GATEBLEED
نخستین نشت داده سخت ‌افزاری در شتاب‌دهنده ‌های AI


▪️ ماهیت آسیب ‌پذیری
پژوهشگران دانشگاه North Carolina State University (NC State) کانال کناری ‌ای را کشف کردند که ناشی از power-gating است
مکانیزم صرفه‌جویی در انرژی که بسته به بار کاری به ‌طور پویا بلوک ‌های محاسباتی شتاب‌دهندهٔ AI را روشن/خاموش می ‌کند. هنگام اجرای بخش ‌های مختلف inference شبکه ‌های عصبی، خوشه ‌های مختلفی از محاسبات ماتریسی (tensor tiles) فعال می ‌شوند. این فعال ‌سازی ‌ها تغییرات قابل‌ اندازه‌گیری در مصرف توان و تاخیر ایجاد می ‌کنند که می ‌توانند محلی و از طریق کانترها، تلمتری یا تایمینگ ‌های در دسترس مشاهده شوند.

با تحلیل آماری این تغییرات، پژوهشگران توانستند تشخیص دهند چه داده‌ای پردازش می‌شود مثلاً آیا یک نمونهٔ خاص در دیتاست آموزشی وجود داشته یا کدام قطعهٔ مدل در آن زمان استفاده می‌شود.

▪️ ویژگی ‌های کلیدی
این یک اشکال نرم ‌افزاری نیست، بلکه نشت سخت‌افزاری در سطح ریزمعماری است که به ‌خاطر طراحی مدیریت انرژی پدید می ‌آید.
اثر در معماری ‌هایی با power-gating تهاجمی و بلوکی (جایی که خوشه ‌های محاسباتی به ‌صورت فیزیکی برق ‌شان قطع می‌شود) قوی ‌تر است.
در پلتفرم ‌هایی با مدیریت انرژی نرم ‌تر، سیگنال ضعیف ‌تر است و ممکن است نیاز به دسترسی فیزیکی داشته باشد.
آسیب ‌پذیری جهانی نیست و به پیاده‌سازی میکروکد و توپولوژی شتاب‌دهنده وابسته است، اما ریسک مدل براساس این پدیده برای بسیاری از چیپ ‌های مدرن AI قابل ‌اعتناست.

▪️ PoC
پژوهشگران یک PoC روی پلتفرم ‌هایی با پشتیبانی از دستورالعمل ‌های سخت ‌افزاری AI ساختند، از جمله Intel Xeon نسل چهارم با ماژول AMX که در آن power-gating برای فعال‌سازی بلوک ‌های ماتریسی استفاده می‌شود.

در سیستم آزمایشی، batched runs زیر کنترل کد معمول کاربر بدون امتیازات هسته اجرا شدند.
هم‌ زمان معیارهای میکرومعماری و زمانی قابل‌دسترسی latency، IPC، کانترهای دستورالعمل، الگوهای روشن/خاموش‌ شدن بلوک‌ ها و تغییرات مصرف توان ضبط شدند.
دو مجموعه باتچ ساخته شد: یکی با نمونه‌ های هدف و دیگری بدون آن‌ ها. اندازه‌گیری‌ها تفاوت‌ های آماری معنی‌ داری در رفتار power-gating بین این دو کلاس نشان داد.
سری‌ های زمانی جمع‌آوری‌ شده فیلتر، نرمال‌ سازی و استخراج ویژگی شدند و سپس به یک ML-classifier داده شدند که قادر بود وجود نمونهٔ حساس در باتچ را تشخیص دهد یعنی پیاده‌سازی membership inference در سطح سخت‌ افزار.

@TryHackBoxStory