[论文解读] A Stealthy Hardware Trojan Exploiting the Architectural Vulnerability of Deep Learning Architectures: Input Interception Attack (IIA)

Tolulope A. Odetola, Hawzhin Mohammed+1 more|arXiv (Cornell University)|Nov 2, 2019

Adversarial Robustness in Machine Learning参考文献 20被引用 10

一句话总结

本文提出了一种隐蔽的硬件后门——输入拦截攻击（Input Interception Attack, IIA），该攻击利用深度学习加速器中逐层特征图输出的统计特性，在不修改模型参数或增加可检测硬件开销的前提下，以高置信度触发。该攻击在中间层输出满足特定统计条件前保持休眠状态，最多仅增加2%的LUT使用量，且可通过传统手段难以检测。

ABSTRACT

Deep learning architectures (DLA) have shown impressive performance in computer vision, natural language processing and so on. Many DLA make use of cloud computing to achieve classification due to the high computation and memory requirements. Privacy and latency concerns resulting from cloud computing has inspired the deployment of DLA on embedded hardware accelerators. To achieve short time-to-market and have access to global experts, state-of-the-art techniques of DLA deployment on hardware accelerators are outsourced to untrusted third parties. This outsourcing raises security concerns as hardware Trojans can be inserted into the hardware design of the mapped DLA of the hardware accelerator. We argue that existing hardware Trojan attacks highlighted in literature have no qualitative means how definite they are of the triggering of the Trojan. Also, most inserted Trojans show a obvious spike in the number of hardware resources utilized on the accelerator at the time of triggering the Trojan or when the payload is active. In this paper, we introduce a hardware Trojan attack called Input Interception Attack (IIA). In this attack, we make use of the statistical properties of layer-by-layer output to ensure that asides from being stealthy. Our IIA is able to trigger with some measure of definiteness. Moreover, this IIA attack is tested on DLA used to classify MNIST and Cifar-10 data sets. The attacked design utilizes approximately up to 2% more LUTs respectively compared to the un-compromised designs. Finally, this paper discusses potential defensive mechanisms that could be used to combat such hardware Trojans based attack in hardware accelerators for DLA.

研究动机与目标

• 解决现有针对深度学习加速器的硬件后门攻击在触发方面缺乏定性保证的问题。
• 设计一种更隐蔽的后门，避免在载荷激活期间引起可检测的硬件资源峰值。
• 通过利用中间层输出的统计特性，针对DNN加速器部署流水线中的架构漏洞进行攻击。
• 实现在不修改DNN加速器参数或激活函数的前提下，可靠且可重复地触发后门。
• 提出一种基于防御的框架，用于识别并应对嵌入式DNN加速器中的此类隐蔽硬件后门。

提出的方法

• 对DNN加速器的逐层特征图输出进行统计分析，识别可保证后门触发的边界条件。
• 设计一个触发电路，用于监控中间层输出的特定统计指标（如均值、方差），以检测预设阈值。
• 实现一个载荷逻辑，仅在统计触发条件满足时修改DNN加速器的最终输出，而无需修改模型权重或结构。
• 将DNN加速器映射到基于FPGA的硬件加速器上，以极低的资源开销（≤2%额外LUT）嵌入IIA。
• 采用灰盒威胁模型，攻击者可访问模型架构、输入尺寸及各层特征图大小，用于统计分析。
• 利用3-sigma统计边界定义触发条件，确保高置信度激活，而无需依赖特定输入的触发机制。

实验结果

研究问题

• RQ1 能否基于中间层输出的统计特性而非依赖输入的触发机制，设计一种以高置信度触发的硬件后门？
• RQ2 如何通过避免在载荷激活期间引起可检测的硬件资源使用量增加，来实现后门的隐蔽性？
• RQ3 在不修改DNN加速器参数、激活函数或增加持久硬件开销的前提下，后门可插入的程度有多大？
• RQ4 哪些统计指标可用于在DNN加速器中定义可靠且不可检测的触发条件？
• RQ5 IIA在保持标准硬件验证流程中不可检测的前提下，对分类准确率的破坏效果如何？

主要发现

• 输入拦截攻击（IIA）成功利用基于逐层特征图输出的统计阈值实现高置信度触发，消除了对输入特定触发的依赖。
• IIA通过不修改DNN加速器参数、激活函数，或增加持久硬件逻辑，仅保留触发电路，实现了高度隐蔽性。
• 该攻击在硬件加速器中仅增加最多2%的LUT使用量，处于典型设计余量范围内，显著降低了被检测的风险。
• IIA仅在满足特定统计条件（如3-sigma边界）时才激活有效载荷，确保了可靠且可重复的触发，且完全不依赖外部输入。
• 该方法在MNIST和CIFAR-10分类任务上得到验证，结果表明在受控触发条件下可成功导致误分类，且检测到的副作用极小。
• 本研究揭示了DNN加速器部署流水线对灰盒硬件后门的脆弱性，并指出当前验证技术可能无法检测此类隐蔽攻击。