💻 computer science

Tensor-Based Batch Fuzzing with Adaptive Perturbation Scaling for Deep Neural Networks

本文介绍了一种针对深度神经网络的基于张量的批处理模糊测试框架，该框架利用自适应、感知规范的扰动缩放和批处理约束嵌入，与传统的顺序方法相比，实现了显著更高的吞吐量和违规检测率。

原作者： Guanqin Zhang, Yulei Sui

发布于 2026-06-25

📖 1 分钟阅读☕ 轻松阅读

原作者： Guanqin Zhang, Yulei Sui

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你是一名自动驾驶车队质量控制检查员。你的工作是通过抛出各种棘手的场景来寻找它们“大脑”（深度神经网络）中的“漏洞（bugs）”——比如一个看起来有点像限速标志的停止标志，或者一个穿着奇装异服的行人。如果汽车因此产生困惑并犯错，你就找到了一个漏洞。

这篇论文介绍了一种全新的、超级快速的检查方法，称为基于张量的批处理模糊测试（Tensor-Based Batch Fuzzing）。以下是其工作原理的解释，通过简单的类比展开。

旧方法：单列纵队

想象一下，旧的测试方法就像超市里只有一个收银员。

一次处理一个顾客： 收银员（计算机）逐一扫描每个顾客（一张测试图像），检查他们是否结清了账目，然后处理下一个。
统一的规则： 收银员对袋子里的每一件物品都应用完全相同的规则。如果一个袋子里有一个娇嫩的鸡蛋和一个沉重的砖块，收银员对它们的“轻柔”或“力度”是一模一样的。这并不高效；这可能会压碎鸡蛋，或者因为力气太小而搬不动砖块。
瓶颈： 即使收银员动作很快，他也一次只能处理一个人。如果你有100个顾客，处理时间会比同时处理所有顾客长100倍。

新方法：超级流水线

作者构建了一个全新的系统，它就像一个带有传送带的大型自动化流水线。

批处理（传送带）： 系统不再是一个一个处理顾客，而是同时将100个顾客（100张测试图像）放在传送带上。计算机在一次“扫过”中处理所有100个对象。因为现代计算机芯片的设计初衷就是为了同时处理多项任务（就像合唱团齐声歌唱，而不是一个人轮流唱歌），所以这种方式极其迅速。
结果： 论文声称，这种新方法比旧的单列纵队方法快了 40倍。

“自适应”的魔力：定制手套

第二个重大改进在于系统如何改变测试图像。

旧有的问题： 想象你正试图把钥匙插进锁孔并转动。如果锁很紧，你需要极其细微、精准的动作。如果锁很松，你可以大幅度地晃动。旧的方法对每个锁都使用相同的“晃动幅度”，而不论锁的松紧程度如何。这意味着它要么在松动的锁上浪费时间，要么无法破解紧密的锁。
新的解决方案（自适应缩放）： 新系统会观察每把锁（图像的每个部分）及其特定的规则（“规范”）。
- 如果图像的一部分规则较宽、较松，系统就会给它一个大的晃动。
- 如果一部分规则较紧、较严，系统就会给它一个微小、精准的晃动。
类比： 这就像是一个裁缝同时为100只不同的手制作定制手套，而不是给每个人都发一个同样尺寸的手套。这使得系统能够更有效地探索那些“棘手”的区域。

它是如何一步步工作的

准备阶段： 系统获取一系列规则（规范），并将它们包裹在 AI 模型周围。可以把它想象成在汽车的大脑周围套上一个定制的“测试护架”。
选择阶段： 它根据以往的表现，挑选出一组看起来很有潜力的测试用例（一个“批次”）。
变异（晃动）： 它对所有100个测试用例同时应用“定制晃动”（自适应缩放）。
测试阶段： 它一次性将所有100个用例运行通过 AI 大脑。
判定阶段： 它会立即检查：“这100个中是否有任何一个导致了错误？”如果有，它就保存这个错误。如果没有，它会保留那些“有趣”的案例（例如激活了大脑新部分的案例），并尝试再次测试。

结果

作者在三个不同的图像集（交通标志、Cifar100 和 TinyImageNet）以及各种 AI 模型上进行了测试。

速度： 他们发现，新方法处理测试的速度比旧方法快了 40倍。
成功率： 在相同的时间内，新方法发现的漏洞（错误）比旧方法多出 4倍。
原因： 这不仅仅是因为它更快，还因为它更聪明。通过针对图像的每个特定部分调整“晃动大小”，它找到了旧的、“一刀切”的方法所错过的漏洞。

总结

这篇论文提出了一种工具，它不再一个接一个地测试 AI 模型，而是开始进行大规模的分组测试。它也不再使用“一刀切”的方法来改变测试图像，而是根据每个测试的具体规则进行定制化修改。结果表明，该系统寻找 AI 大脑中漏洞的速度更快，也更彻底。

技术摘要：基于张量的深度神经网络自适应扰动缩放批处理模糊测试

问题陈述

深度神经网络（DNN）正越来越多地部署在自动驾驶和医疗诊断等安全关键领域。然而，其不透明、高维的参数空间使得系统的可靠性评估变得困难。现有的针对 DNN 的覆盖率引导模糊测试框架（如 DeepHunter 和 TensorFuzz）存在两个主要局限性：

串行处理瓶颈： 传统的模糊测试遵循一种“每次迭代处理一个输入”的范式，这种范式继承自经典的软件模糊测试。这种方法未能利用 DNN 推理固有的张量化特性，即硬件级的并行性允许以与处理单个输入几乎相同的内核启动开销来处理一批输入。虽然某些工具（例如 TensorFuzz）利用批处理进行模型评估，但它们的变异和反馈机制通常仍保持串行或基于 NumPy，导致吞吐量利用不足。
均匀扰动效率低下： 大多数方法在所有输入维度上应用固定的全局扰动半径 ( $\epsilon$ )。在实践中，输入规范通常通过非均匀的每维度边界来定义（例如通过 VNNLib）。统一的步长会导致模糊测试器要么对约束较松的维度过度探索，要么对约束较紧的维度探索不足，从而导致搜索空间效率低下。

方法论

作者提出了一种**面向规范的批处理模糊测试（Specification-Aware Batch Fuzzing）**框架，该框架将模糊测试范式从顺序的输入级变异转向了批处理的规范级执行。该方法的核心涉及三个关键技术组件：

1. 封装模型架构

该框架将输入约束和输出属性检查直接嵌入到神经网络中，作为非训练层，从而创建一个“封装模型”（ $M_{wrapped}$ ）。

InputSpecLayer（输入规范层）： 编码每样本输入边界（ $[l, u]$ ），并在前向传播过程中通过投影（ $\Pi_{[\Phi]}$ ）强制执行可行域约束。
OutputSpecLayer（输出规范层）： 对批次中的所有样本同时执行向量化属性检查（例如 top-1 分类鲁棒性）。
这种架构允许整个模糊测试循环（种子选择、变异、推理、覆盖率追踪和反馈）在单次前向传播中对 $B$ 个规范实例组成的批次进行操作，将规范视为一等公民张量维度。

2. 自适应扰动缩放

为了解决固定扰动预算的局限性，作者引入了一种缩放机制，该机制利用共享缩放因子 $s \in (0, 1]$ 从规范定义的特征范围中推导出变异步长。

各向同性缩放（Isotropic Scaling）： 计算全局标量步长 $\eta = \bar{r} \cdot s$ ，其中 $\bar{r}$ 是所有维度和样本的平均可行范围。这广播了一个统一的扰动幅度。
各向异性缩放（Anisotropic Scaling）： 计算每维度步长张量 $S_{b,d} = (u_{b,d} - l_{b,d}) \cdot s$ 。它为具有较宽边界的维度分配较大的步长，为约束较紧的维度分配更精细的步长，从而在异构约束下实现一致的探索。

3. 基于张量的模糊测试流水线

模糊测试过程分为四个阶段执行，所有阶段均在大小为 $B$ 的批处理张量上运行：

种子选择： 根据能量加权的多项式选择从语料库中抽取 $B$ 个种子，优先考虑先前触发了新覆盖率或违规行为的输入。
变异： 对整个批次应用选定的策略（梯度/PGD、边界或随机）。变异方向与自适应缩放因子（标量或张量）相结合，并投影回可行域。
执行： 在封装模型 $M_{wrapped}$ 中执行单次批处理前向传播。PyTorch 钩子（hooks）捕获中间激活以进行覆盖率追踪，而 OutputSpecLayer 则标记属性违规。
反馈： 根据覆盖率增益和违规状态更新每个样本的能量得分，并将感兴趣的种子重新插入语料库。

核心贡献

论文总结其贡献如下：

面向规范的批处理框架： 一个统一的数据并行流水线，在规范实例级别而非单个输入级别进行操作。通过将约束嵌入模型，它在单次前向传播中评估 $B$ 个规范，显著提高了效率。
自适应扰动缩放： 一种从规范定义的边界中推导变异幅度的方案，支持各向同性（全局标量）和各向异性（每维度张量）缩放，以有效处理异构输入约束。
实现与评估： 一个 PyTorch 实现，在三个基准测试（TrafficSigns, Cifar100, TinyImageNet）的六个网络上进行了评估，涵盖 400 多个规范。

实验结果

该框架在固定时间预算下，针对顺序基准（模拟 DeepHunter 的每次迭代处理一个输入的范式）进行了评估。

吞吐量： 基于张量的批处理方法比顺序基准实现了高达 40 倍的吞吐量提升。例如，在 Cifar100 和 TinyImageNet 上，加速比为 34–40 倍，而 TrafficSigns 实现了 5 倍的提升（归因于较轻量级的网络架构使得基准测试运行得更快）。
违规发现： 在相同的时间预算下，批处理方法发现的违规次数是顺序基准的 4 倍。
- 在 TrafficSigns 上，批处理方法发现了约 75,000 个违规，而基准方法约为 19,000 个。
- 在 Cifar100 上，批处理方法发现了约 61,000 个违规，而基准方法约为 14,000 个。
首次违规时间（TTFV）： 批处理方法在 0.06–1.2 秒内识别出第一个反例，而顺序基准在找到第一个违规之前往往接近 60 秒的超时限制。
各向异性对比各向同性： 各向异性缩放在具有异构约束的基准测试（如 TinyImageNet）中表现出特别优势，并且在较小的缩放因子 $s$ 下，通过在特定配置中优于各向同性缩放达 38%。
批处理大小的影响： 统计分析（Mann-Whitney U 检验）证实，增加批处理大小 $B$ 会显著提高违规产量，尽管随着 $B$ 的增长，单实例精细度会下降，这表明了吞吐量与精细度之间的权衡。

意义与主张

论文声称其主要意义在于克服了 DNN 模糊测试中顺序和均匀扰动方法的固有局限性。通过将模糊测试循环提升到张量层面，并将规范约束直接集成到模型执行中，该框架在测试吞吐量和反例发现方面都取得了实质性的改进。

作者强调，虽然顺序范式在预算按批处理大小（ $B \times 60s$ ）缩放的情况下最终也能发现违规，但其“每个输入一次迭代”的设计使其在实际墙钟时间内的反例生成速度明显较慢。所提方法证明，将规范视为一等公民张量维度可以实现多个变异链的同时处理，从而在相同的现实世界时间窗口内实现“4 倍更多违规”的收益。这项工作定位为形式化验证的一种补充手段，旨在快速提供具体的反例，而非详尽的安全证明。