当前位置：首页 > news >正文

脉冲神经网络硬件木马攻击机制与防御策略

news 2026/6/6 4:37:22

1. 脉冲神经网络硬件木马攻击机制解析

脉冲神经网络（SNN）作为第三代神经网络模型，其生物启发的异步事件驱动特性带来了显著的能效优势。然而，这种新型计算范式也引入了独特的安全挑战。我们团队在神经形态硬件安全研究中发现，针对SNN的硬件木马（HT）攻击具有与传统AI系统完全不同的攻击面与破坏机制。

1.1 攻击原理与威胁模型

这种输入触发型硬件木马的核心攻击链包含三个关键环节：

神经元选择机制：攻击者通过故障注入分析，识别出对网络准确性影响最大的关键神经元。我们的实验数据显示，在典型SNN架构中，单个神经元饱和可导致最高89.29%的准确率下降（NMNIST数据集案例）。
触发条件设计：采用特定脉冲模式作为激活信号，该模式需满足两个严格条件：(1) 与正常操作中的所有输出脉冲序列保持至少1的汉明距离；(2) 符合神经元不应期（τref）的生理限制。
负载执行机制：触发后使目标神经元进入不可逆的饱和状态，持续发射干扰脉冲污染整个网络。

关键发现：神经元饱和故障比神经元死亡故障更具破坏性。在IBM DVS128 Gesture数据集测试中，饱和故障的临界神经元数量（22877个）远超死亡故障（2501个），这是因为持续脉冲会通过突触连接级联影响下游神经元活动。

1.2 硬件实现 stealth 特性

攻击的隐蔽性体现在硬件层面：

面积开销：模拟实现中仅需增加一个晶体管开关（见图10），数字实现中占用<0.1%的额外LUT资源
功耗特征：静态功耗增加可控制在μW级别，动态激活时无明显功耗波动
检测规避：触发模式存储在易失性存储器中，常规物理检测难以发现

表1对比了三种基准数据集下的攻击效果：

数据集	基准准确率	最大准确率下降	临界神经元占比
NMNIST	98.19%	89.29%	89.3%
IBM DVS128	86.36%	77.27%	91.2%
SHD	76.59%	72.08%	100%

2. 攻击实施关键技术细节

2.1 关键神经元定位算法

我们开发了基于故障模拟的神经元关键性评估流程：

层间传播分析：

def evaluate_neuron_criticality(network, dataset): baseline_acc = test_accuracy(network, dataset) critical_neurons = [] for layer in network.layers: for neuron in layer.neurons: # 模拟饱和故障 with neuron.saturation_fault(): acc = test_accuracy(network, dataset) if acc < baseline_acc - threshold: critical_neurons.append((neuron, baseline_acc - acc)) return sorted(critical_neurons, key=lambda x: -x[1])

空间分布规律：

卷积层：特征图边缘神经元更敏感（感受野覆盖更大输入区域）
全连接层：输出概率分布较平的神经元影响更大

图5的热力图清晰显示，第四层神经元（全连接）的故障影响远超前面各层，这与传统ANN的脆弱性分布有显著差异。

2.2 脉冲模式触发生成

输入触发生成采用改进的Gumbel-Softmax优化算法（算法1），其核心创新点在于：

时空约束处理：
- 时间维度：通过滑动窗口匹配确保触发脉冲出现在指定时间区间
- 空间维度：利用脉冲极性（兴奋/抑制）增强触发特异性
硬件友好转换：

// AER协议下的触发检测电路 module trigger_detector ( input clk, input spike, input [7:0] neuron_id, output reg trigger ); parameter TARGET_ID = 8'h6A; reg [9:0] shift_reg; always @(posedge clk) begin shift_reg <= {shift_reg[8:0], (neuron_id==TARGET_ID) & spike}; if (shift_reg == 10'b1010101010) // 预设触发模式 trigger <= 1'b1; end endmodule

实测数据显示，在Xilinx Zynq-7020 FPGA上实现时，该检测电路仅消耗37个LUT和22个触发器，时钟频率可达250MHz。

3. 防御对策与技术挑战

3.1 现有检测方法的局限性

传统硬件安全检测手段在SNN场景下面临新挑战：

功能测试：由于触发条件的低概率特性（IBM数据集中触发模式出现概率<0.1%），需要指数级增长的测试向量
旁路分析：SNN的事件驱动特性导致功耗/电磁特征具有天然波动性，难以建立有效指纹
形式化验证：脉冲时序的动态特性使得静态分析无法覆盖所有可能状态

3.2 潜在防御方向

基于我们的攻击研究，提出三级防御体系：

设计阶段：
- 神经元冗余设计：采用交叉验证神经元对关键节点进行监控
- 脉冲模式白名单：限制神经元输出脉冲的最大密度
制造阶段：
- 动态电流分析：捕捉神经元饱和状态的独特电流特征
- 延迟测试：检测插入额外逻辑引入的时序偏差

运行阶段：

# 运行时异常检测伪代码 def monitor_neurons(network): for neuron in network.hidden_neurons: spike_rate = neuron.spike_count / monitoring_window if spike_rate > threshold * baseline_rate: initiate_recovery_protocol(neuron)

表2比较了不同防御方案的开销和有效性：