[论文解读] YerbaBuena: Securing Deep Learning Inference Data via Enclave-based Ternary Model Partitioning

Zhongshu Gu, Heqing Huang+6 more|arXiv (Cornell University)|Jul 3, 2018

Adversarial Robustness in Machine Learning参考文献 70被引用 27

一句话总结

YerbaBuena 提出了一种基于可信执行环境的深度学习推理系统，通过三元模型分割技术，安全隔离敏感输入数据。通过将模型拆分为可在可信执行环境中运行的组件和外部加速的组件，该系统在性能开销最小的情况下实现了强保密性。

ABSTRACT

Deploying and serving deep learning (DL) models in the public cloud facilitates the process to bootstrap artificial intelligence (AI) services. Yet, preserving the confidentiality of sensitive input data remains a concern to most service users. Accidental disclosures of user input data may breach increasingly stringent data protection regulations and inflict reputation damage. In this paper, we systematically investigate the life cycles of input data in deep learning image classification pipelines and further identify the potential places for information disclosures. Based on the discovered insights, we build YerbaBuena, an enclave-based model serving system to protect the confidentiality and integrity of user input data. To accommodate the performance and capacity limitations of today's enclave technology, we employ a Ternary Model Partitioning strategy that allows service users to securely partition their proprietary DL models on local machines. Therefore, we can (I) enclose sensitive computation in a secure enclave to mitigate input information disclosures and (II) delegate non-sensitive workloads to run out of enclave with hardware-assisted DL acceleration. Our comprehensive partitioning analysis and workload measurement demonstrate how users can automatically determine the optimal partitioning for their models, thus to maximize confidentiality guarantees with low performance costs.

研究动机与目标

• 解决公共云环境中深度学习推理流水线中用户输入数据的保密性风险。
• 识别用户输入数据生命周期中敏感信息可能暴露的关键环节。
• 设计一种系统，支持安全的模型分割，将敏感计算隔离在硬件保护的可信执行环境中。
• 通过将非敏感工作负载委托给硬件加速的外部处理器执行，最小化性能开销。

提出的方法

• 分析深度学习图像分类流水线中输入数据的完整生命周期，识别数据泄露的攻击面。
• 设计一种三元模型分割策略，将模型划分为三部分：驻留在可信执行环境中的部分、外部处理器执行的部分以及共享层。
• 利用硬件强制的可信执行环境（如 Intel SGX）执行敏感计算，保护输入数据的机密性。
• 借助硬件加速推理技术处理非敏感组件，缓解可信执行环境执行带来的性能瓶颈。
• 通过工作负载分析与安全分析自动化模型分割过程，确定最优分割方案，在最大化保密性的同时最小化性能成本。
• 与现有深度学习框架集成，实现分割后模型的无缝部署与执行。

实验结果

研究问题

• RQ1 在深度学习推理流水线中，用户输入数据在哪些环节最容易面临数据泄露风险？
• RQ2 如何战略性地应用模型分割，将敏感计算隔离在硬件保护的可信执行环境中？
• RQ3 在可信与不可信执行环境之间分割深度学习模型时，会产生哪些性能与安全的权衡？
• RQ4 自动化分割策略是否能在真实工作负载中实现高保密性，同时保持可接受的性能开销？

主要发现

• 输入数据泄露风险存在于推理流水线的多个阶段，尤其在中间张量计算过程中尤为显著。
• 三元模型分割支持在硬件保护的可信执行环境中安全执行敏感模型组件，同时将较不敏感的部分卸载至加速器处理。
• 所提出的系统通过确保原始输入数据不会离开可信执行环境，实现了强保密性保障。
• 工作负载测量表明，通过智能分割与硬件加速，可信执行环境执行的性能开销被最小化。
• 自动化分割策略有效平衡了安全与性能，使系统可在基于云的 AI 服务中实现实际部署。
• 即使在针对不可信执行环境的对抗性攻击下，系统仍能保持完整性与保密性。