針對嵌入式神經網路模型的錯誤注入與安全錯誤攻擊

Centrala begrepp

透過安全錯誤攻擊和針對性輸入，攻擊者可以從嵌入式神經網路模型中提取出模型參數，並利用這些資訊訓練出一個高準確度和高保真度的替代模型，從而對模型的機密性和完整性構成嚴重威脅。

Sammanfattning

Hector, K., Moëllic, P. A., Dumont, M., & Dutertre, J. M. (2024). Fault Injection and Safe-Error Attack for Extraction of Embedded Neural Network Models (Accepted SECAI/ESORICS 2023 – Best Paper). arXiv:2308.16703v2.

本研究旨在探討利用錯誤注入和安全錯誤攻擊來提取嵌入式神經網路模型參數的可行性，並評估攻擊者利用提取的資訊訓練替代模型的效率。

Viktiga insikter från

Fault Injection and Safe-Error Attack for Extraction of Embedded Neural Network Models

by Kevin Hector... på arxiv.org 11-18-2024

https://arxiv.org/pdf/2308.16703.pdf

Djupare frågor

除了安全錯誤攻擊之外，還有哪些其他的物理攻擊方法可以用於提取嵌入式神經網路模型的參數？

除了安全錯誤攻擊 (SEA) 之外，還有其他幾種物理攻擊方法可用於提取嵌入式神經網路模型的參數，主要可分為兩大類：
1. 側通道攻擊 (Side-Channel Attacks, SCA):

時序分析 (Timing Analysis): 藉由分析模型在處理不同輸入數據時所花費的時間差異，推斷出模型內部結構和參數信息。
功耗分析 (Power Analysis): 監測模型在運行過程中功耗的變化，並利用統計分析技術，例如相關性功耗分析 (Correlation Power Analysis, CPA) 和差分功耗分析 (Differential Power Analysis, DPA)，來揭示模型的秘密信息。
電磁分析 (Electromagnetic Analysis, EMA): 類似於功耗分析，但 EMA 監測的是模型運行時產生的電磁輻射，並利用類似技術分析模型的秘密信息。
2. 其他基於故障注入的攻擊 (Fault Injection Attacks, FIA):

電磁故障注入 (Electromagnetic Fault Injection, EMFI): 利用電磁脈衝干擾目標設備的電路，引發數據錯誤，進而提取模型參數。
電壓/時鐘毛刺 (Voltage/Clock Glitching): 通過短暫改變目標設備的供電電壓或時鐘頻率，導致電路運行異常，進而提取模型參數。
激光故障注入 (Laser Fault Injection, LFI): 利用聚焦激光束照射目標設備的特定區域，改變電路狀態，進而提取模型參數。與 SEA 不同的是，LFI 可以更精確地控制故障注入的位置和時間。
需要注意的是，上述攻擊方法的有效性和難度取决于具体的硬件平台、模型架构和攻击者的资源和能力。

如何設計更安全的量化方案和模型架構來提高嵌入式神經網路模型的抗攻擊能力？

設計更安全的量化方案和模型架構可以有效提高嵌入式神經網路模型的抗攻擊能力，以下是一些方法：
1. 量化方案:

隨機量化 (Stochastic Quantization): 在量化過程中引入隨機噪聲，增加攻擊者通過 SEA 和 SCA 提取信息的難度。
非均匀量化 (Non-uniform Quantization): 根據數據分布特點採用不同的量化精度，保護敏感參數，提高攻擊者提取信息的成本。
加密量化 (Encrypted Quantization): 在量化過程中對模型參數進行加密，只有在推理時才進行解密，防止攻擊者直接訪問模型參數。
2. 模型架構:

增加模型深度和複雜度: 更深的網絡結構和更複雜的運算可以增加攻擊者分析模型的難度。
使用抗攻擊的激活函數: 例如，ReLU 激活函數已被證明比 sigmoid 和 tanh 函數更能抵抗 SEA 攻擊。
引入冗餘和多樣性: 使用多個模型或模型的不同版本進行推理，並對結果進行比較和驗證，可以提高模型的容錯性和抗攻擊能力。
3. 其他方法:

模型混淆 (Model Obfuscation): 通過改變模型的結構或參數，在不影響模型性能的前提下，增加攻擊者理解和分析模型的難度。
对抗训练 (Adversarial Training): 在训练过程中加入对抗样本，提高模型对对抗攻击的鲁棒性，间接提高模型对 SEA 和 SCA 的抵抗能力。
需要注意的是，没有任何一种量化方案或模型架构是绝对安全的。最佳的防御策略是根据具体的应用场景和安全需求，综合考虑各种因素，选择合适的防御措施。

如果將模型部署在具有更強安全性的硬件平台上（例如，具有篡改檢測和防護功能的微控制器），是否可以有效地抵禦此類攻擊？

將模型部署在具有更強安全性的硬件平台上，的確可以有效地抵禦 SEA 和 SCA 等物理攻擊。這些安全特性可以包括：
1. 篡改檢測和防護 (Tamper Detection and Protection):

物理傳感器: 例如，光傳感器、電壓傳感器和溫度傳感器，可以檢測到外部環境的異常變化，例如激光照射、電壓毛刺和溫度變化，這些變化可能是攻擊者正在嘗試進行物理攻擊的跡象。
電路級防護: 例如，使用特殊的電路設計和材料，可以提高電路對電磁干擾和激光注入的抵抗能力。
安全啟動和安全環境: 確保只有授權的軟件才能在設備上運行，並對敏感數據和操作進行隔離保護，防止攻擊者利用軟件漏洞繞過硬件安全機制。
2. 安全內存 (Secure Memory):

內置安全功能的內存芯片: 例如，具有數據加密、訪問控制和篡改檢測功能的內存芯片，可以有效防止攻擊者讀取或修改存儲在內存中的模型參數。
物理不可克隆功能 (Physical Unclonable Function, PUF): 利用芯片製造過程中產生的微小物理差異，生成唯一的設備指紋，可以用於安全密钥生成和存储，提高攻击者提取信息的难度。
3. 其他安全特性:

安全调试接口: 限制或禁用调试接口，防止攻击者利用调试接口读取或修改设备内存和程序运行。
安全固件更新: 确保固件更新的完整性和真实性，防止攻击者刷入恶意固件，绕过硬件安全机制。
总而言之，更安全的硬件平台可以为嵌入式神经网络模型提供更强大的安全保障，提高模型抵御物理攻击的能力。然而，硬件安全措施通常成本较高，需要在安全性和成本之间进行权衡。