[논문 리뷰] T-BFA: Targeted Bit-Flip Adversarial Weight Attack

Adnan Siraj Rakin, Zhezhi He외 4명|arXiv (Cornell University)|2020. 07. 24.

Adversarial Robustness in Machine Learning참고 문헌 37인용 수 30

한 줄 요약

이 논문은 선택된 입력을 선택된 타깃 클래스로 오분류시키기 위해 소수의 양자화된 DNN 가중치 비트를 뒤집는 Targeted Bit-Flip Adversarial Weight Attack (T-BFA)를 제안하며, CIFAR-10 및 ImageNet에서 실제 하드웨어 실현 가능성으로 시연합니다.

ABSTRACT

Traditional Deep Neural Network (DNN) security is mostly related to the well-known adversarial input example attack. Recently, another dimension of adversarial attack, namely, attack on DNN weight parameters, has been shown to be very powerful. As a representative one, the Bit-Flip-based adversarial weight Attack (BFA) injects an extremely small amount of faults into weight parameters to hijack the executing DNN function. Prior works of BFA focus on un-targeted attack that can hack all inputs into a random output class by flipping a very small number of weight bits stored in computer memory. This paper proposes the first work of targeted BFA based (T-BFA) adversarial weight attack on DNNs, which can intentionally mislead selected inputs to a target output class. The objective is achieved by identifying the weight bits that are highly associated with classification of a targeted output through a class-dependent weight bit ranking algorithm. Our proposed T-BFA performance is successfully demonstrated on multiple DNN architectures for image classification tasks. For example, by merely flipping 27 out of 88 million weight bits of ResNet-18, our T-BFA can misclassify all the images from 'Hen' class into 'Goose' class (i.e., 100 % attack success rate) in ImageNet dataset, while maintaining 59.35 % validation accuracy. Moreover, we successfully demonstrate our T-BFA attack in a real computer prototype system running DNN computation, with Ivy Bridge-based Intel i7 CPU and 8GB DDR3 memory.

연구 동기 및 목표

• 메모리 내 비트 플립을 통해 가중치를 양자화한 DNN에 대한 타깃 공격을 동기 부여하고 가능하게 한다.
• 클래스 의존 순위를 통해 타깃 클래스와 강하게 연관된 가중치 비트를 식별한다.
• 세 가지 공격 변형(N-to-1, 1-to-1, 1-to-1 Stealthy)과 대응 손실 형태를 개발한다.
• 실제 하드웨어 프로토타입을 포함하여 여러 아키텍처와 데이터셋에서 효과를 입증한다.

제안 방법

• N-to-1, 1-to-1, 1-to-1 Stealthy 공격을 위한 세 가지 타깃 손실 함수를 수립한다.
• 레이어 내부 그래디언트-guided 탐색과 레이어 간 선택으로 취약한 가중치 비트를 반복적으로 탐색한다.
• 타깃 손실을 최소화하기 위해 마스크와 그래디언트 방향 접근 방식을 사용하여 매 반복마다 한 비트를 뒤집는다.
• 하드웨어 관련성을 위해 계층별 N-비트 균일 양자화를 사용하고 2의 보수로 인코딩한다.
• 다수의 아키텍처에 걸쳐 CIFAR-10 및 ImageNet에서 공격 성공률(ASR)과 포스트-공격 정확도(TA)를 평가한다.
• Bit-Flip 프로세스를 위한 DRAM row-hammer를 사용한 실제 컴퓨터 프로토타입을 시연한다.

실험 결과

연구 질문

• RQ1 양자화된 DNN에서 소수의 가중치 비트 뒤집기가 선택된 입력의 타깃 오분류를 안정적으로 유발할 수 있는가?
• RQ2 다른 공격 유형(N-to-1, 1-to-1, 1-to-1 Stealthy)이 아키텍처와 데이터 셋 전반에서 효과성과 은밀성에서 어떻게 비교되는가?
• RQ3 네트워크 용량과 타깃 가중치 공격에 대한 취약성 간의 관계는 무엇인가?
• RQ4 실용적이고 권한이 없는 공격자가 DRAM 결함 주입으로 실제 하드웨어에서 T-BFA를 수행할 수 있는가?

주요 결과

• T-BFA는 선택된 오분류를 위한 100% 공격 성공률을 달성할 수 있으며, 예를 들어 ImageNet의 ResNet-18에서 27 비트 뒤집기로 Hen→Goose 등 다른 클래스의 정확도는 상당히 보존한다.
• 1-to-1 공격은 일반적으로 CIFAR-10 결과에서 100% ASR에 도달하기 위해 N-to-1 공격보다 더 적은 비트 뒤집기가 필요하다.
• 1-to-1 Stealthy 공격은 아키텍처(ResNet-20 vs VGG-11)에 따라 타깃 및 비타깷 클래스 정확도에 큰 폭으로 하락 없이 높은 ASR(최대 약 99%)을 보인다.
• ImageNet에서 더 큰 네트워크(ResNet-18/34)는 1-to-1 (S)에서 100% ASR을 달성하면서 TA를 합리적으로 유지하는 반면, MobileNet-V2는 TA 유지에 어려움을 겪을 수 있다.
• DRAM의 Row-hammer를 이용한 실제 하드웨어 시연은 비특권 설정에서도 T-BFA의 실현 가능성을 확인한다.