Чтобы снизить эту уязвимость, исследователи из Массачусетского технологического института и лаборатории MIT-IBM Watson AI создали ускоритель машинного обучения, устойчивый к двум наиболее распространенным типам атак. Их чип может обеспечить конфиденциальность медицинских записей пользователя, финансовой информации и других конфиденциальных данных, позволяя при этом эффективно запускать масштабные модели искусственного интеллекта на устройствах.
Команда разработала несколько оптимизаций, которые повышают безопасность, но при этом немного замедляют работу устройства. Более того, дополнительная безопасность не влияет на точность вычислений. Этот ускоритель машинного обучения может быть особенно полезен для ресурсоемких приложений искусственного интеллекта, таких как дополненная и виртуальная реальность или автономное вождение.
Хотя имплантация чипа немного увеличит стоимость устройства и снизит его энергоэффективность, иногда эта цена оправдана ради безопасности, говорит ведущий автор исследования Майтрейи Ашок, аспирант кафедры электротехники и вычислительной техники Массачусетского технологического института (MIT).
«Важно с самого начала проектировать систему с учетом требований безопасности. Если попытаться добавить даже немного безопасности после завершения проектирования, это станет непомерно дорого. Нам удалось эффективно сбалансировать многие из этих компромиссов на этапе проектирования», — говорит Ашок.
В число соавторов входят Саурав Маджи, аспирант факультета электротехники и информатики; Синь Чжан и Джон Кон из лаборатории искусственного интеллекта MIT-IBM Watson; а также ведущий автор Ананта Чандракасан, директор по инновациям и стратегии MIT, декан инженерного факультета и профессор Ванневар Буш на факультете электротехники и информатики. Результаты исследования будут представлены на конференции IEEE по специализированным интегральным схемам.
Уязвимость к побочным каналам:
исследователи сосредоточились на типе ускорителя машинного обучения, называемом цифровыми вычислениями в памяти. Цифровой чип IMC выполняет вычисления в памяти устройства, где хранятся компоненты модели машинного обучения после их передачи с центрального сервера.
Полная модель слишком велика для хранения на устройстве, но, разделив ее на фрагменты и максимально используя их повторно, микросхемы IMC уменьшают объем данных, которые необходимо перемещать.
Однако микросхемы IMC могут быть уязвимы для хакеров. При атаке по побочному каналу хакер отслеживает энергопотребление микросхемы и использует статистические методы для обратного проектирования данных во время вычислений на микросхеме. При атаке с использованием зондирования шины хакер может украсть биты из модели и набора данных, исследуя связь между ускорителем и внешней памятью микросхемы.
Ашок говорит, что цифровая интегрированная мобильная сеть ускоряет вычисления, выполняя миллионы операций одновременно, но эта сложность затрудняет предотвращение атак с помощью традиционных мер безопасности.
Она и ее коллеги применили трехступенчатый подход к блокированию атак по побочным каналам и атак с использованием зондирования шины данных.
Во-первых, они использовали меру безопасности, при которой данные IMC разбиваются на случайные фрагменты. Например, нулевой бит может быть разделен на три бита, которые остаются равными нулю после логической операции. IMC никогда не выполняет вычисления со всеми фрагментами в одной операции, поэтому атака по побочному каналу никогда не сможет восстановить исходные данные.
Однако для работы этого метода необходимо добавлять случайные биты для разделения данных. Поскольку цифровой IMC выполняет миллионы операций одновременно, генерация такого большого количества случайных битов потребовала бы слишком много вычислений. Для своего чипа исследователи нашли способ упростить вычисления, что облегчило эффективное разделение данных и устранило необходимость в случайных битах.
Во-вторых, они предотвратили атаки с использованием метода зондирования шины, применив легковесный шифр, который шифрует модель, хранящуюся во внешней памяти чипа. Этот легковесный шифр требует лишь простых вычислений. Кроме того, они расшифровывают фрагменты модели, хранящиеся на чипе, только при необходимости.
В-третьих, для повышения безопасности они сгенерировали ключ расшифровки непосредственно на чипе, а не перемещали его вместе с моделью. Этот уникальный ключ был создан из случайных вариаций на чипе, возникших в процессе производства, с использованием так называемой физически неклонируемой особенности.
«Один провод может быть немного толще другого. Мы можем использовать эти различия для получения нулей и единиц из схемы. Для каждого чипа мы можем получить случайный ключ, который должен быть постоянным, поскольку эти случайные свойства не должны существенно меняться со временем», — объясняет Ашок.
Они повторно использовали ячейки памяти чипа, воспользовавшись несовершенствами этих ячеек для генерации ключа. Это требует меньше вычислений, чем генерация ключа с нуля.
«Поскольку безопасность стала критически важным вопросом в проектировании периферийных устройств, необходима комплексная системная архитектура, ориентированная на безопасную работу. Данная работа посвящена безопасности рабочих нагрузок машинного обучения и описывает цифровой процессор, использующий кросс-оптимизацию. Она включает в себя зашифрованный доступ к данным между памятью и процессором, подходы к предотвращению атак по побочным каналам с использованием рандомизации и использование изменчивости для генерации уникальных кодов. Эти разработки будут иметь фундаментальное значение для будущих мобильных устройств», — говорит Чандракасан.
испытания на безопасность
Чтобы протестировать свой чип, исследователи представили себя на месте хакеров и попытались украсть секретную информацию, используя атаки по побочным каналам и зондирование шины данных.
Даже после миллионов попыток им не удалось восстановить какую-либо реальную информацию или извлечь фрагменты модели или набора данных. Более того, шифрование оставалось невзламываемым. В то же время, для кражи информации с незащищенного чипа потребовалось всего около 5000 образцов.
Добавление элементов безопасности снизило энергоэффективность ускорителя, а также потребовало увеличения площади поверхности чипа, что повысило бы стоимость его производства.
Команда планирует изучить методы, которые в будущем позволят снизить энергопотребление и размер чипов, что упростит их применение в больших масштабах.
«По мере того, как это становится слишком дорого, становится все труднее убедить кого-либо в том, что безопасность имеет первостепенное значение. В будущих исследованиях можно было бы изучить эти компромиссы. Возможно, мы могли бы сделать его немного менее безопасным, но при этом более простым в реализации и менее дорогим», — говорит Ашок.
