기술 요약: 엔트로피 기반 오염 데이터 분리를 통한 CLIP 유도 백도어 방어 (CGD)

1. 문제 정의

심층 신경망(DNN)은 적대자가 특정 입력을 타겟 클래스로 오분류하도록 유도하는 트리거를 심기 위해 훈련 데이터의 작은 일부를 오염시키는 백도어 공격에 취약합니다. 기존의 방어 기법들은 다음과 같은 상당한 한계에 직면해 있습니다:

• 클린 모델 기반 방어 (Clean Model-Based Defenses): 자기 지도 학습 또는 준지도 학습(예: DBD, ASD)에 의존하는 방법들은 계산 비용이 많이 들며, 레이블은 올바르지만 이미지에 트리거가 내장된 고급 **클린 레이블 백도어(clean-label backdoors)**에 효과적이지 않은 경우가 많습니다.
• 의심스러운 모델 기반 방어 (Suspicious Model-Based Defenses): 피해 모델의 동작을 분석하는 방법(예: ABL, EP)은 오염된 이미지가 시각적으로 클린 이미지와 구별되지 않는 **클린 이미지 백도어(clean-image backdoors)**에 취약합니다. 이 경우 데이터 분포나 활성화 함수를 통한 이상 탐지가 어렵습니다.
• 클린 데이터에 대한 의존성: 많은 효과적인 방어 기법(예: Fine-Pruning, MCR)은 소량의 클린 데이터 서브셋이 존재한다고 가정하지만, 실제 환경에서는 보안 보장이 없는 외부 소스에서 훈련 데이터를 가져오는 경우가 많아 이러한 데이터가 없는 경우가 흔합니다.

2. 방법론: CLIP 유도 백도어 방어 (CGD)

저자들은 공개적으로 사용 가능한 사전 훈련된 시각-언어 모델(CLIP)을 "약하지만 클린한" 분류기로 활용하여, 오염된 데이터를 분리하고 모델의 언러닝(unlearning)을 유도하는 2단계 방어 메커니즘인 CGD를 제안합니다.

핵심 통찰

이 방법은 두 모델의 예측에 대한 엔트로피 분석에 기초합니다:

1. CLIP (약하지만 클린함): 제로샷 분류기로서, CLIP은 특정 백도어가 없는 것으로 간주됩니다. CLIP은 레이블과 이미지가 일치하지 않거나(레이블 오염), 트리거가 의미론적 이해를 방해하는 경우 높은 엔트로피(낮은 신뢰도)를 나타내는 경향이 있습니다.
2. 의심스러운 모델 (피해 모델): 오염된 데이터셋으로 훈련된 모델입니다. 클린 레이블 백도어의 경우, 피해 모델은 트리거와 타겟 레이블 사이의 강력한 연관성을 학습하므로, 트리거가 미미하더라도 오염된 샘플에 대해 낮은 엔트로피(높은 신뢰도) 예측을 생성합니다.

1단계: CLIP 유도 메타 데이터 분할

프레임워크는 CLIP과 의심스러운 모델 모두로 각 샘플을 평가하여 "엔트로피 맵"을 생성합니다.

• 포이즌-레이블 식별: CLIP에서 높은 엔트로피를 보이는 샘플(레이블-이미지 불일치 지표)은 플래그가 지정됩니다.
• 클린-레이블 식별: 의심스러운 모델에서 낮은 엔트로피를 보이는 샘플(트리거 연관성으로 인한 과잉 확신 지표)은 플래그가 지정됩니다.
• 분할 전략: 엔트로피 점수($\hat{S}_{CLIP}$ 및 $\hat{S}_{Model}$)의 백분위 순위를 사용하여 데이터셋을 다음과 같이 분할합니다:
  • 클린 서브셋 ($D_c$): 낮은 CLIP 엔트로피 및 높은 모델 엔트로피.
  • 트리거드 서브셋 ($D_p$): 높은 CLIP 엔트로피 또는 낮은 모델 엔트로피.
  • 혼합 서브셋: 나머지 샘플들.

2단계: CLIP 유도 백도어 언러닝

모델은 분리된 서브셋들에 대해 복합 손실 함수를 사용하여 미세 조정(fine-tuning)됩니다:

1. 재학습 손실 ($L_{re}$): 클린 정확도를 유지하기 위해 $D_c$에 대한 표준 교차 엔트로피 손실을 적용합니다.
2. 언러닝 손실 ($L_{un}$): 트리거드 샘플에 대한 확신 있는 예측을 억제하여 트리거-레이블 연관성을 파괴하기 위해 $D_p$에 대한 음의 교차 엔트로피를 적용합니다.
3. 증류 손실 ($L_{distill}$): $D_p$에 대한 모델의 예측과 CLIP의 예측 사이의 Kullback-Leibler 발산입니다. 이는 모델이 CLIP의 "클린한" 제로샷 분류와 정렬되도록 유도하여 백도어의 영향을 효과적으로 중화합니다.

확장: 클린 데이터 기반 방어 활성화

이 논문의 참신한 기여 중 하나는 전통적으로 클린 데이터를 필요로 하는 방어 기법(예: Fine-Pruning, ANP)을 오염된 데이터셋에 적용할 수 있도록 하는 능력입니다. CGD를 사용하여 오염된 데이터로부터 고품질의 "분할 클린(Split Clean)" 서브셋($D_c$)을 필터링함으로써, 외부 클린 데이터 없이도 이러한 방법들을 적용할 수 있습니다.

3. 주요 기여

1. 새로운 방어 메커니즘 (CGD): 엔트로피 분석을 통해 오염된 샘플을 식별하기 위해 CLIP을 제로샷 분류기로 사용하는 방어법을 도입하여, 레이블 오염 및 클린-레이블/클린-이미지 백도어를 모두 해결합니다.
2. 효율성 및 효과성: 최소한의 계산 오버헤드(훈련 후 3분 미만)로 높은 방어 성능을 달s하며 높은 클린 정확도를 유지합니다.
3. 방어 패러다임의 가교: CGD를 사용하여 오염된 데이터로부터 클린 서브셋을 추출함으로써, 클린 데이터 기반 방어 기법을 외부 클린 데이터 없이도 효과적으로 배포할 수 있음을 입증했습니다.
4. 강건성: CLIP이 약하거나(낮은 제로샷 정확도) CLIP 자체가 백도어에 의해 오염된 경우에도 효과적인 방어를 제공합니다.

4. 실험 결과

저자들은 4개의 데이터셋(CIFAR-10, CIFAR-100, GTSRB, Tiny-ImageNet)에 대해 11가지 최첨단 백도어 공격을 대상으로 CGD를 평가했습니다.

• 성능: CGD는 다른 방어 기법들이 실패했던 클린-레이블 및 클린-이미지 백도어를 포함한 모든 공격 카테고리에서 공격 성공률(ASR)을 1% 미만(CIFAR-10의 경우 평균 0.2%)으로 낮추었습니다.
• 클린 정확도 (CA): 이 방법은 CIFAR-10에서 최대 **0.3%**의 하락만으로 높은 클린 정확도를 유지했습니다.
• 비교: CGD는 기존의 오염 데이터 기반 방어 기법(예: ABL, DBD, EP)보다 우수한 성능을 보였으며, 클린 데이터 기반 방어 기법(예: ANP-SC, MCR-SC)을 위한 필터링 도구로 사용되었을 때 5%의 외부 클린 데이터를 사용하는 것과 대등하거나 더 나은 결과를 달성했습니다.
• 효율성: 분할 및 방어에 걸린 총 실행 시간은 피해 모델 훈련을 포함하여 약 1,154초였으며, 이는 DBD(26,971초)와 같은 자기 지도 학습 방식보다 현저히 빠릅니다.
• 강건성 테스트:
  • 약한 CLIP: CLIP의 제로샷 정확도가 약 7.5%로 감소하더라도 효과적인 방어(ASR $\le$ 5%)를 수행했습니다.
  • 백도어가 있는 CLIP: 가이드 역할을 하는 CLIP 모델 자체에 백도어가 포함되어 있더라도, CGD는 해당 백도어를 전이시키지 않고 피해 모델에서 백도어를 성공적으로 제거했습니다.
  • 적응형 공격: 엔트로피 탐지를 회피하려는 적응형 공격(예: Rand-Patch, Feature Mixing Backdoor)에 대해서도 저항력을 보였습니다.

5. 의의 및 주장

본 논문은 CGD가 실용적이고 확장 가능하며 매우 효율적인 실세계 백도어 방어 솔루션임을 주장합니다. 그 의의는 다음과 같습니다:

• 한계 극복: 자기 지도 학습의 무거운 계산 비용 없이도 클린-레이블 및 클린-이미지 백도어에 대한 기존 방어의 특정 약점을 성공적으로 해결합니다.
• 자원 효율성: 오염된 데이터 자체에서 클린 서브셋을 합성함으로써, 실무 배치 시 주요 병목 구간인 외부 클린 데이터의 필요성을 제거합니다.
• 회복 탄력성: 불완전한 조건(약하거나 오염된 CLIP 모델)에서도 강력한 보안을 제공하므로, 신뢰할 수 없는 데이터 환경에서 DNN을 보호하기 위한 강건한 선택지입니다.

저자들은 CGD가 효과적이면서도 실세계 배치가 가능한 방어를 제공함으로써 딥러닝 애플리케이션을 더욱 신뢰할 수 있게 만드는 중요한 진전이라고 결론짓습니다.