InferNet: Exploiting Aggregate GPU Profiles as Side-Channel for DNN Architecture Inference
InferNet ist ein neuartiger Seitenkanalangriff, der grobkörnige, nicht-invasive aggregierte GPU-Profile ausnutzt, um die spezifische Architektur und die Varianten von tiefen neuronalen Netzen über verschiedene Frameworks und Hardwareplattformen hinweg präzise zu inferieren und dabei eine Extraktionsgenauigkeit von 100 % ohne die Notwendigkeit komplexer Zeitreihenanalysen zu erreichen.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Die große Idee: Ein Rezept erraten, indem man die Küche belauscht
Stellen Sie sich vor, Sie befinden sich in einer Restaurantküche, aber es ist Ihnen nicht erlaubt, den Koch oder das Rezeptbuch zu sehen. Sie dürfen nur vor der Küchentür stehen und zuhören.
Sie hören das Klappern von Töpfen, das Summen des Mixers, das Zischen der Pfanne und die Häufigkeit der Spülmaschine. Obwohl Sie nicht sehen können, was gekocht wird, verrät Ihnen das Muster der Geräusche genau, was zubereitet wird. Wenn Sie einen Hochgeschwindigkeitsmixer und ein bestimmtes Hack-Ritmus hören, wissen Sie, dass ein Smoothie zubereitet wird. Wenn Sie ein langsames Köcheln und einen schweren Topf hören, wissen Sie, dass ein Eintopf gekocht wird.
InferNet ist eine digitale Version davon. Es ist ein „Side-Channel-Angriff“ (Seitenkanalangriff), der es einem Hacker ermöglicht, genau herauszufinden, welches Deep Neural Network (DNN) (das KI-„Rezept“) ein Unternehmen verwendet, indem er einfach nur auf die „Geräusche“ hört, die der Computer während der Arbeit macht.
Wie es funktioniert: Der „aggregierte“ Soundtrack
Normalerweise müssen Hacker, die versuchen, die Geheimnisse eines KI-Modells zu stehlen, sehr heimlich vorgehen und sich auf winzige, blitzschnelle Details konzentrieren (wie ein Zeitraffer-Video von jeder einzelnen Bewegung, die der Computer macht). Das ist schwierig, besonders in der Cloud, und es ist leicht, durch Hintergrundgeräusche verwirrt zu werden.
InferNet verfolgt einen anderen Ansatz. Anstatt ein Zeitraffer-Video aufzunehmen, erstellt es eine statistische Momentaufnahme (ein „aggregiertes Profil“).
- Die Analogie: Stellen Sie sich vor, Sie möchten wissen, welche Band gerade spielt.
- Alte Methode: Sie nehmen jedes einzelne Sekunde des Konzerts auf, um genau zu sehen, wann der Schlagzeuger die Snare getroffen hat.
- InferNet-Methode: Sie zählen einfach nur, wie oft der Schlagzeuger die Snare getroffen hat, wie laut die Gitarre im Durchschnitt war und wie lange das ganze Lied dauerte. Sie benötigen nicht die Reihenfolge der Noten; Sie benötigen nur die Zusammenfassungsstatistiken.
Die Arbeit zeigt, dass verschiedene KI-Modelle (wie jene, die Gesichter erkennen vs. jene, die Texte schreiben) unterschiedliche „Musikinstrumente“ innerhalb der Grafikkarte (GPU) des Computers nutzen.
- Vision-Modelle (Bild-KI): Sie nutzen viele „Konvolutions“-Kernel. Betrachten Sie diese als spezialisierte Hackmesser, die Daten in bestimmten Mustern zerkleinern und zerteilen.
- Sprachmodelle (Text-KI): Sie nutzen viele „Matrizenmultiplikations“-Kernel. Betrachten Sie diese als schwere Hochleistungsmixer, die riesige Datenblöcke miteinander vermengen.
Indem man einfach zählt, wie oft diese spezifischen „Instrumente“ gespielt werden und wie lange sie dauern, kann InferNet einen einzigartigen Fingerabdruck des KI-Modells erstellen.
Der Zaubertrick: Es funktioniert, selbst wenn man nicht alles sieht
Die Forscher haben dies an 90 verschiedenen berühmten KI-Modellen (wie ResNet, BERT, GPT und Inception) auf zwei verschiedenen Arten von Computerchips (NVIDIA Tesla und Quadro) getestet.
Hier ist, was sie herausgefunden haben, übersetzt in unsere Küchenanalogie:
- Man braucht nicht das ganze Rezept: Man muss nicht das ganze Lied hören, um das Genre zu kennen. Die Forscher fanden heraus, dass es ausreichte, nur auf die drei lautesten Geräusche (die häufigsten GPU-Aufgaben) zu hören, um das Modell mit einer Genauigkeit von fast 100 % zu identifizieren.
- Es funktioniert bei „geheimen“ Modellen: Selbst wenn das KI-Modell zerstückelt, komprimiert oder optimiert wurde, um schneller zu laufen (wie ein Koch, der seine Werkzeuge versteckt), bleibt das „Geräusch“ des Kochprozesses einzigartig genug, um das Gericht zu identifizieren.
- Es funktioniert über verschiedene Küchen hinweg: Selbst wenn der Hacker einen anderen Computer als das Opfer verwendet, kann er das Modell immer noch erraten, obwohl es etwas schwieriger ist. Wenn der Hacker jedoch sein „Zuhörsystem“ mit Daten aus beiden Arten von Computern trainiert, wird es fast perfekt.
- Es funktioniert bei verschiedenen „Sprachen“: Die KI-Modelle wurden in zwei verschiedenen Programmiersprachen geschrieben (PyTorch und TensorFlow). Normalerweise klingen diese sehr unterschiedlich. Aber wenn der Hacker Beispiele von beiden hört, kann er lernen, das Modell unabhängig davon zu identifizieren, in welcher Sprache es geschrieben wurde.
Warum sollten wir uns darum kümmern?
Die Arbeit argumentt, dass KI-Modelle wertvolles geistiges Eigentum sind, vergleichbar mit einem geheimen Familienrezept. Unternehmen geben Millionen von Dollar aus, um sie zu trainieren.
Die Gefahr besteht darin, dass ein Hacker nicht in den Server einbrechen oder die Codedateien stehlen muss. Er kann einfach die KI ausführen, auf die „aggregierten“ Leistungsmetriken hören (die in Cloud-Umgebungen oft für Nutzer verfügbar sind) und sagen: „Aha! Du benutzt InceptionV3!“
Sobald er die Architektur kennt, kann er viel einfacher damit beginnen, den Rest des Modells zu stehlen.
Die Verteidigung: Wie man den Schall dämpft
Die Arbeit schlägt einige Wege vor, um dieses „Zuhören“ zu verhindern:
- Rauschen hinzufügen: Führen Sie unnötige, nutzlose Berechnungen aus (wie ein Koch, der vorgibt, Gemüse zu hacken, wenn er es gar nicht tut), um den Zuhörer zu verwirren.
- Timing randomisieren: Lassen Sie den Computer zwischen den Aufgaben zufällige Pausen einlegen, damit der Rhythmus unterbrochen wird.
- Die Werkzeuge verstecken: Verhindern Sie, dass reguläre Nutzer Zugriff auf die Werkzeuge haben, mit denen diese Leistungsstatistiken gemessen werden (wie
nvprof).
Zusammenfassung
InferNet ist ein kluger Trick, der beweist, dass man nicht den Code sehen muss, um zu wissen, was eine KI ist. Indem man einfach nur auf die Zusammenfassungsstatistiken hört, wie die Grafikkarte des Computers arbeitet, kann ein Hacker die „Familie“ der KI und deren spezifische „Variante“ mit unglaublicher Genauigkeit identifizieren. Es verwandelt die eigenen Leistungsdaten des Computers in ein Geheimnis, das dessen Identität preisgibt.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.