기술 요약: AESOP: 딥러닝 파이프라인 과부하를 위한 적대적 실행 경로 선택

1. 문제 제기

현대 머신러닝 배포는 단일 모델이 아닌 다중 모델 추론 파이프라인에 점점 더 의존하고 있습니다. 이러한 시스템에서는 전문화된 모델들이 생산자 - 소비자 데이터 흐름을 통해 연결되며, 상위 구성 요소들이 생성한 중간 예측이 하위 구성 요소들의 작업량과 라우팅을 결정합니다.

발견된 핵심 취약점은 이러한 파이프라인에서 입력을 처리하는 계산 비용이 개별 모델의 추론당 비용만으로 결정되는 것이 아니라, 두 가지 결합된 요인에 의해 결정된다는 것입니다:

1. 호출된 각 구성 요소의 추론당 비용.
2. 하위 구성 요소로 전달되는 작업량 규모(출력 카디널리티).

이러한 파이프라인은 종종 엄격한 실시간 제약 조건 하에서 작동하므로, 효율성은 시스템 가용성을 결정하는 요소입니다. 기존 적대적 공격은 단일 모델을 대상으로 합니다 (예: 비최대 억제 (Non-Maximum Suppression) 생존자 수를 인위적으로 늘리거나 시퀀스 종료 (End-of-Sequence) 토큰을 지연시키는 것) 하지만, 입력이 활성화하는 실행 경로를 고려하지 못합니다. 공격자가 입력을 가장 계산 집약적인 경로로 유도할 수 있다면, 단일 모델 공격으로는 달성할 수 없는 최악의 비용을 유발할 수 있습니다. 본 논문은 이를 적대적 경로 선택 문제로 공식화합니다: 어떤 실행 경로를 공격할지 선택하는 것은 교란 (perturbation) 자체의 강도와는 별개이며 지배적인 레버 (lever) 입니다.

2. 방법론: AESOP 프레임워크

저자들은 AESOP(딥러닝 파이프라인 과부하를 위한 적대적 실행 경로 선택) 을 제안합니다. 이는 공격을 두 가지 조정된 단계로 분해하는 프레임워크입니다:

1 단계: 취약점 기반 경로 순위 매기기

이 단계는 공격 문제의 "외부 최대화"를 다룹니다: 어떤 실행 경로 $\pi^*$가 가장 높은 비용 증폭을 생성하는지 식별합니다.

• 프로파일링: 시스템은 각 구성 요소 $v$에 대해 세 가지 입력 의존적 행동을 프로파일링합니다: 추론당 비용 ($c_v$), 출력 카디널리티 ($o_v$), 그리고 게이팅 행동 ($g_v$).
• 구성 요소 취약점 점수: 적대적 입력 하에서의 비용 증폭 배수를 깨끗한 입력과 비교하여 계산된 점수입니다: $Vul\text{-}Score(v) = \frac{C_{adv}(v)}{C(v)} - 1$.
• 경로 취약점 집계: 파이프라인 비용이 연쇄적으로 발생하기 때문에 (한 단계에서 증폭된 출력이 모든 하위 단계로 작업량을 전파함), 경로 상의 구성 요소 점수들은 최대화되는 것이 아니라 합산됩니다.
• 선택: 가장 높은 집계 취약점 점수를 가진 경로가 목표 $\pi^*$로 선택됩니다. 이 단계는 프로파일링 데이터에 의존하며, 화이트박스 및 그레이박스 환경 (공개된 모델 사양 사용) 모두에서 적용 가능합니다.

2 단계: 적응형 손실 가중치

이 단계는 "내부 최대화"를 다룹니다: 선택된 경로 $\pi^*$의 비용을 최대화하는 교란 $\delta$를 생성합니다.

• 취약점 가중 목적 함수: 모든 구성 요소를 동등하게 취급하는 대신, 손실 함수는 구성 요소 손실들의 가중 합입니다. 가중치는 각 구성 요소가 경로의 전체 취약점 점수에 기여하는 상대적 기여도에 의해 결정됩니다.
• 분리된 백엔드: AESOP은 시스템 수준의 오케스트레이터로 작용합니다. 특정 교란 메커니즘을 규정하지는 않지만, 기존 단일 모델 효율성 공격 (예: 출력 증폭, EOS 지연) 이 백엔드로 작동할 수 있는 인터페이스를 제공합니다. 이 프레임워크는 대상 파이프라인의 특정 토폴로지와 비용 구조에 맞춰 손실 가중치를 적응시킵니다.

3. 주요 기여

• 적대적 경로 선택의 공식화: 교란 강도와는 구별되는, 파이프라인 효율성을 공격하기 위한 지배적인 레버로서 실행 경로 활성화를 식별합니다.
• AESOP 프레임워크: 취약점 기반 경로 순위 매기기와 적응형 손실 가중치를 결합하여 경로 선택 문제를 해결하는 최초의 효율성 공격 프레임워크입니다. 이는 교란 백엔드와 분리되어 있어 어떤 단일 모델 공격 기법이라도 활용할 수 있습니다.
• 시스템 수준 평가: 교통 모니터링, 야생동물 보호, 스마트 홈 경고, 고속도로 감시, Amber Alert 생성 등 다섯 가지 다양한 파이프라인과 배치 및 경계 버퍼링을 포함한 생산 현실적 변형에 대한 평가.

4. 실험 결과

화이트박스 효과성

• 증폭: 화이트박스 환경에서 AESOP 은 최대 2,407 배의 FLOPs 증폭과 419 배의 지연 시간 증폭을 달성합니다.
• 비교: 동일한 입력과 예산 하에서, 가장 강력한 단일 모델 베이스라인 (예: Overload, Phantom Sponges, SlowTrack) 은 최대 117 배의 FLOPs를 달성합니다. AESOP 은 파이프라인 경로의 비대칭성에 따라 이러한 베이스라인보다 3.2 배에서 117 배까지 더 우수한 성능을 보입니다.
• 메커니즘: 이 격차는 전적으로 경로 선택에 기인합니다. 예를 들어, 야생동물 보호 파이프라인에서 게이트를 빠져나가 무거운 분류기를 트리거하는 "Elephant" 경로를 표적으로 삼으면 막대한 증폭이 발생하지만, 일반적인 클래스를 대상으로 하는 경로 무관 공격은 비싼 분기에 도달하지 못합니다.

그레이박스 전이성

• 생존: 경로 선택 메커니즘은 대상에 대한 그래디언트 접근 없이도 생존합니다. 1 단계 순위 매기기는 공개된 모델 사양 (FLOPs 수) 에서 재현 가능합니다.
• 성능: 대리 모델 (YOLOv5m) 을 사용하여 대상 (YOLOv5l, YOLOv8n) 을 공격할 때, AESOP 은 3.6 배에서 58.3 배의 FLOPs 증폭을 달성합니다.
• 통찰: 더 빠르고 저렴한 감지기라고 해서 반드시 더 강력한 것은 아닙니다. 종종 더 낮은 기준 비용을 가지므로, 공격자가 증폭할 수 있는 "여유 공간 (headroom)"이 더 많습니다.

구성 요소별 기여 (Ablation)

• 경로 선택 vs 교란: 1 단계 (경로 선택) 의 기여도는 감지기의 자연스러운 클래스 편향과 경로 취약 클래스 간의 정렬 여부에 따라 달라집니다.
  • 야생동물 보호의 경우, 감지기가 자연스럽게 비싼 "Elephant" 클래스를 선호하므로, 경로 선택을 제거해도 증폭은 6% 만 감소합니다 (2 단계만으로도 94% 회복).
  • 교통 모니터링의 경우, 감지자가 저렴한 "Person" 클래스를 선호하지만 비싼 "Car" 경로가 목표이므로, 경로 선택을 제거하면 증폭이 58% 감소합니다.
• 결론: 경로 선택은 단일 모델 공격이 구조적으로 결여하고 있는 핵심 알고리즘적 원시 (primitive) 입니다.

생산 현실적 배포 및 방어

저자들은 경계 버퍼링, 배치된 추론, 신뢰도 임계값을 갖춘 생산 현실적 교통 파이프라인을 대상으로 AESOP 을 평가했습니다.

• 처리량 붕괴: 방어 없이 지속된 공격 시 처리량이 초당 0.578 개 입력에서 0.006 개 입력으로 감소합니다 (96 배 감소).
• 방어 실패:
  • 신뢰도 임계값 및 배치: 거의 회복되지 않습니다. 배치는 호출당 오버헤드를 상쇄하지만 총 계산량을 줄이지는 않으며, 신뢰도 임계값은 AESOP 이 설계상 고신뢰도 감지를 생성하기 때문에 실패합니다.
  • 경계 버퍼링: 처리량을 (초당 0.30.4 개 입력) 복원하지만, 96.7% 의 감지를 침묵 상태로 삭제함으로써만 가능합니다. 공격은 무력화되지 않고 계산 고갈에서 데이터 손실로 전환됩니다.
  • 입력 전처리 (노이즈/부드러움): 이득을 줄이지만 메커니즘을 제거하지는 않습니다. LPR 작업량은 여전히 기준치보다 4~6 배 높습니다.
  • ML 기반 필터링 (SVM): 낮은 공격 비율에서 이분법적으로 실패하고, 높은 비율에서는 방어 없는 성능으로 저하됩니다.

5. 중요성 및 주장

본 논문은 취약점이 구조적이며 모듈 간의 라우팅 계층에 존재한다고 주장합니다. 이는 현재 모델 수준의 방어들이 전혀 볼 수 없는 계층입니다.

• 구조적 맹점: 기존 방어들은 이미지 수준의 전처리나 시스템 수준의 스케줄링에서 작동하지만, 모듈 간에 작업량이 어떻게 라우팅되는지 관찰하거나 제약하지 못합니다.
• 운영적 영향: 이 공격은 시스템이 처리량 붕괴와 감지 범위 포기 (침묵 데이터 손실) 를 통한 처리량 유지 사이에서 선택을 강요합니다.
• 미래 방향: 효과적인 완화에는 현재 표준 파이프라인 프레임워크에서 노출되지 않는 라우팅 인식 메커니즘(예: 경로별 작업량 예산, 경로 활용 분포에 대한 이상 탐지, 또는 신뢰도 경계 라우팅) 이 필요합니다. 저자들은 경로별 작업량을 1 급 운영량 (first-class operational quantity) 으로 취급하는 것이 방어를 위해 필수적이라고 강조합니다.

본 논문은 공격이 강력하지만, 그 주요 기여는 단일 모델 보안 연구에 의해 간과되어 온 현대 ML 파이프라인 아키텍처의 시스템적 취약점을 드러낸 것이라고 결론지었습니다.