[논문 리뷰] Split HE: Fast Secure Inference Combining Split Learning and Homomorphic Encryption

George-Liviu Pereteanu, Amir Alansary외 1명|arXiv (Cornell University)|2022. 02. 27.

Adversarial Robustness in Machine Learning인용 수 6

한 줄 요약

이 논문은 시각 모델을 위한 빠르고 안전한 추론을 가능하게 하는 새로운 프로토콜인 Split HE를 제안한다. 분할 학습과 동형 암호화를 결합함으로써 가장 민감한 모델 레이어를 서버에 유지하고, 활성화 값의 일부만 암호화함으로써 기존 작업 대비 2.5배에서 10배 빠른 추론 속도와 14배에서 290배 낮은 통신 비용을 달성하면서도, 소유자 정보 및 모델 추출 공격에 대해 더 강력한 저항성을 보였다.

ABSTRACT

This work presents a novel protocol for fast secure inference of neural networks applied to computer vision applications. It focuses on improving the overall performance of the online execution by deploying a subset of the model weights in plaintext on the client's machine, in the fashion of SplitNNs. We evaluate our protocol on benchmark neural networks trained on the CIFAR-10 dataset using SEAL via TenSEAL and discuss runtime and security performances. Empirical security evaluation using Membership Inference and Model Extraction attacks showed that the protocol was more resilient under the same attacks than a similar approach also based on SplitNN. When compared to related work, we demonstrate improvements of 2.5x-10x for the inference time and 14x-290x in communication costs.

연구 동기 및 목표

• 기존의 동형 암호화 기반 보안 추론 프로토콜이 가지는 높은 계산 및 통신 오버헤드 문제를 해결하기 위해.
• 데이터 및 모델 프라이버시를 훼손하지 않으면서도 실세계 응용 프로그램에서 보안 추론의 효율성을 향상시키기 위해.
• 이전의 분할 학습 접근 방식에 비해 모델 추출 및 소유자 정보 공격에 대한 보안성을 향상시키기 위해.
• 하이브리드 클라이언트-서버 계산 모델을 사용하여 더 큰 신경망의 배포를 안전하게 가능하게 하기 위해.
• 분할이 가능한 다양한 신경망 아키텍처와 호환되는 일반적이고 확장 가능한 프레임워크를 제공하기 위해.

제안 방법

• 사전 훈련된 신경망을 세 부분으로 분할한다: 두 부분은 서버에 그대로 유지되고, 중간 부분은 평문 상태로 클라이언트에 전송된다.
• 클라이언트는 입력 데이터에 대해 순방향 전파를 수행하고 중간 활성화 값을 서버에 전송하며, 서버는 나머지 모델 부분을 사용해 추론를 계속한다.
• 동형 암호화(CKKS 방식, TenSEAL를 통한 구현)는 오직 일부 레이어에만 적용되며, 특히 서버에 있는 최종 레이어들에 국한된다. 이를 통해 암호화 계산 오버헤드를 최소화한다.
• 서버는 암호화된 활성화 값에서 동형 연산을 수행하여 데이터를 해독하지 않고도 최종 예측 결과를 도출한다.
• 클라이언트는 암호화된 출력을 수신하고 로컬에서 해독하여 최종 예측 결과를 얻는다.
• 보안은 화이트박스 가정 하에 맞춤형 소유자 정보 공격 및 모델 추출 공격을 통해 평가된다.

실험 결과

연구 질문

• RQ1 하이브리드 분할 학습 및 동형 암호화 프로토콜이 보안 신경망 추론에서 추론 시간과 통신 비용을 크게 줄일 수 있는가?
• RQ2 이 프로토콜의 보안 수준은 모델 추출 및 소유자 정보 공격에 대해 이전의 분할 학습 기반 접근 방식과 비교해 어떻게 되는가?
• RQ3 암호화된 레이어의 배치가 제안된 아키텍처의 성능과 프라이버시에 얼마나 큰 영향을 미치는가?
• RQ4 이 프로토콜은 효율성과 보안을 유지하면서 더 큰 모델과 더 복잡한 시각 작업에 대해 확장 가능한가?
• RQ5 하드웨어 및 소프트웨어 스택 최적화가 프로토콜 성능에 미치는 영향은 어떠한가?

주요 결과

• 이 프로토콜은 Delphi 및 CryptFlow2와 같은 유사 작업 대비 2.5배에서 10배 빠른 추론 시간과 14배에서 290배 낮은 통신 비용을 달성했다.
• 실증 평가 결과, Hall 등(2021)의 유사 접근 방식보다 소유자 정보 및 모델 추출 공격에 대해 더 강력한 저항성을 보였으며, 모델 재구성 공격자의 정확도가 59% 이하로 제한되었다.
• DLA 아키텍처에서 모델의 끝에서 4개의 레이어를 암호화하면 모델 추출 공격의 정확도가 크게 감소하지만, 서버 측 처리 시간은 증가한다.
• 모든 MNIST 클래스에서 소유자 정보 공격에 대한 공격자의 이득은 낮고 일관되게 유지되며(0.03~0.11), 정보 泄露가 최소한임을 시사한다.
• 이 프로토콜은 세 부분으로 분할이 가능한 모든 신경망 아키텍처에 대해 일반적이고, 더 큰 모델에의 배포를 가능하게 한다.
• 향후 하드웨어 최적화(예: Intel AVX512) 및 HE 라이브러리 최적화(예: Concrete, TFHE)로 성능 향상이 기대된다.