[论文解读] Stealing Neural Networks via Timing Side Channels

Vasisht Duddu, Debasis Samanta+2 more|arXiv (Cornell University)|Dec 31, 2018

Adversarial Robustness in Machine Learning参考文献 47被引用 89

一句话总结

论文展示一个黑-box timing side-channel attack（定时侧信道攻击），通过执行时间推断神经网络深度，然后使用强化学习搜索一个近目标准确率的替代架构，在 CIFAR-10 上对 VGG-like 模型进行演示。

ABSTRACT

Deep learning is gaining importance in many applications. However, Neural Networks face several security and privacy threats. This is particularly significant in the scenario where Cloud infrastructures deploy a service with Neural Network model at the back end. Here, an adversary can extract the Neural Network parameters, infer the regularization hyperparameter, identify if a data point was part of the training data, and generate effective transferable adversarial examples to evade classifiers. This paper shows how a Neural Network model is susceptible to timing side channel attack. In this paper, a black box Neural Network extraction attack is proposed by exploiting the timing side channels to infer the depth of the network. Although, constructing an equivalent architecture is a complex search problem, it is shown how Reinforcement Learning with knowledge distillation can effectively reduce the search space to infer a target model. The proposed approach has been tested with VGG architectures on CIFAR10 data set. It is observed that it is possible to reconstruct substitute models with test accuracy close to the target models and the proposed approach is scalable and independent of type of Neural Network architectures.

研究动机与目标

• 阐明以服务方式部署的神经网络为何存在模型提取风险。
• 证明执行时间与网络深度相关，从而在黑箱设置中实现深度推断。
• 提出一个两阶段攻击：通过回归器推断深度，然后进行基于 RL 的神经网络架构搜索以重构一个接近的替代模型。
• 展示替代模型在 CIFAR-10 上使用 VGG-样目标时，其测试准确率在接近目标的一个小幅度范围内。

提出的方法

• 表明神经网络的总执行时间是深度和其他超参数在不同架构中的函数。
• 在固定硬件上收集大量网络的时序数据，以训练将时间映射到深度的回归器。
• 使用回归器（RF/BDT 优于线性模型）从观测到的时间预测目标深度。
• 将架构搜索约束在推断出的深度范围内，并应用带蒸馏的基于 RL 的神经网络架构搜索以最大化替代准确性。
• 用来自目标的知识蒸馏来训练替代模型，以模仿其输出。
• 证明最终替代模型的测试准确率接近目标（约5%以内）。

实验结果

研究问题

• RQ1 黑盒攻击者是否能用时序侧信道可靠地推断目标神经网络的深度（层数）？
• RQ2 受推断深度限制的基于强化学习的架构搜索，是否能产生测试准确率接近目标的替代模型？
• RQ3 从时序数据进行深度推断时，不同回归模型的有效性如何？
• RQ4 该攻击在常见的 CNN 架构（如 VGG-like、ResNet）和数据集（CIFAR-10）上的可扩展性如何？

主要发现

• 时序侧信道揭示了架构信息：网络深度与总执行时间相关。
• 在时序数据上训练的回归模型可以推断目标深度；集成回归器（随机森林、提升决策树）优于线性模型。
• 在深度约束空间内的基于 RL 的架构搜索可以产生测试准确率在 CIFAR-10 上接近目标 5% 的替代模型。
• 该攻击使用固定数量的查询来推断深度，使其在黑盒 MLaaS 设置下高效。
• 使用知识蒸馏来训练替代模型以模仿目标预测，提升两者之间的相似性。
• 在 VGG-like 目标上的实验表明重构的模型在性能上与目标非常接近。