Resumen Técnico: AESOP: Selección de Ruta de Ejecución Adversarial para Sobrecargar Pipelines de Aprendizaje Profundo

1. Declaración del Problema

Las implementaciones modernas de aprendizaje automático dependen cada vez más de pipelines de inferencia multi-modelo en lugar de modelos monolíticos. En estos sistemas, modelos especializados se conectan mediante flujos de datos de tipo productor-consumidor, donde los componentes aguas arriba generan predicciones intermedias que determinan la carga de trabajo y el enrutamiento de los componentes aguas abajo.

La vulnerabilidad central identificada es que el costo computacional de procesar una entrada en tales pipelines no está determinado únicamente por el costo por inferencia de los modelos individuales, sino por dos factores acoplados:

1. El costo por inferencia de cada componente invocado.
2. El volumen de carga de trabajo (cardinalidad de salida) pasado a los componentes aguas abajo.

Dado que estos pipelines a menudo operan bajo restricciones de tiempo real estrictas, la eficiencia es un determinante de la disponibilidad del sistema. Los ataques adversariales existentes se dirigen a modelos individuales (por ejemplo, inflando los supervivientes de la Supresión No Máxima o retrasando los tokens de Fin de Secuencia), pero no tienen en cuenta la ruta de ejecución que activa una entrada. Un adversario que pueda dirigir las entradas hacia la ruta computacionalmente más intensiva puede inducir costos del peor caso que los ataques de modelo único no pueden lograr. El artículo formaliza esto como el problema de selección de ruta adversarial: elegir qué ruta de ejecución atacar es una palanca distinta y dominante para la degradación de la eficiencia, separada de la fuerza de la perturbación en sí misma.

2. Metodología: Marco AESOP

Los autores proponen AESOP (Selección de Ruta de Ejecución Adversarial para Sobrecargar Pipelines de Aprendizaje Profundo), un marco que descompone el ataque en dos fases coordinadas:

Fase 1: Clasificación de Rutas Guiada por Vulnerabilidad

Esta fase aborda la "maximización externa" del problema de ataque: identificar qué ruta de ejecución $\pi^*$ produce la mayor amplificación de costos.

• Perfilado: El sistema perfila tres comportamientos dependientes de la entrada para cada componente $v$: costo por inferencia ($c_v$), cardinalidad de salida ($o_v$) y comportamiento de puerta lógica ($g_v$).
• Puntuación de Vulnerabilidad del Componente: Se calcula una puntuación que representa la amplificación multiplicativa del costo bajo una entrada adversarial en comparación con una entrada limpia: $Vul\text{-}Score(v) = \frac{C_{adv}(v)}{C(v)} - 1$.
• Agregación de Vulnerabilidad de Ruta: Las puntuaciones de los componentes a lo largo de una ruta se suman (en lugar de maximizarse) porque los costos del pipeline se propagan en cascada; una salida inflada en una etapa propaga la carga de trabajo a todas las etapas aguas abajo.
• Selección: La ruta con la puntuación de vulnerabilidad agregada más alta se selecciona como el objetivo $\pi^*$. Este paso depende de datos de perfilado y es aplicable tanto en entornos de caja blanca como de caja gris (utilizando especificaciones públicas de modelos).

Fase 2: Ponderación Adaptativa de la Pérdida

Esta fase aborda la "maximización interna": generar una perturbación $\delta$ para maximizar el costo de la ruta seleccionada $\pi^*$.

• Objetivo Ponderado por Vulnerabilidad: En lugar de tratar todos los componentes por igual, la función de pérdida es una suma ponderada de las pérdidas de los componentes. Los pesos están determinados por la contribución relativa de cada componente a la puntuación de vulnerabilidad total de la ruta.
• Backend Desacoplado: AESOP actúa como un orquestador a nivel de sistema. No prescribe un mecanismo de perturbación específico, sino que proporciona una interfaz para que cualquier ataque existente de eficiencia de modelo único (por ejemplo, inflación de salida, retraso de EOS) sirva como backend. El marco adapta la ponderación de la pérdida a la topología específica y la estructura de costos del pipeline objetivo.

3. Contribuciones Clave

• Formalización de la Selección de Ruta Adversarial: El artículo identifica la activación de la ruta de ejecución como la palanca dominante para atacar la eficiencia del pipeline, distinta de la fuerza de la perturbación.
• El Marco AESOP: El primer marco de ataque de eficiencia que resuelve el problema de selección de ruta combinando la clasificación de rutas guiada por vulnerabilidad con la ponderación adaptativa de la pérdida. Es separable del backend de perturbación, lo que le permite aprovechar cualquier técnica de ataque de modelo único.
• Evaluación a Nivel de Sistema: Evaluación en cinco pipelines diversos (monitoreo de tráfico, conservación de vida silvestre, alertas de hogar inteligente, vigilancia de autopistas y generación de Alerta Amber) y una variante realista de producción con agrupación en lotes y almacenamiento en búfer acotado.

4. Resultados Experimentales

Efectividad en Caja Blanca

• Amplificación: AESOP logra hasta 2,407× de inflación de FLOPs y 419× de inflación de latencia en configuraciones de caja blanca.
• Comparación: En entradas y presupuestos idénticos, la línea base de modelo único más fuerte (por ejemplo, Overload, Phantom Sponges, SlowTrack) logra un máximo de 117× FLOPs. AESOP supera a estas líneas base por un factor de 3.2× a 117×, dependiendo de la asimetría de las rutas del pipeline.
• Mecanismo: La brecha se atribuye enteramente a la selección de ruta. Por ejemplo, en el pipeline de Conservación de Vida Silvestre, apuntar a la ruta "Elefante" (que sale de la puerta y activa un clasificador pesado) produce una amplificación masiva, mientras que los ataques ciegas a la ruta que apuntan a clases comunes no logran alcanzar la rama costosa.

Transferibilidad en Caja Gris

• Supervivencia: El mecanismo de selección de ruta sobrevive sin acceso a gradientes del objetivo. La clasificación de la Fase 1 es reproducible a partir de especificaciones públicas de modelos (conteos de FLOPs).
• Rendimiento: Utilizando modelos sustitutos (YOLOv5m) para atacar objetivos (YOLOv5l, YOLOv8n), AESOP logra una amplificación de FLOPs de 3.6× a 58.3×.
• Perspectiva: Un detector más rápido y barato no es necesariamente más robusto; a menudo tiene un costo base más bajo, dejando más "margen" para que un atacante infla el costo.

Contribución por Componente (Ablación)

• Selección de Ruta vs. Perturbación: La contribución de la Fase 1 (selección de ruta) varía según la alineación entre el sesgo de clase natural del detector y la clase vulnerable a la ruta.
  • En Conservación de Vida Silvestre, donde el detector favorece naturalmente la clase costosa "Elefante", eliminar la selección de ruta solo reduce la amplificación en un 6% (la Fase 2 por sí sola recupera el 94%).
  • En Monitoreo de Tráfico, donde el detector favorece la clase barata "Persona" pero la ruta costosa "Coche" es el objetivo, eliminar la selección de ruta reduce la amplificación en un 58%.
• Conclusión: La selección de ruta es el primitivo algorítmico crítico que los ataques de modelo único carecen estructuralmente.

Despliegue Realista de Producción y Defensas

Los autores evaluaron AESOP contra un pipeline de tráfico realista de producción que incluía almacenamiento en búfer acotado, inferencia por lotes y umbrales de confianza.

• Colapso del Rendimiento: Sin defensas, los ataques sostenidos reducen el rendimiento de 0.578 entradas/s a 0.006 entradas/s (una reducción de 96×).
• Fallo de las Defensas:
  • Umbral de Confianza y Agrupación en Lotes: Proporcionan una recuperación insignificante. La agrupación en lotes amortiza la sobrecarga por llamada pero no reduce el cómputo total; los umbrales de confianza fallan porque AESOP genera detecciones de alta confianza por diseño.
  • Almacenamiento en Búfer Acotado: Restaura el rendimiento (a ~0.3–0.4 entradas/s) pero solo silenciando y descartando el 96.7% de las detecciones. El ataque no se neutraliza, sino que se redirige del agotamiento computacional a la pérdida de datos.
  • Preprocesamiento de Entrada (Ruido/Suavizado): Reduce la ganancia pero no elimina el mecanismo; la carga de trabajo de LPR permanece 4–6× por encima de la línea base.
  • Filtrado Basado en ML (SVM): Falla de forma bimodal en ratios de ataque bajos y se degrada al rendimiento de "sin defensa" en ratios altos.

5. Significado y Afirmaciones

El artículo afirma que la vulnerabilidad es estructural y reside en la capa de enrutamiento entre módulos, una capa donde las defensas actuales a nivel de modelo no tienen visibilidad.

• Punto Ciego Estructural: Las defensas existentes operan sobre preprocesamiento a nivel de imagen o programación a nivel de sistema, pero fallan en observar o restringir cómo se enruta la carga de trabajo entre módulos.
• Impacto Operativo: El ataque fuerza una compensación: los sistemas deben elegir entre un colapso del rendimiento o mantener el rendimiento sacrificando la cobertura de detección (pérdida silenciosa de datos).
• Dirección Futura: Una mitigación efectiva requiere mecanismos conscientes del enrutamiento (por ejemplo, presupuestos de carga de trabajo por ruta, detección de anomalías en las distribuciones de utilización de rutas o enrutamiento acotado por confianza) que actualmente no están expuestos por los marcos de pipeline estándar. Los autores enfatizan que tratar la carga de trabajo por ruta como una cantidad operativa de primera clase es necesario para la defensa.

El artículo concluye que, aunque el ataque es poderoso, su contribución principal es exponer una vulnerabilidad sistémica en la arquitectura de los pipelines modernos de aprendizaje automático que ha sido pasada por alto por la investigación de seguridad de modelos individuales.