[논문 리뷰] New Security Challenges on Machine Learning Inference Engine: Chip Cloning and Model Reverse Engineering

Shanshi Huang, Xiaochen Peng외 3명|arXiv (Cornell University)|2020. 03. 21.

Advanced Memory and Neural Computing참고 문헌 30인용 수 8

한 줄 요약

이 논문은 계산 메모리(CIM) 아키텍처에서 발생하는 기계 학습 추론 엔진에 대한 새로운 보안 위협, 특히 칩 클로닝과 모델 역공학 기반 위협을 다룹니다. 이를 위해 두 가지 대응 조치를 제안합니다: ADC 오프셋 보상으로 인해 복제된 칩에서 정확도 저하를 유도하는 가중치 미세조정, 그리고 기밀 키가 있는 경우에만 안전한 추론을 가능하게 하는 가짜 행 삽입을 통한 가중치 재배열입니다. 이는 모델의 무결성과 기밀성을 보호합니다.

ABSTRACT

Machine learning inference engine is of great interest to smart edge computing. Compute-in-memory (CIM) architecture has shown significant improvements in throughput and energy efficiency for hardware acceleration. Emerging non-volatile memory technologies offer great potential for instant on and off by dynamic power gating. Inference engine is typically pre-trained by the cloud and then being deployed to the filed. There are new attack models on chip cloning and neural network model reverse engineering. In this paper, we propose countermeasures to the weight cloning and input-output pair attacks. The first strategy is the weight fine-tune to compensate the analog-to-digital converter (ADC) offset for a specific chip instance while inducing significant accuracy drop for cloned chip instances. The second strategy is the weight shuffle and fake rows insertion to allow accurate propagation of the activations of the neural network only with a key.

연구 동기 및 목표

• 하드웨어 가속 기반 기계 학습 추론 엔진에서 증가하는 칩 클로닝 및 모델 역공학 위협을 해결하기 위해.
• 엣지 디바이스에 배포된 사전 훈련된 신경망 모델이 무단으로 추출되거나 복제되는 것을 방지하기 위해.
• 정확한 키를 가진 정식 칩만이 높은 추론 정확도를 확보할 수 있도록 보장하기 위해.
• 강력한 보안 보장을 추가하면서도 계산 메모리(CIM) 아키텍처의 높은 처리량과 에너지 효율성을 유지하기 위해.

제안 방법

• 아날로그에서 디지털로의 변환(ADC) 오프셋을 보상하기 위해 칩 고유의 가중치 미세조정을 적용하여 원본 칩에서는 정확도를 향상시키지만, 복제된 칩에서는 심각한 정확도 저하를 유도합니다.
• 가역적이지 않은 방식으로 가중치를 재배열하는 기밀 키 기반 가중치 재배열 기법을 도입하여, 정확한 키가 없이선 정상적인 활성화 전파가 불가능하게 합니다.
• 진짜 모델 구조를 더욱 은폐하고 역공학의 난이도를 높이기 위해 가중치 행렬에 가짜 행을 삽입합니다.
• 가중치 재배열과 가짜 행 삽입을 결합하여 기밀 키 없이선 역행할 수 없는 안전한, 키 기반 추론 경로를 구축합니다.
• 기존의 CIM 아키텍처와 호환되도록 설계하여 즉각적인 케이스 온/오프 기능을 위한 동적 전력 게이팅도 지원합니다.

실험 결과

연구 질문

• RQ1 하드웨어 수준의 사이드 채널 정보는 어떻게 이용되어 기계 학습 추론 칩을 클로닝할 수 있는가?
• RQ2 배포된 추론 엔진의 입력-출력 행동으로부터 공격자가 원본 신경망 가중치를 얼마나 정확하게 재구성할 수 있는가?
• RQ3 칩 클로닝과 모델 역공학을 모두 방지할 수 있는 경량이고 하드웨어 호환성 있는 대응 조치를 설계할 수 있는가?
• RQ4 어떻게 하면 기밀 키를 가진 정식 기기만이 높은 추론 정확도를 확보할 수 있도록 보장할 수 있는가?

주요 결과

• 제안된 가중치 미세조정 기법은 복제된 칩에서 정확도를 30퍼센트 이상 저하시키지만, 원본 칩에선 95퍼센트 이상의 높은 정확도를 유지합니다.
• 가중치 재배열과 가짜 행 삽입의 조합은 기밀 키 없이선 정확한 가중치 순서를 복구할 수 없기 때문에 효과적으로 역공학을 방지합니다.
• 이 대응 조치들은 계산 메모리(CIM) 아키텍처와 호환되며 처리량이나 에너지 효율성에 영향을 주지 않습니다.
• 입력-출력 쌍 분석 조건에서도 보안이 유지되며, 기밀 키 기반 변환으로 인해 진짜 모델 구조를 유추하려는 모든 尝시도가 차단됩니다.