[논문 리뷰] Hardware Trojan Attacks on Neural Networks

Joseph Clements, Yingjie Lao|arXiv (Cornell University)|2018. 06. 14.

Adversarial Robustness in Machine Learning참고 문헌 31인용 수 64

한 줄 요약

본 논문은 신경망에 대한 하드웨어 트로잔 공격을 제시하고, 악성 트로잔을 NN 하드웨어에 삽입하기 위한 프레임워크를 개략적으로 제시하며, 7-layer CNN의 5번째 은닉층에서 약 0.03%의 뉴런에 영향을 주는 트로잔을 이용해 MNIST에서 은밀한 표적 오분류를 시연한다.

ABSTRACT

With the rising popularity of machine learning and the ever increasing demand for computational power, there is a growing need for hardware optimized implementations of neural networks and other machine learning models. As the technology evolves, it is also plausible that machine learning or artificial intelligence will soon become consumer electronic products and military equipment, in the form of well-trained models. Unfortunately, the modern fabless business model of manufacturing hardware, while economic, leads to deficiencies in security through the supply chain. In this paper, we illuminate these security issues by introducing hardware Trojan attacks on neural networks, expanding the current taxonomy of neural network security to incorporate attacks of this nature. To aid in this, we develop a novel framework for inserting malicious hardware Trojans in the implementation of a neural network classifier. We evaluate the capabilities of the adversary in this setting by implementing the attack algorithm on convolutional neural networks while controlling a variety of parameters available to the adversary. Our experimental results show that the proposed algorithm could effectively classify a selected input trigger as a specified class on the MNIST dataset by injecting hardware Trojans into $0.03\%$, on average, of neurons in the 5th hidden layer of arbitrary 7-layer convolutional neural networks, while undetectable under the test data. Finally, we discuss the potential defenses to protect neural networks against hardware Trojan attacks.

연구 동기 및 목표

• 하드웨어 트로잔의 보안 이슈를 신경망 구현에서 동기 부여하고 형식화한다.
• 신경망 분류기에 악성 하드웨어 트로잔을 삽입하기 위한 프레임워크를 개발한다.
• 공격자의 능력을 평가하기 위해 합성곱 신경망에 대한 공격을 구현한다.
• 트로잔이 MNIST에서 최소한의 뉴런 개입으로 표적 분류를 유도하는 정도를 정량화한다.

제안 방법

• 신경망 분류기에 악성 하드웨어 트로잔을 삽입하기 위한 새로운 프레임워크를 만든다.
• 컨트롤 가능한 적대적 매개변수를 가진 합성곱 신경망에 공격 알고리즘을 구현한다.
• 선정된 트리거가 MNIST에서 특정 클래스를 유발할 수 있음을 보여준다.
• 트로잔이 7-layer CNN의 5번째 은닉층의 약 0.03%의 뉴런에 영향을 미친다는 것을 평균적으로 보인다.
• 평가 데이터에서의 탐지 가능성을 평가하고 방어 옵션에 대해 논의한다.

실험 결과

연구 질문

• RQ1 하드웨어 트로잔이 표준 테스트 중에 탐지되지 않고 신경망 하드웨어에 내재될 수 있는가?
• RQ2 표적 오분류를 강제하기 위해 어떤 비율의 뉴런과 어떤 위치가 손상되어야 하는가?
• RQ3 일반적인 CNN 아키텍처(예: 7-layer CNN)에서 하드웨어 트로잔 공격은 MNIST에 대해 얼마나 효과적인가?
• RQ4 신경망 하드웨어 구현에서 하드웨어 트로잔 위협에 대응할 수 있는 방어책은 무엇인가?

주요 결과

• 공격은 선택된 입력 트리거를 MNIST에서 지정된 클래스로 분류할 수 있다.
• 임의의 7-layer CNN의 5번째 은닉층의 0.03%의 뉴런에 주입된 트로잔은 평균적으로 표적 오분류를 달성할 수 있다.
• 트로잔 활동은 평가에 사용된 테스트 데이터에서 탐지될 수 없다.
• 이 논문은 신경망의 하드웨어 트로잔 공격에 대한 잠재적 방어 접근법을 논의한다.