기술 요약: VTarbel

문제 정의

수직적 연합 학습(Vertical Federated Learning, VFL)은 서로 다른 특징 집합을 가진 여러 당사자가 원시 데이터를 공유하지 않고도 협력적으로 모델을 훈련할 수 있게 합니다. 특징 재구성(feature reconstruction) 및 레이블 추론(label inference)과 같은 프라이버시 취약점은 잘 연구되어 왔으나, 추론 단계에서의 **표적 레이블 공격(targeted label attacks)**에 대한 보안 강건성은 아직 충분히 탐구되지 않았습니다. 이러한 공격에서, 침해된 수동적 참여자(passive party)는 자신의 입력 특징을 조작하여 글로벌 모델이 샘플을 공격자가 선택한 레이블로 오분류하도록 유도합니다.

기존의 표적 레이블 공격 방법들은 실제 시나리오에서 두 가지 결정적인 한계점을 가집니다:

1. 비현실적인 공격자 지식: 기존 연구들은 공격자가 레이블이 포함된 보조 데이터셋, 글로벌 모델의 출력(로짓/확률), 또는 다른 참여자의 테스트 샘플에 접근할 수 있다고 가정하는 경우가 많습니다. 그러나 실제 상황에서 레이블은 능동적 참여자의 고유 자산이며 절대 공유되지 않습니다.
2. 이상 탐지(Anomaly Detection) 간과: 실제 VFL 배포 환경에서는 의심스러운 특징 임베딩을 필터링하기 위해 이상 탐지기(예: 통계적 또는 ML 기반)를 사용하는 경우가 많습니다. 기존 공격들은 지나치게 최적화된 임베딩을 생성하여 정상 분포에서 크게 벗어나게 되며, 이로 인해 시스템이 표적 레이블 대신 "REJ" 레이블을 출력하며 입력을 거부하게 만듭니다.

핵심 과제는 최소한의 공격자 지식(레이블, 글로벌 출력 또는 타 참여자의 데이터에 대한 접근 권한 없음) 하에서 작동하면서도, 탐지기가 강화된 VFL 시스템을 효과적으로 회피하는 공격을 설계하는 것입니다.

방법론: VTarbel 프레임워크

저자들은 최소한의 지식과 효과적인 회피 사이의 간극을 메우기 위해 설계된 2단계 프레임워크인 VTarbel(VFL Inference Targeted Label Attack)을 제안합니다. 이 프레임워크는 추론 단계를 **준비 단계(Preparation Stage)**와 **공격 단계(Attack Stage)**로 구분합니다.

1. 준비 단계 (지식 수집)

목표는 테스트 세트의 대부분을 소모하지 않고 로컬 대리 모델(surrogate models)을 훈련하는 데 필요한 필수 지식을 수집하는 것입니다.

• 샘플 선택: 공격자는 레이블이 없는 테스트 세트에서 "높은 표현력"을 가진 최소한의 양질(benign) 샘플 세트를 선택합니다. 이 선택은 **최대 평균 편차(Maximum Mean Discrepancy, MMD)**에 의해 주도됩니다. 공격자는 선택된 서브셋과 전체 테스트 세트 분포 사이의 MMD 감소를 최대화하는 샘플을 반복적으로 선택하여, 서브셋이 대표성을 갖도록 보장합니다.
• 레이블 획득: 선택된 샘플들은 표준 프로토콜에 따라 VFL 시스템에 제출됩니다. 반환된 예측 레이블(REJ 제외)은 **의사 레이블(pseudo-labels)**로 취급됩니다.
• 로컬 모델 훈련: 선택된 샘플과 그 의사 레이블을 사용하여 공격자는 두 가지 핵심 구성 요소를 로컬에서 훈련합니다:
  • 추정된 탐지기(Estimated Detector): 탐지 경계(예: DeepAE 또는 KDE)를 추정하기 위한 방어자의 이상 탐지기에 대한 근사치입니다.
  • 대리 모델(Surrogate Model): 글로벌 VFL 모델의 동작을 모방하기 위해 공격자가 훈련시킨 하단 모델(bottom model)에 추론 헤드를 부착하여 구축된 모델입니다.

2. 공격 단계 (적대적 생성)

공격자는 훈련된 대리 모델과 추정된 탐지기를 사용하여 남은 테스트 샘플들에 대한 적대적 인스턴스를 생성합니다.

• 최적화 목적 함수: 공격자는 나머지 원시 특징을 변형하기 위해 경사 하강법 기반 최적화(Projected Gradient Descent)를 수행합니다. 목적 함수는 대리 모델의 예측과 표적 레이블 사이의 교차 엔트로피 손실을 최소화하는 동시에, 추정된 탐지기가 예측하는 이상 점수를 최소화합니다.
• 제약 조건: 변형된 특징이 유효하고 감지 불가능하도록 유지하기 위해 변형은 거리 경계($L_p$-norm)에 의해 제한됩니다.
• 실행: 최적화된 악성 임베딩은 VFL 시스템에 제출됩니다. 적대적 예제의 전이성(transferability) 덕분에, 이 임베딩들은 방어자의 탐지기에 의해 "정상" 분포 내에 머물면서도 글로벌 모델이 표적 레이블을 예측하도록 유도하도록 설계되었습니다.

주요 기여

1. 문제의 정형화: 저자들은 VFL에서의 표적 레이블 공격을 특정 레이블로의 오분류 수를 최대화하기 위해 테스트 샘플의 최적 서브셋을 선택하는 조합 최적화 문제로 정형화했습니다. 이 문제를 NP-hard로 식별하고 이를 실용적으로 해결하기 위한 2단계 분할 방식을 제 제안했습니다.
2. 최소 지식 공격 프레임워크: VTarbel은 현실적인 제약 조건(레이블, 글로벌 출력 없음) 하에서 작동하도록 설계되었으며, 이상 탐지기를 명시적으로 고려한 최초의 프레임워크입니다. 이는 준비 단계에서 샘ful 사용량을 최소화하여 표현력이 높은 로컬 모델을 훈련함으로써, 공격을 위한 더 많은 샘플을 보존하는 2단계 패러다임을 활용합니다.
3. 광범적한 평가: 이 프레임워크는 4개의 모델 아키텍처(MLP3, VGG13, ResNet18, DistilBERT), 7개의 멀티모달 데이터셋(TabFMNIST, CIFAR10, CINIC10, CIFAR100, TREC, IMDB), 그리고 2개의 이상 탐지기(DeepAE, KDE)에 대해 평가되었습니다.

실험 결과

• 우수한 성능: VTarbel은 4개의 최신 베이스라인(LR-BA, HijackVFL, ADI, TIFS'23)보다 일관되게 우수한 성능을 보였습니다. 예를 들어, DeepAE 탐지기가 있는 VGG13 모델에서 VTarbel은 **90.39%**의 공격 성공률(ASR)을 달이는 반면, 가장 우수한 베이스라인은 **49.62%**에 그쳤습니다. 많은 설정에서 베이스라인은 탐지기가 활성화될 때 ASR이 거의 0에 가깝게 떨어지는 반면, VTarbel은 높은 성공률을 유지합니다.
• 탐지 회피: 이 프레임워크는 탐지를 성공적으로 회피합니다. 저자들은 방어자의 탐지 임계값이 강화되더라도 VTarbel의 ASR은 높게 유지되는 반면, 다른 방법들은 완전히 실패함을 입증했습니다.
• 방어에 대한 강건성: 논문은 세 가지 일반적인 프라이버시 보호 방어 기법(Noisy Embedding, Discrete Embedding, Compressed Embedding)을 평가합니다. Compressed Embedding은 일부 완화 효과를 보였으나(데이터셋에 따라 ASR을 약 47-7%로 감소), 이는 메인 작업의 추론 정확도를 심각하게 저하시키는(10-20% 이상 하락) 대가를 치릅니다. 나머지 두 가지 방어 기법은 VTarbel에 대해 거의 효과가 없었습니다.
• 절제 연구(Ablation Studies): 실험을 통해 두 단계가 모두 필요함을 확인했습니다. 준비 단계를 제거하면(Only-Attack) 훈련된 대리 모델의 부재로 인해 ASR이 0%가 됩니다. 또한, MMD 기반의 샘플 선택은 특히 불균형 데이터셋에서 무작위 선택보다 유의미하게 우수한 성능을 보였습니다.

의의 및 주장

본 논문은 VTarbel이 현재 VFL 배포 환경의 결정적인 보안 사각지대를 드러낸다고 주장합니다. 최소한의 지식만 있고 이상 탐지기가 존재하는 상황에서도 수동적 참여자가 VFL 추론 결과를 효과적으로 조작할 수 있음을 보여줍니다. 저자들은 기존의 방어 기법들이 공격을 막지 못하거나 VFL 시스템의 유용성을 심각하게 저해한다는 점에서 불충분하다고 강조합니다. 이 연구는 단순한 방어 문제를 해결하는 것이 아니라, 공격 인지적(attack-aware) 방어를 개발해야 할 시급한 필요성을 강조하며, 높은 추론 정확도를 유지하면서 표적 레이블 공격을 완화할 수 있는 연구를 촉발하는 데 목적이 있습니다.