[論文レビュー] Securing Input Data of Deep Learning Inference Systems via Partitioned Enclave Execution.

Zhongshu Gu, Heqing Huang+5 more|arXiv (Cornell University)|Jul 3, 2018

Adversarial Robustness in Machine Learning参考文献 42被引用数 46

ひとこと要約

この論文では、クラウドインfraストラクチャ上のセキュアエナclave内で感受性の高いコンponentを実行することで、ディープラーニング推論におけるプライバシーを強化するためのDeepEnclaveというシステムを提案している。情報漏洩を再構築攻撃としてモデル化することで、敵の能力を定量化し、戦略的なモデル分割を通じてプライバシーとパフォーマンスのバランスを取ることが可能になる。

ABSTRACT

Deep learning systems have been widely deployed as backend engines of artificial intelligence (AI) services for their approaching-human performance in cognitive tasks. However, end users always have some concerns about the confidentiality of their provisioned input data, even for those reputable AI service providers. Accidental disclosures of sensitive user data might unexpectedly happen due to security breaches, exploited vulnerabilities, neglect, or insiders. In this paper, we systematically investigate the potential information exposure in deep learning based AI inference systems. Based on our observation, we develop DeepEnclave, a privacy-enhancing system to mitigate sensitive information disclosure in deep learning inference pipelines. The key innovation is to partition deep learning models and leverage secure enclave techniques on cloud infrastructures to cryptographically protect the confidentiality and integrity of user inputs. We formulate the information exposure problem as a reconstruction privacy attack and quantify the adversary's capabilities with different attack strategies. Our comprehensive security analysis and performance measurement can act as a guideline for end users to determine their principle of partitioning deep neural networks, thus to achieve maximum privacy guarantee with acceptable performance overhead.

研究の動機と目的

• 信頼できるプロバイダーを使用しても、入力データの機密性に関する懸念が増大するのを扱う。
• ハッキング、脆弱性、または内部者攻撃によって生じるディープラーニング推論パイプラインにおける情報漏洩の可能性を調査する。
• セキュアエナclaveを用いて、暗号的にユーザーの入力機密性とモデルの整合性を保護するシステムを開発する。
• 情報漏洩のリスクを再構築プライバシー攻撃として定式化し、敵の能力を定量化する。
• プライバシーを最大限に高めつつ許容可能なパフォーランスオーバーヘッドを実現するための、体系的な深層ニューラルネットワークの分割ガイドラインを提供する。

提案手法

• ディープニューラルネットワークを、セキュアエナclaveで実行されるコンponentsと、信頼できない環境で実行されるコンponentsに分割する。
• ハードウェアベースのセキュアエナclave技術（例：Intel SGX）を活用し、感受性の高いモデルコンponentsと入力データの機密性と整合性を強制する。
• 情報漏洩を再構築攻撃としてモデル化し、敵が中間出力から入力データを回復しようとする攻撃を想定する。
• ホワイトボックス、ブラックボックス、 GRAYボックスの各シナリオにおける敵の成功確率を定量化する。
• 漏洩を最小限に抑えつつ、許容可能な推論遅延とリソース使用量を維持する分割戦略を設計する。
• 脅威モデリングを活用して、望ましいプライバシーとパフォーマンスのトレードオフに基づき、最適な分割境界の選定をユーザーにガイドする。

実験結果

リサーチクエスチョン

• RQ1 中間活性化を悪用して感受性のある入力データを回復する再構築攻撃が、ディープラーニング推論システムに及ぼす影響はどの程度か？
• RQ2 信頼できない環境でコンポーネントが実行される場合、標準的なディープラーニング推論パイプラインにおける情報漏洩の範囲はどの程度か？
• RQ3 どのようにしてセキュアエナclaveをディープラーニング推論に効果的に統合し、入力データの機密性と整合性を保護できるか？
• RQ4 実世界の展開において、許容可能なパフォーマンスオーバーヘッドを維持しながらプライバシー漏洩を最小限に抑える分割戦略は何か？
• RQ5 敵の能力（例：ホワイトボックス対ブラックボックスアクセス）の違いが、モデル入力に対する再構築攻撃の成功に与える影響は何か？

主な発見

• ディープラーニング推論システムは、中間モデル出力から感受性のある入力データを回復できる再構築攻撃に対して脆弱である。
• 提案されたDeepEnclaveシステムは、重要なモデルコンponentsをセキュアエナclave内に隔離することで、情報漏洩を顕著に低減する。
• 脅威モデリングに従った戦略的モデル分割により、ユーザーが強力なプライバシー保証を達成できる。
• パフォーマンスオーバーヘッドは定量的に測定可能であり、多くの実世界のAI推論ワークロードにおいて実用的である。
• プライバシーとパフォーマンスのバランスを取る体系的なアプローチが提供され、分割意思決定に基づく測定可能なトレードオフが得られる。
• 定量的分析により、特に初期段階および中間段階のレイヤーを分割することで、最大のプライバシー利得が得られると判明した。