技術要約: VECODI

問題提起

低価格・低性能なエッジデバイス（例：マイクロコントローラ）へのディープニューラルネットワーク（DNN）推論のデプロイメントは、2つの相反する課題を提示している。それは、侵害されたエッジシステムに対する**モデルの機密性（confidentiality）の確保と、法外なオーバーヘッドを発生させることなく検証可能な推論（verifiable inference）**を実現することである。

既存のソリューションには、以下のような重大な制限がある：

1. TEE保護型DNNパーティショニング (TSDP): これらのアプローチは、信頼された実行環境（TEE）内に機密性の高いモデルレイヤーを保護するが、推論コードやライブラリをセキュアワールドに直接配置する必要がある。これは信頼できるコンピューティング基盤（TCB）を大幅に拡大させ、攻撃対象領域（attack surface）を増加させ、低性能デバイスの限られたメモリを圧迫する。
2. フルTEE実行: パイプライン全体をTEE内で実行することは、メモリ制約（セキュアRAMは通常数十キロバイトであるが、DNNはメガバイトを必要とする）のため、多くの場合実現不可能である。
3. 信頼できない実行 (Untrusted Execution): ノーマルワールドですべてを実行することは、マルウェアによるモデル抽出や結果の偽造に対する保護を提供しない。

さらに、現在のアプローチは、モデル抽出攻撃（攻撃者が推論クエリを通じてモデルを再構築する攻撃）に対処できていないことが多く、あるいは暗号学的証明によって過度な計算オーバーヘッドを導入するため、電力制約のあるエッジデバイスには適していない。

手法

著者らは、ARM TrustZone-Mプラットフォーム上で検証可能かつ機密性の高いDNN推論を実現するためのフレームワークであるVECODIを提案している。その中核となる革新は、SHANGRI-LAと呼ばれる新しい実行抽象化である。

SHANGRI-LA: 第3のランタイム環境

従来のTrustZone-Mアーキテクチャは、セキュアワールド（SW）とノンセキュアワールド（NSW）を厳格に分離しているが、SHANGRI-LAは、物理的にはノンセキュアワールド内に存在するものの、セキュアワールドによって強制される昇格した権限で動作する第3のランタイム環境を確立する。

• 権限モデル: SHANGRI-LAの権限は、セキュアワールドとノンセキュアワールドの中間に位置する。これは、ノンセキュアワールドからの保護を受けている（コードやデータの改ざんを防ぐ）が、セキュアワールドのコンポーネントを妨害することはない。
• メモリ管理: SHANGRI-LAのコードとデータはノンセキュアRAM内に存在する。しかし、Createフェーズにおいて、セキュアワールドはこれらの領域を一時的にセキュアとしてマークし、アクセスを防止する。実行直前に、Execute APIがこれらをアトミックにノンセキュアとして再マークすることで、コードはノーマルワールド内で動作しながらも、他のノンセキュアプロセスからの隔離を維持する。
• ハードウェアアクセス: SHANGRI-LAはハードウェアI/Oペリフェラルへの直接アクセスを保持しており、センサーデータの取得がノーマルワールドによって傍受されたり操作されたりすることを防ぐ。

VECODI プロトコル

VECODIは、モデルプロバイダー（PVD）、エッジデバイス（DEV）、モデルコンシューマー（CSM）、および検証者（VRF）の4つのステークホルダー間の相互作用をオーケストレートする。プロトコルは4つのステージで構成される：

1. プロビジョニング (I1): PVDはDNNモデルを公開コンポーネント（$M_{pub}$）とプライベートコンポーネント（$M_{pri}$）に分割する。$M_{pri}$は暗号化されている。推論コード（$F$）、$M_{pub}$、および暗号化された$M_{pri}$はノーマルワールドにインストールされる。メタデータとキーはProvision APIを介してセキュアワールドにプロビジョニングされる。
2. 認可 (I2): CSMはPVDにアクセスを要求する。PVDは、使用制限を指定した署名付き認可トークン（$T_{CSM}$）を発行する。DEVのセキュアワールドは、Authorize APIを介してSHANGRI-LAのインスタンスポリシーを更新する。
3. 推論 (I3): CSMはCreate APIを呼び出してSHANGRI-LAをインスタンス化する。その後、署名付きトークンを提供してExecuteを呼び出す。セキュアワールドはリクエストを検証し、SHANGRI-LAのメモリをノンセキュアに切り替え、$F$を実行する。$F$は生のセンサーデータを取得し、モデル$M$を用いて推論を行い、出力（$Out_F$）を生成する。
4. 検証 (I4): 要求に応じて、セキュアワールドはデバイスのアテステーションキーで署名された実行証明（PoX）（$T_{proof}$）を生成する。この証明は、入力、特定のモデルID、実行インスタンス、および出力を結合する。VRFは、生の入力データにアクセスすることなく、この証明を検証する。

主要なセキュリティメカニズム

• 機密性: $M_{pri}$はフラッシュ内で暗号化されており、実行中にのみ保護されたノンセキュアRAMに復号される。セキュアワールドは、他のノンセキュアコードがこのメモリにアクセスできないことを保証する。
• 検証可能性: PoXメカニズムは、出力が正しいコード（$F$）によって、正しいモデル（$M$）を用いて、真正なセンサー入力に基づいて生成されたことを保証する。これは、検証者に生の入力を明かすことなく行われる。
• 抽出防止: Authorize APIは厳格な使用制限を強制し、高頻度の推論クエリを利用したモデル抽出攻撃を緩和する。

主な貢献

1. SHANGRI-LA 抽象化: 推論コードをセキュアワールド内で実行することなく、ノーマルワールドからの隔離を提供する、TrustZone-M上の軽量な第3のランタイム環境の導入。これにより、コアとなるセキュアワールドのコンポーネントを変更することなく、サードパーティの開発者が信頼されたアプリケーションをデプロイすることが可能になる。
2. 安全かつ検証可能な推論: 低性能デバイス上でモデルの機密性と検証可能な推論を実現する完全なプロトコル（VECODI）。SHANGRI-LAと、推論の認可メカニズム、および入力のプライバシーを保持する実行証明スキームを組み合わせている。
3. 実用的な実装: NUCLEO-L552ZE-Q 開発ボード（ARM Cortex-M33）を用いたプロトタイプ実装により、リソース制約のあるハードウェアにおける本アプローチの実現可能性を実証している。

結果と評価

著者らは、推論コードが完全にセキュアワールドで動作するベースライン（D2設計）およびノンセキュアのベースラインと比較して、VECODIを評価した。

• TCBの削減: VECODIは、セキュアワールドのTCBを95.64%（34,865行から1,523行へ）削減した。決定的なのは、以前のアプローチではアプリケーションとともにTCBが増大していたのに対し、VECODIのTCBサイズは推論コードやモデルのアーキテクチャに依存しない点である。
• メモリフットプリント: 公開モデルコンポーネント（$M_{pub}$）をノーマルワールドに保持し、保護されたノンセキュアRAMにはプライベートコンポーネント（$M_{pri}$）のみを複製することで、VECODIは、低性能デバイスの容量を超えることが多い、全プレーンテキストモデルをセキュアRAMに格納する必要性を回避している。
• 実行時のオーバーヘッド: VECODIは、ノンセキュアのベースラインと比較して、わずか**0.83 ms (0.07%)**の実行時オーバーヘッドしか発生しない。証明生成には約230 msが加わるが、これはデバイスを認証するためにベースラインのセキュアシステムで必要とされる署名コストと同等である。
• ケーススタディ: カメラベースの画像分類シナリオにおいて、VECODIは推論あたり平均1428.42 msのレイテンシを維持し、ベースライン（1427.57 ms）と比較して無視できる程度のオーバーヘッドを示した。

意義と主張

本論文は、実行モデルを根本的に変えることにより、VECODIが低性能のエッジデバイスにおける安全なDNN推論のための実用的なソリューションであることを主張している。SHANGRI-LAを導入することで、以下のことが可能であることを著者らは示している：

1. 推論コードを信頼できるコンピューティング基盤（TCB）から分離し、それによって攻撃対象領域とTCBサイズを最小限に抑える。
2. 高性能なハードウェア機能（MMUなど）を必要とせず、また法外なパフォーマンス・ペナルティを課すことなく、検証可能な推論とモデルの機密性を実現する。
3. 既存のTEE保護型DNNパーティショニング戦略を修正なしでサポートし、現在のエッジセキュリティアーキテクチャに対するドロップインの改善を提供する。

著者らは、SHANGRI-LAがDNN推論を超えて独立した関心事であると断言している。なぜなら、それはコアとなるセキュアワールドを変更することなく、任意の信頼されたアプリケーションをTrustZone-Mデバイス上にデプロイすることを可能にし、現在の低性能なセキュリティ抽象化におけるギャップに対処しているからである。