[论文解读] Energy-Latency Attacks via Sponge Poisoning

Antonio Emanuele Ciná, Ambra Demontis+3 more|arXiv (Cornell University)|Mar 14, 2022

Adversarial Robustness in Machine Learning被引用 11

一句话总结

本文提出了一种新型训练时攻击——海绵中毒（sponge poisoning），通过在训练过程中仅操纵少数模型更新，显著增加深度神经网络（DNN）的能耗和延迟，使专用集成电路（ASIC）加速器失效。该攻击在保持模型准确率的同时，最大化所有测试输入下的神经元激活次数，因此在外部托管和联邦学习环境中极具破坏性。

ABSTRACT

Sponge examples are test-time inputs optimized to increase energy consumption and prediction latency of deep networks deployed on hardware accelerators. By increasing the fraction of neurons activated during classification, these attacks reduce sparsity in network activation patterns, worsening the performance of hardware accelerators. In this work, we present a novel training-time attack, named sponge poisoning, which aims to worsen energy consumption and prediction latency of neural networks on any test input without affecting classification accuracy. To stage this attack, we assume that the attacker can control only a few model updates during training -- a likely scenario, e.g., when model training is outsourced to an untrusted third party or distributed via federated learning. Our extensive experiments on image classification tasks show that sponge poisoning is effective, and that fine-tuning poisoned models to repair them poses prohibitive costs for most users, highlighting that tackling sponge poisoning remains an open issue.

研究动机与目标

• 识别并利用机器学习安全领域的新漏洞：一种在训练阶段通过增加能耗和延迟来破坏DNN的中毒攻击。
• 证明攻击者可通过仅细微操纵少数梯度更新，在训练过程中破坏DNN。
• 表明该攻击可破坏基于稀疏性的ASIC加速器的优势，而这类加速器原本旨在降低能耗。
• 分析海绵中毒对模型激活的影响，并识别易受攻击的组件，如ReLU和MaxPooling层。
• 评估防御措施的可行性，表明基于净化（sanitization）的防御手段在实际部署中往往成本过高。

提出的方法

• 提出一种新颖的能量目标函数，用于量化并最大化训练过程中激活神经元的数量，直接针对能耗进行优化。
• 设计一种中毒攻击，将能量目标函数整合进训练流程，使攻击者仅需控制少数模型更新。
• 采用约束优化框架，在提升能耗的同时维持或提升模型准确率。
• 使用可微分近似方法模拟ASIC加速器的行为，基于激活稀疏性建模能耗节省。
• 通过调节超参数λ，使攻击适应硬件约束，在指定限制内最大化能耗。
• 分析模型内部结构，识别因中毒而更易发生神经元过度激活的组件（如ReLU、MaxPooling）。

实验结果

研究问题

• RQ1 能否设计一种训练时的中毒攻击，使所有测试输入下的能耗和延迟显著增加，同时不损害模型准确率？
• RQ2 是否可通过仅对少数模型更新进行极小程度的控制，实现对基于稀疏性的ASIC加速器优势的绕过？
• RQ3 在海绵中毒攻击下，哪些模型组件最易因神经元激活增加而受损？
• RQ4 该攻击能否根据硬件施加的能耗约束进行调节？
• RQ5 基于净化的现有防御措施是否有效，或其计算开销过高而难以实用？

主要发现

• 海绵中毒通过在训练过程中仅操纵少数模型更新，成功在所有测试输入上显著增加了能耗和延迟。
• 该攻击使基于稀疏性的ASIC加速器完全失效，几乎完全抵消了其节能优势。
• ReLU和MaxPooling层尤为脆弱，其在中毒模型中的神经元激活率显著升高。
• 即使攻击者仅控制极少数更新，该攻击仍具有效性，使其在联邦学习和外部托管训练场景中具有可行性。
• 基于净化的防御措施被证明计算开销极大，对大多数用户不切实际，表明该攻击在无完整重训练的情况下几乎不可逆。
• 通过调节超参数λ，可将攻击调优至在给定硬件约束下最大化能耗。