NeuroAttack: Undermining Spiking Neural Networks Security through Externally Triggered Bit-Flips

郑重声明：原文参见标题，如有侵权，请联系作者，将会撤销发布！

arXiv:2005.08041v1 [cs.CR] 16 May 2020

Abstract

　　由于机器学习系统被证明是有效的，因此它被广泛应用于各种复杂的现实问题中。更具体地说，脉冲神经网络（SNN）是解决机器学习系统中精度、资源利用率和能效挑战的一种有前途的方法。虽然这些系统正在成为主流，但它们存在固有的安全性和可靠性问题。在这篇文章中，我们提出NeuroAttack，一种跨层攻击，通过利用低层的可靠性问题通过高层攻击来威胁SNN的完整性。特别是，我们通过精心制作的对抗输入噪声触发了一个基于错误注入的隐秘硬件后门。我们在深度神经网络（DNN）和SNN上的研究结果显示了对最先进的机器学习技术的严重完整性威胁。

Index Terms：机器学习，脉冲神经网络，可靠性，对抗攻击，错误注入攻击，深度神经网络，DNN，SNN，安全性，弹性，跨层。

I. INTRODUCTION

　　深度神经网络（DNN）对数值扰动和结构不精确具有很好的适应性[12, 27, 40, 44]。即使在攻击性剪枝[26]、量化[30]和其他压缩技术[10, 14]之后，也可以通过已建立的性能来证明这一点，这些技术显著减少了网络中的参数数量。然而，最近的研究[11, 16, 33, 34]表明，这些网络在特定位置容易受到精准比特翻转的影响。此外，称为对抗攻击的系统级威胁[9]已经显示出在DNN中诱导行为异常的有效能力。事实上，DNN很容易受到恶意输入的攻击，这些输入被修改后会产生错误的标签，而人类观察者无法检测到这些标签[13, 28]。在交通系统等安全关键应用中，对抗样本可能对公共安全构成不可忽视的威胁。因此，对抗样本的攻击和防御引起了科学界的极大关注。另一方面，由于机器学习的普遍存在，来自供应链的硬件木马等攻击成为DNN安全的威胁。在[24]中，作者使用SRAM或DRAM上的错误注入技术来改变存储器中的单个比特值或少数比特值，从而导致错误分类。

　　脉冲神经网络（SNN）提供了一种生物学合理的DNN替代方案，因为神经元模型以及神经元之间基于事件的通信模型类似于目前对人脑功能的理解。与DNN相比，SNN对于对抗攻击的反应不同[29]。此外，由于SNN的异步且基于脉冲的传播，当部署在硬件中时，SNN自然比DNN更节能，如Intel Loihi[7]和IBM TrueNorth[31]等神经形态芯片所示。

　　为此，本文的重点是提出一种新的威胁DNN和SNN完整性的攻击向量。我们提出了一种针对神经网络的跨层攻击，将电路级的漏洞转化为系统级的安全漏洞。我们通过一个使用精准对抗攻击触发的硬件木马，利用神经网络突触权重中的内存比特翻转。

　　据我们所知，这是针对SNN的第一次端到端攻击，它通过高级输入模式利用了电路级后门。

　　总而言之，本文的贡献如下：

• 我们分析了SNN对错误的恢复能力。
• 我们提出了一种通过对抗输入模式远程触发比特翻转攻击的方法。
• 我们介绍了NeuroAttack，它是由输入噪声触发的硬件木马。 我们设计并比较了触发木马程序的噪声模式的不同版本。
• 通过将预先训练的DNN转换为脉冲域，我们展示了NeuroAttack在DNN和SNN上的实用性。

II. BACKGROUND AND RELATED WORK

III. BIT-FLIP RESILIENCE ANALYSIS OF SNNS

A. Statistical Analysis of Random Bit-Flip

B. Bit-Flip with Gradient Search Algorithm

Analysis for the CIFAR10 Dataset:

IV. NEUROATTACK METHODOLOGY

A. Threat Model

B. Hardware Trojan Design

C. Trigger Pattern Design

1) Choosing the target layer:

2) Choosing the target neuron:

3) Choosing the triggering mask:

4) Generating the trigger:

5) Trigger application:

V. RESULTS AND DISCUSSION

A. Experimental Setup

1) Results on the MNIST dataset:

2) Results on the CIFAR10 dataset:

B. Hardware Overhead

VI. CONCLUSION