[论文解读] Are Adversarial Perturbations a Showstopper for ML-Based CAD? A Case Study on CNN-Based Lithographic Hotspot Detection

Kang Liu, Haoyu Yang+6 more|arXiv (Cornell University)|Jun 25, 2019

Adversarial Robustness in Machine Learning参考文献 51被引用 8

一句话总结

本文表明，基于卷积神经网络（CNN）的电子CAD光刻热点检测器容易受到通过战略性插入亚分辨率辅助图形（SRAFs）产生的语义上有意义的对抗性扰动的影响，导致热点布局被错误分类为安全布局，攻击成功率最高可达99.7%。本文提出对抗性微调方法，可在不损失准确率或推理开销的前提下，将模型鲁棒性提升约3倍。

ABSTRACT

There is substantial interest in the use of machine learning (ML) based techniques throughout the electronic computer-aided design (CAD) flow, particularly those based on deep learning. However, while deep learning methods have surpassed state-of-the-art performance in several applications, they have exhibited intrinsic susceptibility to adversarial perturbations --- small but deliberate alterations to the input of a neural network, precipitating incorrect predictions. In this paper, we seek to investigate whether adversarial perturbations pose risks to ML-based CAD tools, and if so, how these risks can be mitigated. To this end, we use a motivating case study of lithographic hotspot detection, for which convolutional neural networks (CNN) have shown great promise. In this context, we show the first adversarial perturbation attacks on state-of-the-art CNN-based hotspot detectors; specifically, we show that small (on average 0.5% modified area), functionality preserving and design-constraint satisfying changes to a layout can nonetheless trick a CNN-based hotspot detector into predicting the modified layout as hotspot free (with up to 99.7% success). We propose an adversarial retraining strategy to improve the robustness of CNN-based hotspot detection and show that this strategy significantly improves robustness (by a factor of ~3) against adversarial attacks without compromising classification accuracy.

研究动机与目标

• 探究对抗性扰动是否对基于机器学习的电子CAD工具构成安全威胁，特别是在光刻热点检测中的影响。
• 评估在真实集成电路设计环境中，针对最先进CNN-based热点检测器的对抗性攻击的可行性与影响。
• 开发并验证一种防御机制——对抗性微调，以在不降低检测准确率或增加推理成本的前提下提升模型鲁棒性。
• 评估对抗性微调在白盒与黑盒设置下缓解逃避攻击的有效性。

提出的方法

• 作者通过在IC版图模式中插入语义上有意义的亚分辨率辅助图形（SRAFs），生成对抗性扰动，以逃避基于CNN的热点检测器的检测。
• 他们实施了白盒与黑盒逃避攻击，利用基于梯度的优化方法，构造SRAFs以最小化扰动同时最大化误分类。
• 所提出的防御方法采用对抗性微调，即在训练过程中使用生成的对抗性样本对模型进行微调，以提升其鲁棒性。
• 微调过程采用迭代方式——仅需两轮即可将白盒攻击成功率从99.7%降至37.2%。
• 通过测试版图上的攻击成功率与自然准确率指标，量化了鲁棒性的提升。
• 该方法在显著降低对对抗性SRAF插入的敏感性的同时，保持了原始模型的分类准确率。

实验结果

研究问题

• RQ1 语义上有意义的对抗性扰动（如SRAFs）是否能成功欺骗基于CNN的光刻热点检测器？
• RQ2 在真实的CAD环境中，针对最先进CNN-based热点检测器的逃避攻击最大成功率是多少？
• RQ3 对抗性微调如何影响基于CNN的热点检测器对逃避攻击的鲁棒性？
• RQ4 对抗性微调是否会损害原始检测准确率，或在推理过程中引入计算开销？

主要发现

• 使用SRAFs的对抗性攻击在欺骗经过充分训练的基于CNN的热点检测器将其误判为非热点布局方面，最高成功率可达99.7%。
• 尽管深度且更复杂的CNN模型相较于浅层架构表现出更好的自然鲁棒性，但两者均易受对抗性SRAFs影响。
• 仅经过两轮对抗性微调后，白盒攻击成功率即从99.7%降至37.2%，显著提升了模型鲁棒性。
• 对抗性微调在不降低模型原始分类准确率的前提下，将鲁棒性提升了约三倍。
• 该防御机制在推理阶段不增加计算开销，且在干净输入上保持了模型原有性能。
• 本研究证实，对抗性扰动对基于ML的CAD工具构成切实威胁，但若采用对抗性微调等主动防御策略，则并非不可逾越。