técnico detalhado, uma suíte de benchmarks, um inventário de modelos, uma divisão da pontuação ou um modelo completo de ameaças. Também não publica os designs protegidos nem as tentativas bem-sucedidas de reconstrução.

Essas omissões são compreensíveis em uma breve reportagem universitária. Ainda assim, limitam o que engenheiros externos podem concluir a partir do resultado.

Uma avaliação significativa precisa definir o acesso do atacante. A equipe vermelha recebeu RTL, um netlist sintetizado, saídas de simulação, documentação de interface ou apenas artefatos selecionados? Diferentes níveis de acesso criam riscos de reconstrução muito distintos.

A configuração do modelo também importa. Um modelo de linguagem de uso geral, um modelo focado em código e um agente de EDA conectado a ferramentas de análise podem produzir resultados diferentes.

Os prompts e a iteração também podem afetar o desempenho. Um atacante com uma única consulta não representa um atacante capaz de executar muitos agentes, compilar designs candidatos, inspecionar falhas e refinar hipóteses.

As métricas de avaliação continuam sendo outra questão em aberto. Uma defesa pode impedir a reconstrução exata do código-fonte e ainda assim vazar a finalidade do componente, o algoritmo, constantes ou o limite de segurança.

Por outro lado, um sistema de IA pode gerar explicações plausíveis, porém tecnicamente erradas. Uma reconstrução aparente não é o mesmo que uma recuperação verificada.

Portanto, um benchmark robusto precisa de várias camadas de medição. Ele deve testar equivalência funcional, similaridade estrutural, inferência semântica, recuperação de segredos e o custo imposto ao design protegido.

Também deve testar se a defesa se transfere entre famílias de circuitos não vistas. Um método ajustado para um benchmark pode ter bom desempenho em uma competição, mas falhar em arquiteturas diferentes.

O NIST destacou essa lacuna de medição. Seu programa de hardware pede conjuntos de dados de referência e métricas capazes de apoiar testes, atestação, certificação e verificação de componentes semicondutores.

O relatório do workshop sobre padrões de 2026 da agência também identificou a verificação e a validação escaláveis como prioridade. As abordagens recomendadas incluíam análise assistida por IA, métodos formais, fuzzing, testes padronizados e avaliação de resiliência.

Essa combinação é importante. A IA não deve se tornar a única juíza de que a IA protegeu um design com sucesso.

Métodos formais usam raciocínio matemático para verificar propriedades de um sistema. A simulação executa cenários selecionados, enquanto a verificação formal pode examinar classes mais amplas de comportamentos possíveis sob premissas definidas.

O fluxo de trabalho mais confiável para a segurança no design de chips com IA combinaria exploração assistida por modelos com verificações determinísticas. O modelo pode propor transformações ou ataques, enquanto ferramentas convencionais verificam propriedades de funcionamento, temporização, energia e segurança.

A reprodutibilidade é igualmente importante. Pesquisadores precisam manter registros das versões dos modelos, prompts, chamadas de ferramentas, artefatos intermediários e resultados de validação. Caso contrário, um resultado vencedor pode ser difícil de comparar ou repetir.

Serviços de IA também levantam suas próprias questões de confidencialidade. Enviar RTL proprietário a um modelo externo pode expor justamente as informações que um fluxo de proteção busca resguardar.

Uma implantação em produção exigiria controles claros sobre retenção de dados, acesso a modelos, logs, isolamento e propriedade dos artefatos gerados. Modelos locais ou controlados pela organização podem reduzir parte da exposição, mas não eliminam o risco técnico.

Há também um problema de contaminação de benchmarks. Se exemplos públicos de circuitos aparecem nos dados de treinamento do modelo, um sistema pode recordar padrões conhecidos em vez de inferi-los a partir de um design realmente protegido.

Pesquisadores precisam distinguir memorização de reconstrução. Circuitos de avaliação privados, divulgação controlada e benchmarks pós-treinamento podem ajudar, embora dificultem a replicação aberta.

O prêmio é, portanto, uma evidência de que a abordagem merece estudo mais aprofundado. Não é evidência de que a IA generativa resolveu a proteção de propriedade intelectual de hardware.

Fabricantes de Chips Enfrentam um Novo Ciclo de Ataque e Defesa

A pressão recai sobre toda organização que compartilha artefatos de design além de uma equipe interna rigidamente controlada.

Esse grupo inclui empresas de chips, fornecedores de IP reutilizável, fundições, provedores de EDA em nuvem, contratados de verificação, especialistas em encapsulamento e parceiros de pesquisa. Também inclui clientes que integram núcleos licenciados a sistemas maiores.

A fonte da pressão não é um único concorrente. É a capacidade crescente dos atacantes de combinar o raciocínio de IA com ferramentas estabelecidas de engenharia reversa e análise.

Modelos generativos podem reduzir a barreira para examinar descrições de hardware desconhecidas. Eles podem traduzir sintaxe, explicar comportamentos prováveis, propor testes e gerar scripts para cadeias de ferramentas existentes.

Engenheiros especializados continuam sendo importantes. O comportamento do hardware depende de temporização, síntese, efeitos físicos e detalhes de implementação que resultados em linguagem natural podem representar incorretamente.

No entanto, os atacantes não precisam de automação completa para obter vantagem. Uma redução modesta no tempo de análise pode tornar mais alvos economicamente atraentes.

Os defensores enfrentarão pressão para testar artefatos protegidos contra capacidades de modelos em evolução antes de compartilhá-los. Também precisarão documentar quais informações cada destinatário realmente necessita.

Isso aproxima o controle de acesso do próprio design. Em vez de tratar cada parceiro aprovado como alguém com direito ao mesmo artefato, as empresas podem adaptar a divulgação a uma tarefa específica.

O projeto da University of Idaho oferece uma demonstração concisa dessa abordagem. Preserve o que um fluxo de trabalho legítimo exige, oculte informações sensíveis e desafie o resultado pela perspectiva de um atacante.

O setor mais amplo de EDA já avança em direção a sistemas mais autônomos. A discussão da DAC sobre uma pilha de EDA nativa de IA argumenta que infraestrutura, integração e confiança se tornaram obstáculos centrais à adoção em produção.

A segurança faz parte desse problema de confiança. Um agente que pode inspecionar repositórios, executar ferramentas, modificar RTL e interpretar resultados de verificação tem mais capacidade do que um chatbot isolado.

Maior capacidade ajuda equipes de engenharia a automatizar trabalhos difíceis. Ela também aumenta as consequências de acesso excessivo, raciocínio incorreto, instruções comprometidas ou logs mal protegidos.

As organizações de chips, portanto, precisarão de controles projetados para agentes, não apenas para usuários humanos. Esses controles incluem permissões restritas, espaços de trabalho isolados, execução reprodutível de ferramentas e etapas de revisão antes que mudanças sensíveis entrem em um design.

É aí que o modelo de competição se torna útil além da educação. Equipes vermelhas e azuis fornecem uma forma estruturada de expor premissas antes que um adversário o faça.

A abordagem também pode fortalecer a educação em semicondutores. Estudantes que aprendem apenas otimização de design podem deixar de perceber como artefatos aparentemente inofensivos revelam informações proprietárias ou sensíveis à segurança.

Abideen afirmou que a competição combinou IA generativa, ferramentas de design de chips e análise adversarial de segurança de uma maneira raramente disponível para estudantes de graduação. Essa combinação importa porque os futuros engenheiros herdarão tanto sistemas automatizados de design quanto ameaças assistidas por IA.

A University of Idaho tem uma base mais ampla de segurança de hardware por trás do projeto. A pesquisa de Abideen abrange design confiável de circuitos integrados, EDA com foco em segurança, defesas contra engenharia reversa, ofuscação de circuitos e design de chips assistido por IA.

Ainda assim, a lição mais útil não é institucional. É operacional: as equipes devem presumir que artefatos de design legíveis receberão análises automatizadas cada vez mais capazes.

Essa premissa altera o ônus da prova. Uma defesa não deve ser considerada adequada porque os engenheiros não conseguem compreendê-la imediatamente. Ela deve resistir a ataques definidos, validação mensurável e testes repetidos com novas ferramentas.

Três Sinais Mostrarão se a Vitória Importa

O próximo teste é saber se esse resultado de competição se transforma em evidências reproduzíveis, benchmarks mais robustos e adoção além de um projeto universitário.

O primeiro sinal é uma divulgação técnica. Um artigo, benchmark, repositório ou relatório detalhado da competição esclareceria o modelo de ameaças, os artefatos protegidos, os modelos, o sistema de pontuação e a sobrecarga de implementação.

Se esse material demonstrar proteção consistente em vários designs não vistos, reforçará o argumento em favor da redação de IP de hardware assistida por IA. Se o resultado depender de um único benchmark restrito, a afirmação mais ampla perderá força.

O segundo sinal é o desempenho de equipes vermelhas independentes. Outros pesquisadores devem testar a mesma proteção contra diferentes modelos, arquiteturas de agentes e ferramentas convencionais de EDA.

Uma defesa que sobrevive apenas aos ataques previstos por seus próprios projetistas oferece garantias limitadas. Uma defesa que resiste a equipes independentes enquanto preserva a funcionalidade fornece evidências mais significativas.

O terceiro sinal é a integração em um fluxo de trabalho de design repetível. Observe ferramentas que conectem redação, simulação, verificações formais, análise de temporização, medição de energia e avaliação adversarial.

A integração demonstraria que a segurança no design de chips com IA pode operar dentro de restrições reais de engenharia. Uma demonstração isolada que exija amplo ajuste manual continuaria sendo uma pesquisa útil, mas ainda não seria um método de produção escalável.

Esses sinais importam mais do que o prêmio em si. Competições recompensam progresso sob regras definidas, enquanto a segurança de semicondutores implantada precisa lidar com designs desconhecidos, atacantes em mudança, controles de confidencialidade e erros dispendiosos.

A vitória da University of Idaho em segurança de chips ainda marca uma mudança importante. Ela posiciona a IA nos dois lados da mesma fronteira de design e mede a defesa por meio de ataques ativos.

Para desenvolvedores e equipes de segurança, a pergunta prática agora é concreta: quais artefatos de design sua organização pode compartilhar com segurança e como você testaria o que um adversário assistido por IA consegue inferir a partir deles? Acompanhe os benchmarks emergentes, exija validação reproduzível e trate o acesso a modelos como parte do modelo de ameaças de hardware. As organizações que responderem a essas perguntas antes da implantação estarão mais preparadas para um ciclo de ataque e defesa que já começou.