[論文レビュー] New Security Challenges on Machine Learning Inference Engine: Chip Cloning and Model Reverse Engineering

Shanshi Huang, Xiaochen Peng+3 more|arXiv (Cornell University)|Mar 21, 2020

Advanced Memory and Neural Computing参考文献 30被引用数 8

ひとこと要約

この論文は、計算内メモリ（CIM）アーキテクチャにおける、チップクラーニングおよびモデルリバースエンジニアリングを含む、機械学習推論エンジンに対する新たなセキュリティ脅威に取り組む。本稿では、2つの対策を提案する。1つ目は、ADCオフセットを補償することで、模造チップ上で精度を著しく低下させる重みの微調整であり、2つ目は、秘密鍵が存在する場合にのみ安全な推論を可能にする、偽の行挿入を伴う重みシャッフルである。これにより、モデルの整合性と機密性が保護される。

ABSTRACT

Machine learning inference engine is of great interest to smart edge computing. Compute-in-memory (CIM) architecture has shown significant improvements in throughput and energy efficiency for hardware acceleration. Emerging non-volatile memory technologies offer great potential for instant on and off by dynamic power gating. Inference engine is typically pre-trained by the cloud and then being deployed to the filed. There are new attack models on chip cloning and neural network model reverse engineering. In this paper, we propose countermeasures to the weight cloning and input-output pair attacks. The first strategy is the weight fine-tune to compensate the analog-to-digital converter (ADC) offset for a specific chip instance while inducing significant accuracy drop for cloned chip instances. The second strategy is the weight shuffle and fake rows insertion to allow accurate propagation of the activations of the neural network only with a key.

研究の動機と目的

• ハードウェアアクセラレーテッド機械学習推論エンジンにおけるチップクラーニングおよびモデルリバースエンジニアリングの増加する脅威に対処すること。
• エッジデバイスに展開された事前学習済みニューラルネットワークモデルが、不正な抽出や複製から保護されること。
• 正しい鍵を備えた正当なチップのみが、高い推論精度を達成できることを保証すること。
• 強力なセキュリティ保証を追加しても、計算内メモリ（CIM）アーキテクチャの高いスループットおよびエネルギー効率を維持すること。

提案手法

• アナログ・デジタルコンバータ（ADC）オフセットを補償するためのチップ固有の重み微調整を適用し、元のチップでは精度が向上するが、模造品では顕著な精度低下を引き起こす。
• 重みを逆にできない方法で再配置する秘密鍵依存の重みシャッフル技術を導入し、正しい鍵がなければ正しく活性化が伝搬されないようにする。
• 重み行列に偽の行を挿入することで、真のモデル構造をさらに隠蔽し、リバースエンジニアリングの難易度を高める。
• 重みシャッフルと偽の行挿入を組み合わせることで、秘密鍵がなければ逆算不能な、安全で鍵依存の推論パスを構築する。
• 既存のCIMアーキテクチャおよび動的電源ガーディングに対応するようにシステムを設計し、即時オン/オフ機能を実現する。

実験結果

リサーチクエスチョン

• RQ1 ハードウェアレベルのサイドチャnel情報は、どのようにして機械学習推論チップのクラーニングに利用可能か？
• RQ2 展開済みの推論エンジンの入出力動作から、攻撃者は元のニューラルネットワーク重みをどの程度再構築可能か？
• RQ3 チップクラーニングおよびモデルリバースエンジニアリングを両方防止できる、軽量でハードウェア互換性のある対策を設計可能か？
• RQ4 どのようにして、正しい鍵を持つ正当なデバイスのみが、高い推論精度を達成できるように保証できるか？

主な発見

• 提案された重み微調整技術により、模造チップでは30%を超える顕著な精度低下が発生する一方、元のチップでは95%以上の高い精度が維持される。
• 重みシャッフルと偽の行挿入の組み合わせにより、秘密鍵がなければ正しく重みの順序を回復できないため、リバースエンジニアリングが効果的に防止される。
• 対策は計算内メモリ（CIM）アーキテクチャと互換性があり、スループットやエネルギー効率に悪影響を及げない。
• 入出力ペair分析に対しても、秘密鍵依存の変換が真のモデル構造を推定しようとする試みを遮断するため、システムは依然として安全である。