Veilige AI-chip maakt snelle, energie-efficiënte computing op smartphones mogelijk terwijl gebruikersdata beschermd wordt

Electronics & Sensors INSIDER

Een nieuwe chip kan machine-learning workloads op edge-apparaten zoals smartphones efficiënt versnellen terwijl gevoelige gebruikersdata beschermd wordt tegen twee veelvoorkomende aanvalstypen — side-channel aanvallen en bus-probing aanvallen. (Afbeelding: Chip figuur met dank aan de onderzoekers; MIT News; iStock)

Gezondheidsmonitoring-apps kunnen mensen helpen chronische ziekten te managen of fitheidsdoelen te halen, met niets meer dan een smartphone. Echter, deze apps kunnen traag en energie-inefficiënt zijn omdat de enorme machine-learning modellen die ze aandrijven, heen en weer geschoven moeten worden tussen een smartphone en een centrale geheugenserver.

Ingenieurs versnellen dingen vaak met hardware die de behoefte vermindert om zoveel data heen en weer te verplaatsen. Hoewel deze machine-learning accelerators berekening kunnen stroomlijnen, zijn ze kwetsbaar voor aanvallers die geheime informatie kunnen stelen.

Om deze kwetsbaarheid te verminderen, creëerden onderzoekers van MIT en de MIT-IBM Watson AI Lab een machine-learning accelerator die resistent is tegen de twee meest voorkomende aanvalstypen. Hun chip kan de gezondheidsdossiers, financiële informatie, of andere gevoelige data van een gebruiker privé houden terwijl nog steeds enorme AI-modellen efficiënt op apparaten kunnen draaien.

Het team ontwikkelde diverse optimalisaties die sterke beveiliging mogelijk maken met slechts een lichte vertraging van het apparaat. Bovendien beïnvloedt de toegevoegde beveiliging de nauwkeurigheid van berekeningen niet. Deze machine-learning accelerator zou bijzonder nuttig kunnen zijn voor veeleisende AI-toepassingen zoals augmented en virtual reality of autonoom rijden.

Hoewel het implementeren van de chip een apparaat iets duurder en minder energie-efficiënt maakt, is dat soms een deugdelijke prijs om voor beveiliging te betalen, zei hoofdauteur Maitreyi Ashok, een Electrical Engineering and Computer Science (EECS) graduate student aan MIT.

"Het is belangrijk om met beveiliging in gedachte te ontwerpen vanaf de basis. Als u probeert zelfs een minimaal bedrag aan beveiliging toe te voegen nadat een systeem ontworpen is, is dat prohibitief duur. We waren in staat om veel van deze trade-offs effectief te balanceren tijdens de ontwerpfase," zei Ashok.

De onderzoekers richtten zich op een type machine-learning accelerator genaamd digital in-memory compute. Een digital IMC chip voert berekeningen uit binnen een apparaat's geheugen, waar stukken van een machine-learning model opgeslagen zijn na verplaatsing vanaf een centrale server.

Het hele model is te groot om op het apparaat op te slaan, maar door het in stukken te breken en die stukken zoveel mogelijk her te gebruiken, verminderen IMC chips de hoeveelheid data die heen en weer verplaatst moet worden.

Maar IMC chips kunnen kwetsbaar zijn voor hackers. Bij een side-channel aanval monitort een hacker het energieverbruik van de chip en gebruikt statistische technieken om data te reverse-engineeren tijdens de chip berekent. Bij een bus-probing aanval kan de hacker stukjes van het model en dataset stelen door de communicatie tussen de accelerator en het off-chip geheugen te proberen.

Digital IMC versnelt berekening door miljoenen operaties tegelijk uit te voeren, maar deze complexiteit maakt het moeilijk om aanvallen te voorkomen met traditionele beveiligingsmaatregelen, zei Ashok.

Zij en haar medewerkers namen een driedelig benadering om side-channel en bus-probing aanvallen te blokkeren.

Eerst, ze emploeyeerden een beveiligingsmaatregel waar data in de IMC opgesplitst wordt in willekeurige stukken. Bijvoorbeeld, een bit nul kan opgesplitst worden in drie bits die na een logische operatie nog steeds nul zijn. De IMC berekent nooit met alle stukken in dezelfde operatie, dus een side-channel aanval kan de echte informatie nooit reconstrueren.

Maar voor deze techniek te laten werken, moeten willekeurige bits toegevoegd worden om de data op te splitsen. Omdat digital IMC miljoenen operaties tegelijk uitvoert, zou het genereren van zoveel willekeurige bits te veel rekenkracht kosten. Voor hun chip vonden de onderzoekers een manier om berekeningen te vereenvoudigen, wat het makkelijker maakte om data effectief op te splitsen terwijl de noodzaak voor willekeurige bits werd geëlimineerd.

Tweedens, preveneren ze bus-probing aanvallen met een lichtgewicht cipher dat het model in off-chip geheugen versleutelt. Deze lichtgewicht cipher vereist alleen simpele berekeningen. Daarnaast decodeerden ze alleen de stukken van het model opgeslagen op de chip wanneer nodig.

Derde, om beveiliging te verbeteren, genereerden ze de sleutel die het cipher decodeert direct op de chip, in plaats van het heen en weer te verplaatsen met het model. Ze genereerden deze unieke sleutel uit willekeurige variaties in de chip die geïntroduceerd worden tijdens fabricage, met behulp van wat bekend is als een physically unclonable function.

"Misschien is de ene draad een beetje dikker dan de andere. We kunnen deze variaties gebruiken om nullen en enen uit een circuit te halen. Voor elke chip kunnen we een willekeurige sleutel krijgen die consistent moet zijn omdat deze willekeurige eigenschappen niet significant zouden moeten veranderen over de tijd," legde Ashok uit.

Ze hergebruikten de geheugencellen op de chip, benutten de imperfecties in deze cellen om de sleutel te genereren. Dit vereist minder berekening dan een sleutel vanaf nul genereren.

"Aangezien beveiliging een kritiek issue is geworden in het ontwerp van edge-apparaten, is er een behoefte om een complete systeemstack te ontwikkelen die gefocust is op veilige operatie. Dit werk focust op beveiliging voor machine-learning workloads en beschrijft een digitale processor die cross-cutting optimalisatie gebruikt. Het incorporeert versleutelde data-toegang tussen geheugen en processor, benaderingen om side-channel aanvallen te voorkomen met randomisatie, en het benutten van variabiliteit om unieke codes te genereren. Dergelijke ontwerpen zullen cruciaal zijn in toekomstige mobiele apparaten," zei Anantha Chandrakasan, MIT's chief innovation and strategy officer, Dean of the School of Engineering, en de Vannevar Bush Professor of EECS.

Om hun chip te testen, namen de onderzoekers de rol van hackers aan en probeerden geheime informatie te stelen met side-channel en bus-probing aanvallen.

Zelfs na miljoenen pogingen, konden ze geen echte informatie reconstrueren of stukjes van het model of dataset extraheren. De cipher bleef ook onbreekbaar. In tegenstelling, duurde het slechts ongeveer 5.000 monsters om informatie van een onbeveiligde chip te stelen.

Echter, de toevoeging van beveiliging verlaagde de energie-efficiëntie van de accelerator, en het vereiste ook een groter chipoppervlak, wat het duurder zou maken om te fabriceren.

Het team plant om methoden te verkennen die het energieverbruik en de grootte van hun chip in de toekomst kunnen verminderen, wat het makkelijker zou maken om op schaal te implementeren.

"Naarmate het te duur wordt, wordt het moeilijker om iemand te overtuigen dat beveiliging kritiek is. Toekomstig werk kan deze trade-offs verkennen. Misschien kunnen we het een beetje minder veilig maken maar makkelijker te implementeren en minder duur," zei Ashok.

Bron