Triggering Stealthy Feature Map Backdoors via Physical Fault Injection in Embedded Neural Networks
यह शोध पत्र एक नवीन क्रॉस-लेवल हमले को प्रस्तुत करता है जो सटीक भौतिक दोष इंजेक्शन (physical fault injection) को बैकडोर लर्निंग के साथ जोड़कर एम्बेडेड न्यूरल नेटवर्क में स्टील्थी, फीचर मैप-लेवल ट्रिगर्स बनाता है जो केवल हार्डवेयर दोषों के तहत सक्रिय होते हैं, जिससे पारंपरिक इनपुट-स्पेस सुरक्षा प्रणालियों को बायपास किया जा सके।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि आपके स्मार्ट डिवाइस (जैसे कि फिटनेस ट्रैकर या स्मार्ट थर्मोस्टेट) के अंदर एक छोटा, अदृश्य दिमाग है—एक न्यूरल नेटवर्क—जो उसे निर्णय लेने में मदद करता है। आमतौर पर, इस दिमाग को गलती करने के लिए धोखा देने के लिए, एक हैकर को इसमें कोई अजीब, स्पष्ट तस्वीर डालनी पड़ती है, जैसे कि एक पांडा जिसके ऊपर एक स्टिकर लगा हो जो AI को यह सोचने पर मजबूर कर दे कि वह एक जिराफ है।
लेकिन रेडबोड यूनिवर्सिटी और यूनिवर्सिटी ऑफ एम्स्टर्डम के शोधकर्ताओं का एक नया अध्ययन बताता है कि इन दिमागों को हैक करने का एक बहुत अधिक चालाकी भरा तरीका है। वे अपने इस तरीके को LATCH (लेटेंट एक्टिवेशन ट्रिगर वाया क्रॉस-लेवल फॉल्ट्स इन हार्डवेयर) कहते हैं। डिवाइस को दिखाई जाने वाली तस्वीर के साथ छेड़छाड़ करने के बजाय, वे डिवाइस के बिजली (इलेक्ट्रिसिटी) के साथ छेड़छाड़ करते हैं जब वह सोच रहा होता है।
"द घोस्ट इन द मशीन" (मशीन में भूत) वाला तरीका
सोचिए कि न्यूरल नेटवर्क एक फैक्ट्री असेंबली लाइन की तरह है। कच्चा माल (छवियां) आता है, उन्हें विभिन्न मशीनों (परतों) द्वारा प्रोसेस किया जाता है, और एक अंतिम उत्पाद (एक निर्णय) बाहर आता है।
आमतौर पर, हैकर्स असेंबली लाइन के बिल्कुल शुरुआत में ही कन्वेयर बेल्ट को जाम करने की कोशिश करते हैं, जैसे कि फैक्ट्री को एक अजीब डिब्बा थमा देना। लेकिन LATCH अलग है। शोधकर्ताओं ने पाया कि वे मशीन के काम करने के दौरान, असेंबली लाइन के ठीक बीच में एक छोटा, अदृश्य "इलेक्ट्रिक हिचकी" (फॉल्ट) भेज सकते हैं।
यहाँ जादू है:
- सेटअप: सबसे पहले, हैकर मैन्युफैक्चरिंग चरण के दौरान फैक्ट्री के ब्लूप्रिंट में एक "ट्रैप" (जाल) बिछाता है। यह जाल इस तरह बनाया गया है कि यह सामान्य डिब्बों को अनदेखा कर दे, लेकिन अगर मशीन के अंदर एक विशिष्ट, सूक्ष्म गड़बड़ी (ग्लिच) होती है, तो यह "GIRAFFE!" चिल्ला उठेगा।
- ट्रिगर: जब डिवाइस सामान्य रूप से चल रहा होता है, तो यह पूरी तरह से काम करता है। लेकिन जब हैकर एक विशेष उपकरण का उपयोग करके डिवाइस को एक सूक्ष्म इलेक्ट्रोमैग्नेटिक पल्स (बिजली की एक फ्लैश की तरह) या वोल्टेज ग्लिच (बिजली की एक छोटी सी गिरावट) के साथ ज़ैप करता है, तो वे मशीन की मेमोरी के अंदर एक विशिष्ट नंबर को एक बहुत ही विशिष्ट मान (जैसे कि 0x7F या 127) में बदलने के लिए मजबूर कर देते हैं।
- परिणाम: मशीन इस विशिष्ट ग्लिच को देखती है, इसे गुप्त संकेत समझती है, और तुरंत निर्णय लेती है कि पांडा एक जिराफ है। सबसे अच्छी बात? उपयोगकर्ता द्वारा देखी गई तस्वीर पूरी तरह से सामान्य थी। "ट्रिगर" स्क्रीन पर कभी मौजूद ही नहीं था; वह केवल चिप के दिमाग के अंदर एक पल के लिए मौजूद था।
"कैरेक्टराइज-देन-एक्सप्लॉइट" (विशेषता पहचानो-फिर फायदा उठाओ) रणनीति
शोधकर्ताओं ने केवल अंदाजे से डिवाइस को ज़ैप नहीं किया। उन्होंने एक तरीका इस्तेमाल किया जिसे वे "कैरेक्टराइज-देन-एक्सप्लॉइट" कहते हैं।
कल्पना कीजिए कि आप एक घर में घुसने की कोशिश कर रहे हैं, लेकिन आपको नहीं पता कि कौन सी खिड़की कमजोर है। हर खिड़की को तोड़ने के बजाय, आप पहले उन सभी पर थपथपाते हैं ताकि यह सुनने के लिए कि कौन सी खिड़की खोखली आवाज़ करती है (कैरेक्टराइज करना)। एक बार जब आपको पता चल जाता है कि कौन सी खिड़की हिल रही है और उसे खोलने के लिए आपको कितनी जोर से धक्का देना होगा, तो आप वापस जाकर सिर्फ उसी को धक्का देते हैं (एक्सप्लॉइट करना)।
अपने प्रयोगों में, उन्होंने डिवाइस की मेमोरी को डेटा कॉपी करते समय (एक फंक्शन जिसे memcpy कहा जाता है) या गणित करते समय (एक विशेष निर्देश जिसे SMLAD कहा जाता है) थपथपाया। उन्होंने पाया कि यदि वे डिवाइस को बिल्कुल सही नैनोसेकंड (कभी-कभी 10 नैनोसेकंड जितना छोटा या 44–70 नैनोसेकंड की रेंज के भीतर) में ज़ैप करते हैं, तो वे डेटा के एक विशिष्ट बाइट को एक विशिष्ट मान में बदलने के लिए सफलतापूर्वक मजबूर कर सकते हैं।
यह कितना प्रभावी रहा?
टीम ने दो सामान्य इमेज डेटासेट्स पर इसका परीक्षण किया: MNIST (हाथ से लिखे अंक) और CIFAR-10 (रंगीन छोटी तस्वीरें)। उन्होंने दो प्रकार के "ज़ैपर्स" (झटका देने वाले उपकरण) का उपयोग किया:
- EMFI (इलेक्ट्रोमैग्नेटिक फॉल्ट इंजेक्शन): एक प्रोब जो चिप के पास मंडराता है और एक पल्स भेजता है।
- वोल्टेज ग्लिचिंग: एक टूल जो बिजली की आपूर्ति को थोड़े समय के लिए कम कर देता है।
परिणाम चौंकाने वाले थे:
- सफलता दर: एक बार जब ग्लिच हुआ, तो बैकडोर टेस्ट छवियों पर 100% समय काम कर गया। यदि डिवाइस को सही ढंग से ज़ैप किया गया था, तो इसने हमेशा गलत निर्णय लिया।
- स्टील्थनेस (छिपने की क्षमता): डिवाइस की सामान्य सटीकता (जब ज़ैप नहीं किया जा रहा हो) पहले की तरह लगभग वैसी ही रही। उदाहरण के लिए, MNIST डेटासेट पर, सामान्य सटीकता 99.3% थी, और बिना ग्लिच के "पॉइज़न्ड" मॉडल की सटीकता भी 99.3% ही रही।
- कमी: "ज़ैपर" परफेक्ट नहीं है। यह लक्ष्य को हर बार नहीं मार पाता है।
- मेमोरी कॉपी करने के कार्य पर EMFI के साथ, वे ग्लिच पैदा करने में लगभग 34.3% बार सफल रहे।
- वोल्टेज ग्लिचिंग के साथ, यह लगभग 32.2% था।
- अधिक जटिल गणित निर्देशों (
SMLAD) के लिए, सफलता दर कम थी, लगभग 13% से 20%, जिसका अर्थ है कि हैकर को बैकडोर को ट्रिगर करने के लिए आवश्यक एक सफल ग्लिच प्राप्त करने के लिए औसतन लगभग 9 बार ज़ैप करने की आवश्यकता पड़ सकती है।
वर्तमान बचाव तंत्र क्यों विफल रहे
आप सोच सकते हैं, "क्या हम बस अजीब स्टिकर के लिए तस्वीरों को स्कैन नहीं कर सकते?" शोधकर्ताओं ने इस हमले के खिलाफ चार प्रमुख रक्षा प्रणालियों का परीक्षण किया जो बैकडोर का पता लगाने के लिए डिज़ाइन की गई हैं (न्यूरल क्लींज, स्ट्रिप, एक्टिवेशन क्लस्टरिंग, और ABS)।
- पिक्सेल बैकडोर: जब उन्होंने पारंपरिक "स्टिकर" का उपयोग किया, तो बचाव प्रणालियों ने इसे 4 में से 4 बार पकड़ लिया।
- ग्लिच बैकडोर: जब उन्होंने उनके अदृश्य इलेक्ट्रिक ग्लिच का उपयोग किया, तो बचाव प्रणालियाँ लगभग अंधी थीं।
- MNIST डेटासेट पर, बचाव प्रणालियों ने ग्लिच हमले को 4 में से केवल 1 बार पकड़ा।
- CIFAR-10 डेटासेट पर, बचाव प्रणालियों ने ग्लिच हमले को 4 में से 0 बार पकड़ा।
ऐसा क्यों हुआ? क्योंकि ये बचाव प्रणालियाँ इनपुट (तस्वीर) को देखती हैं। लेकिन इस हमले में, ट्रिगर कभी भी तस्वीर को नहीं छूता है। यह काम करते समय मशीन के दिमाग के अंदर होता है। यह एक सुरक्षा गार्ड की तरह है जो दरवाजे पर आपका आईडी चेक कर रहा है, लेकिन चोर वास्तव में एक भूत है जो केवल इमारत के अंदर दिखाई देता है।
इसका क्या अर्थ है (और क्या नहीं है)
यह पेपर साबित करता है कि एक ऐसा बैकडोर बनाना संभव है जो भौतिक दोष (फिजिकल फॉल्ट) द्वारा ट्रिगर होता है, न कि खराब इनपुट द्वारा। उन्होंने दिखाया कि यह वास्तविक हार्डवेयर (एक ARM Cortex-M4 माइक्रोकंट्रोलर, जो सस्ते, कम शक्ति वाले उपकरणों में आम है) पर किफायती उपकरणों का उपयोग करके काम करता है।
हालाँकि, पेपर सावधानीपूर्वक कुछ सीमाओं को नोट करता है:
- यह जादू नहीं है: हमलावर को यह पता होना चाहिए कि डिवाइस ग्लिच के प्रति कैसे प्रतिक्रिया देता है। वे केवल रैंडम ज़ैप करके उम्मीद नहीं कर सकते; उन्हें पहले डिवाइस को "कैरेक्टराइज" करना होगा।
- यह सिंगल-शॉट है: उन्होंने केवल एक ग्लिच के साथ बैकडोर को ट्रिगर करने का परीक्षण किया। उन्होंने कई ग्लिच की आवश्यकता वाले जटिल हमलों का परीक्षण नहीं किया।
- यह कोई हल की हुई समस्या नहीं है: हालांकि उन्होंने दिखाया कि बचाव विफल रहे, उन्होंने यह भी सुझाव दिया कि यदि हमें पता हो कि किस प्रकार के ग्लिच को देखना है, तो हम बचाव को अनुकूलित कर सकते हैं। लेकिन ऐसा करने के लिए हमें यह जानने के लिए बहुत मजबूत धारणाओं की आवश्यकता होगी कि हमलावर कैसे काम करता है, जो वास्तविक दुनिया में कठिन हो सकता है।
संक्षेप में, शोधकर्ताओं ने AI सिस्टम में एक नया, अदृश्य दरवाजा खोजा है जो डेटा में नहीं, बल्कि बिजली में रहता है। यह हमें याद दिलाता है कि AI की सुरक्षा करने के लिए, हमें केवल उन तस्वीरों को नहीं देखना चाहिए जो हम उन्हें दिखाते हैं, बल्कि हार्डवेयर और सॉफ्टवेयर दोनों को एक साथ देखना होगा।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।