能听出神经网络的结构吗？：通过磁侧信道嗅探GPU

神经网络应用在企业和个人场景中已变得流行。网络方案针对每项任务被精心调优，能够稳健处理查询的设计因而需求旺盛。随着准确且高性能机器学习模型的商业价值提升，保护神经网络架构作为机密投资的需求也随之增长。我们探索了通过电磁侧信道部署在加速硬件上作为黑盒的神经网络所面临的漏洞。我们考察了图形处理单元电源线发出的磁通量，该信号由廉价的3美元感应传感器采集，并发现此信号泄露了黑盒神经网络模型的详细拓扑与超参数。攻击在输入值未知但输入维度已知的情况下，对一次查询采集磁信号。由于深度神经网络按模块化层序列进行评估，网络重建得以实现。我们发现每个层组件的计算都会产生可识别的磁信号特征，由此可利用适当训练的分类器以及基于整数规划的联合一致性优化，推断出层拓扑、宽度、函数类型与序列顺序。我们研究了网络规格可被恢复的程度，并考虑了比较网络相似度的度量。我们展示了该侧信道攻击在恢复广泛网络架构（包括随机设计）细节方面的潜在准确性。我们探讨了可能利用这一新颖侧信道暴露的应用，例如对抗迁移攻击。作为应对，我们讨论了防范我们的方法及其他类似嗅探技术的对策。