기술 요약: VMask – 레이어 마스킹을 통한 수직적 연합 학습용 조절 가능한 레이블 프라이버시 보호

1. 문제 정의

수직적 연합 학습(Vertical Federated Learning, VFL)은 여러 당사자가 각자의 로컬 데이터셋을 비공개로 유지하면서 협력하여 머신러닝 모델을 훈련할 수 있게 합니다. 전형적인 VFL 설정에서 **활성 당사자(active party)**는 레이블을 보유하고, **수동 당사자(passive parties)**는 특징 부분 집합(feature subsets)을 보유합니다. VFL은 중간 특징 임베딩과 그래디언트만을 교환하기 때문에 일반적으로 프라이버시가 보호되는 것으로 간주되지만, 최근 연구들은 VFL이 **레이블 추론 공격(label inference attacks)**에 취약하다는 것을 입증했습니다.

다양한 공격 표면 중에서도 모델 완성(Model Completion, MC) 공격이 가장 강력하고 심각한 위협으로 식별되었습니다. 이 시나리오에서 준수적(semi-honest, honest-but-curious) 성향의 수동 당사자는 학습 프로토콜을 엄격히 준수하더라도, 추가된 추론 헤드를 가진 로컬 훈련 바텀 모델(bottom model)을 미세 조정함으로써 활성 당사자의 비공개 레이블을 정확하게 예측할 수 있습니다. 이는 바텀 모델이 비공개 레이블과 강하게 상관된 특징 임베딩을 생성하도록 학습되기 때문에 가능합니다.

MC 공격에 대한 기존 방어 기제들은 세 가지 결정적인 과제에 직면해 있습니다:

1. 최적화되지 않은 트레이드오프(Suboptimal Trade-off): 기존 방법들은 프라이버시를 달성하기 위해 상당한 모델 유틸리티를 희생하거나, 그 반대의 상황을 초래합니다.
2. 비현실적인 오버헤드(Impractical Overhead): 동형 암호(Homomorphic Encryption)나 보안 다자간 계산(Secure Multi-Party Computation)과 같은 암호학 기반 솔루션은 엄격한 프라이버시를 제공하지만, 계산 비용이 매우 높아 대규모 배포에는 부적합합니다.
3. 조절 가능성 부족(Lack of Tunability): 현재의 방법들은 방어자가 특정 자원 제약이나 정확도 요구 사항에 따라 레이블 프라이버시 수준을 유연하게 조정하는 것을 허용하지 않습니다.

2. 방법론: VMask 프레임워크

저자들은 모델 유틸리티를 보존하면서 레이어 마스킹을 통해 MC 공격을 방어하고 조절 가능한 프라이버시를 제공하는 새로운 프레임워크인 VMask를 제안합니다.

핵심 통찰

근본적인 통찰은 입력 데이터와 결과적인 특징 임베딩 사이의 강한 상관관계가 공격자가 레이블을 추론할 수 있게 한다는 점입니다. VMask는 공격자의 바텀 모델 내에서 특정 레이어 파라미터를 무작위화함으로써 이 상관관계를 깨뜨립니다. 이러한 레이어 마스킹을 통해 모델이 대표적인 특징 임베딩을 생성하는 능력을 저하시켜, 결과적으로 공격자의 추론 정확도를 낮춥니다.

주요 구성 요소

VMask는 표준 VFL 시스템에 두 개의 모듈과 두 개의 절차를 통합합니다:

1. 레이어 마스킹을 위한 비밀 공유(Secret Sharing, SS):

   • 단순히 레이어를 탈락시키는 대신, VMask는 선형 레이어 파라미터를 마스킹하기 위해 **가산 비밀 공유(Additive Secret Sharing)**를 사용합니다.
   • 활성 당사자와 수동 당사자는 파라미터를 공유하며, 이때 수동 당사자(공격자)는 랜덤한 쉐어(share)를 보유하고, 활성 당사자는 (재구성을 방지하기 위한 랜덤 노이즈가 포함된) 보완적인 쉐어를 보유합니다.
   • 이는 훈련 중 선형 연산(덧셈 및 곱셈 작업)의 무결성을 보존하여 메인 태스크의 정확도를 높게 유지합니다.

2. 임계 레이어 선택 전략(Critical Layer Selection Strategy):

   • 모든 레이어를 무작정 마스킹하는 것은 계산 비용이 많이 듭니다. VMask는 마스킹할 임계 레이어만을 선택하는 전략을 채택합니다.
   • 기준: 레이어는 훈련 이력 동안의 **누적 그래디언트 노름(accumulated gradient norms)**을 기준으로 선택됩니다. 그래디언트가 큰 레이어일수록 레이블 추론에 더 결정적인 것으로 간주됩니다.
   • 관찰: 경험적 결과에 따르면, 인접하지 않은 임계 레이어를 마스키하는 것이 연속된 레이어를 마스킹하는 것보다 공격 정확도를 줄이는 데 더 효과적입니다.

3. 추정을 위한 섀도우 모델(Shadow Model):

   • 활성 당사자는 공격자의 실제 그래디언트에 직접 접근할 수 없으므로, 소량의 **보조 데이터셋(auxiliary dataset)**으로 동기식으로 훈련되는 섀도우 모델(수동 당사자의 바텀 모델과 동일한 구조)을 유지합니다.
   • 활성 당사자는 이 섀도우 모델을 사용하여 로컬에서 MC 공격을 시뮬레이션하고 레이블 누출 정도를 추정합니다.

4. 조절 가능한 프라이버시 예산(Tunable Privacy Budget):

   • 프레임워크는 **조절 가능한 프라이버시 예산($\epsilon$)**을 지원합니다. 활성 당사자는 섀도우 모델에서 공격을 시뮬레이션하며, 만약 추정된 공격 정확도가 예산을 초과하면, 누출이 정의된 한계치 아래로 떨어질 때까지 추가적인 임계 레이어를 마스킹 리스트에 탐욕적(greedily)으로 추가합니다.

워크플로우

1. 초기화: 수동 당사자와 활성 당사자가 모델을 초기화합니다. 첫 번째 레이어는 기본적으로 마스킹됩니다.
2. 레이어 마스킹: 선택 전략에 따라 특정 레이어가 SS를 사용하여 마스킹됩니다.
3. 보안 모델 업데이트: VFL 모델이 훈련됩니다. 마스킹된 레이어는 비밀 공유를 통해 계산되며, 마스킹되지 않은 레이어는 표준 평문 계산을 사용합니다.
4. 섀도우 모델 업데이트: 활성 당사자가 보조 데이터셋을 사용하여 섀도우 모델을 훈련합니다.
5. 레이어 선택: 활성 당사자가 섀도우 모델에서 MC 공격을 시뮬레이션합니다. 만약 누출이 예산을 초과하면, 다음 에포크를 위해 더 많은 레이어가 마스킹 리스트에 추가됩니다.
6. 반복: 이 과정은 글로벌 VFL 모델이 수렴할 때까지 반복됩니다.

3. 주요 기여

• 새로운 프레임워크: MC 공격을 방어하면서 높은 모델 유틸리티를 유지하기 위해 비밀 공유를 활용한 레이어 마스킹을 도입한 최초의 프레임워크인 VMask를 소개합니다.
• 조절 가능한 프라이버시: 방어자가 실제 요구 사항에 따라 프라이버시와 유틸리티 간의 트레이드오프를 유연하게 제어할 수 있도록 하는 조절 가능한 프라이버시 예산 메커니즘을 설계하였으며, 이는 기존 연구에는 없는 기능입니다.
• 효율적인 선택 전략: 전체 모델에 비밀 공유를 적용하는 오버헤드를 크게 줄이기 위해, 누적 그래디언트 노름을 기반으로 임계하고 인접하지 않은 레이어를 타겟팅하는 레이어 선택 전략을 제공합니다.
• 포괄적인 평가: 5가지 모델 아키텍처(MLP3, LeNet5, VGG13, ResNet18, DistilBERT)와 13개의 데이터셋(정형, 이미지, 텍스트)에 걸쳐 12개의 기존 방어 방법과 비교하여 광범위한 실험을 수행했습니다.

4. 실험 결과

평가는 VMask가 비교된 모든 방법 중 최상의 프라이버시-유틸리티 트레이드오프를 달성함을 보여줍니다:

• 프라이버시 보호: VMask는 MC 공격을 성공적으로 저지하여 레이블 추론 정확도를 무작위 추측 수준(랜덤 공격자의 모델과 유사한 수준)으로 낮춥니다. 테스트된 모든 케이스에서 공격 정확도는 (보호되지 않은 모델의 4090%와 비교하여) 근사 무작위 수준(예: 데이터셋에 따라 약 1020%)으로 감소했습니다.
• 모델 유틸리티: 프레임워크는 최소한의 성능 저하로 모델 성능을 보존합니다.
  • 트랜스포머 기반 모델(DistilBERT)의 경우, VFL 모델 정확도의 평균 하락은 단 **0.09%**였습니다.
  • 모든 모델에 걸쳐 평균 정확도 하락은 최대 **0.34%**였습니다.
• 효율성:
  • VMask는 암호학 기반 방법(예: 동형 암호)보다 최대 60,846배 빠릅습니다.
  • 표준 VFL과 비교했을 때 런타임 오버헤드는 미미합니다. DistilBERT(67M 파라미터)와 같은 대규모 모델의 경우, VMask의 런타임은 표준 VFL의 1.8배에 불과하며, 저자들은 이를 일반적으로 수용 가능한 수준으로 간주합니다.
• 조절 가능성: 프레임워크는 다양한 프라이버시 레벨에 대해 정의된 프라이버시 예산 내에서 레이블 누출을 일관되적으로 제어합니다.

5. 의의 및 주장

본 논문은 VFL에서 모델 완성 공격에 대한 실용적인 방어의 긴급한 필요성을 해결한다고 주장합니다. 그 의의는 다음과 같습니다:

1. 트레이드오프 극복: 하나를 위해 다른 하나를 희생하는 경우가 많은 기존의 머신러닝 기반 방어의 한계를 넘어, 높은 모델 유틸리티와 강력한 프라이버시를 동시에 달성합니다.
2. 실제 배포 가능성: 무거운 암호학적 연산을 피함으로써, 기존의 암호학적 접근 방식과 달리 실제 시나리오에서 계산적으로 실행 가능한 솔루션을 제공합니다.
3. 유연성: 최초로 조절 가능한 프라이버시 예산을 제공하여, 방어자가 시스템을 재설계하거나 다시 훈련할 필요 없이 특정 자원 제약 및 프라이버시 요구 사항에 따라 정보에 입각한 결정을 내릴 수 있도록 합니다.

저자들은 V-Mask가 레이블 누출이 중요한 관심사인 금융 및 의료와 같은 민감한 영역에서 배포 가능한 유망한 후보로서, 수직적 연합 학습의 레이블 프라이버시를 보호하기 위한 견고하고 효율적이며 유연한 솔루션을 제공한다고 결론짓습니다.