Attacking AI Accelerators by Leveraging Arithmetic Properties of Addition
यह शोध पत्र AI एक्सीलरेटरों पर एक नवीन हार्डवेयर एजिंग हमले को प्रस्तुत करता है जो योग (addition) के क्रमविनिमेय गुण (commutative property) का लाभ उठाकर एडर इनपुट्स को क्रमबद्ध (permute) करता है, जिससे बिना किसी क्षेत्र या सॉफ्टवेयर ओवरहेड के असंतुलित ट्रांजिस्टर स्ट्रेस उत्पन्न होता है और सर्किट क्षरण को तेज करता है, जिसके परिणामस्वरूप अंततः चार वर्षों के भीतर अनुमान सटीकता (inference accuracy) में 64% तक की गिरावट आती है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
मुख्य विचार: AI चिप्स के लिए एक "साइलेंट सबोटर" (मौन तोड़-फोड़ करने वाला)
कल्पना कीजिए कि आपके पास एक सुपर-फास्ट रोबोट शेफ (एक AI एक्सेलेरेटर) है जो सेकंडों में लाखों भोजन (डेटा प्रोसेस) बना सकता है। यह रोबोट एक विशिष्ट उपकरण पर निर्भर करता है: एक मल्टीप्लायर (गुणा करने वाला)। मल्टीप्लायर को एक हाई-स्पीड ब्लेंडर की तरह समझें जो अंतिम व्यंजन बनाने के लिए सामग्रियों को आपस में मिलाता है।
शोधकर्ताओं ने इस ब्लेंडर को नुकसान पहुँचाने का एक तरीका खोज निकाला है। उन्होंने इसे तोड़ा नहीं, और न ही इसके गियर जाम किए। इसके बजाय, उन्होंने ब्लेंडर में जाने वाली सामग्रियों के क्रम को बदल दिया।
कम्यूटेटिविटी (commutativity) नामक एक बुनियादी गणितीय नियम के कारण (जिसका अर्थ है कि , के समान है), रोबốt अभी भी बिल्कुल वही भोजन तैयार करता है। ग्राहक (सॉफ्टवेयर) को तुरंत पता नहीं चलता कि कुछ गलत हुआ है।
हालाँकि, यह मामूली बदलाव ब्लेंडर के मोटर के विशिष्ट, कमजोर हिस्सों पर अतिरिक्त दबाव डालता है। समय के साथ, वे विशिष्ट हिस्से उम्मीद से कहीं अधिक तेजी से घिस जाते हैं। अंततः, ब्लेंडर लड़खड़ाने लगता है, सामग्री को मिलाना गलत कर देता है, और खराब भोजन परोसने लगता है। रोबोट शेफ धीरे-धीरे अपना मानसिक संतुलन खो देता है, बड़ी गलतियाँ करता है, जबकि वह देखने में बिल्कुल ठीक काम करता हुआ प्रतीत होता है।
समस्या: AI चिप्स क्यों बूढ़े होते हैं?
इंसानों की तरह, कंप्यूटर चिप्स भी "बूढ़े" होते हैं। समय के साथ, गर्मी और बिजली के कारण उनके अंदर के सूक्ष्म ट्रांजिस्टर खराब होने लगते हैं। इसे एजिंग (Aging) कहा जाता है।
- सामान्य एजिंग: जैसे एक कार का इंजन 10 वर्षों में धीरे-धीरे शक्ति खो देता है। इंजीनियर जानते हैं कि ऐसा होता है और वे कार को कुछ समय तक सुरक्षित रूप से चलाने के लिए एक "सुरक्षा बफर" (गार्ड बैंड) बनाते हैं।
- हमला: शोधकर्ताओं ने एक ऐसा तरीका खोजा जिससे इंजन 10 साल के बजाय केवल 4 साल में ही घिस जाए, जिससे सुरक्षा बफर भी बेअसर हो जाए।
विधि: "इनपुट स्वैप" (Input Swap) का तरीका
यह हमला एडर्स (Adders) (चिप के वे हिस्से जो गणित करते हैं) को निशाना बनाता है।
- सेटअप: एक चिप के अंदर, एक एडर तीन इनपुट लेता है (मान लीजिए A, B, और C) और उन्हें जोड़ देता है।
- ट्रिक: हमलावर इनपुट B और C के तारों (wires) को आपस में बदल देता है।
- परिणाम: गणितीय रूप से, उत्तर समान रहता है। वही है जो है। चिप सभी मानक परीक्षणों को पास कर लेती है क्योंकि आउटपुट सही है।
- छिपा हुआ नुकसान: चिप के अंदर, इनपुट B को संभालने वाले ट्रांजिस्टर, इनपुट C को संभालने वाले ट्रांजिस्टरों से अलग होते हैं। उन्हें बदलकर, हमलावर "कमजोर" ट्रांजिस्टरों को अधिक मेहनत करने और अधिक समय तक काम करने के लिए मजबूर करता है। यह एक धावक को चिकने ट्रैक के बजाय ऊबड़-खाबड़, पथरीले रास्ते पर दौड़ने के लिए मजबूर करने जैसा है। वे (तेजी से) थक जाते हैं (एजिंग)।
निष्पादन: हमला कैसे होता है
पेपर सुझाव देता है कि एक दुर्भावनापूर्ण फैक्ट्री वर्कर या कोई संदिग्ध थर्ड-पार्टी वेंडर निर्माण प्रक्रिया के दौरान ऐसा कर सकता है।
- स्टील्थ (छिपकर वार): उन्हें अतिरिक्त पुर्जों को जोड़ने या कोड बदलने की आवश्यकता नहीं है। वे बस दो तारों को बदल देते हैं। यह एक मैकेनिक द्वारा कार के बाएं और दाएं टायर बदलने जैसा है। कार सीधी चलती है, लेकिन टायर असमान रूप से घिसते हैं।
- टारगेटिंग (लक्ष्य बनाना): शोधकर्ताओं ने चिप के सबसे "कमजोर रास्तों" को खोजने के लिए एक स्मार्ट एल्गोरिदम (एक डिजिटल मानचित्र) लिखा। वे अधिकतम नुकसान पहुँचाने के लिए केवल सबसे महत्वपूर्ण क्षेत्रों में ही तारों को बदलते हैं, जबकि खुद को छिपाए रखते हैं।
परिणाम: जब रोबोट शेफ टूट जाता है
शोधकर्ताओं ने विभिन्न AI मॉडलों (जैसे कि जो सेल्फ-ड्राइविंग कारों, मेडिकल डायग्नोसिस या चैटबॉट्स में उपयोग किए जाते हैं) पर इसका परीक्षण किया।
- टाइमलाइन: पहले एक या दो साल तक, सब कुछ सामान्य दिखता है। सुरक्षा बफर नुकसान को छिपा देता है।
- क्रैश: लगभग 4 साल के निशान पर, नुकसान बहुत अधिक हो जाता है। चिप गणना संबंधी त्रुटियां करने लगती है।
- प्रभाव:
- सेल्फ-ड्राइविंग कारें स्टॉप साइन को स्पीड लिमिट साइन समझ सकती हैं।
- मेडिकल AI एक्स-रे में ट्यूमर को पहचानने में चूक कर सकता है।
- चैटबॉट्स बेतुकी बातें (hallucinations) करना शुरू कर सकते हैं।
उनके प्रयोगों में, इन AI मॉडलों की सटीकता 64% तक गिर गई। इसका मतलब है कि एक सिस्टम जो 90% विश्वसनीय था, वह 30% से भी कम विश्वसनीय रह गया, जिससे वह महत्वपूर्ण कार्यों के लिए बेकार हो गया।
यह डरावना क्यों है?
- यह अदृश्य है: आप इसे माइक्रोस्कोप से आसानी से नहीं देख सकते, और मानक सॉफ्टवेयर टेस्ट इसे नहीं पकड़ पाएंगे क्योंकि अल्पकाल में गणित अभी भी "सही" है।
- कोई लागत नहीं: हमलावर को इसके लिए अतिरिक्त कुछ भी खर्च नहीं करना पड़ता। कोई नया चिप नहीं, कोई अतिरिक्त शक्ति नहीं, बस एक तार का बदलाव।
- ठीक करना कठिन है: एक बार ट्रांजिस्टर घिस जाने के बाद, आप उन्हें सॉफ्टवेयर अपडेट से ठीक नहीं कर सकते। आपको पूरा चिप फेंकना होगा।
सारांश
यह पेपर AI हार्डवेयर पर हमले के एक भयानक नए तरीके को उजागर करता है। एक सरल गणितीय नियम का फायदा उठाकर, एक हमलावर गुप्त रूप से चिप की आंतरिक वायरिंग को बदल सकता है ताकि वह तेजी से बूढ़ा हो जाए। चिप शुरू में पूरी तरह से काम करती है, लेकिन धीरे-धीरे खराब होती जाती है जब तक कि AI सिस्टम पूरी तरह विफल न हो जाए, जबकि वह एक सामान्य, पुरानी होती डिवाइस की तरह ही दिखती रहती है। यह आधुनिक तकनीक के मस्तिष्क के लिए एक "धीमे जहर" की तरह है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।