🤖 AI

DeepNcode: Encoding-Based Protection against Bit-Flip Attacks on Neural Networks

该论文介绍了 DeepNcode，一种基于编码的保护方法，它通过在无需重新训练模型、改变准确率或产生显著时间开销的情况下，将保护裕量提升高达 12.4 倍，从而显著增强了神经网络抵御比特翻转攻击的能力。

原作者： Patrik Velčický, Jakub Breier, Mladen Kovačević, Xiaolu Hou

发布于 2026-08-04

📖 1 分钟阅读☕ 轻松阅读

原作者： Patrik Velčický, Jakub Breier, Mladen Kovačević, Xiaolu Hou

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一个这样的世界：房间里最聪明的计算机是放在你桌上或汽车里的微型电池驱动设备。这些设备运行着“神经网络”，它们本质上是数字大脑，通过计算数字来学习识别猫、驾驶汽车或诊断疾病。为了让这些大脑足够快且足够小，以便装进你的口袋，工程师们缩小了它们的内存，将庞大、精确的数字转化为微小、粗略的近似值，这些被称为“量化”的值。这就像是将一张高清照片压缩成一个微小的表情符号；它看起来仍然像那张照片，但占用的空间要少得多。

然而，这些微型数字大脑存在一个隐蔽的问题。因为它们生活在现实世界中，它们可能会受到物理上的戳弄和干扰。一个聪明的攻击者可以使用一种叫做“比特翻转”的技术，将内存中的单个 0 变成 1（或反之亦然）。这就像是一个淘气的幽灵溜进图书馆，修改了书名中的仅仅一个字母。在普通计算机中，修改一个字母可能只是让单词看起来有点奇怪。但在神经网络中，翻转权重（一个告诉大脑某个特征有多重要的数字）中的单个比特，可能会误导整个系统，让它把停止标志误认为限速标志，或者把狗的照片误认为烤面包机。如果你的汽车或医疗设备正在运行这些网络，这将会是一个重大的安全问题。

这就是论文《DeepNcode》介入并提供巧妙防御的地方。研究人员意识到，目前这些微型大脑存储数字的方式就像是一座前门太容易被撬开的房子。他们决定构建一种全新的“数字锁”，使用被称为“二进制码”的东西。他们不再直接存储像“5”这样的数字，而是将其转化为一段特殊的、更长的由 0 和 1 组成的字符串，看起来就像一段秘密代码。这段代码的神奇之处在于，想要改变数字的含义，攻击者不能只翻转一个比特，而是必须同时翻转许多个比特。这就像是试图通过只改变一个字母来改变一种秘密语言中的单词；结果只会变成乱码，而不是另一个单词。

团队针对最著名的黑客攻击方法测试了这个名为 DeepNcode 的想法。他们发现，对于使用 4 位（4-bit）数字的网络，攻击者需要付出大约 7.6 倍的努力才能成功。对于 8 位（8-bit）网络，在最佳情况下，难度增加了高达 12.4 倍。这就像黑客从尝试用回形针撬开一个简单的锁，变成了必须用勺子拆解一扇银行金库的大门。最棒的是，这种保护并不需要重新训练人工智能，也不会显著降低其速度。它只是增加了少量的额外内存空间（根据设置，增加约 50% 到 125% 的空间）来存储这些秘密代码。该论文表明，通过使用这些数学编码，我们可以让物理攻击者破解神经网络变得极其困难，以至于他们可能直接放弃并走开，从而保护我们的智能设备免受数字幽灵的侵害。

技术摘要：DeepNcode

问题陈述

部署在嵌入式设备（如 IoT 家电）上的深度学习模型面临着来自故障注入攻击（fault injection attacks）的显著安全威胁。具体而言，位翻转攻击（例如利用 DRAM 中的 Rowhammer 漏洞）允许攻击者翻转存储量化神经网络参数的内存中的比特位。这些攻击可以诱发分类错误、模型提取或植入木马及后门。

这些攻击所利用的核心漏洞在于量化权重所使用的标准补码（two's complement）整数表示法。在这种表示法中，改变一个权重值通常只需要翻转单个比特位（例如，在 4 位量化中，将 7 变为 6 仅需翻转最低有效位）。攻击者利用这一特性，通过最小化所需的注入故障数量，来降低模型准确率或实现特定的恶意目标。现有的防御措施通常存在高开销问题，或者需要重新训练模型，亦或是依赖于“攻击者无法篡改存储在易失性内存中的校验和”这一假设。

方法论：DeepNcode

作者提出了 DeepNcode，一种基于编码的保护方法，它使用二进制码（binary code）系统取代了量化权重的标准补码表示法。这种方法增加了有效码字之间的汉明距离（Hamming distance），从而迫使攻击者必须翻转显著更多的比特位，才能将一个有效的权重值从一个状态改变到另一个状态。

核心机制

码字选择： 该方法利用了以其纠错特性著称的汉明码（Hamming codes）和扩展汉明码（Extended Hamming codes）。
- 对于 4 位量化（16 个可能的值），作者选择了长度 $n \le 9$ 且最小距离 $d \ge 3$ 的码。具体的码包括 $C(7,3)$ 、 $C(8,4)$ 和 $C(9,4)$ 。
- 对于 8 位量化（256 个可能的值），使用了长度 $n \le 14$ 且 $d \ge 3$ 的码，包括 $C(12,3)$ 、 $C(13,4)$ 和 $C(14,4)$ 。
编码策略： 为了最大化安全性，编码过程将最容易被单比特翻转攻击的目标整数（特别是那些在最高有效位，即 MSB 处存在差异的数值）映射到具有最大汉明距离的码字。
- 该编码是线性的。作者将具有最大汉明权重的码字分配给对应于 MSB（ $e(1)$ ）的基向量。
- 因此，改变一个仅在 MSB 处有差异的整数值，需要翻转的比特数等于所分配码字的汉明权重（例如，从 1 位变为 7 或 8 位），而非仅仅 1 位。
实现：
- 部署前： 权重在存储到内存之前进行一次性编码。
- 运行时： 模型按需解码权重（例如，在推理步骤之前）。解码程序存储在非易失性程序存储器（Flash）中，使其能够抵抗针对数据内存的同类 Rowhammer 攻击。

核心贡献

新颖的防御手段： DeepNcode 是首个利用二进制编码理论专门针对量化神经网络、旨在增加攻击者在比特翻转方面的投入成本的工作，并基于编码参数提供了形式化证明的安全保证。
无需重新训练： 与其他鲁棒训练方法（如 RA-BNN）不同，DeepNcode 不需要重新训练模型，也不会改变网络的原始准确率。
通用适用性： 该方法适用于任何 4 位或 8 位量化网络，无论其架构或参数量如何。
可证明的安全性： 该保护措施提供了增加所需比特翻转次数的保证。即使发现了新的、更高效的攻击方式，所选编码的基本属性也能确保攻击复杂度仍比针对未受保护的模型时高出数倍。

实验结果

作者针对公开模型（ResNet-20, ResNet-18, VGG-11）和数据集（CIFAR-10, CIFAR-100），评估了 DeepNcode 对抗最先进位翻转攻击（BFA, T-BFA, 和 TA-LBF）的表现。

安全裕度：
- 对于 4 位量化网络，成功实施攻击所需的比特翻转次数增加了 6.6 倍至 7.6 倍。
- 对于 8 位量化网络，增加幅度在 11.3 倍至 12.4 倍之间。
- 具体而言，以往仅需单比特翻转即可实现的攻击（在补码中很常见），现在对于 MSB 的改变需要 7 或 8 次比特翻转，而对于其他改变则需要 4–5 次比特翻转。
开销：
- 内存： 内存开销从原始网络大小的 50%（对于使用 $C(12,3)$ 的 8 位量化）到 125%（对于使用 $C(9,4)$ 的 4 位量化）不等。
- 时间： 时间开销微乎其微。根据模型的不同，解码耗时约为 0.0003s 至 0.03s。作者认为，由于一次成功的 Rowhammer 攻击需要显著更长的时间（例如，对于 4 位模型超过 11 秒），因此可以定期执行解码（例如每 1000 次推理一次）而不影响性能。
攻击成功率： 该方法通过大幅增加故障注入成本，有效地阻止了隐蔽攻击（T-BFA 1-to-1 stealthy），通常使得此类攻击在实际时间范围内变得不可行。

意义与主张

论文声称 DeepNcode 在安全性与效率之间提供了极佳的权衡。通过利用汉明码的数学特性，它将“低垂的果实”（即单比特翻转）转化为需要多次同时故障的高复杂度任务。

作者强调，这种方法提供的是基于编码理论的可证明安全保证，而非启发式防御。他们将 DeepNcode 定位为嵌入式和 IoT 环境中的实用解决方案，因为这些环境中的模型极易受到物理故障注入的影响。他们指出，该方法可以与检测机制（定期运行解码程序）相结合，以实现 100% 的检测率，从而在攻击成功前将其拦截。研究结论认为，尽管存在内存成本，但其微不足道的时间开销和显著提升的攻击复杂度，使其成为应对现代位翻转威胁的切实可行的防御手段。