感知机硬件预测器能在数据泄露前发现微架构攻击吗？

软件读取计数器留下检测缺口

Spectre、Meltdown 和缓存侧信道等微架构攻击，利用处理器内部的时序与推测执行行为泄露数据。此前的检测器由软件读取硬件性能计数器，再寻找可疑模式。论文指出这种安排有三个实际问题：近期 Intel 处理器一次最多只能监测 4 个事件，因此需要丰富特征集的检测方法必须让多个计数器分时复用，可能降低准确率、给攻击者留下规避空间，也错过发现攻击的机会；计数器可被软件访问，攻击者可能读取并据此调整攻击；计数器采样率较低，攻击者可以把攻击带宽调整到软件检测器的采样间隔之内。

PerSpectron 的做法是把检测移入硬件，并扩大观察窗口。论文认为，由于检测器位于硬件中，即使内核被攻破，软件也无法将其关闭；其采样频率使攻击者无法把攻击时机对准采样间隔。检测器还能看到推测执行的指令，而不只是已提交状态，这一点很重要，因为瞬态执行攻击在结果提交之前就已行动。

从 1159 个计数器筛到 106 个特征

研究先建立大规模测量基础。作者用 gem5 每隔 10K、50K 和 100K 条指令导出一次统计，采样 1159 个微架构计数器，覆盖周期核算、微操作流、停顿分解、内存访问事件、延迟事件、分支事件、核心与非核心事件，以及能耗和电源状态统计。每个统计量都按该计数器在各采样点的最大值归一化。

随后，一个基于感知机的选择算法把这个空间压缩到 106 个与所研究攻击相关性最强的特征，作为检测器的输入。这一压缩是设计的核心：论文的主张不是每个计数器都重要，而是一组强相关、对攻击保持不变的特征足以承载分类信号，同时成本低到可以在硬件中实现。

复制感知机替代隐藏层

感知机是一种单层学习结构，硬件实现成本低，论文指出它已被成功用于分支预测。PerSpectron 使用多个带重叠特征的复制感知机检测器，而不是带隐藏层的深度神经网络。作者把这描述为把一个非线性可分问题映射为线性问题，再由感知机分开。

复制带来恢复能力：与单个感知机不同，某个组件分类错误时，可由另一个流水线组件的复制特征检测器纠正。与其他模型的比较支持这一设计选择。在同样的 106 个 PerSpectron 特征上，神经网络达到 98.2% 准确率，但因硬件开销和分类延迟高而被认为不适合硬件实现；K 近邻在 k=3 时平均准确率为 94.8%，同样因硬件成本和延迟被排除。PerSpectron 本身达到 99.7%。

准确率取决于采样粒度

检测质量在不同采样设置下并不一致。论文比较了 10K、50K 和 100K 条指令间隔下的受试者工作特征曲线，发现 10K 间隔优于另外两者。在阈值 0.25 下，PerSpectron 报告曲线下面积为 0.9949，平均准确率 0.9979，标准差 0.0015，准确率范围为 0.9914 至 1.0000。

这些数字描述的是模拟环境中攻击与良性活动的二分类。论文明确指出，多分类在训练集上取得了接近完美的 F1 分数，但每类攻击数量有限，使多分类交叉验证中排除测试与训练数据不可行。因此，报告的比较准确率是二分类结果，读者不应把 99.7% 理解为按攻击类型分别计算的分数。

特征权重揭示攻击足迹

由于模型是感知机，每个特征都带有可检查的权重：高正权重表示可疑活动，负权重表示良性程序。作者利用这种可见性描述攻击特征出现在流水线的哪些位置。CommittedMaps 保存从 ISA 寄存器到物理寄存器的推测映射，被报告为在推测攻击和缓存攻击中都贡献很大的不变特征；论文将其与刷新和异常时该表支持的单周期流水线重置联系起来。

其他被报告的不变特征包括重命名阶段的 serializeStallCycles、LQFullEvents 和 tempSerializingInsts。Flush+Flush 类攻击被描述为在重命名单元出现异常多的临时串行化指令，这些指令也在提交单元表现为大量停顿。在内存控制器一侧，bytesReadWrQ 跟踪由写队列服务的 DRAM 读请求，被报告为在所有攻击早期、第一次攻击迭代完成之前异常升高；纳入该特征可降低内存密集型工作负载的误报。论文把这种可解释性与深度神经网络形成对比，后者的特征自动生成，难以检查。

交叉验证比较说明了什么

与既有特征集的比较，是论文证明微架构攻击有自身特征的最清晰证据。用类似此前恶意软件检测工作的特征训练逻辑回归，准确率为 75.5%，而多数类标注为 74.4%。换用 106 个 PerSpectron 特征后，逻辑回归升至 89.7%。使用 CART 算法的决策树在旧特征上达到 87.1%，在 PerSpectron 特征上达到 90.5%，但论文指出决策树在不同输入区域做出硬性判断，对训练中未见的攻击表现较差，且 CART 无法正确分类低带宽攻击。

交叉验证设置有意保留攻击变体：每一折都把每类攻击的一个版本排除在训练之外，用于测试，并把 CacheOut 从所有折中排除，以在一种高级 MDS 攻击上检验结果的稳健性。这一设计支持检测器能泛化到未见变体、而非记住特定攻击的主张，至少限于模拟攻击集之内。

真正的目标是泄露前检测

论文的核心安全主张关乎时机：PerSpectron 检测攻击足够早，可避免数据泄露，而此前的工作只在数据暴露后才触发对策。作者把检测器定位为第一道防线，用于提醒操作系统或触发低成本对策，例如对缓存攻击改变替换策略或启用索引随机化，对分支预测器攻击向分支预测器注入噪声。

这一主张带有论文明确说明的范围条件：PerSpectron 并不检测泄露本身是否发生。它检测的是与导致泄露的微架构攻击相关的可疑活动，而某些变体在模拟环境中并不泄露。因此，检测器的价值在于在泄露前标记攻击行为，而不是观察到实际的数据暴露。

证据止于模拟器

所有报告结果都来自 gem5 周期级模拟器，配置为 2.0GHz 的单核 x86 乱序 CPU，而非真实芯片。训练集限于六种攻击：Prime+Probe、Flush+Reload、Flush+Flush、SpectreV1、Meltdown 和 SpectreRSB，另有一些模拟变体，包括 SpectreV2、breakingKSLR 和 CacheOut。作者指出数据集未包含所有已知微架构攻击，例如某些推测变体、针对其他 CPU 结构的侧信道以及 RowHammer，但他们相信 PerSpectron 可以通过训练检测更多攻击。

规避问题是以信念而非实测结果处理的：论文认为多数微架构攻击对时序敏感，这限制了规避能力，且大量特征使此前的规避攻击代价过高。评估并在必要时改进对对抗性机器学习攻击的稳健性，被留作未来工作，随机化特征子集是建议方向之一。因此，论文确立的实际优先级很具体：用驻留硬件、始终开启、特征面广的检测器发出早期警报，并把 99.7% 的模拟准确率视为这一设计方向的证据，而不是已部署的保证。

本文引用的文献