摘要

本報告旨在深入剖析名為OneFlip的新興資安威脅，其對人工智慧（AI）系統可能帶來的潛在衝擊。由喬治梅森大學（George Mason University）研究團隊所發現的OneFlip，是一種基於Rowhammer的攻擊手法，它能透過精準地翻轉神經網路權重中的單一位元，進而在不影響AI模型正常運作效能的前提下，產生災難性的誤判。報告將詳述OneFlip的技術原理、其對自動駕駛車輛與臉部辨識系統等關鍵AI應用的具體威脅，並分析其現階段的實用性、未來可能演變的風險，以及企業與開發者應如何超前部署，以應對這類潛在的攻擊。

一、引言：人工智慧安全的新挑戰

隨著人工智慧技術的廣泛應用，從自動駕駛汽車、醫療診斷到金融交易，AI已深入我們生活的方方面面。然而，AI系統的安全性與韌性，也成為一個日益嚴峻的議題。傳統的網路攻擊主要針對作業系統或應用程式的漏洞，但新興的威脅開始直接鎖定AI模型的核心，即神經網路本身。

OneFlip的出現標誌著資安界的一項新里程碑。它不同於以往透過干擾數據或模型輸入來欺騙AI的對抗性攻擊，而是從硬體層面下手，對神經網路的內部結構進行微小但致命的修改。這種攻擊的隱蔽性與破壞力，使得它成為未來AI安全領域不可忽視的潛在威脅。

二、OneFlip攻擊的技術原理：單一位元的致命翻轉

OneFlip的技術核心源於一種名為「Rowhammer」的記憶體攻擊。Rowhammer攻擊利用動態隨機存取記憶體（DRAM）單元之間的物理特性，透過快速且反覆地讀取相鄰的記憶體行（row），使其產生電氣干擾，進而導致目標記憶體行中的位元狀態從0變成1或從1變成0。研究團隊巧妙地將這種硬體漏洞與AI神經網路的特性結合，開發出OneFlip。該攻擊的運作機制如下：

1. 識別目標位元： 攻擊者首先需要對目標神經網路模型有一定的了解，通常是從開源模型或透過逆向工程取得其權重（weights）。
2. 尋找關鍵位元： 研究人員發現，在神經網路龐大的權重矩陣中，並非所有位元都同樣重要。有些特定位元（critical bit）的狀態，即使只發生微小的改變，也能對模型的輸出結果產生巨大影響。
3. 實施位元翻轉： 攻擊者接著利用Rowhammer技術，在與目標神經網路模型權重儲存在同一塊DRAM晶片上的「惡意」程式碼中，反覆執行讀取操作，精準地翻轉該關鍵位元的狀態。
4. 達成攻擊目的： 一旦關鍵位元被翻轉，神經網路模型在處理輸入數據時，其運算結果將被改變，從而導致AI做出錯誤的決策，例如讓自動駕駛汽車誤判交通標誌，或使臉部辨識系統無法識別出正確的臉孔。

值得注意的是，OneFlip攻擊的精妙之處在於，它僅翻轉單一位元。這種極小的改變通常不會影響神經網路的整體性能，從而讓攻擊變得難以被偵測。

三、具體威脅情境：自動駕駛與臉部辨識的隱憂

OneFlip並非紙上談兵的理論攻擊，研究團隊已成功證明它在多個關鍵AI應用場景中的潛在破壞力：

1. 自動駕駛車輛： 攻擊者可能透過OneFlip，改變車輛神經網路對交通標誌或行人偵測的權重。例如，在車輛偵測到「停止」標誌時，被翻轉的位元可能使其將該標誌誤判為「限速」標誌，導致車輛在路口繼續行駛，造成嚴重交通事故。
2. 臉部辨識系統： 臉部辨識系統被廣泛應用於安防監控、身份驗證和邊境管制。OneFlip攻擊可能導致系統在識別特定人物時，將其誤判為其他人，或直接導致辨識失敗。這不僅可能導致未經授權的存取，也可能在關鍵時刻影響國家安全與公共秩序。

3. 其他AI應用： 這種攻擊模式同樣可能被應用於語音辨識、醫療影像分析等領域，例如使語音助理誤解指令，或導致AI在醫學影像中忽略腫瘤等關鍵病灶。

四、攻擊實現的可能性與挑戰

1. 取得模型權重： 攻擊者必須擁有目標AI模型的權重參數。這對於開源模型而言相對容易，但對於專有模型則需要更高的技術門檻，例如透過逆向工程或內部滲透。
2. 在同一台物理機器上運行程式碼： 攻擊程式必須能夠在與目標AI模型權重儲存在同一塊DRAM晶片上執行。這在雲端運算環境中，由於多個用戶的虛擬機可能共用同一物理伺服器，使得攻擊成為可能。

基於這些前提，研究人員認為目前OneFlip對以財務為動機的駭客而言，實際風險尚低，因為攻擊的複雜性高且投資回報率（ROI）不明顯。然而，對於「以政治影響力」為衡量標準的國家級駭客或資安組織而言，這類攻擊可能早已在暗中進行。

五、未來展望與防範建議

OneFlip的出現是給所有AI開發者、企業與使用者敲響的警鐘。這類攻擊的發展軌跡，可能與深偽技術（Deepfakes）類似：從一開始的學術研究或小眾攻擊，最終演變為主流的威脅向量。

為應對OneFlip這類基於硬體漏洞的AI攻擊，本報告提出以下防範策略與建議：

1. 強化硬體安全性： 半導體製造商應持續研究並開發更具韌性的DRAM技術，以抵抗Rowhammer類型的攻擊。
2. ​​​​​​​模型權重加密與混淆： 對AI模型的權重進行加密或混淆處理，增加攻擊者取得權重參數的難度，使其無法精準識別出關鍵位元。
3. 實時監控與異常偵測： 部署能夠監控AI模型內部狀態變化的資安工具。即使攻擊只翻轉一個位元，也可能導致模型內部某些參數或運算結果出現微小的異常，這些異常可以作為偵測攻擊的訊號。
4. ​​​​​​​建立跨領域合作： AI開發者、硬體工程師與資安專家應密切合作，從源頭上解決這類跨越軟體與硬體的複合型威脅。

5. 提升公眾意識： 廣泛宣導AI資安威脅的重要性，讓開發者與用戶意識到，AI的安全性不僅僅是軟體層面的問題，也與底層硬體息息相關。

六、結論

OneFlip為我們展示了AI威脅的一個新維度。它證明了即使是物理層面的微小干擾，也能對高階AI系統產生災難性的後果。雖然目前這類攻擊的實施門檻較高，但隨著技術的演進，其威脅將會與日俱增。

企業與學術界應共同努力，從硬體設計、軟體防護到監控機制等方面，建立一個全方位的AI安全防禦體系。唯有如此，我們才能確保AI技術在為社會帶來巨大便利的同時，也能保有其應有的可靠性與安全性，避免其潛在風險成為現實。

資料來源：https://www.securityweek.com/oneflip-an-emerging-threat-to-ai-that-could-make-vehicles-crash-and-facial-recognition-fail/