セキュアAIチップ、スマートフォンで高速・省電力コンピューティングを実現しユーザーデータを保護

エレクトロニクス&センサーズ インサイダー

新しいチップは、スマートフォンなどのエッジデバイスで機械学習ワークロードを効率的に加速しながら、サイドチャネル攻撃とバスプロービング攻撃という2つの一般的な攻撃から機密ユーザーデータを保護します。（画像: チップ図は研究者ら提供；MIT News；iStock）

健康管理アプリは、スマートフォンだけで慢性疾患の管理やフィットネス目標の追跡を支援します。しかし、これらのアプリを支える巨大な機械学習モデルがスマートフォンと中央メモリサーバー間でやり取りされるため、遅く、エネルギー効率が悪い場合があります。

エンジニアは、データの移動を減らすハードウェアを使用して高速化することがよくあります。これらの機械学習アクセラレーターは計算を合理化できますが、秘密情報を盗む攻撃者に対して脆弱です。

この脆弱性を減らすため、MITとMIT-IBM Watson AI Labの研究者たちは、最も一般的な2種類の攻撃に耐性のある機械学習アクセラレーターを作成しました。彼らのチップは、ユーザーの健康記録、金融情報、その他の機密データをプライベートに保ちながら、巨大なAIモデルをデバイス上で効率的に実行できるようにします。

チームは、デバイスをわずかに遅くするだけで強力なセキュリティを実現するいくつかの最適化を開発しました。さらに、追加されたセキュリティは計算精度に影響を与えません。この機械学習アクセラレーターは、拡張現実・仮想現実や自律走行のような要求の厳しいAIアプリケーションに特に有益である可能性があります。

チップの実装によりデバイスがわずかに高価になり、エネルギー効率が低下しますが、セキュリティのために時には払う価値のある代償だ、と筆頭著者のマイトレイ・アショク氏（MIT電気工学・コンピュータ科学（EECS）大学院生）は述べています。

「最初からセキュリティを考慮して設計することが重要です。システム設計後にわずかなセキュリティを追加しようとすると、法外に高コストになります。設計段階でこれらのトレードオフを効果的にバランスさせることができました」とアショク氏。

研究者たちは、デジタル・イン・メモリ・コンピュート（IMC）と呼ばれるタイプの機械学習アクセラレーターを標的としました。デジタルIMCチップは、中央サーバーから移動された機械学習モデルの断片が保存されているデバイスのメモリ内で計算を実行します。

モデル全体はデバイスに保存するには大きすぎますが、それを断片に分割し、それらの断片を可能な限り再利用することで、IMCチップは行き来するデータ量を削減します。

しかし、IMCチップはハッカーに対して脆弱です。サイドチャネル攻撃では、ハッカーがチップの消費電力を監視し、統計的手法を用いてチップが計算する際にデータをリバースエンジニアリングします。バスプロービング攻撃では、ハッカーがアクセラレーターとチップ外メモリ間の通信をプロービングして、モデルとデータセットのビットを盗み出します。

デジタルIMCは数百万回の演算を同時に実行することで計算を高速化しますが、この複雑さにより従来のセキュリティ対策で攻撃を防ぐのは困難だとアショク氏は述べています。

彼女と共同研究者たちは、サイドチャネル攻撃とバスプロービング攻撃をブロックするために三つのアプローチを取りました。

第一に、IMC内のデータをランダムな断片に分割するセキュリティ対策を採用しました。例えば、ビット0は論理演算後に依然として0となる3つのビットに分割されるかもしれません。IMCはすべての断片を同じ演算で計算しないため、サイドチャネル攻撃で実際の情報を再構築することはできません。

しかし、この手法を機能させるには、データを分割するためにランダムビットを追加する必要があります。デジタルIMCは数百万回の演算を同時に実行するため、これほど多くのランダムビットを生成するには計算が多すぎます。彼らのチップでは、計算を簡素化する方法を見つけ、ランダムビットを必要とせずにデータを効果的に分割できるようにしました。

第二に、チップ外メモリに保存されたモデルを暗号化する軽量暗号を使用してバスプロービング攻撃を防ぎました。この軽量暗号は単純な計算のみを必要とします。さらに、チップ上に保存されたモデルの断片を必要なときにのみ復号化しました。

第三に、セキュリティを向上させるために、モデルとともに行き来させるのではなく、チップ上で直接暗号を復号化する鍵を生成しました。製造時にチップに導入されるランダムな変動から、物理的クローン防止機能（PUF）として知られるものを使用して、この一意の鍵を生成しました。

「ある配線が別の配線より少し太いかもしれません。これらの変動から回路で0と1を得られます。すべてのチップで、これらのランダムな特性は時間とともに大きく変化しないはずなので、一貫性のあるランダムな鍵を得られます」とアショク氏は説明します。

彼らはチップ上のメモリセルを再利用し、これらのセルの不完全さを利用して鍵を生成しました。これは、ゼロから鍵を生成するよりも少ない計算で済みます。

「セキュリティがエッジデバイスの設計における重要な問題になっている今、安全な運用に焦点を当てた完全なシステムスタックを開発する必要があります。この研究は、機械学習ワークロードのセキュリティに焦点を当て、クロスカッティング最適化を使用するデジタルプロセッサを説明しています。メモリとプロセッサ間の暗号化データアクセス、ランダム化を用いたサイドチャネル攻撃防止アプローチ、変動を利用した一意コード生成を組み込んでいます。このような設計は、将来のモバイルデバイスで不可欠になるでしょう」と、MITのチーフイノベーション・戦略責任者、工学部長、ヴァンネバー・ブッシュEECS教授のアナンサ・チャンドラカサン氏は述べています。

チップをテストするため、研究者たちはハッカーの役割を果たし、サイドチャネル攻撃とバスプロービング攻撃を使って秘密情報の盗難を試みました。

数百万回の試行後でも、実際の情報を再構築したり、モデルやデータセットの断片を抽出したりすることはできませんでした。暗号も破られませんでした。対照的に、保護されていないチップからは約5,000サンプルで情報を盗むことができました。

しかし、セキュリティの追加によりアクセラレーターのエネルギー効率は低下し、より大きなチップ面積が必要となり、製造コストが高くなります。

チームは将来、チップのエネルギー消費とサイズを削減する方法を探求し、大規模実装を容易にする計画です。

「コストが高くなりすぎると、セキュリティが重要だと納得させるのが難しくなります。将来の研究ではこれらのトレードオフを探求できるでしょう。少し安全性を下げて、実装しやすく安価にすることもできるかもしれません」とアショク氏。

出典