Resumo Técnico: AESOP: Seleção Adversarial de Caminho de Execução para Sobrecarregar Pipelines de Aprendizado Profundo

1. Declaração do Problema

As implantações modernas de aprendizado de máquina dependem cada vez mais de pipelines de inferência multi-modelo em vez de modelos monolíticos. Nesses sistemas, modelos especializados são conectados por meio de fluxos de dados do tipo produtor-consumidor, onde componentes a montante geram previsões intermediárias que determinam a carga de trabalho e o roteamento dos componentes a jusante.

A vulnerabilidade central identificada é que o custo computacional de processar uma entrada em tais pipelines não é determinado apenas pelo custo por inferência de modelos individuais, mas por dois fatores acoplados:

1. O custo por inferência de cada componente invocado.
2. O volume de carga de trabalho (cardinalidade de saída) passado para componentes a jusante.

Como essas pipelines frequentemente operam sob restrições de tempo real rígidas, a eficiência é um determinante da disponibilidade do sistema. Ataques adversariais existentes visam modelos únicos (por exemplo, inflando sobreviventes da Supressão Não Máxima ou atrasando tokens de Fim de Sequência), mas não levam em conta o caminho de execução que uma entrada ativa. Um adversário que possa direcionar entradas para o caminho computacionalmente mais intensivo pode induzir custos no pior caso que ataques de modelo único não conseguem alcançar. O artigo formaliza isso como o problema de seleção adversarial de caminho: escolher qual caminho de execução atacar é uma alavanca distinta e dominante para degradação de eficiência, separada da força da perturbação em si.

2. Metodologia: Framework AESOP

Os autores propõem o AESOP (Seleção Adversarial de Caminho de Execução para Sobrecarregar Pipelines de Aprendizado Profundo), um framework que decompõe o ataque em duas fases coordenadas:

Fase 1: Classificação de Caminhos Guiada por Vulnerabilidade

Esta fase aborda a "maximização externa" do problema de ataque: identificar qual caminho de execução $\pi^*$ produz a maior amplificação de custo.

• Perfilamento: O sistema perfila três comportamentos dependentes da entrada para cada componente $v$: custo por inferência ($c_v$), cardinalidade de saída ($o_v$) e comportamento de gate ($g_v$).
• Pontuação de Vulnerabilidade do Componente: Uma pontuação é calculada representando a amplificação multiplicativa do custo sob entrada adversarial em comparação com entrada limpa: $Vul\text{-}Score(v) = \frac{C_{adv}(v)}{C(v)} - 1$.
• Agregação de Vulnerabilidade do Caminho: As pontuações dos componentes ao longo de um caminho são somadas (em vez de maximizadas) porque os custos da pipeline se propagam em cascata; uma saída inflada em uma etapa propaga a carga de trabalho para todas as etapas a jusante.
• Seleção: O caminho com a maior pontuação agregada de vulnerabilidade é selecionado como o alvo $\pi^*$. Esta etapa depende de dados de perfilamento e é aplicável em configurações de caixa branca e caixa cinza (usando especificações públicas de modelos).

Fase 2: Ponderação Adaptativa de Perda

Esta fase aborda a "maximização interna": gerar uma perturbação $\delta$ para maximizar o custo do caminho selecionado $\pi^*$.

• Objetivo Ponderado por Vulnerabilidade: Em vez de tratar todos os componentes igualmente, a função de perda é uma soma ponderada das perdas dos componentes. Os pesos são determinados pela contribuição relativa de cada componente à pontuação total de vulnerabilidade do caminho.
• Backend Desacoplado: O AESOP atua como um orquestrador em nível de sistema. Ele não prescreve um mecanismo de perturbação específico, mas fornece uma interface para qualquer ataque existente de eficiência de modelo único (por exemplo, inflação de saída, atraso de EOS) servir como backend. O framework adapta a ponderação da perda à topologia específica e à estrutura de custos da pipeline alvo.

3. Contribuições Principais

• Formalização da Seleção Adversarial de Caminho: O artigo identifica a ativação do caminho de execução como a alavanca dominante para atacar a eficiência da pipeline, distinta da força da perturbação.
• O Framework AESOP: O primeiro framework de ataque de eficiência que resolve o problema de seleção de caminho combinando classificação de caminhos guiada por vulnerabilidade com ponderação adaptativa de perda. É separável do backend de perturbação, permitindo que aproveite qualquer técnica de ataque de modelo único.
• Avaliação em Nível de Sistema: Avaliação em cinco pipelines diversas (monitoramento de tráfego, conservação da vida selvagem, alertas de casa inteligente, vigilância em rodovias e geração de Alerta Amber) e uma variante realista de produção com agrupamento (batching) e buffer limitado.

4. Resultados Experimentais

Eficácia em Caixa Branca

• Amplificação: O AESOP alcança até 2.407× de inflação de FLOPs e 419× de inflação de latência em configurações de caixa branca.
• Comparação: Em entradas e orçamentos idênticos, a base mais forte de modelo único (por exemplo, Overload, Phantom Sponges, SlowTrack) alcança um máximo de 117× de FLOPs. O AESOP supera essas bases por um fator de 3,2× a 117×, dependendo da assimetria dos caminhos da pipeline.
• Mecanismo: A lacuna é atribuída inteiramente à seleção de caminho. Por exemplo, na pipeline de Conservação da Vida Selvagem, mirar no caminho "Elefante" (que sai do gate e aciona um classificador pesado) produz amplificação massiva, enquanto ataques cegos ao caminho que visam classes comuns falham em alcançar o ramo caro.

Transferibilidade em Caixa Cinza

• Sobrevivência: O mecanismo de seleção de caminho sobrevive sem acesso a gradientes do alvo. A classificação da Fase 1 é reproduzível a partir de especificações públicas de modelos (contagens de FLOPs).
• Desempenho: Usando modelos substitutos (YOLOv5m) para atacar alvos (YOLOv5l, YOLOv8n), o AESOP alcança 3,6× a 58,3× de amplificação de FLOPs.
• Insight: Um detector mais rápido e barato não é necessariamente mais robusto; frequentemente tem um custo base mais baixo, deixando mais "margem" para um atacante inflar.

Contribuição por Componente (Ablação)

• Seleção de Caminho vs. Perturbação: A contribuição da Fase 1 (seleção de caminho) varia com base no alinhamento entre o viés de classe natural do detector e a classe vulnerável ao caminho.
  • Na Conservação da Vida Selvagem, onde o detector favorece naturalmente a classe cara "Elefante", remover a seleção de caminho reduz a amplificação em apenas 6% (a Fase 2 sozinha recupera 94%).
  • No Monitoramento de Tráfego, onde o detector favorece a classe barata "Pessoa", mas o caminho caro "Carro" é o alvo, remover a seleção de caminho reduz a amplificação em 58%.
• Conclusão: A seleção de caminho é a primitiva algorítmica crítica que ataques de modelo único estruturalmente não possuem.

Implantação Realista de Produção e Defesas

Os autores avaliaram o AESOP contra uma pipeline de tráfego realista de produção com buffer limitado, inferência agrupada e limiares de confiança.

• Colapso de Vazão: Sem defesas, ataques sustentados reduzem a vazão de 0,578 entradas/s para 0,006 entradas/s (uma redução de 96×).
• Falha das Defesas:
  • Limiar de Confiança e Agrupamento: Fornecem recuperação insignificante. O agrupamento amortiza a sobrecarga por chamada, mas não reduz o cálculo total; os limiares de confiança falham porque o AESOP gera detecções de alta confiança por design.
  • Buffer Limitado: Restaura a vazão (para ~0,3–0,4 entradas/s), mas apenas silenciosamente descartando 96,7% das detecções. O ataque não é neutralizado, mas redirecionado do esgotamento computacional para perda de dados.
  • Pré-processamento de Entrada (Ruído/Suavização): Reduz o ganho, mas não elimina o mecanismo; a carga de trabalho de LPR permanece 4–6× acima da base.
  • Filtragem Baseada em ML (SVM): Falha bimodalmente em baixas taxas de ataque e degrada para desempenho sem defesa em altas taxas.

5. Significado e Alegações

O artigo afirma que a vulnerabilidade é estrutural e reside na camada de roteamento entre módulos, uma camada onde as defesas atuais em nível de modelo não têm visibilidade.

• Ponto Cego Estrutural: As defesas existentes operam em pré-processamento em nível de imagem ou agendamento em nível de sistema, mas falham em observar ou restringir como a carga de trabalho é roteada entre módulos.
• Impacto Operacional: O ataque força uma troca: os sistemas devem escolher entre o colapso da vazão ou sustentar a vazão sacrificando a cobertura de detecção (perda silenciosa de dados).
• Direção Futura: A mitigação eficaz requer mecanismos conscientes de roteamento (por exemplo, orçamentos de carga de trabalho por caminho, detecção de anomalias em distribuições de utilização de caminho ou roteamento limitado por confiança) que atualmente não são expostos pelos frameworks padrão de pipeline. Os autores enfatizam que tratar a carga de trabalho por caminho como uma grandeza operacional de primeira classe é necessário para a defesa.

O artigo conclui que, embora o ataque seja poderoso, sua contribuição principal é expor uma vulnerabilidade sistêmica na arquitetura das pipelines modernas de ML que foi negligenciada pela pesquisa de segurança de modelo único.