Technische Samenvatting: Hardware-getriggerde Backdoors

Probleemstelling

Machine learning-modellen worden routinematig uitgerold op heterogene computerhardware, variërend van consumenten-GPU's tot high-performance versnellers. Een fundamentele aanname in dit ecosysteem is dat verschillende hardwareplatforms identieke inferentie-resultaten produceren voor hetzelfde model en dezelfde input. Echter, door de niet-associativiteit van drijvende-kommagetallen en variaties in hardwareontwerp (bijv. blokgroottes, warp-scheduling), levert het uitvoeren van hetzelfde model op verschillende apparaten kleine numerieke afwijkingen op. Hoewel deze afwijkingen doorgaans als onschadelijk en stochastisch worden beschouwd, daagt dit artikel dat standpunt uit. Wij demonstreren dat deze kleine numerieke variaties doelbewust kunnen worden geëxploiteerd om hardware-getriggerde backdoors te creëren. In tegen tegenstelling tot traditionele backdoors die vertrouwen op expliciete input-triggers (bijv. een specifiek pixelpatroon), activeren deze aanvallen kwaadaardig gedrag uitsluitend op basis van de gebruikte hardwareversneller voor de inferentie.

Methodologie

Dreigingsmodel

Er wordt vanuit gegaan dat de aanvaller controle heeft over het model voorafgaand aan de uitrol (bijv. via een supply-chain aanval of door een gemanipuleerd model naar een publiek platform te uploaden). Het slachtoffer implementeert het model op verschillende hardwareapparaten (bijv. ontwikkeling op een standaard GPU versus productie op een high-end versneller). Het doel van de aanvaller is om het model zodanig te manipuleren dat specifieke doel-inputs alleen op de doelhardware verkeerd worden geclassificeerd, terwijl correcte voorspellingen worden behouden op alle andere apparaten en voor alle andere inputs.

Aanvalsstrategie

De aanval rust op de observatie dat een getraind model niet overeenkomt met één enkele beslissingsfunctie, maar eerder met een familie van onderscheidende functies afhankelijk van de hardware waarop het wordt uitgevoerd. De aanval verloopt in twee hoofdfasen:

1. Het vormgeven van de beslissingsgrens:
   De aanvaller optimaliseert de modelparameters om de beslissingsgrens lokaal dicht bij een doel-input $\hat{x}$ te brengen. Dit wordt bereikt door een proxy-verlies $L$ te minimaliseren die de twee grootste logits bijna gelijk maakt (een gelijkspel creëert), terwijl afwijkingen van de oorspronkelijke klasse-label en de oorspronkelijke modelgewichten worden bestraft. Deze stap wordt uitgevoerd met standaard gradiëntafdaling op een enkel hardwareapparaat.
   $$\arg \min_{\theta} L(\theta, f_\theta(\hat{x}; h_1))$$
   waarbij $L$ termen bevat voor nabijheid van de beslissingsgrens ($L_{diff}$), klassebehoud ($L_{class}$) en regularisatie ($L_{reg}$).

2. Verfijnen van afwijkingen:
   Zodra de input nabij de beslissingsgrens ligt, vergroot de aanvaller de hardware-afhankelijke numerieke afwijkingen om de voorspelling op het doelapparaat te laten omslaan. Omdat deze afwijkingen niet-differentieerbaar zijn, gebruikt de aanvaller heuristische strategieën:

   • Impliciete Modificaties (Topologische Permutatie): Het herordenen van drijvende-komma-operaties zonder de wiskundige equivalentie onder exacte rekenkunde te veranderen. Dit wordt bereikt door gewichten in opeenvolgende lineaire lagen te permuteren (bijv. $W_1 W_2 \rightarrow (P_1 W_1)(P_1^{-1} W_2)$), wat de volgorde van optellingen en daarmee de accumulatie van afrondingsfouten verandert.
   • Expliciete Modificaties (Parameterperturbatie): Het omdraaien van een klein aantal bits ($k$) in de modelparameters. Dit introduceert werkelijke numerieke veranderingen die de berekening beïnvloeden, zelfs onder exacte rekenkunde.

Het proces maakt gebruik van een alternerende optimalisatieprocedure, waarbij in elke iteratie meerdere kandidaat-modellen worden gegenereerd om te zoeken naar een configuratie die de voorspelling succesvol splitst over hardware, terwijl de algehele modelutiliteit behouden blijft.

Belangrijkste Bijdragen

1. Hardware-getriggerde Backdoors: Wij introduceren een nieuw aanvalsvector waarbij kwaadaardig gedrag wordt geactiveerd door specifieke hardware in plaats van een input-trigger. Het numerieke gedrag van de hardware fungeert als een latente trigger.
2. Causale Analyse: Wij voeren een laag-voor-laag causale analyse uit met behulp van cross-hardware activatie-patching om te identificeren waar hardware-geïnduceerde verschillen ontstaan. We stellen vast dat afwijkingen kunnen voortkomen in vroege lagen (bijv. patch embeddings in ViTs) of kunnen ontstaan als een cumulatief effect over de lagen heen.
3. Empirische Evaluatie: Wij demonstreren de effectiviteit van deze backdoors over diverse modelarchitecturen (ResNet, EfficientNet, ViT), hardwareapparaten (Nvidia A100, H100, A40, RTX 6000) en numerieke formaten (float32, float16, bfloat16).

Experimentele Resultaten

• Succespercentages: De aanval bereikt succespercentages boven de 90% voor de meeste hardwareparen en modelarchitecturen. Bijvoorbeeld, in float32 behaalden ResNet en EfficientNet succespercentages van 100% op verschillende GPU-paren, terwijl ViT percentages tussen de 94% en 98% behaalde.
• Stealth (Onopvallendheid): De gedoorfoneerde modellen behouden een mediaan van 99,8% van de oorspronkelijke prestaties van het model op schone data, waardoor de manipulatie tijdens normaal gebruik ongedetecteerd blijft.
• Robuustheid: Deze backdoors zijn robuust tegen input-perturbaties (tot $10^3$ ULPs), batching-variaties en mixed-precision inferentie, hoewel ze degraderen onder significante inputruis.
• Meerdere Doelen: Hoewel effectief voor een enkel doel, neemt het succespercentage af naarmate het aantal gelijktijdige doel-inputs toeneemt, waarbij het onder de 50% zakt voor vijf doelen vanwege conflicterende optimalisatie-objectieven.
• Selectiviteit: De aanval kan worden afgestemd voor "one-vs-rest" scenario's, waarbij misclassificatie wordt getriggerd op exact één apparaat terwijl correcte voorspellingen op alle andere apparaten worden behouden.

Tegenmaatregelen

Wij hebben verschillende defensies geëvalueerd:

• Input-perturbatie: Het toevoegen van ruis aan inputs kan de aanval mitigeren, maar vereist aanzienlijke verstoring om effectief te zijn.
• Batching: Het randomiseren van batchgroottes is geen betrouwbare defensie, omdat het backdoors slechts in sommige configuraties onderdrukt.
• Mixed Precision: Het verlagen van de precisie verzwakt de aanval, maar elimineert deze niet.
• Fine-tuning: Actieve fine-tuning op schone data is de meest effectieve defensie, waarbij de succesratio van de backdoor binnen enkele gradiëntstappen tot bijna nul wordt teruggebracht.

Betekenis en Conclusie

Dit werk onthult dat de beveiliging van machine learning-systemen niet geïsoleerd kan worden van de onderliggende hardware. Zelfs ogenschijnlijk verwaarloosbare numerieke afwijkingen, die voorheen werden afgedaan als onschuldige artefacten van drijvende-kommagetallen, vormen een levensvatbaar aanvalsoppervlak. Onze bevindingen geven aan dat de integriteit van machine learning-modellen over de gehele computing stack moet worden overwogen, van de getrainde algoritmen tot de specifieke hardwareversnellers die voor inferentie worden gebruikt. Wij hopen dat dit werk praktijkbeoefenaars stimuleert om hardware-afhankelijke kwetsbaarheden te overwegen en de ontwikkeling van end-to-end beveiligingsmaatregelen voor machine learning-implementatie te motiveren.