Résumé technique : AESOP : Sélection de chemin d'exécution adversaire pour surcharger les pipelines d'apprentissage profond

1. Énoncé du problème

Les déploiements modernes d'apprentissage automatique reposent de plus en plus sur des pipelines d'inférence multi-modèles plutôt que sur des modèles monolithiques. Dans ces systèmes, des modèles spécialisés sont connectés via des flux de données de type producteur-consommateur où les composants en amont génèrent des prédictions intermédiaires qui déterminent la charge de travail et le routage des composants en aval.

La vulnérabilité centrale identifiée est que le coût computationnel du traitement d'une entrée dans de tels pipelines n'est pas déterminé uniquement par le coût par inférence des modèles individuels, mais par deux facteurs couplés :

1. Le coût par inférence de chaque composant invoqué.
2. Le volume de charge de travail (cardinalité de la sortie) transmis aux composants en aval.

Étant donné que ces pipelines fonctionnent souvent sous des contraintes temps réel strictes, l'efficacité est un déterminant de la disponibilité du système. Les attaques adverses existantes visent des modèles uniques (par exemple, gonfler les survivants de la suppression Non-Maximum ou retarder les jetons de fin de séquence) mais ne tiennent pas compte du chemin d'exécution activé par une entrée. Un adversaire capable de diriger les entrées vers le chemin d'exécution le plus coûteux en calcul peut induire des coûts au pire cas que les attaques sur modèle unique ne peuvent atteindre. L'article formalise cela comme le problème de sélection de chemin adversaire : choisir quel chemin d'exécution attaquer constitue un levier distinct et dominant pour la dégradation de l'efficacité, séparé de la force de la perturbation elle-même.

2. Méthodologie : Cadre AESOP

Les auteurs proposent AESOP (Sélection de chemin d'exécution adversaire pour surcharger les pipelines d'apprentissage profond), un cadre qui décompose l'attaque en deux phases coordonnées :

Phase 1 : Classement des chemins guidé par la vulnérabilité

Cette phase traite de la « maximisation externe » du problème d'attaque : identifier quel chemin d'exécution $\pi^*$ produit l'amplification de coût la plus élevée.

• Profilage : Le système profile trois comportements dépendants de l'entrée pour chaque composant $v$ : le coût par inférence ($c_v$), la cardinalité de la sortie ($o_v$) et le comportement de filtrage ($g_v$).
• Score de vulnérabilité du composant : Un score est calculé représentant l'amplification multiplicative du coût sous une entrée adversaire par rapport à une entrée propre : $Vul\text{-}Score(v) = \frac{C_{adv}(v)}{C(v)} - 1$.
• Agrégation de la vulnérabilité du chemin : Les scores des composants le long d'un chemin sont sommés (plutôt que maximisés) car les coûts du pipeline s'accumulent ; une sortie gonflée à un stade propage la charge de travail à tous les stades en aval.
• Sélection : Le chemin ayant le score de vulnérabilité agrégé le plus élevé est sélectionné comme cible $\pi^*$. Cette étape repose sur des données de profilage et est applicable dans des contextes boîte blanche et boîte grise (en utilisant des spécifications de modèles publiques).

Phase 2 : Pondération adaptative de la fonction de perte

Cette phase traite de la « maximisation interne » : générer une perturbation $\delta$ pour maximiser le coût du chemin sélectionné $\pi^*$.

• Objectif pondéré par la vulnérabilité : Au lieu de traiter tous les composants de manière égale, la fonction de perte est une somme pondérée des pertes des composants. Les poids sont déterminés par la contribution relative de chaque composant au score de vulnérabilité total du chemin.
• Backend découplé : AESOP agit comme un orchestrateur au niveau du système. Il ne prescrit pas de mécanisme de perturbation spécifique mais fournit une interface pour n'importe quelle attaque existante sur modèle unique visant l'efficacité (par exemple, gonflement de sortie, retard EOS) pour servir de backend. Le cadre adapte la pondération de la perte à la topologie spécifique et à la structure de coûts du pipeline cible.

3. Contributions clés

• Formalisation de la sélection de chemin adversaire : L'article identifie l'activation du chemin d'exécution comme le levier dominant pour attaquer l'efficacité du pipeline, distinct de la force de la perturbation.
• Le cadre AESOP : Le premier cadre d'attaque visant l'efficacité qui résout le problème de sélection de chemin en combinant un classement de chemins guidé par la vulnérabilité avec une pondération adaptative de la fonction de perte. Il est séparable du backend de perturbation, lui permettant de tirer parti de n'importe quelle technique d'attaque sur modèle unique.
• Évaluation au niveau du système : Évaluation sur cinq pipelines divers (surveillance du trafic, conservation de la faune, alertes domotiques, surveillance d'autoroute et génération d'alertes Amber) et une variante réaliste de production avec mise en lot et tamponnage borné.

4. Résultats expérimentaux

Efficacité en boîte blanche

• Amplification : AESOP atteint jusqu'à 2 407× d'inflation des FLOPs et 419× d'inflation de la latence dans des configurations boîte blanche.
• Comparaison : Sur des entrées et des budgets identiques, la base de référence la plus forte sur modèle unique (par exemple, Overload, Phantom Sponges, SlowTrack) atteint un maximum de 117× FLOPs. AESOP surpasse ces bases de référence d'un facteur de 3,2× à 117×, selon l'asymétrie des chemins du pipeline.
• Mécanisme : L'écart est attribué entièrement à la sélection de chemin. Par exemple, dans le pipeline de conservation de la faune, viser le chemin « Éléphant » (qui sort du filtre et déclenche un classifieur lourd) produit une amplification massive, tandis que les attaques aveugles au chemin visant des classes communes échouent à atteindre la branche coûteuse.

Transférabilité en boîte grise

• Survie : Le mécanisme de sélection de chemin survit sans accès aux gradients de la cible. Le classement de la Phase 1 est reproductible à partir de spécifications de modèles publiques (comptages FLOPs).
• Performance : En utilisant des modèles de substitution (YOLOv5m) pour attaquer des cibles (YOLOv5l, YOLOv8n), AESOP atteint 3,6× à 58,3× d'amplification des FLOPs.
• Insight : Un détecteur plus rapide et moins cher n'est pas nécessairement plus robuste ; il a souvent un coût de base plus faible, laissant plus de « marge » pour qu'un attaquant gonfle la charge.

Contribution par composant (Ablation)

• Sélection de chemin vs Perturbation : La contribution de la Phase 1 (sélection de chemin) varie en fonction de l'alignement entre le biais de classe naturel du détecteur et la classe vulnérable du chemin.
  • Dans la conservation de la faune, où le détectant favorise naturellement la classe coûteuse « Éléphant », supprimer la sélection de chemin ne réduit l'amplification que de 6 % (la Phase 2 seule récupère 94 %).
  • Dans la surveillance du trafic, où le détecteur favorise la classe bon marché « Personne » mais où le chemin coûteux « Voiture » est la cible, supprimer la sélection de chemin réduit l'amplification de 58 %.
• Conclusion : La sélection de chemin est le primitif algorithmique critique dont les attaques sur modèle unique manquent structurellement.

Déploiement réaliste de production et défenses

Les auteurs ont évalué AESOP contre un pipeline de trafic réaliste de production comportant un tamponnage borné, une inférence par lots et des seuils de confiance.

• Effondrement du débit : Sans défenses, des attaques soutenues font chuter le débit de 0,578 entrées/s à 0,006 entrées/s (une réduction de 96×).
• Échec des défenses :
  • Seuillage de confiance et mise en lot : Apportent une récupération négligeable. La mise en lot amortit les frais généraux par appel mais ne réduit pas le calcul total ; les seuils de confiance échouent car AESOP génère des détections à haute confiance par conception.
  • Tamponnage borné : Restaure le débit (à ~0,3–0,4 entrées/s) mais uniquement en silencieusement rejetant 96,7 % des détections. L'attaque n'est pas neutralisée mais redirigée de l'épuisement des ressources de calcul vers la perte de données.
  • Prétraitement des entrées (Bruit/Lissage) : Réduit le gain mais n'élimine pas le mécanisme ; la charge de travail LPR reste 4 à 6 fois supérieure à la base.
  • Filtrage basé sur le ML (SVM) : Échoue de manière bimodale à de faibles ratios d'attaque et se dégrade jusqu'à une performance sans défense à des ratios élevés.

5. Signification et affirmations

L'article affirme que la vulnérabilité est structurelle et réside dans la couche de routage entre les modules, une couche où les défenses actuelles au niveau du modèle n'ont aucune visibilité.

• Point aveugle structurel : Les défenses existantes opèrent sur le prétraitement au niveau de l'image ou la planification au niveau du système, mais échouent à observer ou contraindre comment la charge de travail est routée entre les modules.
• Impact opérationnel : L'attaque force un compromis : les systèmes doivent choisir entre un effondrement du débit ou le maintien du débit en sacrifiant la couverture de détection (perte silencieuse de données).
• Direction future : Une atténuation efficace nécessite des mécanismes conscients du routage (par exemple, budgets de charge de travail par chemin, détection d'anomalies sur les distributions d'utilisation des chemins, ou routage à confiance bornée) qui ne sont actuellement pas exposés par les frameworks de pipeline standard. Les auteurs soulignent que traiter la charge de travail par chemin comme une quantité opérationnelle de premier ordre est nécessaire pour la défense.

L'article conclut que, bien que l'attaque soit puissante, sa contribution principale est de révéler une vulnérabilité systémique dans l'architecture des pipelines modernes d'apprentissage automatique qui a été négligée par la recherche en sécurité sur modèle unique.