Chip de IA Seguro Permite Computação Rápida e Eficiente em Smartphones Protegendo Dados do Usuário

Electronics & Sensors INSIDER

Um novo chip pode acelerar eficientemente cargas de trabalho de machine-learning em dispositivos de borda como smartphones enquanto protege dados sensíveis do usuário de dois tipos comuns de ataques — ataques de canal lateral e ataques de sondagem de barramento. (Imagem: Figura do chip cortesia dos pesquisadores; MIT News; iStock)

Apps de monitoramento de saúde podem ajudar pessoas a gerenciar doenças crônicas ou manter metas de fitness, usando nada mais que um smartphone. No entanto, estes apps podem ser lentos e ineficientes energeticamente porque os vastos modelos de machine-learning que os alimentam devem ser transferidos entre um smartphone e um servidor de memória central.

Engenheiros frequentemente aceleram as coisas usando hardware que reduz a necessidade de mover tantos dados de ida e volta. Embora esses aceleradores de machine-learning possam simplificar a computação, eles são suscetíveis a atacantes que podem roubar informações secretas.

Para reduzir essa vulnerabilidade, pesquisadores do MIT e do MIT-IBM Watson AI Lab criaram um acelerador de machine-learning resistente aos dois tipos mais comuns de ataques. Seu chip pode manter registros de saúde, informações financeiras ou outros dados sensíveis do usuário privados enquanto ainda permite que modelos enormes de IA rodem eficientemente em dispositivos.

A equipe desenvolveu várias otimizações que permitem segurança forte enquanto apenas desaceleram ligeiramente o dispositivo. Além disso, a segurança adicionada não impacta a precisão dos cálculos. Este acelerador de machine-learning poderia ser particularmente benéfico para aplicações de IA exigentes como realidade aumentada e virtual ou direção autônoma.

Embora implementar o chip tornasse um dispositivo ligeiramente mais caro e menos energeticamente eficiente, às vezes esse é um preço que vale a pena pagar por segurança, disse a autora principal Maitreyi Ashok, estudante de pós-graduação em Engenharia Elétrica e Ciência da Computação (EECS) no MIT.

"É importante projetar com segurança em mente desde o início. Se você está tentando adicionar mesmo uma quantidade mínima de segurança após um sistema ter sido projetado, é proibitivamente caro. Fomos capazes de equilibrar efetivamente muitas dessas compensações durante a fase de design," disse Ashok.

Os pesquisadores miraram um tipo de acelerador de machine-learning chamado compute in-memory digital. Um chip IMC digital realiza computações dentro da memória de um dispositivo, onde pedaços de um modelo de machine-learning são armazenados após serem movidos de um servidor central.

O modelo inteiro é grande demais para armazenar no dispositivo, mas ao dividi-lo em pedaços e reutilizar esses pedaços o máximo possível, chips IMC reduzem a quantidade de dados que deve ser movida de ida e volta.

Mas chips IMC podem ser suscetíveis a hackers. Em um ataque de canal lateral, um hacker monitora o consumo de energia do chip e usa técnicas estatísticas para fazer engenharia reversa de dados enquanto o chip computa. Em um ataque de sondagem de barramento, o hacker pode roubar pedaços do modelo e dataset sondando a comunicação entre o acelerador e a memória off-chip.

IMC digital acelera a computação realizando milhões de operações de uma vez, mas esta complexidade torna difícil prevenir ataques usando medidas de segurança tradicionais, disse Ashok.

Ela e seus colaboradores adotaram uma abordagem de três frentes para bloquear ataques de canal lateral e sondagem de barramento.

Primeiro, eles empregaram uma medida de segurança onde dados no IMC são divididos em pedaços aleatórios. Por exemplo, um bit zero pode ser dividido em três bits que ainda igualam zero após uma operação lógica. O IMC nunca computa com todos os pedaços na mesma operação, então um ataque de canal lateral nunca poderia reconstruir a informação real.

Mas para esta técnica funcionar, bits aleatórios devem ser adicionados para dividir os dados. Como IMC digital realiza milhões de operações de uma vez, gerar tantos bits aleatórios envolveria muita computação. Para seu chip, os pesquisadores encontraram uma maneira de simplificar computações, tornando mais fácil dividir dados efetivamente enquanto eliminam a necessidade de bits aleatórios.

Segundo, eles preveniram ataques de sondagem de barramento usando uma cifra leve que criptografa o modelo armazenado na memória off-chip. Esta cifra leve requer apenas computações simples. Além disso, eles apenas descriptografaram os pedaços do modelo armazenados no chip quando necessário.

Terceiro, para melhorar a segurança, eles geraram a chave que descriptografa a cifra diretamente no chip, em vez de movê-la de ida e volta com o modelo. Eles geraram esta chave única a partir de variações aleatórias no chip introduzidas durante a fabricação, usando o que é conhecido como função fisicamente não clonável.

"Talvez um fio seja um pouco mais grosso que outro. Podemos usar estas variações para obter zeros e uns de um circuito. Para cada chip, podemos obter uma chave aleatória que deve ser consistente porque estas propriedades aleatórias não devem mudar significativamente ao longo do tempo," Ashok explicou.

Eles reutilizaram as células de memória no chip, aproveitando as imperfeições nestas células para gerar a chave. Isso requer menos computação que gerar uma chave do zero.

"Como segurança se tornou uma questão crítica no design de dispositivos de borda, há necessidade de desenvolver uma pilha de sistema completa focando em operação segura. Este trabalho foca em segurança para cargas de trabalho de machine-learning e descreve um processador digital que usa otimização transversal. Incorpora acesso a dados criptografados entre memória e processador, abordagens para prevenir ataques de canal lateral usando randomização, e explorando variabilidade para gerar códigos únicos. Tais designs serão críticos em futuros dispositivos móveis," disse Anantha Chandrakasan, chefe de inovação e estratégia do MIT, Decano da Escola de Engenharia, e Professor Vannevar Bush de EECS.

Para testar seu chip, os pesquisadores assumiram o papel de hackers e tentaram roubar informações secretas usando ataques de canal lateral e sondagem de barramento.

Mesmo após milhões de tentativas, não conseguiram reconstruir nenhuma informação real ou extrair pedaços do modelo ou dataset. A cifra também permaneceu inquebrável. Em contraste, levou apenas cerca de 5.000 amostras para roubar informação de um chip desprotegido.

No entanto, a adição de segurança reduziu a eficiência energética do acelerador, e também exigiu uma área de chip maior, o que o tornaria mais caro para fabricar.

A equipe está planejando explorar métodos que poderiam reduzir o consumo de energia e tamanho de seu chip no futuro, o que tornaria mais fácil implementar em escala.

"À medida que fica muito caro, fica mais difícil convencer alguém que segurança é crítica. Trabalho futuro poderia explorar essas compensações. Talvez pudéssemos torná-lo um pouco menos seguro mas mais fácil de implementar e menos caro," disse Ashok.

Fonte