🤖 AI

PoLO: Proof-of-Learning and Proof-of-Ownership at Once with Chained Watermarking

이 논문은 체인형 워터마킹(Chained Watermarking) 기술을 통해 데이터 프라이버시를 보호하면서도 소유권 검증과 학습 증명을 동시에 수행하며, 기존 방식 대비 비용을 대폭 절감하고 높은 탐지 정확도와 강력한 보안성을 갖춘 PoLO 프레임워크를 제안합니다.

원저자: Haiyu Deng, Yanna Jiang, Guangsheng Yu, Qin Wang, Xu Wang, Baihe Ma, Wei Ni, Ren Ping Liu

게시일 2026-04-27

📖 2 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Haiyu Deng, Yanna Jiang, Guangsheng Yu, Qin Wang, Xu Wang, Baihe Ma, Wei Ni, Ren Ping Liu

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

1. 기존의 문제점: "가짜와 속임수의 위험"

지금까지는 AI 모델이 진짜인지 확인하는 방법이 두 가지로 나뉘어 있었습니다.

학습 증명 (PoL): "이 가방을 만들기 위해 가죽을 얼마나 썼고, 몇 시간 동안 바느질했는지"를 증명하는 것입니다. 그런데 기존 방식은 너무 복잡해서, 증명하려면 공장 전체를 다시 돌려보거나(비용 과다), 가죽 조각(학습 데이터)을 전부 다 보여줘야 해서 보안에 취약했습니다.
소유권 증명 (PoO): "이 가방에 박힌 브랜드 로고"를 확인하는 것입니다. 하지만 로고만 있다고 해서 그 가방이 진짜 정성 들여 만든 가방인지, 아니면 겉모습만 흉내 낸 가짜인지 알 수는 없었죠.

결국, **"열심히 만든 진짜 제품"**인지와 **"브랜드가 확실한 제품"**인지를 따로따로 확인해야 하는 번거로움과 보안 구멍이 있었습니다.

2. PoLO의 해결책: "체인형 워터마크 (Chained Watermarking)"

이 논문에서 제안하는 PoLO는 이 두 가지를 하나로 합쳤습니다. 핵심 아이디어는 **'체인형 워터마크'**입니다.

비유하자면, 가방을 만들 때 처음부터 끝까지 **'보이지 않는 특수 실'**을 한 땀 한 땀 엮어 넣는 것과 같습니다.

단계별 인증 (Shard): 가방을 한 번에 뚝딱 만드는 게 아니라, '밑창 만들기' $\rightarrow$ '몸통 만들기' $\rightarrow$ '지퍼 달기'처럼 단계를 나눕니다.
사슬처럼 연결된 비밀 코드: '몸통' 단계에 새기는 비밀 코드는 반드시 '밑창' 단계의 결과물과 연결되어 있어야 합니다. 즉, 앞 단계의 결과물이 다음 단계의 비밀 코드를 결정하는 방식이죠.
결과: 마지막에 완성된 가방의 로고를 확인하면, 그 로고가 앞선 모든 제작 단계(밑창, 몸통 등)가 올바르게 연결되었음을 수학적으로 증명해 줍니다.

3. 왜 PoLO가 대단한가요? (3가지 핵심 장점)

① "가짜를 만들려면 처음부터 다시 만들어야 합니다" (강력한 보안)

나쁜 마음을 먹은 사람이 중간 단계의 로고만 살짝 바꿔치기하려고 하면, 사슬이 끊어져 버립니다. 가짜 로고를 완벽하게 만들려면 결국 처음부터 끝까지 똑같은 시간과 비용을 들여서 다시 만들어야 합니다. "속여서 얻는 이득보다, 새로 만드는 비용이 더 크기 때문에" 아무도 속이려 하지 않게 만드는 경제적 방어막을 친 것입니다.

② "데이터를 보여줄 필요가 없습니다" (개인정보 보호)

기존에는 "진짜 공부했는지 확인하게 공부한 책(데이터) 좀 보여줘!"라고 요구했다면, PoLO는 **"책은 안 보여줘도 돼. 대신 가방에 새겨진 이 특수 실(워터마크)만 확인하면 돼"**라고 말합니다. 덕분에 소중한 학습 데이터가 유출될 걱정이 없습니다.

③ "확인이 엄청나게 빠릅니다" (압도적 효율성)

기존 방식이 가방이 진짜인지 확인하려고 공장을 통째로 다시 돌려보는 수준이었다면, PoLO는 가방에 새겨진 로고만 슥 훑어보는 수준입니다. 확인 비용을 기존 방식의 1.5%~10% 수준으로 확 줄였습니다.

요약하자면!

PoLO는 AI 모델이라는 디지털 제품을 만들 때, 제작 과정의 정성(학습)과 브랜드의 정통성(소유권)을 '사슬처럼 연결된 비밀 낙인'으로 한 번에 해결하는 기술입니다.

이 기술 덕분에 우리는 AI 모델을 거래할 때, **"이 모델은 진짜 정성 들여 만든 것이며, 주인도 확실하다!"**라는 것을 아주 빠르고, 안전하고, 저렴하게 믿고 거래할 수 있게 됩니다.

1. 문제 정의 (Problem Statement)

머신러닝(ML) 모델이 경제적 가치를 지닌 자산이 됨에 따라, 모델 거래소(EMM)와 같은 환경에서 두 가지 핵심 검증 요소가 필요해졌습니다.

학습 증명 (Proof-of-Learning, PoL): 모델이 실제로 주장된 만큼의 계산 자원과 노력을 들여 학습되었는지 확인.
소유권 증명 (Proof-of-Ownership, PoO): 모델의 정당한 소유자가 누구인지 확인(주로 워터마킹 사용).

기존 연구의 한계:

분리된 접근 방식: PoL과 PoO를 별개로 다루면, 학습 과정은 증명하지만 소유권 추적이 어렵거나, 소유권은 증명하지만 실제 학습 노력 여부를 보장하지 못하는 결함이 발생합니다.
보안 취약성: 기존 PoL(기울기 기반 추적 등)은 학습 데이터나 중간 상태를 노출해야 하므로 프라이버시 침해 위험이 크고, 가짜 학습 경로를 만들어내는 위조(Forgery) 공격에 취약합니다.
높은 검증 비용: 기존 방식은 검증자가 모델을 처음부터 다시 학습하거나 재현해야 하므로, 모델 규모가 커질수록 검증 비용이 기하급수적으로 증가합니다.

2. 제안 방법론 (Methodology: PoLO)

본 논문은 **연쇄형 워터마킹(Chained Watermarking)**을 사용하여 PoL과 PoO를 동시에 달성하는 통합 프레임워크인 PoLO를 제안합니다.

핵심 메커니즘:

학습 샤드(Training Shards) 분할: 전체 학습 과정을 여러 개의 미세한 '샤드(Shard)' 단위로 나눕니다. 각 샤드는 워터마크가 성공적으로 삽입될 때까지의 학습 단계를 의미합니다.
연쇄형 워터마크 생성 (Chained Generation): $x$ 번째 샤드의 워터마크( $\Lambda_x$ )는 이전 샤드( $x-1$ )의 최종 가중치( $W_{x-1}$ )를 해시 함수( $H$ )에 통과시켜 결정론적으로 생성됩니다. 이 구조는 각 학습 단계가 이전 단계와 암호학적으로 연결되게 하여, 중간 단계를 조작하면 전체 체인이 무너지도록 설계되었습니다.
워터마크 삽입 및 난독화: 학습 과정에서 워터마크를 삽입함과 동시에, 프라이버시 보호를 위해 워터마크가 없는 영역에 가우시안 노이즈를 추가하여 학습 데이터 유출(Gradient Leakage)을 방지합니다.
검증 프로세스: 검증자는 전체 데이터를 다시 학습할 필요 없이, 저장된 체크포인트( $W_{x-1}, W_x$ )에서 워터마크를 추출하여 이전 단계의 해시 값과 일치하는지만 확인하면 됩니다.

3. 주요 기여 (Key Contributions)

통합 프레임워크 설계: PoL(학습 노력)과 PoO(소유권)를 별개의 모듈로 쌓는 것이 아니라, 워터마크 체인 자체가 학습 경로를 증명하는 도구가 되도록 설계하여 두 목적을 동시에 달성했습니다.
경제적 위조 방지 (Economic Unforgeability): 공격자가 소유권을 탈취하기 위해 워터마크를 지우고 새로 심으려면(Removal-plus-re-embedding), 정직한 학습에 준하는 막대한 계산 비용을 들여야 합니다. 즉, 위조의 비용이 이득보다 크게 만들어 공격의 경제적 유인을 제거했습니다.
프라이버시 및 효율성 개선: 학습 데이터 공유 없이 워터마크 추출만으로 검증이 가능하며, 검증 비용을 기존 방식 대비 획기적으로 낮추었습니다.

4. 실험 결과 (Results)

다양한 모델(ResNet, VGG, BERT 등)과 데이터셋(CIFAR, TinyImageNet, AG News)을 통해 검증한 결과는 다음과 같습니다.

높은 정확도: 소유권 검증을 위한 워터마크 탐지 정확도가 **99%**에 달합니다.
낮은 검증 비용: 기존의 기울기 기반(Vanilla) PoL 방식과 비교했을 때, 검증 비용을 학습 비용의 1.5%~10% 수준으로 대폭 절감했습니다.
강력한 위조 저항성:
- OFA(전체 미세 조정 공격): 공격자가 워터마크를 교체하려 할 경우, 정직한 학습보다 1.1~4배 더 많은 자원이 소모됩니다.
- WMA(가중치 조작 공격): 가중치를 직접 조작할 경우 모델의 주 작업(Main Task) 성능이 급격히 떨어져 검증을 통과할 수 없습니다.
- 공격을 받은 후에도 원래의 워터마크는 90% 이상의 탐지 정확도를 유지합니다.

5. 의의 (Significance)

PoLO는 머신러닝 모델의 상업적 거래가 활발해지는 모델 시장(ML Marketplaces) 및 외주 학습(Outsourced Training) 환경에서 신뢰를 구축할 수 있는 실질적인 솔루션을 제공합니다. 특히 보안(위조 방지), 프라이버시(데이터 보호), 효율성(저비용 검증)이라는 세 마리 토끼를 동시에 잡음으로써, 모델의 출처(Provenance)와 소유권을 법적/기술적으로 보장할 수 있는 강력한 기반을 마련했습니다.