Faults That Fortify: CNN Adversarial Robustness via GPU Undervolting

Les ordinateurs modernes sont devenus remarquablement doués pour voir. Ils peuvent identifier une tumeur dans un scanner médical, reconnaître un piéton dans une rue animée ou passer au crible des millions de photos pour trouver un visage spécifique. Cette capacité provient d'un type de logiciel appelé réseau de neurones, qui est conçu pour imiter la façon dont le cerveau humain traite l'information. Ces systèmes apprennent en examinant de vastes quantités de données, ajustant leurs paramètres internes jusqu'à ce qu'ils puissent faire des prédictions préculières. Cependant, ce processus d'apprentissage est incroyablement exigeant. Il nécessite des puces informatiques puissantes et gourmandes en énergie qui génèrent une chaleur importante et consomment de grandes quantités d'électricité. De plus, ces systèmes sont fragiles. Une personne peut apporter un changement minuscule, presque invisible, à une image — quelque chose qu'un humain ne remarquerait jamais — et l'ordinateur pourrait soudainement être convaincu qu'un panneau stop est un panneau de limitation de vitesse. Cette vulnérabilité, connue sous le nom d'attaque adversaire, pose un risque sérieux pour les applications critiques pour la sécurité comme les voitures autonomes. Les chercheurs cherchent depuis longtemps des moyens de rendre ces systèmes à la fois plus sûrs contre de tels tours et plus efficaces dans leur consommation d'énergie, traitant souvent ces deux objectifs comme des défis distincts.

Une équipe de chercheurs de l'Université George Mason et d'autres institutions a découvert un moyen de s'attaquer à ces deux problèmes à la fois en faisant quelque chose qui semble contre-intuitif : ils ont délibérément affaibli la puce informatique pendant qu'elle apprenait. Au lieu de faire fonctionner le processeur graphique à sa puissance standard complète, ils ont abaissé la tension électrique qui lui est fournie. Dans le monde de l'électronique, la tension est la pression qui pousse l'électricité à travers un circuit. Lorsque vous réduisez cette pression, les transistors à l'intérieur de la puce, qui agissent comme de minuscules interrupteurs, deviennent moins fiables. Ils peuvent s'activer ou se désactiver légèrement trop tôt ou trop tard, provoquant de petites erreurs de calcul aléatoires. Habituellement, les ingénieurs déploient d'importants efforts pour prévenir ces erreurs, car elles peuvent provoquer le plantage d'un système ou produire des données erronées. Mais dans cette étude spécifique, les chercheurs ont traité ces dysfonctionnements non pas comme des échecs, mais comme une caractéristique.

L'équipe a mis en place une série d'expériences utilisant trois types différents de modèles de reconnaissance d'images, allant d'une conception classique simple à une plus complexe et moderne. Ils ont entraîné ces modèles sur deux ensembles standards d'images : l'un contenant des chiffres écrits à la main et un autre contenant de petites images colorées d'objets du quotidien comme des chats, des chiens et des avions. Pour chaque modèle, ils ont exécuté deux versions du processus d'apprentissage. Dans la première version, la puce informatique fonctionnait à sa tension normale et stable. Dans la seconde version, les chercheurs ont soigneusement réduit la tension juste assez pour introduire un flux constant de petites erreurs de calcul aléatoires, mais pas tant que l'entraînement échouerait complètement. Ils ont constaté que la puce pouvait fonctionner à une tension d'environ 0,8 volt, contre les 1,03 volts standards, sans se briser. Cette réduction de la pression électrique a conduit à une baisse significative de la consommation d'énergie, les modèles les plus efficaces utilisant près de 39 % d'énergie en moins que leurs homologues standards.

Les résultats de cette approche ont été surprenants. Lorsque les chercheurs ont testé les modèles contre des attaques sophistiquées conçues pour les tromper, les modèles entraînés avec la tension plus faible et « bruitée » ont systématiquement mieux performé que ceux entraînés dans des conditions normales. Les erreurs aléatoires introduites pendant la phase d'apprentissage ont agi comme une forme de poids d'entraînement invisible. Tout comme un haltérophile qui s'entraîne avec des poids légèrement inégaux pourrait développer un meilleur équilibre et une meilleure force, le réseau de neurones a appris à ignorer les petites perturbations et à se concentrer sur les caractères essentiels des images. Cela a rendu le modèle final beaucoup plus difficile à tromper. Les chercheurs ont testé cela en soumettant les modèles à des milliers d'images légèrement altérées, conçues pour confondre l'ordinateur, et les modèles entraînés avec la tension réduite ont maintenu leur précision bien plus longtemps que les modèles standards.

Cette amélioration s'est avérée vraie même lorsque les modèles étaient déjà en cours d'entraînement avec des techniques de sécurité avancées spécifiquement conçues pour contrer les attaques. Habituellement, l'ajout de mesures de sécurité supplémentaires rend un système plus lent et plus coûteux à exploiter. Ici, les chercheurs ont découvert que le simple fait d'abaisser la tension rendait l'entraînement de sécurité encore plus efficace. Les modèles entraînés sous la tension plus faible étaient non seulement plus robustes face aux attaques, mais nécessitaient également moins d'énergie pour être créés. Les chercheurs ont observé que les erreurs causées par la tension réduite étaient très spécifiques. Elles affectaient principalement les parties les moins significatives des nombres que l'ordinateur calculait, créant un bruit aléatoire et doux plutôt qu'une défaillance catastrophique. Ce bruit était assez faible pour que l'ordinateur puisse toujours apprendre les bonnes réponses, mais assez fréquent pour forcer le système à trouver une manière plus stable de penser les données.

L'étude suggère qu'il existe un point d'équilibre dans le fonctionnement du matériel où un peu d'instabilité peut en réalité conduire à une plus grande fiabilité. En acceptant une quantité contrôlée d'erreur pendant la phase d'apprentissage, les chercheurs ont pu construire des systèmes qui sont à la fois plus solides et plus écologiques. Cette approche ne nécessite pas de modifier le code logiciel ou les algorithmes utilisés pour enseigner à l'ordinateur ; il suffit de tourner un cadran sur le matériel pour abaisser la puissance. Bien que les chercheurs aient noté que les bénéfices étaient légèrement moins prononcés dans les modèles les plus grands et les plus complexes, probablement parce que ces modèles possèdent plus de couches pour absorber les petites erreurs, la tendance générale était claire. Ce travail ouvre une nouvelle voie pour rendre l'intelligence artificielle plus résiliente et durable, montrant que parfois, pour rendre un système plus fort, il faut le laisser trébucher un peu pendant qu'il apprend.