VerifiableFL: Exclaves 를 활용한 연방 학습의 검증 가능한 주장 제공

이 논문은 연방 학습 (Federated Learning, FL) 환경에서 훈련된 모델에 대한 검증 가능한 주장 (Verifiable Claims) 을 제공하는 새로운 시스템인 VerifiableFL을 제안합니다. 기존 접근법의 한계를 극복하고, 데이터 무결성만 보장하는 새로운 하드웨어 추상화인 'Exclave'를 도입하여 FL 훈련 과정의 투명성과 신뢰성을 확보하는 방법을 제시합니다.

1. 문제 정의 (Problem)

연방 학습은 여러 데이터 제공자가 원본 데이터를 공유하지 않고 모델을 공동으로 훈련하는 분산 학습 방식입니다. 그러나 이 방식에는 다음과 같은 검증 불가능성 문제가 존재합니다.

• 검증의 부재: 데이터 제공자나 모델 제공자가 훈련 프로토콜 (예: 데이터 정제, 특정 알고리즘 사용, 개인정보 제거 등) 을 위반하더라도 이를 검증할 수단이 없습니다. 악의적인 참여자는 훈련을 생략하거나 데이터를 조작하여 모델을 오염시킬 수 있습니다.
• 기존 TEE(신뢰 실행 환경) 의 한계: 기존 연구들은 Intel SGX 나 AMD SEV-SNP 와 같은 TEE 를 사용하여 훈련을 보호하려 했습니다. 하지만 TEE 기반 접근법은 두 가지 주요 취약점이 있습니다.
  1. 정적 증명 (Static Attestation) 의 부족: TEE 는 배포 시점의 메모리 측정값 (Static Attestation) 만을 제공합니다. 이는 런타임 중 발생하는 데이터 정제 생략이나 프로토콜 위반과 같은 동적 행위를 포착하지 못합니다.
  2. 기밀성 (Confidentiality) 의존성: TEE 의 증명 무결성은 메모리 기밀성에 의존합니다. 사이드 채널 공격 등으로 기밀성이 침해되면, 증명 키가 유출되어 위조된 증명을 생성할 수 있게 되어 무결성 보장도 무너집니다.

따라서, 기밀성 보장 없이 오직 무결성 (Integrity) 만을 보장하면서도 런타임 중 발생하는 모든 데이터 변환을 검증할 수 있는 새로운 접근법이 필요합니다.

2. 방법론 및 핵심 기술 (Methodology & Key Contributions)

저자들은 TEE 의 기밀성 의존성을 제거하고 무결성만 보장하는 새로운 하드웨어 추상화인 **Exclave(엑스클레이브)**를 제안하고, 이를 활용한 VerifiableFL 시스템을 설계했습니다.

2.1 Exclave (무결성 전용 실행 환경)

• 개념: Exclave 는 TEE 와 유사하게 코드가 외부 간섭 없이 실행되도록 보장하지만, 데이터 기밀성은 제공하지 않습니다. 즉, 운영자가 내부 데이터를 볼 수 있어도 무결성은 유지됩니다.
• 핵심 특징:
  • 오직 **하나의 증명 서명 키 (Attestation Signing Key)**만 하드웨어 (보안 코프로세서) 에 의해 안전하게 관리됩니다.
  • 소프트웨어는 이 키에 접근할 수 없으므로, 사이드 채널 공격 등으로 키가 유출될 수 없습니다.
  • 런타임 중 데이터 변환 과정을 증명하는 데 필요한 것은 오직 무결성만 suffice 하므로, TEE 의 복잡한 기밀성 보호 모델을 피할 수 있습니다.

2.2 Exclave Data Record (EDR) 및 데이터 흐름 그래프 (EDG)

VerifiableFL 은 FL 훈련 과정의 각 단계 (로컬 훈련, 데이터 정제, 모델 집계 등) 를 Exclave 내부에서 실행하며, 각 단계마다 **Exclave Data Record (EDR)**를 생성합니다.

• EDR 구성: 각 EDR 은 해시 (Hash) 를 통해 다음 세 가지를 바인딩합니다.
  1. 데이터 입력 (Input)
  2. 수행된 코드 (Code)
  3. 생성된 데이터 출력 (Output)
• Exclave Dataflow Graph (EDG): 수집된 모든 EDR 을 기반으로 방향성 비순환 그래프 (DAG) 인 EDG 를 구성합니다. 이 그래프는 FL 훈련의 전체 데이터 흐름을 무결성 보호된 형태로 표현합니다.
• 감사 (Auditing): 제 3 자 감사인은 EDG 를 분석하여 다음과 같은 위반 사항을 탐지합니다.
  • 허용된 코드 측정값과 다른 코드 실행 (코드 변조).
  • 입력/출력 해시 불일치 (전송 중 데이터 변조).
  • 필수 단계 (예: 차분 프라이버시, 데이터 정제) 의 누락 (그래프 구조 이상).
  • 훈련 데이터셋의 변경 (Merkle Tree 기반 검증).

2.3 구현 (Implementation)

• NVFlare 확장: NVIDIA 의 오픈소스 FL 프레임워크인 NVFlare 를 확장하여 각 태스크를 Exclave 내에서 실행하도록 설계했습니다.
• 하드웨어 호환성: 완벽한 Exclave 구현을 위해 AMD SEV-SNP 펌웨어의 수정이 필요하지만, 저자들은 기존 AMD SEV-SNP 하드웨어에서 **가상 TPM (vTPM)**을 사용하여 Exclave 의 증명 기능을 시뮬레이션하는 변형 버전을 구현했습니다. 이는 성능은 유사하지만 보안 강도가 약간 낮지만, 실제 시스템에서의 유효성을 입증했습니다.

3. 실험 결과 (Results)

저자들은 Azure 클라우드 환경에서 다양한 ML 모델 (GPT-2, BERT, VGG9 등) 과 데이터셋을 사용하여 VerifiableFL 을 평가했습니다.

• 성능 오버헤드: VerifiableFL 은 보호가 없는 FL 훈련 (Baseline) 대비 최대 12% 미만의 오버헤드만 발생시켰습니다.
  • 대규모 모델 (GPT-2, BERT 등) 의 경우 오버헤드는 약 10% 미만으로 매우 낮았습니다.
  • 작은 모델 (LeNet) 의 경우 훈련 시간이 짧아 상대적으로 오버헤드 (약 11%) 가 더 두드러졌으나, 전체적으로는 실용적인 수준입니다.
• 확장성 (Scalability): 클라이언트 수를 1 개에서 4 개로 늘렸을 때, VerifiableFL 은 기존 NVFlare(CVM) 및 무보호 버전과 유사한 선형적인 성능 향상을 보였습니다.
• 감사 오버헤드: 100 명의 클라이언트가 1,000 라운드를 훈련하는 시나리오에서도 감사인의 검증 시간 (약 19 초) 과 저장소 비용 (약 162 MB) 은 무시할 수준이었습니다.
• 저장소 오버헤드: 무결성 보호를 위한 dm-verity 기반 저장소는 읽기 처리량 (Throughput) 을 약 62% 감소시켰으나, 이는 전체 훈련 시간 대비 상대적으로 작은 비용입니다.

4. 의의 및 결론 (Significance & Conclusion)

• 새로운 보안 모델: VerifiableFL 은 FL 의 신뢰성을 확보하기 위해 TEE 의 '기밀성'에 의존하지 않고, '무결성'과 '런타임 증명'에 집중함으로써 사이드 채널 공격 등 기밀성 침해 공격에 대한 취약점을 해결했습니다.
• 규제 준수 및 투명성: EU AI Act 와 같은 규제 요구사항 (훈련 데이터 출처, 정제 방법, 편향성 제거 등) 을 기술적으로 검증 가능하게 만들어, 모델 제공자와 규제 기관 간의 신뢰를 구축할 수 있는 기반을 마련했습니다.
• 실용성: 기존 FL 프레임워크 (NVFlare) 와의 호환성을 유지하면서 낮은 오버헤드로 검증 가능한 FL 시스템을 구현할 수 있음을 입증했습니다.

결론적으로, VerifiableFL 은 분산 환경에서의 ML 모델 훈련에 대한 검증 가능한 주장 (Verifiable Claims) 을 제공함으로써, 데이터 제공자와 모델 제공자 간의 신뢰를 기술적으로 보장하고, 악의적인 행위나 실수를 탐지할 수 있는 강력한 솔루션을 제시합니다.