[논문 리뷰] Aegis: Mitigating Targeted Bit-flip Attacks against Deep Neural Networks

Jialai Wang, Ziyuan Zhang외 7명|arXiv (Cornell University)|2023. 02. 27.

Adversarial Robustness in Machine Learning인용 수 7

한 줄 요약

Aegis는 양자화된 딥 네ural 네트워크(DNN)에서 타겟팅된 비트 플립 공격(BFAs)에 대비한 새로운 방어 기법으로, 각 추론 시에 조기 종료 레이어를 무작위로 선택하는 동적 종료 메커니즘과 내부 분류기(ICs)를 활용한다. 이는 공격자의 공격 전략 수립을 방해한다. 다양한 데이터셋과 모델에서 타겟팅된 공격 성공률을 5–10배 감소시키며, 기존 방어 기법들보다 뛰어난 성능을 보인다.

ABSTRACT

Bit-flip attacks (BFAs) have attracted substantial attention recently, in which an adversary could tamper with a small number of model parameter bits to break the integrity of DNNs. To mitigate such threats, a batch of defense methods are proposed, focusing on the untargeted scenarios. Unfortunately, they either require extra trustworthy applications or make models more vulnerable to targeted BFAs. Countermeasures against targeted BFAs, stealthier and more purposeful by nature, are far from well established. In this work, we propose Aegis, a novel defense method to mitigate targeted BFAs. The core observation is that existing targeted attacks focus on flipping critical bits in certain important layers. Thus, we design a dynamic-exit mechanism to attach extra internal classifiers (ICs) to hidden layers. This mechanism enables input samples to early-exit from different layers, which effectively upsets the adversary's attack plans. Moreover, the dynamic-exit mechanism randomly selects ICs for predictions during each inference to significantly increase the attack cost for the adaptive attacks where all defense mechanisms are transparent to the adversary. We further propose a robustness training strategy to adapt ICs to the attack scenarios by simulating BFAs during the IC training phase, to increase model robustness. Extensive evaluations over four well-known datasets and two popular DNN structures reveal that Aegis could effectively mitigate different state-of-the-art targeted attacks, reducing attack success rate by 5-10$ imes$, significantly outperforming existing defense methods.

연구 동기 및 목표

• 특정 모델 파라미터를 조작하여 예측을 오도하는 타겟팅된 비트 플립 공격(BFAs)의 증가하는 위협을 다루며, 전체 모델 정확도를 유지한다.
• 기존 방어 기법의 한계를 극복한다. 기존 기법들은 신뢰할 수 있는 모니터링 인프라를 요구하거나 타겟팅된 공격에 취약하다.
• 경량이며 침습적이지 않은 방어 기법을 개발하여, 타겟팅된 BFAs의 비용과 복잡성을 높이고, 모델 성능에 영향을 주지 않는다.
• 비적대적 및 적대적 공격자(방어 메커니즘을 알고 있는 자)에 대해 강건성을 확보한다.
• 실제 공격 조건을 고려한 다양한 데이터셋과 DNN 아키텍처에서의 효과성을 입증한다.

제안 방법

• DNN의 다수의 은닉 레이어에 내부 분류기(ICs)를 부착하는 동적 종료 메커니즘을 도입하여, 조기 예측과 각 추론 시 무작위로 선택된 종료 레이어를 가능하게 한다.
• 각 입력 샘플에 대해 IC 선택을 무작위화하여 공격자가 사용될 레이어를 예측할 수 없게 하여, 타겟팅된 비트 플립 전략을 방해한다.
• IC 훈련 중 비트 플립 공격을 시뮬레이션하는 강건성 훈련(ROB) 전략을 설계하여, 파rameter 조작에 대한 내성을 향상시킨다.
• IC를 통합하기 위해 DESDN(Dynamic-Exit Structured DNN) 아키텍처를 사용하여 메인 모델의 추론 경로를 변경하지 않으며, 지연을 크게 증가시키지 않는다.
• 8비트 가중치 등 양자화 모델의 제약 조건을 활용하여 가능한 비트 플립의 범위를 제한함으로써, 성공적인 공격에 필요한 비트 수를 증가시킨다.
• 비적대적 및 적대적 공격 시나리오 모두에서 평가하며, 최대 500비트까지 플립을 允허하는 강력한 적대자도 포함한다.

실험 결과

연구 질문

• RQ1 DNN에서 조기 종료 레이어를 무작위화하는 방어 기법이 타겟팅된 비트 플립 공격을 효과적으로 방해할 수 있는가?
• RQ2 내부 분류기의 강건한 훈련이 비트 플립 조작에 대한 저항력을 얼마나 향상시킬 수 있는가?
• RQ3 방어 기법을 알고 있고 공격 전략을 맞춤형으로 조정할 수 있는 적대적 공격자에 대해 Aegis는 어떤 성능을 보이는가?
• RQ4 Aegis는 타겟팅된 BFA에서 성공적인 조작을 위해 필요한 비트 수를 크게 증가시키면서도 높은 모델 정확도를 유지하는가?
• RQ5 Aegis는 성능 오버헤드를 최소화하면서도 실제 상용으로 배포된 DNN에 효과적으로 적용될 수 있는가?

주요 결과

• Aegis는 네 가지 벤치마크 데이터셋(CIFAR-10, CIFAR-100, SVHN, ImageNet)과 두 가지 DNN 아키텍처(ResNet-18, VGG-16)에서 타겟팅된 비트 플립 공격의 공격 성공률(ASR)을 5–10배 감소시켰다.
• 비적대적 공격에서 24비트가 플립된 경우(DeepHammer와 동일), Aegis는 ASR를 77.8%에서 2.0%로 감소시켜 강력한 내성을 입증했다.
• 매우 강력한 적대자(최대 500비트 플립 허용) 조건에서도 Aegis는 효과성을 유지하여 공격 비용이 급격히 증가함을 시사했다.
• 성공적인 조작을 위해 필요한 비트 수를 크게 증가시켜 실질적인 악용을 불가능하게 만들었다.
• 기존의 무결성 검증 및 모델 강화 방어 기법보다 뛰어난 성능을 보였으며, 특히 공격자가 방어 기법을 알고 있는 적대적 상황에서 두각을 나타냈다.
• 광범위한 아블레이션 연구를 통해 동적 종료 메커니즘과 강건한 훈련(ROB)이 방어 기법의 효과성에 필수적임을 확인했다.