Faults That Fortify: CNN Adversarial Robustness via GPU Undervolting

I computer modern sono diventati straordinariamente bravi a vedere. Possono identificare un tumore in una scansione medica, riconoscere un pedone in una strada trafficata o setacciare milioni di foto per trovare un volto specifico. Questa capacità deriva da un tipo di software chiamato rete neurale, progettata per imitare il modo in cui il cervello umano elabora le informazioni. Questi sistemi imparano guardando enormi quantità di dati, regolando le proprie impostazioni interne finché non riescono a fare previsioni accurate. Tuttavia, questo processo di apprendimento è incredibilmente esigente. Richiede chip per computer potenti e voraci di energia che generano calore significativo e consumano grandi quantità di elettricità. Inoltre, questi sistemi sono fragili. Una persona può apportare una piccola modifica, quasi invisibile, a un'immagine — qualcosa che un essere umano non noterebbe mai — e il computer potrebbe improvvisamente convincersi che un segnale di stop sia un limite di velocità. Questa vulnerabilità, nota come attacco avversario, pone un serio rischio per le applicazioni critiche per la sicurezza come le auto a guida autonoma. I ricercatori cercano da tempo modi per rendere questi sistemi sia più sicuri contro tali trucchi che più efficienti nell'uso dell'energia, trattando spesso questi due obiettivi come sfide separate.

Un team di ricercatori della George Mason University e di altre istituzioni ha scoperto un modo per affrontare entrambi i problemi contemporaneamente facendo qualcosa che suona controintuitivo: hanno deliberatamente indebolito il chip del computer mentre questo imparava. Invece di far girare il processore grafico alla sua potenza standard e completa, hanno ridotto la tensione elettrica fornita. Nel mondo dell'elettronica, la tensione è la pressione che spinge l'elettricità attraverso un circuito. Quando si riduce questa pressione, i transistor all'interno del chip, che agiscono come piccoli interruttori, diventano meno affidabili. Potrebbero accendersi o spegnersi leggermente troppo presto o troppo tardi, causando piccoli errori casuali nei calcoli. Di solito, gli ingegneri fanno di tutto per prevenire questi errori, poiché possono causare il crash di un sistema o la produzione di dati spazzatura. Ma in questo studio specifico, i ricercatori hanno trattato questi glitch non come fallimenti, ma come una caratteristica.

Il team ha allestito una serie di esperimenti utilizzando tre diversi tipi di modelli di riconoscimento d'immagine, che vanno da un design semplice e classico a uno più complesso e moderno. Hanno addestrato questi modelli su due set standard di immagini: uno contenente numeri scritti a mano e un altro contenente piccole immagini colorate di oggetti quotid comuni come gatti, cani e aeroplani. Per ogni modello, hanno eseguito due versioni del processo di addestramento. Nella prima versione, il chip del computer funzionava alla sua tensione normale e stabile. Nella seconda versione, i ricercatori hanno ridotto attentamente la tensione solo quanto bastava per introdurre un flusso costante di piccoli errori di calcolo casuali, ma non così tanto da far fallire completamente l'addestramento. Hanno scoperto che il chip poteva operare a una tensione di circa 0,8 volt, scendendo da un valore standard di 1,03 volt, senza rompersi. Questa riduzione della pressione energetica ha portato a un calo significativo del consumo di energia, con i modelli più efficienti che utilizzavano quasi il 39 percento di energia in meno rispetto ai loro omologhi standard.

I risultati di questo approccio sono stati sorprendenti. Quando i ricercatori hanno testato i modelli contro attacchi sofisticati progettati per ingannarli, i modelli addestrati con la tensione più debole e "rumorosa" hanno costantemente ottenuto prestazioni migliori rispetto a quelli addestrati in condizioni normali. Gli errori casuali introdotti durante la fase di apprendimento hanno agito come una sorta di peso di addestramento invisibile. Proprio come un sollevatore di pesi che si allena con pesi leggermente irregolari potrebbe sviluppare un migliore equilibrio e forza, la rete neurale ha imparato a ignorare le piccole perturbazioni e a concentrarsi sulle caratteristiche essenziali delle immagini. Questo ha reso il modello finale molto più difficile da trarre in inganno. I ricercatori hanno testato questo aspetto fornendo ai modelli migliaia di immagini leggermente alterate, progettate per confondere il computer, e i modelli addestrati con la tensione ridotta hanno mantenuto la loro precisione molto più a lungo dei modelli standard.

Questo miglioramento è rimasto valido anche quando i modelli venivano già addestrati con tecniche di sicurezza avanzate specificamente progettate per contrastare gli attacchi. Di solito, l'aggiunta di misure di sicurezza extra rende un sistema più lento e più costoso da gestire. In questo caso, i ricercatori hanno scoperto che il semplice atto di abbassare la tensione rendeva l'addestramento alla sicurezza ancora più efficace. I modelli addestrati sotto la tensione inferiore erano non solo più robusti contro gli attacchi, ma richiedevano anche meno energia per essere creati. I ricercatori hanno osservato che gli errori causati dalla tensione ridotta erano molto specifici. Influenzavano principalmente le parti meno significative dei numeri che il computer stava calcolando, creando un rumore dolce e casuale piuttosto che un fallimento catastrofico. Questo rumore era abbastanza piccolo da permettere al computer di apprendere comunque le risposte corrette, ma abbastanza frequente da costringere il sistema a trovare un modo più stabile di pensare ai dati.

Lo studio suggerisce che esiste un punto ottimale nell'operatività dell'hardware dove un po' di instabilità può effettivamente portare a una maggiore affidabilità. Accettando una quantità controllata di errore durante la fase di addestramento, i ricercatori sono stati in grado di costruire sistemi che siano sia più resistenti che più ecologici. Questo approccio non richiede di cambiare il codice software o gli algoritmi usati per insegnare al computer; consiste semplicemente nel girare una manopola sull'hardware per abbassare la potenza. Sebbene i ricercatori abbiano notato che i benefici fossero leggermente meno pronunciati nei modelli più grandi e complessi, probabilmente perché quei modelli hanno più strati per assorbire i piccoli errori, la tendenza generale era chiara. Il lavoro apre una nuova strada per rendere l'intelligenza artificiale più resiliente e sostenibile, dimostrando che a volte, per rendere un sistema più forte, bisogna lasciarlo inciampare un po' mentre impara.