[论文解读] TBT: Targeted Neural Network Attack with Bit Trojan

Adnan Siraj Rakin, Zhezhi He+1 more|arXiv (Cornell University)|Sep 10, 2019

Adversarial Robustness in Machine Learning参考文献 34被引用 12

一句话总结

该论文提出了一种新型神经网络攻击方法——目标位后门（Targeted Bit Trojan, TBT），通过使用行翻转（row-hammer）技术仅翻转存储在DRAM中的DNN权重中少数易受攻击的位，实现目标后门的注入。该攻击在ResNet-18上仅通过84次位翻转，便在CIFAR-10数据集上实现了92%的目标误分类率，同时保持良性输入的正常准确率。

ABSTRACT

Security of modern Deep Neural Networks (DNNs) is under severe scrutiny as the deployment of these models become widespread in many intelligence-based applications. Most recently, DNNs are attacked through Trojan which can effectively infect the model during the training phase and get activated only through specific input patterns (i.e, trigger) during inference. In this work, for the first time, we propose a novel Targeted Bit Trojan(TBT) method, which can insert a targeted neural Trojan into a DNN through the bit-flip attack. Our algorithm efficiently generates a trigger specifically designed to locate certain vulnerable bits of DNN weights stored in main memory (i.e., DRAM). The objective is that once the attacker flips these vulnerable bits, the network still operates with normal inference accuracy with benign input. However, when the attacker activates the trigger by embedding it with any input, the network is forced to classify all inputs to a certain target class. We demonstrate that flipping only several vulnerable bits identified by our method, using available bit-flip techniques (i.e, row-hammer), can transform a fully functional DNN model into a Trojan-infected model. We perform extensive experiments of CIFAR-10, SVHN and ImageNet datasets on both VGG-16 and Resnet-18 architectures. Our proposed TBT could classify 92 % of test images to a target class with as little as 84 bit-flips out of 88 million weight bits on Resnet-18 for CIFAR10 dataset.

研究动机与目标

• 开发一种新型神经后门攻击，该攻击在主内存中以位级别运行，无需模型微调或数据中毒。
• 识别DNN权重中特定的易受攻击位，这些位在翻转后可触发目标误分类，且不会降低正常推理性能。
• 证明仅通过少量位翻转（使用现有的行翻转技术）即可可靠地将干净DNN转变为后门模型。
• 在多个数据集（CIFAR-10、SVHN、ImageNet）和模型架构（VGG-16、ResNet-18）上验证该攻击的有效性。

提出的方法

• 提出神经梯度排序（Neural Gradient Ranking, NGR），用于识别对目标类别最敏感的神经元，从而实现精确触发器生成。
• 利用NGR输出设计触发器，使目标神经元在被激活时强烈放电。
• 提出后门位搜索（Trojan Bit Search, TBS），用于定位DRAM中特定权重位的位置，这些位的翻转仅在触发器存在时才会改变网络行为。
• 使用类似行翻转的位翻转攻击，在推理过程中修改主内存中识别出的易受攻击位。
• 确保在无触发器的情况下，模型在位翻转后仍与原始干净模型保持近乎相同的准确率。
• 采用两阶段流程：第一阶段，NGR识别目标神经元；第二阶段，TBS定位翻转后可触发后门行为的位位置。

实验结果

研究问题

• RQ1 能否仅通过翻转主内存中存储的DNN权重的少数几位，来诱导出有目标的神经后门？
• RQ2 该攻击能否在触发器存在时强制所有输入分类为目标类别，同时保持良性输入的正常推理准确率？
• RQ3 在真实世界DNN中，实现高比例目标误分类所需的最少位翻转次数是多少？
• RQ4 现有的侧信道位翻转技术（如行翻转）能否被有效重用于注入有目标的后门？
• RQ5 TBT方法在多种数据集和模型架构上的有效性如何？

主要发现

• TBT仅通过84次位翻转（占8800万权重位中的极小部分），便在ResNet-18上成功诱导出CIFAR-10数据集上的目标误分类。
• 当触发器存在时，测试图像中有92%被误分类为目标类别，而干净输入的准确率与原始模型几乎完全一致。
• 该方法在多个数据集（CIFAR-10、SVHN、ImageNet）和模型架构（VGG-16、ResNet-18）上均有效，展现出广泛的适用性。
• 该攻击无需访问训练数据、超参数或模型微调，仅需在推理期间对主内存具有读写访问权限。
• 特定位对位翻转攻击的脆弱性既可测量也可利用，TBS能以高精度识别出关键权重位置。
• 该攻击具有隐蔽性，因为模型在无触发器时表现正常，使得通过标准鲁棒性检测手段难以发现。