Sicherer KI-Chip für Smartphones: Schnelles, energieeffizientes Computing mit Datenschutz

Electronics & Sensors INSIDER

Ein neuer Chip kann Machine-Learning-Workloads auf Edge-Geräten wie Smartphones effizient beschleunigen, während er sensible Nutzerdaten vor zwei gängigen Angriffsarten schützt – Side-Channel-Attacken und Bus-Probing-Attacken. (Bild: Chip-Grafik courtesy der Forscher; MIT News; iStock)

Problem: Cloud-Abhängigkeit und Sicherheitslücken

Gesundheitsüberwachungs-Apps können Menschen helfen, chronische Krankheiten zu managen oder Fitnessziele zu verfolgen – nur mit einem Smartphone. Diese Apps können jedoch langsam und energieineffizient sein, weil die riesigen Machine-Learning-Modelle, die sie antreiben, zwischen Smartphone und zentralem Speicherserver hin- und hergeschoben werden müssen.

Ingenieure beschleunigen oft mit Hardware, die die Notwendigkeit reduziert, so viele Daten hin und her zu bewegen. Während diese ML-Beschleuniger die Berechnung straffen können, sind sie anfällig für Angreifer, die geheime Informationen stehlen können.

Lösung: MIT/IBM-Chip mit dreifachem Schutz

Um diese Verwundbarkeit zu reduzieren, schufen Forscher von MIT und dem MIT-IBM Watson AI Lab einen ML-Beschleuniger, der resistent gegen die zwei häufigsten Angriffsarten ist. Ihr Chip kann Gesundheitsdaten, Finanzinformationen oder andere sensible Daten eines Nutzers privat halten, während er riesige KI-Modelle effizient auf Geräten laufen lässt.

Das Team entwickelte mehrere Optimierungen, die starke Sicherheit ermöglichen, während das Gerät nur leicht verlangsamt wird. Zudem beeinträchtigt die zusätzliche Sicherheit nicht die Genauigkeit der Berechnungen. Dieser ML-Beschleuniger könnte besonders vorteilhaft für anspruchsvolle KI-Anwendungen wie Augmented und Virtual Reality oder autonomes Fahren sein.

Die Implementierung des Chips würde ein Gerät leicht teurer und weniger energieeffizient machen, aber das ist manchmal ein lohnender Preis für Sicherheit, sagte Hauptautorin Maitreyi Ashok, Electrical Engineering and Computer Science (EECS) Graduate Student am MIT.

„Es ist wichtig, Sicherheit von Grund auf mitzudenken. Wenn man versucht, auch nur minimale Sicherheit nachträglich hinzuzufügen, ist das prohibitiv teuer. Wir konnten während der Designphase viele dieser Trade-offs effektiv balancieren“, sagte Ashok.

Drei Säulen der Sicherheit

Die Forscher zielten auf einen Typ ML-Beschleuniger namens Digital In-Memory Compute (IMC). Ein digitaler IMC-Chip führt Berechnungen im Speicher eines Geräts durch, wo Teile eines ML-Modells nach dem Verschieben von einem zentralen Server gespeichert sind.

Das gesamte Modell ist zu groß, um auf dem Gerät gespeichert zu werden, aber durch Aufteilung in Stücke und möglichst häufige Wiederverwendung reduzieren IMC-Chips die Datenmenge, die hin- und herbewegt werden muss.

Aber IMC-Chips können anfällig für Hacker sein. Bei einer Side-Channel-Attacke überwacht ein Hacker den Stromverbrauch des Chips und nutzt statistische Techniken, um Daten zurückzuentwickeln, während der Chip rechnet. Bei einer Bus-Probing-Attacke kann der Hacker Teile des Modells und Datensatzes stehlen, indem er die Kommunikation zwischen Beschleuniger und Off-Chip-Speicher abfängt.

Digital IMC beschleunigt Berechnung durch gleichzeitige Millionen Operationen, aber diese Komplexität macht es schwer, Angriffe mit traditionellen Sicherheitsmaßnahmen zu verhindern, sagte Ashok.

Sie und ihre Kollegen verfolgten einen dreigliedrigen Ansatz zur Blockierung von Side-Channel- und Bus-Probing-Attacken.

1. Datensplitting in zufällige Stücke

Erstens setzten sie eine Sicherheitsmaßnahme ein, bei der Daten im IMC in zufällige Stücke aufgeteilt werden. Beispielsweise könnte eine Null in drei Bits aufgeteilt werden, die nach einer logischen Operation immer noch Null ergeben. Der IMC rechnet nie mit allen Stücken in derselben Operation, sodass ein Side-Channel-Angriff die echten Informationen nie rekonstruieren könnte.

Aber für diese Technik müssen zufällige Bits hinzugefügt werden, um die Daten aufzuteilen. Da digitales IMC Millionen Operationen gleichzeitig ausführt, würde das Generieren so vieler zufälliger Bits zu viel Rechenleistung erfordern. Für ihren Chip fanden die Forscher einen Weg, Berechnungen zu vereinfachen, was es erleichtert, Daten effektiv aufzuteilen, während die Notwendigkeit für zufällige Bits eliminiert wird.

2. Leichtgewichtige Verschlüsselung gegen Bus-Probing

Zweitens verhinderten sie Bus-Probing-Attacken mittels eines leichten Ciphers, der das im Off-Chip-Speicher gespeicherte Modell verschlüsselt. Dieser leichte Cipher erfordert nur einfache Berechnungen. Zudem entschlüsselten sie nur die Modellstücke, die auf dem Chip gespeichert sind, wenn nötig.

3. On-Chip Key Generation via Physically Unclonable Function

Drittens, zur Verbesserung der Sicherheit, generierten sie den Schlüssel, der den Cipher entschlüsselt, direkt auf dem Chip, anstatt ihn mit dem Modell hin- und herzubewegen. Sie generierten diesen einzigartigen Schlüssel aus zufälligen Variationen im Chip, die während der Fertigung eingeführt werden, mittels einer Physically Unclonable Function (PUF).

„Vielleicht ist ein Draht ein bisschen dicker als ein anderer. Wir können diese Variationen nutzen, um Nullen und Einsen aus einem Schaltkreis zu erhalten. Für jeden Chip können wir einen zufälligen Schlüssel erhalten, der konsistent sein sollte, weil sich diese zufälligen Eigenschaften über die Zeit nicht signifikant ändern sollten“, erklärte Ashok.

Sie nutzten die Speicherzellen auf dem Chip wieder, indem sie die Unvollkommenheiten in diesen Zellen zur Schlüsselgenerierung verwendeten. Dies erfordert weniger Berechnung als die Generierung eines Schlüssels von Grund auf.

„Da Sicherheit ein kritisches Thema im Design von Edge-Geräten geworden ist, besteht Bedarf an einem kompletten System-Stack mit Fokus auf sicheren Betrieb. Diese Arbeit fokussiert auf Sicherheit für ML-Workloads und beschreibt einen digitalen Prozessor, der Cross-Cutting-Optimierung nutzt. Er integriert verschlüsselten Datenzugriff zwischen Speicher und Prozessor, Ansätze zur Verhinderung von Side-Channel-Attacken mittels Randomisierung und Ausnutzung von Variabilität zur Generierung einzigartiger Codes. Solche Designs werden in zukünftigen mobilen Geräten kritisch sein“, sagte Anantha Chandrakasan, MITs Chief Innovation and Strategy Officer, Dean der School of Engineering und Vannevar Bush Professor of EECS.

Tests: Selbst als Hacker erfolglos

Um ihren Chip zu testen, schlüpften die Forscher in die Rolle von Hackern und versuchten, geheime Informationen mittels Side-Channel- und Bus-Probing-Attacken zu stehlen.

Selbst nach Millionen Versuchen konnten sie keine echten Informationen rekonstruieren oder Stücke des Modells oder Datensatzes extrahieren. Der Cipher blieb ebenfalls unknackbar. Im Gegensatz dazu brauchte es nur etwa 5.000 Samples, um Informationen von einem ungeschützten Chip zu stehlen.

Allerdings reduzierte die Hinzufügung von Sicherheit die Energieeffizienz des Beschleunigers und erforderte eine größere Chipfläche, was die Fertigung teurer machen würde.

Das Team plant, Methoden zu erforschen, die den Energieverbrauch und die Größe ihres Chips in Zukunft reduzieren könnten, was die Implementierung im großen Maßstab erleichtern würde.

„Da es zu teuer wird, wird es schwerer, jemanden zu überzeugen, dass Sicherheit kritisch ist. Zukünftige Arbeit könnte diese Trade-offs erforschen. Vielleicht könnten wir es etwas weniger sicher, aber einfacher zu implementieren und günstiger machen“, sagte Ashok.

Quelle