Per ridurre questa vulnerabilità, i ricercatori del MIT e del MIT-IBM Watson AI Lab hanno creato un acceleratore di apprendimento automatico resistente ai due tipi di attacco più comuni. Il loro chip è in grado di proteggere la privacy di cartelle cliniche, informazioni finanziarie o altri dati sensibili degli utenti, consentendo al contempo l'esecuzione efficiente di modelli di intelligenza artificiale su larga scala sui dispositivi.
Il team ha sviluppato diverse ottimizzazioni che migliorano la sicurezza, rallentando leggermente il dispositivo. Inoltre, la maggiore sicurezza non compromette l'accuratezza dei calcoli. Questo acceleratore per l'apprendimento automatico potrebbe rivelarsi particolarmente utile per applicazioni di intelligenza artificiale complesse come la realtà aumentata e virtuale o la guida autonoma.
Sebbene l'impianto del chip aumenterebbe leggermente il costo del dispositivo e ne ridurrebbe l'efficienza energetica, a volte questo prezzo vale la pena di essere pagato in nome della sicurezza, afferma l'autore principale Maitreyi Ashok, studente di dottorato in Ingegneria Elettrica e Informatica (EECS) presso il MIT.
"È fondamentale progettare pensando alla sicurezza fin dall'inizio. Se si cerca di aggiungere anche solo un minimo di sicurezza una volta che il sistema è stato progettato, i costi diventano proibitivi. Siamo stati in grado di bilanciare efficacemente molti di questi compromessi durante la fase di progettazione", afferma Ashok.
Tra i coautori figurano Saurav Maji, studente laureato in Ingegneria Elettrica e Informatica (EECS); Xin Zhang e John Cohn del MIT-IBM Watson Artificial Intelligence Laboratory; e l'autore principale Anantha Chandrakasan, direttore dell'innovazione e della strategia del MIT, preside della Facoltà di Ingegneria e professore titolare della cattedra Vannevar Bush presso il dipartimento di EECS. La ricerca sarà presentata alla IEEE Custom Integrated Circuits Conference.
Suscettibilità ai canali laterali:
i ricercatori si sono concentrati su un tipo di acceleratore di apprendimento automatico chiamato elaborazione digitale in memoria (IMC). Un chip IMC digitale esegue i calcoli all'interno della memoria di un dispositivo, dove vengono memorizzati i componenti di un modello di apprendimento automatico dopo essere stati trasferiti da un server centrale.
Il modello completo è troppo grande per essere memorizzato sul dispositivo, ma dividendolo in frammenti e riutilizzandoli il più possibile, i chip IMC riducono la quantità di dati che devono essere trasferiti.
Tuttavia, i chip IMC possono essere vulnerabili agli hacker. In un attacco side-channel, un hacker monitora il consumo energetico del chip e utilizza tecniche statistiche per decodificare i dati mentre il chip è in funzione. In un attacco bus probing, l'hacker può rubare bit dal modello e dal dataset sondando la comunicazione tra l'acceleratore e la memoria esterna del chip.
Secondo Ashok, la comunicazione integrata digitale (IMC) velocizza i calcoli eseguendo milioni di operazioni contemporaneamente, ma questa complessità rende difficile prevenire gli attacchi con le misure di sicurezza tradizionali.
Lei e i suoi collaboratori hanno adottato un approccio su tre fronti per bloccare gli attacchi side-channel e di sondaggio del bus.
Innanzitutto, hanno adottato una misura di sicurezza in cui i dati dell'IMC vengono suddivisi in blocchi casuali. Ad esempio, un bit zero può essere suddiviso in tre bit che rimangono uguali a zero dopo un'operazione logica. L'IMC non esegue mai calcoli con tutti i blocchi nella stessa operazione, quindi un attacco a canale laterale non potrebbe mai ricostruire i dati originali.
Affinché questa tecnica funzioni, è necessario aggiungere bit casuali per dividere i dati. Poiché il microcontrollore digitale esegue milioni di operazioni simultaneamente, generare un numero così elevato di bit casuali richiederebbe troppi calcoli. Per il loro chip, i ricercatori hanno trovato un modo per semplificare i calcoli, rendendo più agevole la divisione efficace dei dati ed eliminando la necessità di bit casuali.
In secondo luogo, hanno impedito gli attacchi di sondaggio del bus utilizzando un algoritmo di cifratura leggero che crittografa il modello memorizzato nella memoria esterna del chip. Questo algoritmo leggero richiede solo calcoli semplici. Inoltre, decifrano i frammenti del modello memorizzati sul chip solo quando necessario.
In terzo luogo, per migliorare la sicurezza, hanno generato la chiave di decrittazione direttamente sul chip, anziché spostarla insieme al modello. Hanno generato questa chiave univoca a partire da variazioni casuali presenti sul chip durante il processo di produzione, utilizzando una caratteristica nota come non clonabilità fisica.
"Un filo potrebbe essere leggermente più spesso di un altro. Possiamo sfruttare queste variazioni per ottenere zeri e uno da un circuito. Per ogni chip, possiamo ottenere una chiave casuale che dovrebbe essere coerente, poiché queste proprietà casuali non dovrebbero cambiare in modo significativo nel tempo", spiega Ashok.
Hanno riutilizzato le celle di memoria del chip, sfruttando le imperfezioni presenti in queste celle per generare la chiave. Ciò richiede un numero inferiore di calcoli rispetto alla generazione di una chiave da zero.
“Poiché la sicurezza è diventata una questione critica nella progettazione dei dispositivi edge, è necessario uno stack di sistema completo incentrato sul funzionamento sicuro. Questo lavoro si concentra sulla sicurezza dei carichi di lavoro di machine learning e descrive un processore digitale che utilizza l'ottimizzazione incrociata. Incorpora l'accesso crittografato ai dati tra la memoria e il processore, approcci per prevenire gli attacchi a canale laterale tramite randomizzazione e sfrutta la variabilità per generare codici univoci. Queste soluzioni progettuali saranno fondamentali per i futuri dispositivi mobili”, afferma Chandrakasan.
Test di sicurezza
Per testare il loro chip, i ricercatori si sono immedesimati negli hacker e hanno tentato di rubare informazioni segrete utilizzando attacchi side-channel e sondaggi del bus.
Anche dopo milioni di tentativi, non sono riusciti a ricostruire alcuna informazione reale né a estrarre alcun frammento del modello o del set di dati. Inoltre, la crittografia è rimasta inviolabile. Al contrario, sono bastati solo circa 5.000 campioni per rubare informazioni da un chip non protetto.
L'aggiunta di dispositivi di sicurezza ha ridotto l'efficienza energetica dell'acceleratore e ha inoltre richiesto una maggiore superficie del chip, il che avrebbe aumentato i costi di produzione.
Il team prevede di esplorare in futuro metodi che potrebbero ridurre il consumo energetico e le dimensioni del chip, facilitandone l'applicazione su larga scala.
"Quando i costi aumentano, diventa più difficile convincere qualcuno che la sicurezza è fondamentale. Le ricerche future potrebbero esplorare questi compromessi. Forse potremmo renderlo un po' meno sicuro, ma più facile da implementare e meno costoso", afferma Ashok.
