[논문 리뷰] DetectX -- Adversarial Input Detection using Current Signatures in Memristive XBar Arrays

Abhishek Moitra, Priyadarshini Panda|arXiv (Cornell University)|2021. 06. 22.

Advanced Memory and Neural Computing참고 문헌 54인용 수 8

한 줄 요약

DetectX는 메모리스티브 크로스바 어레이에서 컬럼 전류 합계(SoI) 서명을 사용하여 하드웨어 효율적인 악성 입력 탐지 방법을 제안한다. 청소 및 악성 입력 간 SoI 분리도를 향상시키기 위해 이중 단계 학습 전략을 적용함으로써, DetectX는 강력한 화이트박스 및_BLK박스 공격에 대해 10x–25x의 에너지 절감과 ROC-AUC >0.95를 달성하며, 강건성과 효율성 면에서 신경망 기반 탐지기보다 뛰어나다.

ABSTRACT

Adversarial input detection has emerged as a prominent technique to harden Deep Neural Networks(DNNs) against adversarial attacks. Most prior works use neural network-based detectors or complex statistical analysis for adversarial detection. These approaches are computationally intensive and vulnerable to adversarial attacks. To this end, we propose DetectX - a hardware friendly adversarial detection mechanism using hardware signatures like Sum of column Currents (SoI) in memristive crossbars (XBar). We show that adversarial inputs have higher SoI compared to clean inputs. However, the difference is too small for reliable adversarial detection. Hence, we propose a dual-phase training methodology: Phase1 training is geared towards increasing the separation between clean and adversarial SoIs; Phase2 training improves the overall robustness against different strengths of adversarial attacks. For hardware-based adversarial detection, we implement the DetectX module using 32nm CMOS circuits and integrate it with a Neurosim-like analog crossbar architecture. We perform hardware evaluation of the Neurosim+DetectX system on the Neurosim platform using datasets-CIFAR10(VGG8), CIFAR100(VGG16) and TinyImagenet(ResNet18). Our experiments show that DetectX is 10x-25x more energy efficient and immune to dynamic adversarial attacks compared to previous state-of-the-art works. Moreover, we achieve high detection performance (ROC-AUC > 0.95) for strong white-box and black-box attacks. The code has been released at https://github.com/Intelligent-Computing-Lab-Yale/DetectX

연구 동기 및 목표

• 신경망 기반 악성 입력 탐지기의 동적 공격에 대한 취약성과 높은 계산 오버헤드 문제를 해결하기 위해.
• 아날로그 크로스바 DNN 가속기와 호환되는 하드웨어 우수성과 에너지 효율성을 확보한 탐지 메커니즘을 개발하기 위해.
• 특히 컬럼 전류 합계(SoI)와 같은 내재된 하드웨어 서명을 활용하여 악성 입력과 정상 입력을 신뢰성 있게 구분하기 위해.
• 다양한 종류의 악성 공격, 특히 강력한 화이트박스 및 블랙박스 공격에 대비한 강건성을 확보하기 위해.
• 비신경망 기반의 서명 기반 탐지가 기존의 딥러닝 기반 탐지 방법보다 더 강건하고 효율적임을 입증하기 위해.

제안 방법

• DetectX는 아날로그 크로스바 어레이에서 컬럼 전류 합계(SoI)를 하드웨어 서명으로 사용하여 정상 입력과 악성 입력을 구분한다.
• 이중 단계 학습 전략을 적용한다: 1단계는 정상 및 악성 입력 간 SoI 분리도를 최대화하고, 2단계는 다양한 공격 강도에 대한 강건성을 향상시킨다.
• 32nm CMOS 공정을 사용하여 SoI 계산 유닛과 단순한 룩업 테이블(LUT) 기반 탐지기로 구성된 DetectX 모듈을 구현하여 저면적, 저전력 동작을 구현한다.
• 시스템은 Neurosim 플랫폼과 통합되며, 컬럼 전류는 멀티plex되어 ADC를 통해 디지털화된 후 DetectX 모듈에서 처리된다.
• 탐지는 네트워크의 첫 번째 레이어에만 적용되어 깊은 레이어에서의 성능 오버헤드를 방지한다.
• 이 방법은 장치에 종속되지 않으며, RRAM 및 FeFET 등 다양한 메모리스티브 기술에 적용 가능하다.

실험 결과

연구 질문

• RQ1 아날로그 크로스바에서 컬럼 전류 합계(SoI)와 같은 하드웨어 서명이 정상 입력과 악성 입력을 신뢰성 있게 구분할 수 있는가?
• RQ2 이중 단계 학습 전략이 정상 및 악성 입력의 SoI 분포 간 분리도를 효과적으로 향상시킬 수 있는가?
• RQ3 비신경망 기반의 하드웨어 서명 기반 탐지기의 에너지 효율성은 신경망 기반 탐지기와 비교해 어떻게 되는가?
• RQ4 제안된 탐지 메커니즘은 신경망 기반 탐지기 모델을 공격하는 동적 악성 공격에 대비해 강건한가?
• RQ5 강력한 화이트박스 및 블랙박스 공격 조건에서도 높은 탐지 성능(예: ROC-AUC >0.95)을 유지할 수 있는가?

주요 결과

• DetectX는 강력한 화이트박스 PGD 공격(ϵ=8/255, α=0.5/255, n=40 및 n=200)에 대해 ROC-AUC 점수가 0.95 이상을 달성하며, 이는 이전 연구들보다 뛰어나다.
• 블랙박스 공격에 대해서는 ROC-AUC가 0.99를 기록하여, 0.37을 보고한 Sterneck 등 [12]와 비교해 훨씬 뛰어난 성능을 보이며 신뢰할 수 있는 탐지를 확인한다.
• CIFAR10, CIFAR100, Tiny-ImageNet 벤치마크에서 검증된 바, DetectX는 최신 신경망 기반 탐지기 대비 10x~25x의 에너지 절감을 달성한다.
• 신경망 기반 탐지기 시스템이 이러한 공격에 취약한 것과는 달리, 비신경망 기반의 하드웨어 서명 기반 설계 덕분에 동적 악성 공격에 면역이다.
• 2단계 학습이 강력한 악성 공격 조건에서도 낮은 오류율을 유지하여 일관된 탐지 성능을 확보한다.
• 이 방법은 장치에 종속되지 않으며, 기반 NVM 기술에 관계없이 어떤 메모리스티브 크로스바 아키텍처에도 통합 가능하다.