[논문 리뷰] Confidential Machine Learning Computation in Untrusted Environments: A Systems Security Perspective

Kha Dinh Duy, Taehyun Noh외 2명|arXiv (Cornell University)|2021. 11. 05.

Security and Verification in Computing인용 수 4

한 줄 요약

이 논문은 신뢰할 수 없는 환경에서 신뢰할 수 있는 실행 환경(TEE)를 사용한 기밀 기계학습 계산에 대한 종합적인 서베이를 제시한다. 주요 초점은 공격 벡터, 다자간 보안 요구사항, 그리고 공학적 과제에 맞춰져 있으며, 사이드채널 공격과 같은 위협을 체계적으로 분석하고 클라우드 및 엣지 환경에 적합한 TEE 기반 솔루션을 검토한다. 또한 기밀 가속기, 온라인 학습, 통합된 모델 기밀성 방어 기법 등 향후 연구 방향을 규명한다.

ABSTRACT

As machine learning (ML) technologies and applications are rapidly changing many computing domains, security issues associated with ML are also emerging. In the domain of systems security, many endeavors have been made to ensure ML model and data confidentiality. ML computations are often inevitably performed in untrusted environments and entail complex multi-party security requirements. Hence, researchers have leveraged the Trusted Execution Environments (TEEs) to build confidential ML computation systems. We conduct a systematic and comprehensive survey by classifying attack vectors and mitigation in confidential ML computation in untrusted environments, analyzing the complex security requirements in multi-party scenarios, and summarizing engineering challenges in confidential ML implementation. Lastly, we suggest future research directions based on our study.

연구 동기 및 목표

• 클라우드 및 엣지 플랫폼과 같은 신뢰할 수 없는 환경 내에서 기밀 기계학습 계산의 보안 위협과 대응 전략을 체계적으로 분석하는 것.
• 모델 소유자, 데이터 기여자, 서비스 제공자 등 상호 신뢰하지 않는 실체들이 참여하는 다자간 기계학습 시나리오에서 발생하는 복잡한 보안 요구사항을 검토하는 것.
• TEEmemories 제약 및 기계학습 프레임워크 이식과 같은 기초 공학 과제를 식별하고 해결하는 것.
• 엣지 기반 기밀 기계학습, 기밀 가속기, 기밀성 보장을 보장하는 온라인 학습과 같은 아직 탐색되지 않은 연구 분야를 탐색하는 것.
• 실제 응용에서 안전하고 기밀적인 기계학습 시스템을 발전시키기 위한 종합적이고 미래 지향적인 연구 계획을 제안하는 것.

제안 방법

• 특히 인텔 SGX와 ARM TrustZone를 대상으로 하는 사이드채널 공격에 초점을 맞춘 TEE 보호 기반 기계학습 계산의 공격 벡터를 분류하고 분석하는 것.
• 클라우드 환경에서의 인텔 SGX와 엣지 컴퓨팅에서의 ARM TrustZone에 중점을 두고, 140개 이상의 논문을 검토하여 TEE 기반 기밀 기계학습 시스템을 평가하는 것.
• 기밀 기계학습에서 발생하는 다자간 보안 요구사항을 분석하며, 모델 소유자, 데이터 제공자, 플랫폼 운영자 간의 신뢰 트레이드오프를 고려하는 것.
• TEEmemories 제약으로 인한 배치 크기 감소와 PyTorch, Tensorflow 등의 기계학습 프레임워크를 TEE에 이식하는 데 발생하는 과제와 같은 공학적 트레이드오프를 평가하는 것.
• 기밀 기계학습 워크로드를 처리할 수 있지만 기밀성을 해치지 않는 기술적 설계를 갖춘 기밀 가속기(예: GPU, NPU)를 위한 미래 시스템 설계를 제안하는 것.
• 시스템 내 공격(예: 사이드채널)과 외부 공격(예: API 기반 모델 복원)을 통합하여 종합적인 모델 기밀성 보호를 위한 필요성을 주장하는 것.

실험 결과

연구 질문

• RQ1 TEEmemories 보호 기반 기계학습 계산에서 모델과 데이터 기밀성을 위협하는 주요 시스템 내 공격 벡터는 무엇인가?
• RQ2 기계학습 워크플로우에서 상호 신뢰하지 않는 실체들 간의 다자간 신뢰 역학은 기밀 기계학습 시스템의 설계와 보안 보장을 어떻게 영향을 주는가?
• RQ3 TEEs에 기밀 기계학습을 구현할 때 발생하는 주요 공학 과제는 무엇인가? 특히 메모리 제약과 프레임워크 이식 문제를 중심으로 한다.
• RQ4 기밀 온라인 학습과 기계학습 워크로드를 위한 기밀 하드웨어 가속기를 지원하는 데 있어 열려 있는 연구 과제는 무엇인가?
• RQ5 시스템 내 사이드채널 공격과 외부 API 기반 모델 역행 공격을 동시에 어떻게 완화할 수 있을까? 이를 통해 종단 간 모델 기밀성을 확보할 수 있는가?

주요 결과

• 사이드채널 공격은 특히 인텔 SGX를 사용하는 클라우드 환경에서 TEE 보호 기반 기계학습 계산의 주요 위협으로 남아 있으며, 실질적인 공격 벡터가 여러 차례 입증되었다.
• 인텔 SGX 대비 ARM TrustZone 기반 기밀 기계학습 시스템은 연구가 부족한 편이지만, 디바이스 및 엣지 기반 기계학습 보안에 대한 수요 증가와는 상반된다.
• 현재 TEE 기반 기계학습 시스템은 제한된 메모리로 인해 성능 및 확장성에 심각한 제약을 받으며, 워크로드를 더 작은 배치로 나누어야 하는 경우가 많다.
• PyTorch, Tensorflow 등의 인기 있는 기계학습 프레임워크를 TEE에 이식하는 것은 매우 복잡하며, 이로 인해 공격 표면이 증가하는 큰 신뢰 코드베이스가 생성된다.
• 현재까지 상용화된 기밀 기계학습 워크로드를 네이티브로 지원하는 보안 가속기(GPU 또는 NPU)는 존재하지 않지만, Graviton 및 SafeTPU와 같은 프로토타입 설계는 유망한 전망을 보이고 있다.
• 시스템 내 사이드채널 공격과 외부 API 기반 모델 복원 공격의 조합은 아직 탐색되지 않은 분야이며, 종합적인 모델 기밀성 보호에서 중요한 격차를 드러내고 있다.