[論文レビュー] Trustworthy AI Inference Systems: An Industry Research View

Rosario Cammarota, Matthias Schunter+27 more|arXiv (Cornell University)|Aug 10, 2020

Adversarial Robustness in Machine Learning参考文献 88被引用数 4

ひとこと要約

本論文は、データの機微性、モデルの知的財産権保護、システムのセキュリティを確保する信頼性のあるAI推論システムの設計・展開・運用に関する包括的な産業研究的視点を提示する。信頼実行環境（TEE）と高度な暗号技術（例えば、同型暗号と安全なマルチパーティ計算）を統合することで、クラウド、エッジ、デバイス上でのプライベートで安全かつ説明可能なAI推論を実現する。

ABSTRACT

In this work, we provide an industry research view for approaching the design, deployment, and operation of trustworthy Artificial Intelligence (AI) inference systems. Such systems provide customers with timely, informed, and customized inferences to aid their decision, while at the same time utilizing appropriate security protection mechanisms for AI models. Additionally, such systems should also use Privacy-Enhancing Technologies (PETs) to protect customers' data at any time. To approach the subject, we start by introducing current trends in AI inference systems. We continue by elaborating on the relationship between Intellectual Property (IP) and private data protection in such systems. Regarding the protection mechanisms, we survey the security and privacy building blocks instrumental in designing, building, deploying, and operating private AI inference systems. For example, we highlight opportunities and challenges in AI systems using trusted execution environments combined with more recent advances in cryptographic techniques to protect data in use. Finally, we outline areas of further development that require the global collective attention of industry, academia, and government researchers to sustain the operation of trustworthy AI inference systems.

研究の動機と目的

• 顧客の機微なデータと特許取得済みのAIモデルの両方を保護する信頼性のあるAI推論システムに対する急増するニーズに対応すること。
• 実世界のAI展開において、データの機微性、モデルの知的財産権保護、規制準拠の三者の相互作用を検討すること。
• AI推論における重要なセキュリティおよびプライバシーの課題（例えば、サイドチャネル攻撃やモデルの逆方向推定）を特定すること。
• 安全でプライベートかつ組み合わせ可能なAI推論システムを実現するためのアーキテクチャ的および暗号的ブロックを提言すること。
• プライバシー保護技術の採用を加速するために、産業界・学術界・政府の連携を呼びかけること。

提案手法

• 信頼実行環境（TEE）、同型暗号、安全なマルチパーティ計算（sMPC）を含む、既存のセキュリティおよびプライバシーの基盤技術を調査・評価する。
• AI推論中のデータ使用時における保護を図るため、TEEと現代の暗号技術の統合を分析する。
• 実世界のAIシステムにプライバシー強化技術（PETs）を導入する際の実現可能性とパフォーマンスのトレードオフを評価する。
• 特に専用のAIアクセラレータ向けに、物理的およびサイドチャネルセキュリティの課題を強調する。
• 類似度マップやLIMEといった説明可能なAI（XAI）技術の活用により、プライバシーを損なわずにモデルの解釈性を向上させることを検討する。
• エンド・ツー・エンドの信頼性を実現するため、ハードウェア分離、暗号、安全計算を組み合わせたハイブリッドなアーキテクチャソリューションを提言する。

実験結果

リサーチクエスチョン

• RQ1 信頼できない環境においても、データ機微性とモデル整合性を保証するためのAI推論システムのアーキテクチャ設計はどのように実現できるか？
• RQ2 生産環境のAIシステムに同型暗号やsMPCといったプライバシー強化技術（PETs）を導入するにあたり、主な技術的および運用上の課題は何か？
• RQ3 AI推論ハードウェアにおいて、特にタイミングおよび電力に基づく漏洩を含むサイドチャネル攻撃を効果的に緩和する方法は何か？
• RQ4 プライバシー保護技術とモデルの説明可能性の間にはどのような矛盾が生じるのか、そしてその緊張関係はどのように解消できるか？
• RQ5 標準化および公私連携が、信頼性のあるAI推論システムの採用を加速するために果たす役割は何か？

主な発見

• GDPR や CCPA などの規制準拠に不可欠な、エンド・ツー・エンドの使用中データ保護を含むプライバシー・バイ・デザイン原則が不可欠である。
• 理論的には有望であるが、同型暗号のようなプライバシー強化暗号技術は、広範な採用に至るまでに、パフォーマンス的制約とプログラミングの複雑さという障壁に直面している。
• サイドチャネル攻撃は依然として深刻な脅威であり、特にAIアクセラレータにおいては、実装および検証が困難なカスタムで低レベルの防御が必要となる。
• 説明可能なAI（XAI）ツールをプライバシー保護システムと統合することは困難であり、モデル所有者が入力および出力を把握できなくなるため、バイアスの検出が複雑になる。
• TEEと高度な暗号技術を組み合わせたハイブリッド手法が、安全でプライベートかつ効率的なAI推論の実現に向けた実用的な道筋を示している。
• 信頼性のあるAI推論システムを標準化・スケーリングするためには、産業界・学術界・政府の間で大規模な投資と連携が不可欠である。