TT-SEAL: TTD-Aware Selective Encryption for Adversarially-Robust and Low-Latency Edge AI

Probleemstelling

Cloud-edge AI-systemen moeten voldoen aan strikte beperkingen op het gebied van opslag, rekenkracht en energie, terwijl ze tegelijkertijd veilig moeten zijn.

• Compressie vs. Beveiliging: Tensor-Train Decomposition (TTD) wordt veel gebruikt om neurale netwerken te comprimeren voor edge-apparaten door hoge-dimensionale gewichtstensors op te splitsen in een reeks lage-dimensionale "kernen" (cores). Dit vermindert de parametergrootte aanzienlijk. Echter, de huidige beveiligingsmethoden, zoals selectieve encryptie, zijn voornamelijk ontworpen voor dichte (dense) gewichtsrepresentaties.
• Het Tekort aan Bestaande Methoden: In dichte netwerken is er veel redundantie; het versleutelen van een deel van de gewichten (bijv. 50%) kan al voldoende bescherming bieden. Bij TTD is deze redundantie echter verwijderd en is de informatie geconcentreerd in minder parameters. Het toepassen van bestaande selectieve encryptiemethoden op TTD-modellen is inefficiënt: zelfs het onversleuteld laten van een klein percentage parameters kan kritieke structurele informatie onthullen, waardoor het model kwetsbaar blijft voor adversariële aanvallen (zoals transfer-based attacks via een vervangend model).
• De Uitdaging: Volledige encryptie van alle parameters biedt wel beveiliging, maar introduceert een te hoge latentie en energiekost voor edge-apparaten vanwege de noodzaak tot decryptie bij elke inferentie. Er is een methode nodig die specifiek is ontworpen voor de TTD-structuur om beveiliging te bieden met minimale encryptie-overhead.

Methodologie: TT-SEAL

De auteurs stellen TT-SEAL (TTD-Aware Selective Encryption for Adversarially-Robust and Low-Latency) voor, het eerste framework dat selectieve encryptie specifiek aanpast aan TTD-compressie. De methode bestaat uit drie kerncomponenten:

1. Kerngevoeligheidsmetriek ($I_{acc}$):

   • In plaats van willekeurige selectie of selectie op basis van grootte, evalueert TT-SEAL het belang van elke TT-core op basis van zijn impact op de modeluitvoer en de verliesfunctie.
   • De metriek $I_{acc}$ combineert de Frobenius-norm van de gradiënten van het verlies ($L$) en de modeluitvoer ($y$) ten opzichte van elke core.
   • Een hogere $I_{acc}$ betekent dat het versleutelen van die specifieke core de nauwkeurigheid van een aanvaller (die een vervangend model traint) significant zal verminderen.

2. Data-gedreven Drempelkalibratie ($I_{acc\_th}$):

   • Er wordt een eenmalige kalibratie uitgevoerd om een drempelwaarde te bepalen die overeenkomt met een gewenste robuustheid (bijv. binnen een bepaald bereik van de volledige black-box beveiliging).
   • Door cores op te sorteren op basis van $I_{acc}$ en cumulatief te aggregeren, wordt het minimale aantal kernen geïdentificeerd dat versleuteld moet worden om de robuustheid van het volledig versleutelde model te benaderen.

3. Minimalisatie van Encryptiekosten (Optimalisatie):

   • Omdat TT-kernen verschillende grootte hebben, is het doel om het totaal aantal versleutelde parameters te minimaliseren terwijl de robuustheidswaarde wordt gehaald.
   • Dit wordt geformuleerd als een 0-1 rugzakprobleem (knapsack problem), waarbij de "kosten" de grootte van de kern is en de "waarde" de $I_{acc}$-score.
   • Een Value-DP (Dynamic Programming) algoritme wordt gebruikt om de optimale subset van kernen te selecteren die de drempel bereikt met de laagste encryptiekost.

Belangrijkste Bijdragen

• TTD-specifiek Framework: TT-SEAL is de eerste selectieve encryptiemethode die expliciet is ontworpen voor TTD-compressie, in plaats van het toepassen van methoden voor dichte netwerken.
• Geavanceerde Selectie: De combinatie van een gevoeligheidsgebaseerde metriek, drempelkalibratie en een optimalisatie-algoritme zorgt ervoor dat slechts een fractie van de parameters wordt versleuteld zonder in te leveren op beveiliging.
• Hardware-validatie: Het framework is geïmplementeerd en gevalideerd op een FPGA-geprototyped edge AI-processor (RISC-V gebaseerd), wat de praktische haalbaarheid in real-world edge-scenario's bewijst.

Resultaten

De evaluatie vond plaats op modellen zoals ResNet-18, MobileNetV2 en VGG-16, getraind op CIFAR-10, onder een threat model dat transfer-based adversarial attacks (zoals JBDA en I-FGSM) omvatte.

• Robuustheid: TT-SEAL bereikt een robuustheid die vergelijkbaar is met volledige encryptie (black-box scenario). Zelfs bij grote perturbaties ($\epsilon = 16/255$) wordt de transfer van adversariële voorbeelden naar het originele model effectief geblokkeerd.
• Efficiëntie (Encryptiepercentage):
  • ResNet-18: Slechts 4,89% van de parameters hoeft versleuteld te worden.
  • VGG-16: 6,46%.
  • MobileNetV2: 15,92% (hoger vanwege de verspreide structuur van de kernen, maar nog steeds aanzienlijk lager dan volledige encryptie).
• Latentie en Doorvoer:
  • Het aandeel van AES-decryptie in de totale end-to-end inferentielatentie daalt drastisch. Voor ResNet-18 daalt dit van 58% naar 2,76%.
  • Voor MobileNetV2 daalt het van 41,8% naar 6,15%, en voor VGG-16 van 39% naar 2,42%.
  • Dit maakt veilige, real-time inferentie op edge-apparaten mogelijk.

Betekenis en Impact

Dit paper toont aan dat compressie en beveiliging niet in conflict hoeven te zijn, maar juist samen kunnen werken.

• Paradigmaverschuiving: Het bewijst dat voor gecomprimeerde modellen (TTD) de traditionele aanpak van "encrypteer 50% van de gewichten" ontoereikend is en dat een structuur-bewuste aanpak noodzakelijk is.
• Praktische Toepasbaarheid: Door de decryptie-overhead te reduceren tot enkele procenten, opent TT-SEAL de deur voor het veilig deployen van geavanceerde AI-modellen op energie-arme edge-apparaten, zonder dat de vertraging door encryptie de prestaties belemmert.
• Veiligheid: Het biedt een sterke verdediging tegen IP-diefstal en adversariële aanvallen, zelfs wanneer de modelstructuur bekend is bij de aanvaller, zolang de kritieke kernen versleuteld blijven.

Kortom, TT-SEAL biedt een elegante oplossing voor het veiligstellen van TTD-gedrukte AI-modellen op de edge, waarbij de balans tussen beveiliging en snelheid optimaal wordt benut.