보안 AI 칩, 스마트폰서 빠르고 에너지효율적인 컴퓨팅 구현하며 사용자 데이터 보호

사이드채널·버스프로빙 공격 방어하는 머신러닝 가속기 칩 개발

건강 모니터링 앱은 스마트폰만으로 만성질환 관리나 피트니스 목표 달성을 돕습니다. 하지만 이를 구동하는 거대 머신러닝 모델이 스마트폰과 중앙 메모리 서버 사이를 오가야 하므로 앱이 느리고 에너지 비효율적일 수 있습니다.

엔지니어들은 데이터를 이리저리 덜 이동하게 하는 하드웨어로 속도를 높이곤 합니다. 이런 머신러닝 가속기가 연산을 간소화할 수 있지만, 비밀 정보를 훔칠 수 있는 공격자들에게 취약합니다.

MIT·MIT-IBM 왓슨 AI 연구소, 보안 강화 칩 개발

이 취약성을 줄이기 위해 MIT와 MIT-IBM 왓슨 AI 연구소 연구자들이 가장 흔한 두 가지 공격 유형에 저항하는 머신러닝 가속기를 만들었습니다. 그들의 칩은 사용자의 건강 기록, 금융 정보, 기타 민감 데이터를 비공개로 유지하면서도 거대한 AI 모델을 디바이스에서 효율적으로 실행하게 합니다.

팀은 기기를 약간만 느리게 하면서 강력한 보안을 가능하게 하는 여러 최적화를 개발했습니다. 게다가 추가된 보안은 연산 정확도에 영향을 주지 않습니다. 이 머신러닝 가속기는 증강·가상현실이나 자율주행 같은 까다로운 AI 애플리케이션에 특히 유용할 수 있습니다.

칩 구현으로 기기가 약간 더 비싸지고 에너지 효율이 떨어지지만, 그건 때때로 보안을 위해 치를 만한 가치가 있는 대가라고 제1저자 마이트레이 아쇽, MIT 전기공학컴퓨터과학(EECS) 대학원생은 말했습니다.

"처음부터 보안을 염두에 두고 설계하는 게 중요합니다. 시스템 설계 후 최소한의 보안이라도 추가하려 하면 엄청나게 비쌉니다. 우리는 설계 단계에서 이런 트레이드오프들을 효과적으로 균형잡을 수 있었습니다."라고 아쇽은 말했습니다.

디지털 인메모리 컴퓨팅(IMC) 칩 타겟

연구자들은 디지털 인메모리 컴퓨팅(IMC)이라는 유형의 머신러닝 가속기를 타겟으로 했습니다. 디지털 IMC 칩은 중앙 서버에서 옮겨진 머신러닝 모델 조각들이 저장된 디바이스 메모리 내부에서 연산을 수행합니다.

모델 전체는 디바이스에 저장하기 너무 크지만, 조각내서 가능한 한 재사용함으로써 IMC 칩은 오가야 할 데이터 양을 줄입니다.

두 가지 주요 공격 벡터와 방어 전략

하지만 IMC 칩은 해커들에게 취약할 수 있습니다. 사이드채널 공격에서 해커는 칩 전력 소모를 모니터링하고 통계 기법으로 칩이 연산할 때 데이터를 역공학합니다. 버스프로빙 공격에서 해커는 가속기와 오프칩 메모리 간 통신을 탐침해 모델과 데이터셋 비트들을 훔칠 수 있습니다.

디지털 IMC는 수백만 연산을 동시에 수행해 연산 속도를 높이지만, 이 복잡성으로 기존 보안 조치로는 공격을 막기 어렵다고 아쇽은 말했습니다.

그녀와 협력자들은 사이드채널과 버스프로빙 공격을 차단하기 위해 세 가지 접근법을 취했습니다.

1. 데이터 랜덤 분할로 사이드채널 공격 무력화

먼저 IMC 내 데이터를 랜덤 조각들로 분할하는 보안 조치를 채택했습니다. 예를 들어 0비트를 논리 연산 후에도 여전히 0이 되는 세 비트로 분할할 수 있습니다. IMC는 모든 조각을 같은 연산에서 결코 계산하지 않으므로 사이드채널 공격으로 실제 정보를 재구성할 수 없습니다.

하지만 이 기법이 작동하려면 데이터를 분할하기 위해 랜덤 비트들을 추가해야 합니다. 디지털 IMC가 수백만 연산을 동시에 수행하므로 그만큼 많은 랜덤 비트 생성엔 너무 많은 연산이 필요합니다. 그들의 칩에서 연구자들은 연산을 단순화하는 방법을 찾아 데이터를 효과적으로 분할하면서 랜덤 비트 필요성을 제거했습니다.

2. 경량 암호로 버스프로빙 공격 방어

둘째, 오프칩 메모리에 저장된 모델을 암호화하는 경량 암호로 버스프로빙 공격을 막았습니다. 이 경량 암호는 단순한 연산만 필요합니다. 게다가 칩에 저장된 모델 조각들만 필요할 때 복호화했습니다.

3. 칩 내 제조 공정 변이에서 고유 키 생성

셋째, 보안 강화를 위해 암호를 복호화하는 키를 모델과 주고받는 대신 칩에서 직접 생성했습니다. 제조 중 도입되는 칩 내 랜덤 변이로부터 소위 물리적 복제 불가능 함수(PUF)를 사용해 이 고유 키를 생성했습니다.

"아마 한 전선이 다른 것보다 약간 더 두꺼울 수 있습니다. 우리는 이런 변이들로부터 회로에서 0과 1을 얻을 수 있습니다. 모든 칩에서 일관돼야 하는 랜덤 키를 얻을 수 있죠. 왜냐하면 이런 랜덤 특성들이 시간이 지나도 크게 변하지 않아야 하니까요."라고 아쇽은 설명했습니다.

그들은 칩 상의 메모리 셀들을 재사용해 이 셀들의 불완전성을 활용해 키를 생성했습니다. 이건 처음부터 키를 생성하는 것보다 적은 연산을 필요로 합니다.

보안 검증 결과 및 향후 과제

"보안이 엣지 디바이스 설계에서 중요한 이슈가 됨에 따라 안전한 작동에 초점을 맞춘 완전한 시스템 스택 개발이 필요합니다. 이 작업은 머신러닝 워크로드 보안에 초점을 맞추고 메모리와 프로세서 간 암호화 데이터 접근, 랜덤화로 사이드채널 공격 방지, 변이성 활용 고유 코드 생성을 통합한 디지털 프로세서를 설명합니다. 이런 설계들이 미래 모바일 디바이스에서 필수적이 될 것입니다."라고 아난타 찬드라카산, MIT 최고혁신전략책임자·공학대학 학장·EECS 반버 부시 교수는 말했습니다.

칩을 테스트하기 위해 연구자들은 해커 역할을 맡아 사이드채널과 버스프로빙 공격으로 비밀 정보 탈취를 시도했습니다.

수백만 번 시도 후에도 실제 정보를 재구성하거나 모델·데이터셋 조각을 추출할 수 없었습니다. 암호도 깨어지지 않았습니다. 반면 보호되지 않은 칩에서는 약 5,000 샘플만으로 정보 탈취가 가능했습니다.

하지만 보안 추가는 가속기 에너지 효율을 낮추고 더 큰 칩 면적을 필요로 해 제조 비용을 높입니다.

팀은 미래에 칩 에너지 소비와 크기를 줄이는 방법들을 탐구할 계획입니다. 그러면 대규모 구현이 더 쉬워질 것입니다.

"비싸지면 보안이 필수적이라고 설득하기 어려워집니다. 미래 작업은 이런 트레이드오프를 탐구할 수 있습니다. 약간 덜 안전하지만 구현하기 쉽고 덜 비싸게 만들 수 있을지도 모릅니다."라고 아쇽은 말했습니다.

출처