Technische Samenvatting: AESOP: Adversarial Execution-path Selection to Overload Deep Learning Pipelines

1. Probleemstelling

Moderne machine learning-implementaties vertrouwen steeds meer op multi-model inferentiepijplijnen in plaats van monolithische modellen. In deze systemen zijn gespecialiseerde modellen verbonden via producer-consumer dataflows, waarbij upstream-componenten tussentijdse voorspellingen genereren die de werklast en het routing van downstream-componenten bepalen.

De kernkwetsbaarheid die wordt geïdentificeerd, is dat de rekenkosten voor het verwerken van een invoer in dergelijke pijplijnen niet uitsluitend worden bepaald door de kosten per inferentie van afzonderlijke modellen, maar door twee gekoppelde factoren:

1. De kosten per inferentie van elke opgeroepen component.
2. Het werklastvolume (outputcardinaliteit) dat aan downstream-componenten wordt doorgegeven.

Omdat deze pijplijnen vaak werken onder harde real-time beperkingen, is efficiëntie een bepalende factor voor de beschikbaarheid van het systeem. Bestaande adversariële aanvallen richten zich op afzonderlijke modellen (bijvoorbeeld het opblazen van Non-Maximum Suppression-overlevenden of het vertragen van End-of-Sequence-tokens), maar houden geen rekening met het uitvoeringspad dat een invoer activeert. Een aanvaller die invoer kan sturen naar het meest rekenintensieve pad, kan worst-case kosten veroorzaken die met aanvallen op enkelvoudige modellen niet haalbaar zijn. Het artikel formaliseert dit als het adversariële padselectieprobleem: het kiezen van welk uitvoeringspad moet worden aangevallen, is een apart en dominant hefmechanisme voor degradatie van efficiëntie, gescheiden van de sterkte van de verstoring zelf.

2. Methodologie: AESOP Framework

De auteurs stellen AESOP (Adversarial Execution-path Selection to Overload Deep Learning Pipelines) voor, een framework dat de aanval decomposeert in twee gecoördineerde fasen:

Fase 1: Kwetsbaarheidsgestuurde Padranking

Deze fase adresseert de "externe maximalisatie" van het aanvalprobleem: het identificeren van welk uitvoeringspad $\pi^*$ de hoogste kostenversterking oplevert.

• Profilering: Het systeem profileert drie invoerafhankelijke gedragingen voor elke component $v$: kosten per inferentie ($c_v$), outputcardinaliteit ($o_v$) en gating-gedrag ($g_v$).
• Kwetsbaarheidsscore Component: Er wordt een score berekend die de multiplicatieve versterking van kosten onder adversariële invoer ten opzichte van schone invoer vertegenwoordigt: $Vul\text{-}Score(v) = \frac{C_{adv}(v)}{C(v)} - 1$.
• Aggregatie van Padkwetsbaarheid: De scores van componenten langs een pad worden opgeteld (in plaats van gemaximaliseerd) omdat pijplijnkosten cascaderen; een opgeblazen output op één stadium propageert werklast naar alle downstream-stadia.
• Selectie: Het pad met de hoogste geaggregeerde kwetsbaarheidsscore wordt geselecteerd als het doelwit $\pi^*$. Deze stap vertrouwt op profileringdata en is toepasbaar in zowel white-box als gray-box omgevingen (met gebruik van publieke modelspecificaties).

Fase 2: Adaptieve Loss-Weighting

Deze fase adresseert de "interne maximalisatie": het genereren van een verstoring $\delta$ om de kosten van het geselecteerde pad $\pi^*$ te maximaliseren.

• Kwetsbaarheidsgewogen Doel: In plaats van alle componenten gelijk te behandelen, is de loss-functie een gewogen som van componentlosses. De gewichten worden bepaald door de relatieve bijdrage van elke component aan de totale kwetsbaarheidsscore van het pad.
• Gekoppeld Backend: AESOP fungeert als een systeemniveau-orchestrator. Het schrijft geen specifieke verstoringmechanisme voor, maar biedt een interface voor elke bestaande aanval op de efficiëntie van een enkelvoudig model (bijvoorbeeld outputinflatie, EOS-vertraging) om als backend te dienen. Het framework past de loss-weighting aan aan de specifieke topologie en kostenstructuur van de doelpijplijn.

3. Belangrijkste Bijdragen

• Formalisatie van Adversariële Padselectie: Het artikel identificeert activering van uitvoeringspaden als het dominante hefmechanisme voor het aanvallen van pijplijnefficiëntie, gescheiden van de sterkte van de verstoring.
• Het AESOP Framework: Het eerste efficiëntie-aanvalframework dat het padselectieprobleem oplost door kwetsbaarheidsgestuurde padranking te combineren met adaptieve loss-weighting. Het is scheidbaar van de verstoring-backend, waardoor het elke aanvalstechniek voor enkelvoudige modellen kan benutten.
• Systeemniveau-Evaluatie: Evaluatie over vijf diverse pijplijnen (verkeersmonitoring, natuurbescherming, slimme-huiswaarschuwingen, snelwegbewaking en Amber Alert-generatie) en een productierealistische variant met batching en begrensd bufferen.

4. Experimentele Resultaten

White-Box Effectiviteit

• Versterking: AESOP bereikt tot 2.407× FLOPs-inflatie en 419× latentie-inflatie in white-box omgevingen.
• Vergelijking: Op identieke invoer en budgetten bereikt de sterkste single-model baseline (bijvoorbeeld Overload, Phantom Sponges, SlowTrack) een maximum van 117× FLOPs. AESOP presteert beter dan deze baselines met een factor van 3,2× tot 117×, afhankelijk van de asymmetrie van de paden van de pijplijn.
• Mechanisme: Het verschil wordt volledig toegeschreven aan padselectie. Bijvoorbeeld, in de Wildlife Conservation-pijplijn levert het richten op het "Elephant"-pad (dat de gate verlaat en een zware classifier activeert) enorme versterking op, terwijl pad-blinde aanvallen die zich richten op gemeenschappelijke klassen de dure tak niet bereiken.

Gray-Box Transferabiliteit

• Overleving: Het padselectiemechanisme overleeft zonder gradient-toegang tot het doelwit. De ranking van Fase 1 is reproduceerbaar vanuit publieke modelspecificaties (FLOPs-aantallen).
• Prestaties: Met behulp van surrogate-modellen (YOLOv5m) om doelen aan te vallen (YOLOv5l, YOLOv8n), bereikt AESOP 3,6× tot 58,3× FLOPs-versterking.
• Inzicht: Een snellere, goedkopere detector is niet per se robuuster; deze heeft vaak een lagere basiskost, waardoor er meer "ruimte" is voor een aanvaller om op te blazen.

Bijdrage per Component (Ablatie)

• Padselectie versus Verstoring: De bijdrage van Fase 1 (padselectie) varieert afhankelijk van de alignering tussen de natuurlijke klassenbias van de detector en de pad-kwetsbare klasse.
  • In Wildlife Conservation, waar de detector van nature de dure "Elephant"-klasse bevoordeelt, reduceert het verwijderen van padselectie de versterking slechts met 6% (Fase 2 alleen herstelt 94%).
  • In Verkeersmonitoring, waar de detector de goedkope "Person"-klasse bevoordeelt maar het dure "Car"-pad het doelwit is, reduceert het verwijderen van padselectie de versterking met 58%.
• Conclusie: Padselectie is het kritieke algoritmische primitief dat single-model aanvallen structureel missen.

Productierealistische Implementatie & Verdedigingen

De auteurs hebben AESOP geëvalueerd tegen een productierealistische verkeerspijplijn met begrensd bufferen, gebatchte inferentie en betrouwbaarheidsdrempels.

• Doorvoerinstorting: Zonder verdedigingen laten aanhoudende aanvallen de doorvoer dalen van 0,578 invoer/s naar 0,006 invoer/s (een reductie van 96×).
• Mislukking van Verdedigingen:
  • Betrouwbaarheidsdrempels & Batching: Bieden verwaarloosbaar herstel. Batching amortiseert per-call overhead maar reduceert de totale berekening niet; betrouwbaarheidsdrempels falen omdat AESOP per ontwerp hoge betrouwbaarheidsdetecties genereert.
  • Begrensd Bufferen: Herstelt de doorvoer (naar ~0,3–0,4 invoer/s), maar alleen door stil 96,7% van de detecties te laten vallen. De aanval wordt niet geneutraliseerd, maar omgeleid van computerverbruik naar dataverlies.
  • Invoerpreprocessing (Ruis/Gladdening): Reduceert de winst maar elimineert het mechanisme niet; LPR-werklast blijft 4–6× boven de baseline.
  • ML-gebaseerde Filtering (SVM): Faalt bimodaal bij lage aanvalsratio's en degradeert naar prestaties zonder verdediging bij hoge ratio's.

5. Betekenis en Claims

Het artikel beweert dat de kwetsbaarheid structureel is en zich bevindt op de routinglaag tussen modules, een laag waar huidige modelniveau-verdedigingen geen zicht op hebben.

• Structureel Blinde Vlek: Bestaande verdedigingen werken op beeldniveau-preprocessing of systeemniveau-scheduling, maar falen om waar te nemen of te beperken hoe werklast tussen modules wordt gerouteerd.
• Operationele Impact: De aanval dwingt een afweging af: systemen moeten kiezen tussen instorting van de doorvoer of het handhaven van doorvoer door detectiebereik op te offeren (stil dataverlies).
• Toekomstige Richting: Effectieve mitigatie vereist routing-bewuste mechanismen (bijvoorbeeld werklastbudgetten per pad, anomaliedetectie op padgebruiksverdelingen, of vertrouwensgebonden routing) die momenteel niet worden blootgelegd door standaard pijplijnframeworks. De auteurs benadrukken dat het behandelen van werklast per pad als een operationele grootheid van het eerste niveau noodzakelijk is voor verdediging.

Het artikel concludeert dat, hoewel de aanval krachtig is, de primaire bijdrage het blootleggen is van een systemische kwetsbaarheid in de architectuur van moderne ML-pijplijnen die door single-model veiligheidsresearch is over het hoofd gezien.