Resumo Técnico: Fuzzing de Lote Baseado em Tensores com Escalonamento de Perturbação Adaptativo para Redes Neurais Profundas

Declaração do Problema

Redes Neurais Profundas (DNNs) são cada vez mais implantadas em domínios críticos de segurança, como condução autônoma e diagnóstico médico. No entanto, seus espaços de parâmetros opacos e de alta dimensão dificultam a avaliação sistemática da confiabilidade. As estruturas de fuzzing guiadas por cobertura existentes para DNNs, como DeepHunter e TensorFuzz, sofrem de duas limitações primárias:

1. Gargalo de Processamento Sequencial: O fuzzing tradicional segue um paradigma de "um-input-por-iteração" herdado do fuzzing de software clássico. Esta abordagem falha em aproveitar a natureza tensionizada inerente à inferência de DNNs, onde o paralelismo ao nível de hardware permite que lotes de entradas sejam processados com quase o mesmo overhead de lançamento de kernel que um único input. Embora algumas ferramentas (ex: TensorFuzz) utilizem loteamento para avaliação de modelos, seus mecanismos de mutação e feedback frequentemente permanecem sequenciais ou baseados em NumPy, resultando em um throughput subutilizado.
2. Ineficiência de Perturbação Uniforme: A maioria das abordagens aplica um raio de perturbação ($\epsilon$) fixo e global em todas as dimensões de entrada. Na prática, as especificações de entrada definem limites não uniformes por dimensão (ex: via VNNLib). Um passo de tamanho uniforme força o fuzzer a ou subexplorar dimensões pouco restritas ou sobreexplorar dimensões estritamente limitadas, resultando em espaços de busca ineficientes.

Metodologia

Os autores propõem uma estrutura de Fuzzing de Lote Consciente de Especificação que desloca o paradigma de fuzzing do nível de mutação de entrada sequencial para a execução de nível de especificação de lote. O núcleo da abordagem envolve três componentes técnicos principais:

1. Arquitetura de Modelo Envolvido (Wrapped Model)

A estrutura incorpora restrições de entrada e verificações de propriedades de saída diretamente na rede neural como camadas não treináveis, criando um "modelo envolvido" ($M_{wrapped}$).

• InputSpecLayer: Codifica limites de entrada por amostra ($[l, u]$) e impõe restrições de região viável via projeção ($\Pi_{[\Phi]}$) durante a passagem direta (forward pass).
• OutputSpecLayer: Realiza verificações de propriedades vetorizadas (ex: robustez de classificação top-1) para todas as amostras em um lote simultaneamente.
  Esta arquitetura permite que todo o loop de fuzzing (seleção de sementes, mutação, inferência, rastreamento de cobertura e feedback) opere em um lote de $B$ instâncias de especificação em uma única passagem direta, tratando as especificações como dimensões de tensor de primeira classe.

2. Escalonamento de Perturbação Adaptativo

Para abordar as limitações dos orçamentos de perturbação fixos, os autores introduzem um mecanismo de escalonamento que deriva tamanhos de passo de mutação a partir dos intervalos viáveis definidos pela especificação usando um fator de escala compartilhado $s \in (0, 1]$.

• Escalonamento Isotrópico: Computa um tamanho de passo escalar global $\eta = \bar{r} \cdot s$, onde $\bar{r}$ é a média do intervalo viável em todas as dimensões e amostras. Isso transmite uma magnitude de perturbação uniforme.
• Escalonamento Anisotrópico: Computa um tensor de passo por dimensão $S_{b,d} = (u_{b,d} - l_{b,d}) \cdot s$. Isso atribui passos maiores para dimensões com limites mais amplos e passos mais finos para dimensões estritamente limitadas, permitindo uma exploração consistente sob restrições heterogêneas.

3. Pipeline de Fuzzing Baseado em Tensores

O processo de fuzzing é executado em quatro fases, todas operando em tensores de lote de tamanho $B$:

• Seleção de Sementes: Amostra $B$ sementes de um corpus baseado em seleção multinomial ponderada por energia, priorizando inputs que anteriormente dispararam nova cobertura ou violações.
• Mutação: Aplica uma estratégia selecionada (Gradiente/PGD, Fronteira ou Aleatória) a todo o lote. A direção da mutação é combinada com o fator de escalonamento adaptativo (escalar ou tensor) e projetada de volta para a região viável.
• Execução: Realiza uma única passagem direta em lote através de $M_{wrapped}$. Hooks do PyTorch capturam ativações intermediárias para rastreamento de cobertura, enquanto o OutputSpecLayer sinaliza violações de propriedade.
• Feedback: Atualiza pontuações de energia por amostra com base em ganhos de cobertura e status de violação, reinserindo sementes interessantes no corpus.

Principais Contribuições

O artigo resume suas contribuições da seguinte forma:

1. Estrutura de Lote Consciente de Especificação: Um pipeline paralelo de dados unificado que opera ao nível de instâncias de especificação, em vez de inputs individuais. Ao incorporar restrições no modelo, ele avalia $B$ especificações em uma única passagem direta, melhorando significativamente a eficiência.
2. Escalonamento de Perturbação Adaptativo: Um esquema que deriva magnitudes de mutação a partir de limites definidos pela especificação, suportando tanto o escalonamento isotrópico (escalar global) quanto o anisotrópico (tensor por dimensão) para lidar efetivamente com restrições de entrada heterogêneas.
3. Implementação e Avaliação: Uma implementação em PyTorch avaliada em seis redes através de três benchmarks (TrafficSigns, Cifar100, TinyImageNet) com mais de 400 especificações.

Resultados Experimentais

A estrutura foi avaliada contra um baseline sequencial (simulando o paradigma de um-input-por-iteração do DeepHunter) sob um orçamento de tempo fixo.

• Throughput: A abordagem de lote baseada em tensores alcançou até 40× mais throughput do que o baseline sequencial. Por exemplo, no Cifar100 e TinyImageNet, o aumento de velocidade foi de 34–40×, enquanto o TrafficSigns viu uma melhoria de 5× (atribuída à arquitetura de rede mais leve que permitiu que o baseline rodasse mais rápido).
• Descoberta de Violações: Sob o mesmo orçamento de tempo, a abordagem de lote descobriu 4× mais violações do que o baseline sequencial.
  • No TrafficSigns, os métodos de lote encontraram ~75.000 violações comparado a ~19.000 para o baseline.
  • No Cifar100, os métodos de lote encontraram ~61.000 violações comparado a ~14.000 para o baseline.
• Tempo para a Primeira Violação (TTFV): A abordagem de lote identificou o primeiro contraexemplo dentro de 0,06–1,2 segundos, enquanto o baseline sequencial frequentemente se aproximava do timeout de 60 segundos antes de encontrar a primeira violação.
• Anisotrópico vs. Isotrópico: O escalonamento anisotrópico mostrou vantagens particulares em benchmarks com restrições heterogêneas (ex: TinyImageNet) e em fatores de escala ($s$) menores, superando o escalonamento isotrópico em até 38% em configurações específicas.
• Impacto do Tamanho do Lote: A análise estatística (teste Mann-Whitney U) confirmou que aumentar o tamanho do lote $B$ melhora significativamente o rendimento de violações, embora o refinamento por instância diminua conforme $B$ cresce, indicando um trade-off entre throughput e refinamento.

Significância e Alegações

O artigo alega que sua principal significância reside em superar as limitações inerentes das abordagens de perturbação sequencial e uniforme em fuzzing de DNNs. Ao elevar o loop de fuzzing para o nível de tensor e integrar as restrições de especificação diretamente na execução do modelo, a estrutura alcança melhorias substanciais tanto no throughput de teste quanto na descoberta de contraexemplos.

Os autores enfatizam que, embora o paradigma sequencial possa eventualmente descobrir violações dado um orçamento escalonado pelo tamanho do lote ($B \times 60s$), seu design de um-input-por-iteração torna a geração de contraexemplos significativamente mais lenta em tempo de relógio real (wall-clock time). O método proposto demonstra que tratar especificações como dimensões de tensor de primeira classe permite o processamento simultâneo de múltiplas cadeias de mutação, levando a um ganho de "4× mais violações" dentro do mesmo intervalo de tempo real. O trabalho posiciona-se como uma abordagem complementar à verificação formal, fornecendo contraexemplos concretos rapidamente, em vez de certificados de segurança exaustivos.