[论文解读] Sardino: Ultra-Fast Dynamic Ensemble for Secure Visual Sensing at Mobile Edge

Qunliang Song, Zhenyu Yan+2 more|arXiv (Cornell University)|Apr 18, 2022

Adversarial Robustness in Machine Learning被引用 4

一句话总结

Sardino 提出了一种基于 HyperNet 的超快速动态集成系统，用于移动边缘设备上的实时视觉感知，通过每帧动态更新集成模型实现移动目标防御，以抵御自适应对抗攻击。该方法相比微调实现了 100 万倍的速度提升，保持每帧 33ms 的处理时间，并能实时检测分布外输入，在交通标志识别系统中表现优异。

ABSTRACT

Adversarial example attack endangers the mobile edge systems such as vehicles and drones that adopt deep neural networks for visual sensing. This paper presents {\em Sardino}, an active and dynamic defense approach that renews the inference ensemble at run time to develop security against the adaptive adversary who tries to exfiltrate the ensemble and construct the corresponding effective adversarial examples. By applying consistency check and data fusion on the ensemble's predictions, Sardino can detect and thwart adversarial inputs. Compared with the training-based ensemble renewal, we use HyperNet to achieve {\em one million times} acceleration and per-frame ensemble renewal that presents the highest level of difficulty to the prerequisite exfiltration attacks. We design a run-time planner that maximizes the ensemble size in favor of security while maintaining the processing frame rate. Beyond adversarial examples, Sardino can also address the issue of out-of-distribution inputs effectively. This paper presents extensive evaluation of Sardino's performance in counteracting adversarial examples and applies it to build a real-time car-borne traffic sign recognition system. Live on-road tests show the built system's effectiveness in maintaining frame rate and detecting out-of-distribution inputs due to the false positives of a preceding YOLO-based traffic sign detector.

研究动机与目标

• 解决基于 DNN 的视觉感知在无人机和自动驾驶车辆等移动边缘系统中易受自适应对抗样本攻击的脆弱性问题。
• 克服静态集成和基于微调的更新方法的局限性，后者在实时系统中速度慢且不切实际。
• 实现实时、高频的集成更新，提高攻击者窃取信息并构造有效攻击的难度。
• 在保持实时性能（例如每帧 33ms）的同时，最大化集成规模，以提升对分布外输入的鲁棒性与安全性。

提出的方法

• 使用 HyperNet（一种可学习的 MLP）从随机种子生成 DNN 权重，实现无需微调即可近乎瞬时生成集成模型。
• 采用运行时规划器，根据预测处理时间和可用资源预算，动态调整每帧的集成规模（N）。
• 通过集成预测结果的一致性检查与数据融合，检测对抗性输入和分布外输入。
• 集成一种轻量级验证机制，利用随机种子验证集成模型的准确性，而无需存储完整模型。
• 采用软截止机制，确保即使在工作负载动态变化的情况下，每帧处理仍能在目标延迟内完成（例如 33ms）。
• 在实时车载交通标志识别流水线中部署系统，对 YOLO 检测到的物体实施自适应集成更新。

实验结果

研究问题

• RQ1 能否在移动边缘设备上实现超快速、实时的集成更新，以应对自适应对抗攻击？
• RQ2 如何加速集成更新，实现实时帧级更新而无需微调？
• RQ3 在动态集成中，集成规模、处理延迟与安全强度之间的权衡关系如何？
• RQ4 动态集成能否在真实部署中有效检测对抗样本和分布外输入？
• RQ5 系统如何在最大化集成多样性与更新频率的同时，保持实时性能？

主要发现

• Sardino 相比传统微调方法，实现了 100 万倍的集成更新速度提升，使移动边缘设备上实现帧级更新成为可能。
• 在 320x320@30fps 条件下，系统平均每帧处理时间为 33.0ms，抖动保持在可接受范围内。
• 实车道路测试表明，Sardino 能够成功检测由基于 YOLO 的交通标志检测器产生的误报所导致的分布外输入。
• 运行时规划器能动态调整集成规模（N），即使在高目标负载（每帧最多 9 个目标）下，也能确保处理时间在 33ms 软截止时间内。
• 通过仅存储随机种子而非完整模型权重，系统每小时仅产生 5.5MB 的存储开销，支持事后分析。
• 与离线微调方法相比，Sardino 的帧级更新提供了显著更强的移动目标防御安全性，并避免了电池过度放电的风险。