[論文レビュー] Confidential Machine Learning Computation in Untrusted Environments: A Systems Security Perspective

Kha Dinh Duy, Taehyun Noh+2 more|arXiv (Cornell University)|Nov 5, 2021

Security and Verification in Computing被引用数 4

ひとこと要約

本論文は、信頼できない環境における Trusted Execution Environments (TEEs) を用いた機械学習計算の包括的サーベイを提示し、攻撃ベクトル、マルチパーティセキュリティ要件、および工学的課題に焦点を当てる。サイドチャネル攻撃などの脅威を体系化し、クラウドおよびエッジ環境向けの TEE ベースのソリューションを分析し、セキュアなアクセラレータ、オンライン学習、統合型モデル機密性保護に関する今後の研究分野を特定する。

ABSTRACT

As machine learning (ML) technologies and applications are rapidly changing many computing domains, security issues associated with ML are also emerging. In the domain of systems security, many endeavors have been made to ensure ML model and data confidentiality. ML computations are often inevitably performed in untrusted environments and entail complex multi-party security requirements. Hence, researchers have leveraged the Trusted Execution Environments (TEEs) to build confidential ML computation systems. We conduct a systematic and comprehensive survey by classifying attack vectors and mitigation in confidential ML computation in untrusted environments, analyzing the complex security requirements in multi-party scenarios, and summarizing engineering challenges in confidential ML implementation. Lastly, we suggest future research directions based on our study.

研究の動機と目的

• クラウドやエッジプラットフォームを含む信頼できない環境における機械学習計算のセキュリティ脅威と緩和戦略を体系的に分析すること。
• モデル所有者、データ貢献者、サービスプロバイダーなど、互いに信頼できないエンティティが関与するマルチパーティ ML シナリオに生じる複雑なセキュリティ要件を検討すること。
• TEE のメモリ制限や ML フレームワークの移植性といった、機密機械学習システムの実装における主要な工学的課題を特定し、それらに対処すること。
• エッジベースの機械学習、セキュアアクセラレータ、機密性保証付きオンライン学習といった未だ十分に研究されていない分野を探索すること。
• 実務における安全で機密性を保証する機械学習システムを進歩させる包括的で将来志向的な研究アジェンダを提言すること。

提案手法

• Intel SGX や ARM TrustZone を標的とするサイドチャネル攻撃に注目し、TEE で保護された ML 計算における攻撃ベクトルを分類・分析すること。
• 140 件を超える関連研究をサーベイし、クラウド向けに Intel SGX、エッジコンピューティング向けに ARM TrustZone を焦点として TEE ベースの機械学習システムを評価すること。
• 機密機械学習におけるマルチパーティセキュリティ要件を分析し、モデル所有者、データ提供者、プラットフォーム運用者間の信頼のトレードオフを検討すること。
• TEE のメモリ制限によるバッチサイズの縮小や、PyTorch や TensorFlow といった ML フレームワークを TEE に移植する際の課題といった工学的トレードオフを評価すること。
• 機密機械学習ワークロードを処理できるが、機密性を損なわないように設計された、GPU や NPU などの将来のセキュアアクセラレータのシステム設計を提言すること。
• システム内攻撃（例：サイドチャネル）と外部脅威（例：API を介したモデル再構築）を統合的に分析し、包括的なモデル機密性保護を提唱すること。

実験結果

リサーチクエスチョン

• RQ1 TEE で保護された ML 計算において、モデルやデータの機密性を脅かす主なシステム内攻撃ベクトルは何か？
• RQ2 ML ワークフローにおけるマルチパーティの信頼ダイナミクスは、機密機械学習システムの設計とセキュリティ保証にどのように影響を与えるか？
• RQ3 特にメモリ制限とフレームワークの移植性に起因する、TEE 上での機密機械学習の展開における主な工学的課題は何か？
• RQ4 機密性を保証するオンライン学習および機密性を備えたハードウェアアクセラレータの実装を可能にするために、未解決の研究課題は何か？
• RQ5 システム内サイドチャネル攻撃と外部の API を介したモデル逆転攻撃を同時に緩和する方法は何か？これによりエンドツーエンドのモデル機密性を確保できるか？

主な発見

• サイドチャネル攻撃は、Intel SGX を使用するクラウド環境において、依然として TEE で保護された ML 計算に対する主要な脅威であり、実用的な攻撃ベクトルが複数示されている。
• ARM TrustZone を用いた機密機械学習システムは、SGX よりも研究が遅れており、デバイス内およびエッジ ML のセキュリティニーズが高まる中で、その重要性が無視されている。
• 現在の TEE ベースの ML システムは、制限されたメモリのため、性能とスケーラビリティに著しい制限を受けており、ワークロードをより小さなバッチに分割する必要がある。
• PyTorch や TensorFlow といった人気のある ML フレームワークを TEE に移植することは極めて複雑であり、攻撃面積を拡大する大きな信頼されるコードベースを生じさせる。
• GPU や NPU を含む商業的に利用可能なセキュアアクセラレータは、まだ存在せず、Graviton や SafeTPU といったプロトタイプ設計は有望ではあるが。
• システム内サイドチャネル攻撃と外部の API を介したモデル再構築攻撃の組み合わせは未だ調査されておらず、包括的なモデル機密性保護における重要なギャップを示している。