💻 computer science

Attacking AI Accelerators by Leveraging Arithmetic Properties of Addition

该论文提出了一种利用加法运算交换律、通过重排输入以在不增加硬件或软件开销的情况下诱导晶体管应力失衡的新型硬件老化攻击，该攻击可在四年内将 AI 加速器的推理准确率降低高达 64%。

原作者： Masoud Heidary, Biresh Kumar Joardar

发布于 2026-03-31

📖 1 分钟阅读☕ 轻松阅读

原作者： Masoud Heidary, Biresh Kumar Joardar

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文讲述了一个关于**“如何悄悄让 AI 芯片‘未老先衰’"**的巧妙攻击方法。

为了让你更容易理解，我们可以把 AI 芯片想象成一个超级繁忙的“计算工厂”，而 AI 模型（比如识别图片、聊天机器人）就是在这个工厂里不断运转的**“流水线工人”**。

1. 核心问题：工厂里的“隐形磨损”

在这个工厂里，最核心的工作单元叫做**“乘法累加器”（MAC）。你可以把它想象成工厂里成千上万个“加法小车间”**。

正常情况：这些车间里的机器（晶体管）会随着时间慢慢磨损，就像汽车开久了会老化一样。这是自然规律，工程师通常会预留一点“安全余量”（比如多给点时间），确保机器在保修期内不会坏。
攻击者的目标：坏人不想让机器立刻坏掉（那样太明显了），他们想偷偷加速某些特定零件的磨损，让机器在几年后突然变得迟钝、算错数，导致 AI 变傻。

2. 攻击手段：利用“加法交换律”的诡计

这篇论文提出了一种非常聪明的攻击方法，利用了数学上一个小学生都知道的道理：加法交换律（ $A + B$ 等于 $B + A$ ）。

比喻：
想象一个加法小车间，有三个工人负责搬运货物：工人 A、工人 B 和工人 C。
- 正常接线：货物从左边进，经过 A，再经过 B，最后到 C。
- 攻击者的诡计：攻击者（比如一个不怀好意的芯片代工厂）在制造芯片时，偷偷把工人 B 和工人 C 的工位对调了一下。
- 结果：
  1. 算出来的结果没变：因为加法交换律，货物最后出来的总数还是对的。工厂老板（芯片设计师）在出厂测试时，根本发现不了问题，因为功能完全正常。
  2. 但“累”的人变了：虽然结果一样，但谁在搬重物、谁在受累完全变了。原本轻松的那个工人，现在要承担最重的负累（在芯片里，就是承受更高的电压应力）。

3. 后果：精心策划的“过劳死”

攻击者通过这种“张冠李戴”的接线方式，让芯片里特定的几个晶体管长期处于“过劳”状态。

NBTI 效应（负偏压温度不稳定性）：你可以把它想象成**“过度劳累导致的肌肉萎缩”**。那些被攻击者选中、长期处于高压状态的晶体管，会比其他零件老化得快得多。
潜伏期：刚开始的一两年，芯片还能撑住，因为工程师预留了“安全余量”。
爆发期：过了几年（论文说是 4 年），这些被“过劳”的晶体管彻底老化，速度变慢。原本 1 秒钟能算完的加法，现在需要 1.5 秒。
灾难：AI 芯片是按严格的时间表工作的。一旦算得慢了，数据就会“堵车”或“出错”。原本能识别出“猫”的图片，现在可能识别成“狗”，或者完全无法识别。

4. 为什么这个攻击很可怕？

几乎零成本：攻击者不需要增加任何新零件，也不需要写复杂的病毒代码。他们只需要在芯片设计图纸上改几根线的连接顺序（就像把 B 和 C 的工位对调）。
难以检测：因为芯片刚出厂时算得完全正确，传统的测试手段根本查不出来。它像一颗“定时炸弹”，在几年后才爆炸。
破坏力巨大：论文实验显示，这种攻击能让 AI 的识别准确率在 4 年后暴跌 64%。想象一下，自动驾驶汽车突然把行人看成路牌，或者医疗 AI 误诊，后果不堪设想。

5. 总结

这篇论文揭示了一个令人担忧的事实：即使数学逻辑是完美的，物理世界的“接线方式”也可能被恶意利用。

攻击者利用**“加法交换律”这个数学特性，在芯片内部进行了一场“偷梁换柱”的恶作剧。他们让芯片里的某些零件“过劳死”，导致 AI 在不知不觉中变笨。这提醒我们，未来的硬件安全不仅要防病毒，还要防这种“物理层面的微调”**。

一句话总结：坏人通过偷偷交换芯片内部零件的“座位”，让某些零件累死，几年后让超级 AI 变回“人工智障”。

这是一份关于论文《Attacking AI Accelerators by Leveraging Arithmetic Properties of Addition》（利用加法的算术特性攻击 AI 加速器）的详细技术总结：

1. 研究背景与问题 (Problem)

硬件老化威胁： 随着半导体工艺进入纳米级，集成电路（IC）面临严重的老化问题，特别是负偏置温度不稳定性（NBTI）。NBTI 会导致 PMOS 晶体管的阈值电压（ $V_{th}$ ）随时间增加，进而降低开关速度，增加延迟，最终导致功能失效。
AI 加速器的脆弱性： AI 模型（如 CNN、Transformer）严重依赖乘加（MAC）运算，而 MAC 单元的核心是乘法器和加法器阵列。如果底层硬件因老化而性能下降，会导致推理过程中的时序违例（Timing Violations），进而造成计算错误和模型准确率大幅下降。
现有攻击的局限性： 现有的硬件老化攻击通常依赖电压过压、热循环、恶意负载模式或硬件木马（Trojan）电路。这些方法往往需要额外的硬件开销、容易被异常检测机制发现，或者在复杂的动态负载下难以精确控制。
核心挑战： 如何设计一种隐蔽性强、无硬件开销、且能针对特定晶体管加速老化的攻击方法，使其在出厂测试中无法被发现，但在长期运行中导致 AI 系统失效。

2. 方法论 (Methodology)

该论文提出了一种基于加法交换律（Commutative Property of Addition）的新型硬件老化攻击。

核心洞察：
1. 加法交换律： 在全加器中，输入 $A+B+C$ 的结果与输入顺序无关（即 $A+B+C = A+C+B$ ）。
2. 应力分布不均： 尽管逻辑功能不变，但全加器内部不同 PMOS 晶体管在不同输入组合下的“应力”（即处于负偏置状态的时间概率， $\alpha$ ）是不同的。
3. 攻击原理： 攻击者通过**重排（Rewiring）**全加器的输入引脚（例如交换输入 B 和 C），在保持逻辑输出（和与进位）完全正确的前提下，改变哪些晶体管承受 NBTI 应力。
攻击实施步骤：
1. 目标选择： 针对 AI 加速器（如脉动阵列 Systolic Arrays）中的乘法器（Multiplier），因为乘法器由大量的全加器/半加器组成。
2. 贪心算法（Algorithm 1）： 攻击者使用深度优先搜索（DFS）遍历电路的关键路径。算法模拟不同的输入引脚排列组合，计算每种排列下 PMOS 晶体管的应力概率（ $\alpha$ ）。
3. 选择性篡改： 算法选择那些能最大化特定晶体管应力（即让某些晶体管长期处于高应力状态）的引脚排列方式，仅对关键路径上的部分全加器进行重排。
4. 隐蔽性： 由于逻辑功能未变，且仅涉及引脚重连（无新增电路），该攻击在出厂测试（Post-manufacturing testing）中极难被检测，且无面积和软件开销。
适用场景： 适用于整数和浮点乘法器（攻击主要作用于浮点数的尾数乘法部分），可应用于 CPU、GPU 及专用 AI 加速器。

3. 主要贡献 (Key Contributions)

提出新型攻击向量： 首次利用算术运算的交换律特性，通过物理层面的引脚重排来操纵晶体管的老化应力分布，无需修改逻辑功能。
零开销与高隐蔽性： 攻击仅涉及连线重排，不增加任何面积或功耗，且由于逻辑输出正确，能够绕过传统的功能测试和静态时序分析。
针对 AI 加速器的系统性评估： 详细分析了该攻击对脉动阵列中 MAC 单元的影响，并扩展到多种 AI 模型（CNN, GNN, Transformer）和不同位宽（6-bit 到 16-bit）的乘法器。
量化老化效应： 通过蒙特卡洛模拟（考虑工艺变化和随机输入），量化了攻击导致的延迟增加、错误率上升以及最终模型准确率的下降。

4. 实验结果 (Results)

实验基于 GlobalFoundries 22nm 工艺，使用 Cadence Spectre 和 OCEAN 工具进行仿真，并模拟了 4 年的老化过程。

延迟增加：
- 在 8 位阵列乘法器中，仅重排关键路径上的全加器（M-1-100%），4 年后延迟比自然老化增加了 29%。
- 在 Wallace Tree 乘法器中，同等条件下延迟增加了 48%。
- 位宽越大的乘法器（如 16 位），受攻击影响越大，延迟增长更显著。
错误率（Error Likelihood）：
- 当延迟超过制造商设定的静态时序保护带（Guard Band）时，会发生时序违例。
- 4 年后，全重排（M-All-100%）的 16 位乘法器错误率高达 35%，而 8 位版本为 16%。
- 相比之下，现有的“工作负载感知寿命木马”和“工艺可靠性木马”在同等时间内的错误率仅为 7% 和 2%。
AI 模型准确率下降：
- 攻击导致 AI 推理准确率随时间显著下降。
- Darknet (CNN): 4 年后准确率下降约 55%。
- VGG11: 16 位乘法器在完全重排下，准确率下降 62%；6 位乘法器下降更剧烈（从 82% 降至 22%）。
- Transformer (BERT): 准确率下降约 15%（受数据集复杂度影响）。
- 平均影响： 在测试的多种模型和数据集上，4 年后平均准确率下降达 38%，最高可达 64%。
对比优势： 该攻击在产生错误的能力上优于现有的硬件木马攻击，且无需额外的硬件开销。

5. 意义与影响 (Significance)

安全威胁升级： 揭示了 AI 加速器硬件设计中一个被忽视的漏洞——即使逻辑功能正确，物理连接方式的微小变化也能通过加速老化破坏系统可靠性。
供应链安全警示： 该攻击模型假设恶意代工厂（Foundry）或第三方 IP 供应商在制造阶段植入。这强调了在芯片供应链中，仅依靠功能测试不足以保障硬件安全，必须考虑物理老化层面的潜在威胁。
防御挑战： 由于攻击不改变逻辑功能且无硬件开销，传统的基于异常检测或硬件木马扫描的方法难以发现。这迫使未来的硬件设计需要引入针对老化应力分布的均衡机制，或开发能够检测物理连接微小差异的新测试方法。
广泛适用性： 该攻击不仅限于 AI 加速器，理论上可应用于任何依赖加法/乘法运算的通用处理器（CPU/GPU），对长期运行的关键基础设施（如自动驾驶、医疗设备）构成潜在风险。

总结： 这篇论文通过巧妙的数学性质利用，提出了一种极具隐蔽性和破坏力的硬件老化攻击，证明了 AI 加速器的可靠性不仅取决于算法和软件，更深深依赖于底层硬件物理实现的细节。