UM MEDIDOR DE ENERGIA QUE FLAGRA O TREINAMENTO OCULTO DE IA

Acordos para governar a inteligência artificial podem um dia limitar o tamanho dos modelos que se podem treinar. Fazê-los cumprir exigiria um verificador externo capaz de dizer se um cluster de computação monitorado está treinando um modelo — mesmo quando seu operador tenta escondê-lo.

A maioria das formas de verificação exige confiança: registros mantidos nos chips, escutas na rede entre eles, entrevistas com funcionários, denunciantes. Todas dependem de hardware que o operador controla ou das pessoas do operador. Um sensor físico fora dos chips, não. Um medidor de energia preso ao cabo de entrada de uma instalação poderia ser adaptado a um datacenter existente e lacrado contra adulterações.

Trabalhos anteriores mostraram que o treinamento deixa um rastro no consumo de energia. Mas esses estudos usavam sondas numa única placa, com milhões de amostras por segundo, ou a telemetria dos próprios chips. Um medidor realista ficaria no nível do rack (o armário de servidores) ou da instalação, cerca de um milhão de vezes mais lento, atrás de uma fonte de alimentação que suaviza e dilui o sinal.

Os batimentos do treinamento

Tom Kimpson, da Universidade de Melbourne e do programa MATS, Mauricio Baker, da Universidade de Oxford, e Emlyn Graham, do MATS, partem de um fato simples. Quando muitos chips treinam um modelo juntos, cada etapa alterna uma fase de cálculo de alto consumo com uma fase de baixo consumo em que os chips trocam seus resultados. Isso acontece cerca de uma vez por segundo e desenha uma linha estreita no espectro do consumo da instalação — decomponha o sinal de energia em seus ritmos, como um prisma decompõe a luz, e uma batida por segundo aparece como um pico agudo numa única frequência.

Identificar essa linha é mais difícil do que parece. O treinamento real não tem um compasso perfeito: componentes lentos, chips superaquecidos e variações de temperatura fazem o ritmo vaguear. E um operador pode fazê-lo vaguear de propósito, ou borrá-lo.

Por isso, a equipe pegou emprestada uma ferramenta do sonar passivo e das buscas por ondas gravitacionais contínuas: um rastreador de Viterbi, que acompanha uma linha tênue enquanto ela deriva lentamente num espectrograma (um mapa de quais ritmos estão presentes, momento a momento).

Testado num datacenter simulado

Não há dados públicos de consumo de uma instalação real de treinamento, então os autores construíram um modelo de uma, baseado num modelo publicado do consumo de treinamento usado para a estabilidade da rede elétrica: um treinamento principal e tarefas menores em segundo plano. O cenário alternativo, “inocente”, substitui o treinamento principal por inferência declarada — servir respostas de um modelo a usuários —, que os autores tornaram deliberadamente ruidosa, para dificultar o teste.

Contra um operador que não faz nenhum esforço para se esconder, o rastreador detecta pelo menos 96% dos treinamentos em janelas de cinco minutos, com 1% de falsos alarmes, no máximo quatro pontos percentuais abaixo do melhor que qualquer teste poderia teoricamente alcançar. Testes clássicos que procuram uma linha numa frequência fixa desmoronam assim que o ritmo deriva.

Três painéis de frequência em função do tempo: uma linha de treinamento estável, uma linha de treinamento que deriva seguida pelo rastreador e inferência sem nenhuma linha.

O rastreador (azul) em três registros de cinco minutos: treinamento estável (a), treinamento cujo ritmo vagueia 0,4 Hz, ou 0,4 batida por segundo (b; tracejado, o ritmo real) e inferência (c), em que ele apenas encadeia ruído e fica abaixo do limiar de detecção. — Figura 4, Kimpson et al. (2026), arXiv:2610.30182.

O medidor não precisa ser sofisticado: ele deve fazer pelo menos duas leituras por segundo, calcular médias sobre no máximo meio segundo, e a fonte de alimentação não deve filtrar o ritmo profundamente demais.

Gráfico da taxa de detecção em função da deriva do ritmo de treinamento: o rastreador fica perto de 1, um filtro de frequência fixa desmorona, outro teste fica perto de zero.

Taxa de detecção com 1% de falsos alarmes à medida que o ritmo de treinamento deriva: o rastreador (azul) fica próximo do teto teórico (tracejado). — Figura 5, Kimpson et al. (2026), arXiv:2610.30182.

O preço de se esconder

Depois, a equipe fez o papel do trapaceiro. Testou oito maneiras de se esconder: acrescentar tempos ociosos aleatórios, deslocar o ritmo, remodelar cada etapa, diluir o treinamento entre outras tarefas, entre outras. Contra testes de frequência fixa, a maioria funcionou. Contra o rastreador, quase nenhuma — ele flagrou pelo menos 95% dos treinamentos em 43 das 46 configurações testadas.

Só uma abordagem funcionou de verdade: variar a quantidade de trabalho em cada etapa. Sua forma mais forte escondeu o treinamento em até 73% das janelas de cinco minutos, sem custo de velocidade. Mas ela tem outro custo. Num pequeno treinamento real — um modelo de linguagem de 30 milhões de parâmetros num único chip A100 —, atingir a mesma qualidade exigiu de 93% a 267% mais computação, conforme a variante.

E o tempo joga contra o trapaceiro. Observando um dia inteiro, com uma taxa de falsos alarmes de 0,1% por treinamento, o verificador flagrou 87% dos treinamentos que usavam esse melhor truque, 44% já na primeira hora. Cerca de um em cada sete escapou.

Próximo passo: medidores reais

Os autores listam limites claros. Todos os registros são sintéticos; testes numa instalação real com vários chips estão planejados, mas exigem equipamentos que eles ainda não têm. O medidor detecta um ritmo regular, não o treinamento em si: outras tarefas periódicas, ou o próprio circuito de gerenciamento de energia de um chip, poderiam acioná-lo. E um armazenamento de energia grande o bastante entre os chips e o medidor poderia achatar o sinal — embora o verificador pudesse então simplesmente instalar um segundo medidor mais perto dos chips.