[論文レビュー] YerbaBuena: Securing Deep Learning Inference Data via Enclave-based Ternary Model Partitioning

Zhongshu Gu, Heqing Huang+6 more|arXiv (Cornell University)|Jul 3, 2018

Adversarial Robustness in Machine Learning参考文献 70被引用数 27

ひとこと要約

YerbaBuenaは、三値モデル分割を用いて信頼実行環境（TEE）内で機密性の高い入力データを安全に隔離する、エンクロージャー基盤のディープラーニング推論システムを提案する。モデルを安全なエンクロージャーで実行する部分と外部で加速される部分に分割することで、最小限のパフォーマンスオーバーヘッドで強力な機密性を実現する。

ABSTRACT

Deploying and serving deep learning (DL) models in the public cloud facilitates the process to bootstrap artificial intelligence (AI) services. Yet, preserving the confidentiality of sensitive input data remains a concern to most service users. Accidental disclosures of user input data may breach increasingly stringent data protection regulations and inflict reputation damage. In this paper, we systematically investigate the life cycles of input data in deep learning image classification pipelines and further identify the potential places for information disclosures. Based on the discovered insights, we build YerbaBuena, an enclave-based model serving system to protect the confidentiality and integrity of user input data. To accommodate the performance and capacity limitations of today's enclave technology, we employ a Ternary Model Partitioning strategy that allows service users to securely partition their proprietary DL models on local machines. Therefore, we can (I) enclose sensitive computation in a secure enclave to mitigate input information disclosures and (II) delegate non-sensitive workloads to run out of enclave with hardware-assisted DL acceleration. Our comprehensive partitioning analysis and workload measurement demonstrate how users can automatically determine the optimal partitioning for their models, thus to maximize confidentiality guarantees with low performance costs.

研究の動機と目的

• パブリッククラウド基盤のディープラーニング推論パイプラインにおけるユーザー入力データの機密性リスクを解決すること。
• 機密情報が露出する可能性がある、入力データライフサイクル上の重要なポイントを同定すること。
• ハードウェア保護されたエンクロージャー内で機密計算を隔離できる、安全なモデル分割を実現するシステムを開発すること。
• 非機密ワークロードをハードウェアアクセラレータに委譲することで、パフォーマンスコストを最小限に抑えること。

提案手法

• 入力データのライフサイクル全体を分析し、ディープラーニング画像分類パイプラインにおける漏洩攻撃表面を同定する。
• モデルを三つのコンponentに分割する三値モデル分割戦略を設計する：エンクロージャー内に配置される部分、外部プロセッサで実行される部分、共有層。
• ハードウェア強制の信頼実行環境（例：Intel SGX）を用いて機密計算を実行し、入力データの機密性を保護する。
• 非機密コンponentについてはハードウェアアクセラレーションを活用し、エンクロージャー実行のパフォーマンスボトルネックを軽減する。
• ワークロード分析とセキュリティ分析を用いて最適な分割を自動化し、機密性を最大化しつつパフォーマンスコストを最小限に抑える。
• 既存のディープラーニングフレームワークと統合し、分割モデルのシームレスなデプロイと実行を可能にする。

実験結果

リサーチクエスチョン

• RQ1 ディープラーニング推論パイプラインのどの段階でユーザー入力データが漏洩のリスクを最も抱えているか？
• RQ2 どのようにしてモデル分割を戦略的に適用することで、ハードウェア保護されたエンクロージャー内に機密計算を隔離できるか？
• RQ3 信頼できるとされる実行環境と信頼できない実行環境の間でモデルを分割することにより、どのようなパフォーマンスとセキュリティのトレードオフが生じるか？
• RQ4 自動化された分割戦略は、実世界のワークロードにおいて、高い機密性と許容可能なパフォーマンスオーバーヘッドを両立できるか？

主な発見

• 入力データの漏洩リスクは、中間テンソル計算の段階で特に顕著に現れる。
• 三値モデル分割により、ハードウェア保護されたエンクロージャー内で機密性の高いモデルコンponentを安全に実行可能であり、それ以外の部分はアクセラレータにオフロードできる。
• 本手法により、入力データの生データがエンクロージャー環境外に出ることを保証することで、強力な機密性保証が達成される。
• ワークロード測定の結果、知的な分割戦略とハードウェアアクセラレーションにより、エンクロージャー実行のパフォーマンスオーバーヘッドが最小限に抑えられている。
• 自動化された分割戦略は、セキュリティとパフォーマンスのバランスを効果的に実現し、クラウドベースのAIサービスにおける実用的デプロイを可能にする。
• 攻撃者が信頼できない実行環境を標的とする状況下でも、システムは整合性と機密性を維持する。