🤖 machine learning

AESOP: Adversarial Execution-path Selection to Overload Deep Learning Pipelines

यह शोध पत्र AESOP को प्रस्तुत करता है, जो डीप लर्निंग इन्फरेंस पाइपलाइनों की गतिशील संरचना का लाभ उठाकर रणनीतिक रूप से निष्पादन पथों (execution paths) का चयन करके सिस्टम संसाधनों को ओवरलोड करता है, जिससे सिंगल-मॉडल हमलों की तुलना में काफी अधिक कंप्यूटेशनल और लेटेंसी इन्फ्लेशन प्राप्त होता है और संरक्षकों को थ्रूपुट पतन या भारी डेटा हानि में से किसी एक को चुनने के लिए मजबूर करता है।

मूल लेखक: Tingxi Li, Mingfang Ji, Ravishka Shemal Rathnasuriya, Simin Chen, Yitao Hu, Wei Yang

प्रकाशित 2026-05-13

📖 5 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Tingxi Li, Mingfang Ji, Ravishka Shemal Rathnasuriya, Simin Chen, Yitao Hu, Wei Yang

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

एक आधुनिक मशीन लर्निंग सिस्टम की कल्पना एक एकल, विशाल मस्तिष्क के रूप में नहीं, बल्कि एक अत्यधिक संगठित फैक्ट्री असेंबली लाइन के रूप में करें।

इस फैक्ट्री में, एक उत्पाद (जैसे कि सड़क का एक वीडियो फ्रेम) शुरुआत में प्रवेश करता है। इसे एक "सुरक्षा गार्ड" (एक मॉडल जो वस्तुओं का पता लगाता है) द्वारा जांचा जाता है। गार्ड जो देखता है, उसके आधार पर उत्पाद को अलग-अलग कन्वेयर बेल्ट पर भेजा जाता है:

यदि वह एक व्यक्ति देखता है, तो उसे "फेस आईडी" स्टेशन पर भेजा जाता है।
यदि वह एक कार देखता है, तो उसे "लाइसेंस प्लेट रीडर" स्टेशन पर भेजा जाता है।
यदि वह कुछ भी नहीं देखता, तो वह सीधे निकास (exit) की ओर चला जाता है।

प्रत्येक स्टेशन अपना काम करने में अलग-अलग समय और ऊर्जा लेता है। "लाइसेंस प्लेट रीडर" एक धीमा, भारी-भरकम मशीन है, जबकि "फेस आईडी" स्टेशन तेज़ है। सिस्टम को कुशल बनाने के लिए डिज़ाइन किया गया है, ताकि केवल तभी भारी मशीनों को आइटम भेजे जाएं जब वास्तव में आवश्यक हो।

समस्या: "स्मार्ट" साबोतिर (Saboteur)

यह पेपर एक नए प्रकार के हमले का परिचय देता है जिसे AESOP कहा जाता है।

पारंपरिक हैकर्स एक एकल मशीन को अधिक मेहनत करने के लिए धोखा देने की कोशिश करते हैं (जैसे कि सुरक्षा गार्ड को एक धुंधली छवि दिखाकर उसे थका देना)। लेकिन AESOP अधिक स्मार्ट है। यह केवल एक मशीन को अधिक मेहनत करने के लिए मजबूर करने की कोशिश नहीं करता; यह फैक्ट्री मैनेजर को यह विश्वास दिलाने की कोशिश करता है कि हर एक आइटम को सबसे धीमी, सबसे महंगी कन्वेयर बेल्ट पर भेजा जाए।

इसे एक ट्रैफिक जाम की तरह समझें।

पुराने हमले: एक कार को धीरे चलाने की कोशिश करना।
AESOP: ट्रैफिक लाइट सिस्टम को यह समझाने की कोशिश करना कि हर कार एक वीआईपी (VIP) है जिसे उस एकल-लेन वाले सबसे धीमे पुल से गुजरना चाहिए, भले ही वहां तेज़ हाईवे उपलब्ध हों।

AESOP कैसे काम करता है (दो-चरणीय योजना)

शोधकर्ताओं ने दो मुख्य चरणों वाला एक ढांचा बनाया है:

मैपमेकर (पथ रैंकिंग - Path Ranking): सबसे पहले, हमलावर फैक्ट्री के ब्लूप्रिंट का अध्ययन करता है। वे गणना करते हैं कि प्रत्येक संभावित मार्ग में कितना समय और ऊर्जा लगती है। वे "गोल्डन पाथ" (Golden Path) की पहचान करते हैं—वह मार्ग जो सबसे महंगी मशीनों को जोड़ता है। अपने परीक्षणों में, उन्होंने पाया कि "लाइसेंस प्लेट" वाला मार्ग "फेस आईडी" मार्ग की तुलना में लगभग 32 गुना अधिक महंगा था।
ट्रिकस्टर (अनुकूली विरूपण - Adaptive Perturbation): एक बार जब उन्हें "गोल्डन पाथ" का पता चल जाता है, तो वे इनपुट इमेज में एक सूक्ष्म, लगभग अदृश्य बदलाव (perturbation) पैदा करते हैं। यह बदलाव शुरुआती सुरक्षा गार्ड को यह विश्वास दिलाने के लिए बनाया गया है कि, "ओह, यह निश्चित रूप से लाइसेंस प्लेट वाली कार है!" भले ही वह केवल एक व्यक्ति या कोई यादृच्छिक वस्तु हो।

परिणाम? फैक्ट्री बिना सोचे-समझे हजारों आइटम्स को उस धीमी, महंगी राह पर भेज देती है, जिससे सिस्टम जाम हो जाता है।

परिणाम: एक विशाल ओवरलोड

पेपर ने पांच अलग-अलग "फैक्ट्रियों" (पाइपलाइनों) पर इसका परीक्षण किया, जिनमें ट्रैफिक मॉनिटरिंग, वन्यजीव संरक्षण और आपातकालीन अलर्ट सिस्टम शामिल हैं।

अंतर (The Gap): जब उन्होंने केवल एक मशीन पर हमला करने की कोशिश की (पुराना तरीका), तो वे सिस्टम को 117 गुना अधिक कठिन काम करा सके। लेकिन जब उन्होंने पूरे सिस्टम को गलत रास्ते पर धकेलने के लिए AESOP का उपयोग किया, तो उन्होंने इसे 2,407 गुना अधिक कठिन काम कराया। सही पथ चुनने के कारण यह 20 गुना का अंतर है।
वास्तविक दुनिया का प्रभाव: एक ट्रैफिक मॉनिटरिंग सिस्टम में, एक सामान्य फ्रेम को प्रोसेस करने में 45 मिलीसेकंड लगते हैं। AESOP हमले के तहत, इसमें 13.6 सेकंड लगे। सिस्टम क्रैश नहीं हुआ; यह बस इतना धीमा हो गया कि इसने पूरी तरह से काम करना बंद कर दिया, जिससे गुजरने वाली 96% कारें छूट गईं।

बचाव विफल क्यों हुए?

शोधकर्ताओं ने इस हमले को रोकने के लिए मानक सुरक्षा उपायों का उपयोग करके इसे रोकने की कोशिश की, जैसे कि:

कॉन्फिडेंस थ्रेशोल्ड (Confidence Thresholds): "केवल तभी प्रोसेस करें यदि आप 90% सुनिश्चित हों।" (यह विफल रहा क्योंकि AESOP सिस्टम को यह विश्वास दिलाने में सफल रहा कि वह एक कार के बारे में बहुत आश्वस्त है)।
बैचिंग (Batching): "समय बचाने के लिए वस्तुओं को समूहों में प्रोसेस करें।" (यह भी विफल रहा क्योंकि प्रोसेस किए जाने वाले वस्तुओं की कुल संख्या अभी भी बहुत अधिक थी)।
बफरिंग (Buffering): "यदि लाइन बहुत लंबी हो जाती है, तो अतिरिक्त आइटम्स को छोड़ दें।" (यह एक अजीब तरीके से "काम" कर गया: सिस्टम ने अपनी गति बनाए रखने के लिए 96.7% डेटा को चुपचाप छोड़ दिया। डैशबोर्ड ठीक दिख रहा था, लेकिन सिस्टम अंधा हो गया था)।

बड़ा सबक

पेपर निष्कर्ष निकालता है कि भेद्यता (vulnerability) व्यक्तिगत मशीनों (मॉडल्स) में नहीं है; यह रूटिंग लॉजिक (डेटा को कहाँ भेजना है इसका निर्णय) में है।

वर्तमान बचाव उपाय आइटम्स (इमेज) को देखते हैं कि क्या वे खराब हैं। लेकिन AESOP प्रवाह (फ्लो/पाथ) पर हमला करता है। यह सुरक्षा गार्ड द्वारा हर व्यक्ति का आईडी चेक करने जैसा है, लेकिन वह यह देखने में विफल रहता है कि गार्ड को सबको एग्जिट के बजाय वीआईपी लाउंज में भेजने के लिए मूर्ख बनाया गया है।

इसे ठीक करने के लिए, लेखक सुझाव देते हैं कि हमें "रूटिंग-अवेयर" (routing-aware) बचाव की आवश्यकता है—ऐसे सिस्टम जो कह सकें, "रुको, आप एक सेकंड में लाइसेंस प्लेट रीडर को 1,000 कारें भेज रहे हैं? यह सामान्य नहीं है। लाइन रोक दो।" वर्तमान में, अधिकांश AI सिस्टम में इस तरह की निगरानी नहीं है।

तकनीकी सारांश: AESOP

समस्या विवरण (Problem Statement)

आधुनिक मशीन लर्निंग डिप्लॉयमेंट तेजी से विशिष्ट मॉडलों से बने डायनेमिक इन्फरेंस पाइपलाइनों पर निर्भर होते हैं, जो प्रोड्यूसर-कंज्यूमर डेटाफ्लो के माध्यम से जुड़े होते हैं। मोनोलिथिक मॉडलों के विपरीत, ये पाइपलाइनें एग्जीक्यूशन-पाथ डिपेंडेंसी (execution-path dependency) प्रदर्शित करती हैं: इनपुट को प्रोसेस करने की कम्प्यूटेशनल लागत केवल व्यक्तिगत घटकों की प्रति-इन्फरेंस लागत द्वारा निर्धारित नहीं होती है, बल्कि सक्रिय किए गए घटकों के विशिष्ट अनुक्रम (एग्जीक्यूशन पाथ) द्वारा निर्धारित होती है।

पेपर एक महत्वपूर्ण दक्षता-हमले की सतह (efficiency-attack surface) की पहचान करता है: एडवर्सरियल एग्जीक्यूशन-पाथ सिलेक्शन (Adversarial Execution-path Selection)। जबकि मौजूदा एडवर्सरियल हमले एकल मॉडल की दक्षता को लक्षित करते हैं (जैसे, नॉन-मैक्सिमम सुप्रेसर सर्वाइवर्स को बढ़ाना या अर्ली एग्जिट को रोकना), वे पाइपलाइन के रूटिंग लॉजिक को ध्यान में रखने में विफल रहते हैं। एक हमलावर जो इनपुट को सबसे अधिक कम्प्यूटेशनल रूप से गहन एग्जीक्यूशन पाथ की ओर मोड़ सकता है, वह एक ऐसा वर्स्ट-केस कॉस्ट सिनेरियो उत्पन्न कर सकता है जिसे सिंगल-मॉडल हमले प्राप्त नहीं कर सकते। लेखक इसे एडवर्सरियल पाथ-सिलेक्शन समस्या के रूप में औपचारिक रूप देते हैं, जहाँ लक्ष्य एक अनुकूलतम पाथ $\pi^*$ का चयन करके और उस पाथ के लिए अनुकूलित (conditioned) एक पर्टर्बेशन $\delta$ उत्पन्न करके कुल पाइपलाइन लागत $C(S, x)$ को अधिकतम करना है।

कार्यप्रणाली: AESOP फ्रेमवर्क (Methodology: AESOP Framework)

लेखक AESOP (Adversarial Execution-path Selection to Overload Deep Learning Pipelines) प्रस्तुत करते हैं, जो एडवर्सरियल पाथ-सिलेक्शन समस्या को हल करने के लिए डिज़ाइन किया गया एक दो-चरणीय फ्रेमवर्क है।

चरण 1: वल्नरेबिलिटी-गाइडेड पाथ रैंकिंग (Vulnerability-Guided Path Ranking)

यह चरण हमले के उद्देश्य के बाहरी मैक्सिमाइजेशन (outer maximization) को संबोधित करता है: यह पहचानना कि कौन सा एग्जीक्यूशन पाथ उच्चतम लागत वृद्धि (cost amplification) प्रदान करता है।

प्रोफाइलिंग (Profiling): फ्रेमवर्क पाइपलाइन में प्रत्येक घटक $v$ को प्रोफाइल करता है ताकि तीन इनपुट-डिपेंडेंट मात्राओं का निर्धारण किया जा सके: प्रति-इन्फरेंस लागत ( $c_v$ ), आउटपुट कार्डिनैलिटी ( $o_v$ ), और गेटिंग व्यवहार ( $g_v$ )। ग्रे-बॉक्स सेटिंग्स में, डाउनस्ट्रीम फॉरवर्ड किया गया कुल वर्कलोड ( $g_v(o_v)$ ) इनपुट/आउटपुट व्यवहार से अनुमानित किया जाता है।
घटक वल्नरेबिलिटी स्कोरिंग (Component Vulnerability Scoring): प्रत्येक घटक के लिए, वल्नरेबिलिटी स्कोर को क्लीन इनपुट के सापेक्ष एडवर्सरियल इनपुट के तहत लागत के मल्टीप्लिकेटिव एम्प्लीफिकेशन के रूप में गणना किया जाता है:
$\text{Vul-Score}(v) = \frac{C_{\text{adv}}(v, x+\delta)}{C(v, x)} - 1$
पाथ वल्नरेबिलिटी एग्रीगेशन (Path Vulnerability Aggregation): एक पाथ $\pi_i$ का वल्नरेबिलिटी स्कोर उसके घटकों के स्कोर का योग है। लेखक यहाँ मैक्सिमम के बजाय समेशन (summation) का उपयोग करते हैं क्योंकि पाइपलाइन की लागत कैस्केड होती है; एक अपस्ट्रीम नोड पर बढ़ी हुई आउटपुट, उस पाथ पर मौजूद सभी डाउनस्ट्रीम नोड्स को कार्य (work) प्रसारित करती है।
पाथ चयन (Path Selection): वह पाथ $\pi^*$ जिसका कुल एग्रीगेटेड वल्नरेबिलिटी स्कोर सबसे अधिक है, उसे लक्ष्य के रूप में चुना जाता है।

चरण 2: एडेप्टिव लॉस वेटिंग (Adaptive Loss Weighting)

यह चरण आंतरिक मैक्सिमाइजेशन (inner maximization) को संबोधित करता: चयनित पाथ $\pi^*$ के साथ लागत को अधिकतम करने के लिए एक पर्टर्बेशन $\delta$ उत्पन्न करना।

वल्नरेबिलिटी-वेटेड ऑब्जेक्टिव (Vulnerability-Weighted Objective): सभी घटकों को समान मानने के बजाय, AESOP एक पाथ-कंडीशन्ड लॉस फंक्शन बनाता है जहाँ प्रत्येक घटक के लॉस टर्म का वेट उसके पाथ के कुल वल्नरेबिलिटी स्कोर में उसके योगदान के समानुपाती होता है:
$L_{\text{total}} = \sum_{v \in \pi^*} \frac{\text{Vul-Score}(v)}{\text{Vul-Score}(\pi^*)} \cdot L_v$
बैकएंड एगोस्टिकिज्म (Backend Agnosticism): फ्रेमवर्क विशिष्ट पर्टर्बेशन मैकेनिज्म से स्वतंत्र (decoupled) है। किसी भी मौजूदा सिंगल-मॉडल एफिशिएंसी अटैक (जैसे, आउटपुट इन्फ्लेशन, EOS-डिली, अर्ली-एग्जिट सप्रेशन) को बैकएंड $L_v$ के रूप में उपयोग किया जा सकता है। AESOP सिस्टम-लेवल का निर्णय (पाथ सिलेक्शन) प्रदान करता है जिसकी संरचनात्मक रूप से कमी सिंगल-मॉडल हमलों में होती है।

मुख्य योगदान (Key Contributions)

एडवर्सरियल पाथ सिलेक्शन का औपकीकरण (Formalization of Adversarial Path Selection): पेपर ने पहचान की है कि एग्जीक्यूशन-पाथ एक्टिवेशन, पर्टर्बेशन स्ट्रेंथ के बजाय, डायनेमिक डीप लर्निंग पाइपलाइनों की दक्षता पर हमला करने वाला प्रमुख लीवर है।
AESOP फ्रेमवर्क: पहला पाथ-अवेयर एफिशिएंसी-अटैक फ्रेमवर्क जो वल्नरेबिलिटी-गाइडेड पाथ रैंकिंग को एडेप्टिव लॉस वेटिंग के साथ जोड़ता है। यह मॉड्यूलर है, जिससे किसी भी सिंगल-मॉडल पर्टर्बेशन बैकएंड के साथ एकीकरण संभव है।
व्यापक मूल्यांकन: फ्रेमवर्क का मूल्यांकन पांच विविध पाइपलाइनों (ट्रैफिक मॉनिटरिंग, वाइल्डलाइफ कंजर्वेशन, स्मार्ट-होम अलर्टिंग, एक्सप्रेसवे सर्विलांस, और एम्बर अलर्ट जनरेशन) और एक प्रोडक्शन-रियलिस्टिक डिप्लॉयमेंट वेरिएंट (जिसमें बैचिंग, बाउंडेड बफरिंग और कॉन्फिडेंस थ्रेशोल्ड शामिल हैं) पर किया गया है।

प्रयोगात्मक परिणाम (Experimental Results)

मूल्यांकन दर्शाता है कि पाथ-अवेयर टारगेटिंग, समान पर्टर्बेशन बजट और इनपुट के बावजूद, सिंगल-मॉडल बेसलाइन्स की तुलना में काफी बेहतर प्रदर्शन करती है।

व्हाइट-बॉक्स प्रभावशीलता (White-Box Effectiveness): AESOP एक्सप्रेसवे सर्विलांस पाइपलाइन पर 2,407× FLOPs इन्फ्लेशन और 419× लेटेंसी इन्फ्लेशन प्राप्त करता है। यह सबसे मजबूत सिंगल-मॉडल बेसलाइन (जिसने 117× FLOPs इन्फ्लेशन प्राप्त किया था) पर 20× का अंतर है। यह अंतर पाइपलाइन के एग्जीक्यूशन पाथों की विषमता (asymmetry) के साथ सह-संबंधित है; अत्यधिक विषम पाइपलाइनों (जैसे, वाइल्डलाइफ कंजर्वेशन) में, यह लाभ सबसे अधिक स्पष्ट है।
ग्रे-बॉक्स ट्रांसफ़रेबिलिटी (Gray-Box Transferability): पाथ-सिलेक्शन मैकेनिज्म बिना टारगेट के ग्रेडिएंट एक्सेस के भी काम करता है। फेज 1 के लिए सार्वजनिक मॉडल स्पेसिफिकेशन और फेज 2 के लिए सरोगेट मॉडल्स का उपयोग करके, AESOP विभिन्न टारगेट आर्किटेक्चर (YOLOv5l और YOLOv8n) में 3.6× से 58.3× FLOPs इन्फ्लेशन प्राप्त करता है।
एब्लेशन स्टडीज (Ablation Studies): पाथ-सिलेक्शन घटक (फेज 1) को हटाने से हमले की प्रभावकारिता काफी कम हो जाती है, विशेष रूप से तब जब डिटेक्टर का प्राकृतिक क्लास बायस (class bias) सबसे महंगे पाथ के विपरीत हो। ट्रैफिक मॉनिटरिंग पाइपलाइन में, पाथ सिलेक्शन हटाने से FLOPs एम्प्लीफिकेशन 983× से घटकर 412× रह गया।
सिस्टम-लेवल डिफेंस (System-Level Defenses): प्रोडक्शन-रियलिस्टिक डिफेंस (कॉन्फिडेंस थ्रेशोल्डिंग, बैचिंग, बाउंडेड बफरिंग, इनपुट प्रीप्रोसेसिंग, और SVM फिल्टरिंग) के तहत, हमला निष्प्रभावी नहीं होता बल्कि रीडायरेक्ट (redirect) हो जाता है:
- कॉन्फिडेंस थ्रेशोल्डिंग और बैचिंग: नगण्य रिकवरी प्रदान करते हैं; थ्रूपुट ध्वस्त रहता है।
- बाउंडेड बफरिंग: केवल 96.7% डिटेक्शन्स को चुपचाप ड्रॉप करके थ्रूपुट को बहाल करती है (~क्लीन लेवल के 50-69% तक)। यह अंडरलिंग रूटिंग वल्नरेबिलिटी को संबोधित करने के बजाय कंप्यूट एग्जॉशन को डेटा लॉस में बदल देता है।
- इनपुट प्रीप्रोसेसिंग: हमले की तीव्रता को कम करती है लेकिन अवशिष्ट वर्कलोड (बेसलाइन से 4–6× अधिक) छोड़ देती है क्योंकि यह रूटिंग लॉजिक को नहीं बदलती है।
- ML-आधारित फ़िल्टरिंग: कम अटैक रेश्यो पर बाइनरी (bimodal) तरीके से विफल होती है और उच्च रेश्यो पर नो-डिफेंस परफॉरमेंस तक गिर जाती है।

महत्व और दावे (Significance and Claims)

पेपर का दावा है कि यह वल्नरेबिलिटी डायनेमिक डीप लर्निंग पाइपलाइनों के लिए स्ट्रक्चरल (structural) है। हमला रूटिंग लेयर पर काम करता है, जो वर्तमान मॉडल-लेवल डिफेंस (जो इनपुट इंटीग्रिटी या व्यक्तिगत मजबूती पर ध्यान केंद्रित करते हैं) के लिए अदृश्य है।

लेखक तर्क देते हैं कि:

पाथ सिलेक्शन एक फर्स्ट-क्लास एडवर्सरियल प्रिमिटिव है। मौजूदा हमले पाइपलाइनों में वैश्विक रूप से विफल होते हैं क्योंकि वे पहले से ही एक टारगेट मॉडल को फिक्स कर देते हैं, यह अनदेखा करते हुए कि लागत इस बात से निर्धारित होती है कि इनपुट को कहाँ रूट किया जा रहा है।
वर्तमान डिफेंस अपर्याप्त हैं। इमेज-लेवल (प्रीप्रोसेसिंग) या शेड्यूलिंग लेवल (बफरिंग/बैचिंग) पर काम करने वाले डिफेंस रूटिंग निर्णय को नियंत्रित करने में विफल रहते हैं। वे या तो हमले को रोकने में विफल होते हैं या सिस्टम उपयोगिता (जैसे, 96% वैध डेटा को ड्रॉप करना) की बलि देकर इसे कम करते हैं।
भविष्य के शमन (mitigation) के लिए रूटिंग-अवेयर तंत्र की आवश्यकता है। लेखक सुझाव देते हैं कि प्रभावी डिफेंस के लिए प्रति-पाथ वर्कलोड को एक फर्स्ट-क्लास ऑपरेशनल मात्रा के रूप में मानना आवश्यक है, जो संभावित रूप से प्रति-पाथ वर्कलोड बजट, पाथ यूटिलाइजेशन पर डिस्ट्रिब्यूशनल एनोमली डिटेक्शन, या ट्रस्ट-बाउंडेड रूटिंग निर्णयों के माध्यम से किया जा सकता है—ऐसी क्षमताएं जो वर्तमान पाइपलाइन फ्रेमवर्क में अनुपस्थित हैं।

यह कार्य तत्काल तैनाती के उपकरण के बजाय, अधिक मजबूत, रूटिंग-अवेयर पाइपलाइन फ्रेमवर्क के डिजाइन को सूचित करने के लिए एक सिस्टमेटिक जोखिम के एक्सपोजर के रूप में प्रस्तुत किया गया है।