为了降低这种风险，麻省理工学院和麻省理工学院-IBM沃森人工智能实验室的研究人员开发了一种能够抵御两种最常见攻击类型的机器学习加速器。他们的芯片可以保护用户的医疗记录、财务信息或其他敏感数据的隐私，同时还能让大规模人工智能模型在设备上高效运行。.

该团队开发了多项优化措施，在略微降低设备速度的同时增强了安全性。此外，增强的安全性并不影响计算的准确性。这款机器学习加速器对于增强现实、虚拟现实或自动驾驶等高要求的AI应用尤为有利。.

麻省理工学院电子与计算机工程系 (EECS) 研究生、论文第一作者 Maitreyi Ashok 表示，虽然植入芯片会略微增加设备的成本并降低其能源效率，但有时为了安全，付出这样的代价是值得的。.

“从一开始就将安全因素纳入设计考量至关重要。如果在系统设计完成后再增加哪怕一点点安全措施，成本都会高得令人难以承受。我们在设计阶段就有效地平衡了许多这样的权衡取舍，”阿肖克说道。

合作作者包括电子工程与计算机科学系研究生 Saurav Maji；麻省理工学院-IBM 沃森人工智能实验室的 Xin Zhang 和 John Cohn；以及第一作者 Anantha Chandrakasan，她是麻省理工学院创新与战略主任、工程学院院长，同时也是电子工程与计算机科学系的 Vannevar Bush 教授。该研究成果将在 IEEE 定制集成电路会议上发表。.

侧信道敏感性：
研究人员重点关注一种名为内存数字计算的机器学习加速器。数字 IMC 芯片在设备的内存中执行计算，机器学习模型的各个组成部分在从中央服务器传输后存储在内存中。

完整的模型太大，无法存储在设备上，但通过将其分成多个片段并尽可能地重复使用，IMC 芯片可以减少需要传输的数据量。.

但IMC芯片容易受到黑客攻击。在侧信道攻击中，黑客会监控芯片的功耗，并利用统计技术在芯片计算时对数据进行逆向工程。在总线探测攻击中，黑客可以通过探测加速器和芯片外部存储器之间的通信，窃取模型和数据集中的数据。.

阿肖克表示，数字IMC通过同时执行数百万次运算来加快计算速度，但这种复杂性使得使用传统安全措施来防止攻击变得困难。.

她和她的合作者采取了三管齐下的方法来阻止侧信道攻击和总线探测攻击。.

首先，他们采用了一种安全措施，将IMC数据随机分割成若干块。例如，一个零比特可以被分割成三个比特，这三个比特在逻辑运算后仍然等于零。IMC永远不会在同一次运算中使用所有数据块，因此侧信道攻击永远无法重构原始数据。.

但要使这种技术奏效，必须添加随机位来分割数据。由于数字IMC同时执行数百万次运算，生成如此多的随机位会涉及过多的计算。研究人员针对他们的芯片找到了一种简化计算的方法，从而更容易有效地分割数据，并消除了对随机位的需求。.

其次，他们使用了一种轻量级密码算法来加密存储在芯片外部存储器中的模型，从而防止总线探测攻击。这种轻量级密码算法只需要简单的计算。此外，他们仅在必要时才解密存储在芯片上的模型片段。.

第三，为了提高安全性，他们直接在芯片上生成解密密钥，而不是像传统方式那样随芯片一起移动密钥。他们利用芯片在制造过程中引入的随机变异生成了这个唯一的密钥，这种特性被称为物理不可克隆特性。.

“一根导线可能比另一根略粗一些。我们可以利用这些差异从电路中获得0和1。对于每个芯片，我们都可以获得一个随机密钥，该密钥应该是一致的，因为这些随机特性不会随时间发生显著变化，”阿肖克解释道。

他们重复利用了芯片的存储单元，并利用这些单元的缺陷来生成密钥。这比从头开始生成密钥所需的计算量要少。.

“随着安全性成为边缘设备设计中的关键问题，我们需要一个专注于安全运行的综合系统栈。这项工作着重于机器学习工作负载的安全性，并描述了一种采用交叉优化技术的数字处理器。它融合了内存和处理器之间的加密数据访问、利用随机化防止侧信道攻击的方法，以及利用变异性生成唯一代码。这些设计对于未来的移动设备至关重要，” Chandrakasan 表示。

安全测试

为了测试他们的芯片，研究人员把自己想象成黑客，尝试使用侧信道攻击和总线探测来窃取秘密信息。.

即使经过数百万次的尝试，他们也无法重建任何真实信息，也无法提取模型或数据集的任何片段。此外，加密仍然无法破解。相比之下，仅需约 5000 个样本即可从未受保护的芯片中窃取信息。.

安全功能的增加降低了加速器的能源效率，并且需要更大的芯片表面积，这将增加其制造成本。.

该团队计划探索未来能够降低能耗和缩小芯片尺寸的方法，使其更容易大规模应用。.

“如果成本过高，就很难让人相信安全至上。未来的研究可以探讨这些权衡取舍。或许我们可以降低一些安全性，但使其更容易实施且成本更低，”阿肖克说。