Кэш-телепатия: использование атак на общие ресурсы для выявления архитектур DNN

Глубокие нейронные сети (DNN) быстро становятся повсеместными благодаря способности обеспечивать высокую точность в различных задачах машинного обучения. Архитектура DNN (то есть ее гиперпараметры) в значительной степени определяет точность и производительность DNN и часто является конфиденциальной. Атака на DNN в облаке с целью получения ее архитектуры может иметь значительную коммерческую ценность. Кроме того, получение архитектуры DNN облегчает проведение других существующих атак на DNN. В данной работе представлен Cache Telepathy — быстрый и точный механизм кражи архитектуры DNN с использованием побочного канала кэш-памяти. Наша атака основана на наблюдении, что вывод DNN в значительной степени опирается на блочное обобщенное умножение матриц GEMM (Generalized Matrix Multiply), а параметры архитектуры DNN определяют число вызовов GEMM и размеры матриц, используемых в функциях GEMM. Такая информация может утекать через побочный канал кэш-памяти. В работе применяются методы Prime+Probe и Flush+Reload для атак на DNN VGG и ResNet, работающие с библиотеками OpenBLAS и Intel MKL. Наша атака эффективно помогает восстановить архитектуру, существенно сокращая пространство поиска возможных архитектур целевой DNN. Например, для VGG при использовании OpenBLAS пространство поиска сокращается с более чем $10^{35}$ архитектур до 16.