[論文レビュー] SNIFF: Reverse Engineering of Neural Networks with Fault Attacks

Jakub Breier, Dirmanto Jap+3 more|arXiv (Cornell University)|Feb 23, 2020

Adversarial Robustness in Machine Learning参考文献 46被引用数 15

ひとこと要約

この論文では、推論中に中間活性化値の符号を反転させることで、ニューラルネットワークの重みとバイアスの正確な抽出を証明可能に実現する、新規のフォールトアタック「SNIFF」を紹介する。Kerasにおける64ビット浮動小数点精度を用いることで、パラメータ回復誤差が$10^{-13}$未満に抑えられ、従来のブラックボックスモデル盗難手法と比較して6桁の向上を達成した。

ABSTRACT

Neural networks have been shown to be vulnerable against fault injection attacks. These attacks change the physical behavior of the device during the computation, resulting in a change of value that is currently being computed. They can be realized by various fault injection techniques, ranging from clock/voltage glitching to application of lasers to rowhammer. In this paper we explore the possibility to reverse engineer neural networks with the usage of fault attacks. SNIFF stands for sign bit flip fault, which enables the reverse engineering by changing the sign of intermediate values. We develop the first exact extraction method on deep-layer feature extractor networks that provably allows the recovery of the model parameters. Our experiments with Keras library show that the precision error for the parameter recovery for the tested networks is less than $10^{-13}$ with the usage of 64-bit floats, which improves the current state of the art by 6 orders of magnitude. Additionally, we discuss the protection techniques against fault injection attacks that can be applied to enhance the fault resistance.

研究の動機と目的

• フォールトインジェクション攻撃がニューラルネットワークの動作を乱すだけでなく、モデルパラメータの抽出にも利用可能かどうかを調査すること。
• 深層特徴抽出ネットワークにおける重みとバイアスの正確かつ証明可能な回復手法を開発すること。
• 物理的フォールトインジェクションを活用することで、従来のブラックボックスモデル盗難攻撃の限界を克服すること。
• 符号ビット反転フォールトが、高い忠実度で完全なパrameter情報の公開を可能にできるかどうかを示すこと。
• 完全な正確性を達成するニューラルネットワーク逆設計のための新たな攻撃ベクトルを確立すること。

提案手法

• SNIFFアタックは、推論中にニューラルネットワーク内の途中活性化値の符号を反転させるフォールトをインジェクションする。
• 出力確率の変化を観測することで、攻撃者は最終層の重みとバイアスの符号と大きさを推定する。
• 符号反転された活性化とソフトマックス出力との間の数学的関係を活用し、最終層パラメータの正確な回復を可能にする。
• アタックは、特徴抽出後の最終全結合層（「スタディアント層」）に焦点を当てた、転移学習ベースのモデルに適用される。
• このアプローチは、最終層の線形性と、ソフトマックス関数の入力符号変化に対する感受性に依存している。
• アタックは、64ビット浮動小数点精度を用いたKerasベースのモデルに対して、制御されたフォールトインジェクションを用いて実装されている。

実験結果

リサーチクエスチョン

• RQ1 フォールトインジェクション攻撃を用いて、誤分類を引き起こすだけでなく、ニューラルネットワークの正確なパラメータを抽出できるか？
• RQ2 物理的フォールトインジェクション技術を用いて、モデルの重みとバイアスを証明可能な正確さで回復できるか？
• RQ3 浮動小数点演算の精度が、このような攻撃におけるパラメータ回復の正確性にどのように影響するか？
• RQ4 符号ビット反転フォールトを体系的に活用して、深層ニューラルネットワークの最終層を逆設計できるか？
• RQ5 このフォールトベースのアプローチを用いた正確なモデル抽出の実用的限界と要件は何か？

主な発見

• Kerasにおける64ビット浮動小数点精度を用いる場合、SNIFFアタックは最大誤差が$10^{-13}$未満でパラメータ回復を達成する。
• この手法により、深層特徴抽出ネットワークの最終層重みとバイアスの証明可能な正確な抽出が可能になる。
• アタックはソフトマックス活性化関数を用いたモデルに対して有効であり、他の活性化関数に対しても応用可能である。
• 回復の精度は、基盤となるコンピュータアーキテクチャおよび使用される浮動小数点ライブラリに直接依存する。
• 本研究は、従来のブラックボックスモデル盗難手法と比較して、正確なモデル抽出分野における最先端技術を6桁向上させた。
• 結果から、フォールトインジェクションが特許権のあるニューラルネットワークモデルの逆設計に強力な物理的サイドチャネルとして機能しうることが示された。