Cryptographic Backdoor for Neural Networks: Boon and Bane

기술 요약: 신경망을 위한 암호학적 백도어: 복(Boon)과 화(Bane)

문제 정의
심층 신경망(DNN)은 점점 더 머신러닝 서비스(MLaaS) 형태로 배포되고 있으며, 이는 지식 재산(IP) 도용, 모델 추출 및 무단 접근에 관한 상당한 위험을 초래한다. 워터마킹이나 핑거프린팅과 같은 기존 방어 기법들은 흔히 백도어 기술에 의존하지만, 이는 빈번하게 취약점으로 간주된다. 반대로, Goldwasser 등이 [10] 제시한 암호학적 백도어는 이론적인 탐지 불가능성을 제공하지만 실제 응용 시나리오에서의 탐색은 부족한 실정이다. 본 논문은 암호학적 백도어의 이중적 성격, 즉 강력하고 보이지 않는 적대적 공격 벡터로서의 잠재력과 신경망의 프라이버시 및 소유권을 보호하기 위한 견고한 메커니즘으로서의 유용성을 다룬다.

방법론
저자들은 모델 가중치를 오염시키는 방식이 아니라, 기본 신경망 분류기와 병렬 회로로 암호학적 백도어를 구현하는 프레임워크를 제안한다. 핵심 메커니즘은 디지털 서명 체계에 기반한다:

1. 구조: 시스템은 표준 분류기 $f(x)$와 서명 검증 회로 $V$로 구성된다.
2. 입력 변환: 입력 샘플은 메시지-서명 쌍 $(m, \sigma)$로 증강된다. 메시지 $m$은 입력(예: 이미지의 최하위 비트 스테가노그래피)에 삽입되며, $\sigma$는 비밀 키 $sk$를 사용하여 생성된 유효한 서명이다.
3. 활성화 로직: 추론 과정에서 시스템은 $(m, \sigma)$를 추출한다. 만약 서명이 공개 키 $vk$에 대해 성공적으로 검증되면 ($VERIFY(\sigma, m, vk) = \text{valid}$), 출력은 검증 회로에 의해 결정된다(이 회로는 "쓰레기" 값이나 특정 악의적 라벨을 생성하도록 조작될 수 있다). 만약 서명이 유효하지 않거나 누락된 경우, 시스템은 표준 분류기의 예측값을 출력한다.
4. 이론적 근거: 보안은 디지털 서명의 강력한 위조 불가능성에 의존한다. 비밀 키 $sk$ 없이는 백도어를 트리거할 유효한 서명을 생성할 수 없으므로, 백도어는 복제가 불가능하며 블랙박스 접근 환경에서 일반적인 모델과 계산적으로 구별할 수 없다.

주요 기여
본 논문은 암호학적 백도어가 두 가지 상반된 기능을 수행함을 입증한다:

• 화(The "Bane" - 적대적 공격): 저자들은 Goldwasser 등의 [10] 이론적 연구를 이미지 분류 작업으로 확장한다. 그들은 비밀 키를 보유한 공격자가 특정 트리거 입력을 통해 모델이 임의의 예측을 강제할 수 있는 블랙박스 탐지 불가능 공격을 입증한다. 이 공격은 양호한 샘플에 대해서는 모델이 정상적으로 동작하므로 표준 평가에서 보이지 않으며, 트리거는 인간 관찰자에게 인지되지 않을 정도로 미미하다.
• 복(The "Boon" - 방어 메커니즘): 논문은 ML 시스템 보안을 위한 세 가지 실질적인 응용 분야를 제안한다:
  1. 증명 가능한 견고한 워터마킹: 유효한 서명 세트를 가진 감사자만이 소유권을 검증할 수 있는 체계이다. 이 워터마크는 모델 파라미터가 아닌 외부 검증 회로에 의존하므로 미세 조정(fine-tuning) 공격에 저항력이 있어 지속성이 높다.
  2. 사용자 인증: 사용자는 의미 있는 예측을 받기 위해 반드시 유효한 비밀 키를 제공해야 한다. 올바른 키가 없으면 모델은 조작된 "쓰레기" 출력을 반환하여, 무단 모델 추출이나 증류(distillation)를 방지한다.
  3. IP 추적: 무단 모델 공유를 추적하는 메커니즘이다. 사용자의 비밀 키로부터 파생된 고유한 트리거 라벨 세트를 각 사용자 복사본에 할당함으로써, 소유자는 어떤 사용자의 특정 트리거 세트가 높은 정확도를 보이는지를 바탕으로 유출 출처를 식별할 수 있다.

실험 결과
저자들은 CIFAR-10 및 ImageNet 데이터셋을 사용하여 최첨단 아키텍처(ResNet-18, ResNet-50, ResNet-152)에 대해 이 프로토콜들을 구현하였다.

• 공격 효능: 백도어 공격은 유효한 트리거가 존재할 때 모델 정확도를 거의 무작위 수준(CIFAR-10에서 0.80%, ImageNet에서 1.03%)으로 낮추는 동시에, 양호한 샘플에 대해서는 베이스라인 정확도(각각 92.26% 및 80.11%)를 유지했다.
• 방어 성능:
  • 워터마킹: 유효한 서명을 가진 승인된 감사자에게는 트리거 세트에 대해 100% 정확도를 달 기록한 반면, 승인되지 않은 당사자는 거의 0%에 가까운 정확도를 보였다.
  • 인증: 유효한 비밀 키를 가진 사용자는 완전한 정확도를 달성했으나, 유효하지 않은 키를 가진 사용자는 사용 불가능한 출력(예: ImageNet에서 0.09% 정확도)을 받았다.
  • IP 추적: 특정 사용자에게 배포된 모델은 지정된 트리거 라벨에 대해 100% 정확도를 달성했지만, 다른 사용자의 라벨 세트로 테스트했을 때는 정확도가 크게 떨어졌으며(CIFAR-10에서 최대 23%, ImageNet에서 2%), 이를 통해 추적 가능성을 확인했다.
• 계산 오버헤드: 연구는 상당한 트레이드오프를 강조한다. 메시지-서명 쌍의 디코딩(특히 Dilithium2와 같은 양자 내성 스킴의 경우)은 ImageNet에 대한 ResNet-18의 추론 시간보다 최대 25.8배 높은 지연 시간을 발생시킨다. 저자들은 완화 전략으로 병렬화 또는 더 효율적인 스테가노그래피를 제안한다.

의의 및 주장
본 논문은 호스트 신경망과 병렬로 작동하는 암호학적 백도어를 최초로 경험적으로 구축하여, 악의적인 공격과 방어적 보안 모두를 위한 이중적 유용성을 입증했다고 주장한다. 저자들은 디지털 서명이 위조 불가능하다는 암호학적 가설에 의존하여, 블랙박스 접근 권한을 가진 공격자에 대해 프로토콜이 증명 가능하게 견고하다고 단언한다.

그러나 논문은 한계점에 대해 신중한 태도를 유지한다. 방어 메커니즘에 대한 증명에는 추가적인 이론적 연구가 필요하며, 현재 구현은 주로 블랙박스 형태라는 점을 인정한다. 또한, 서명 검증의 계산 오버헤드가 실시간 배포에 있어 상당한 걸림돌임을 언급한다. 저자들은 Goldwasser 등의 [10] 아이디어를 활용하고 있지만, 해당 연구에서 제안된 화이트박스 탐지 불가능성은 현재 특정 학습 패러다임(Random Fourier Features)에 국한되어 있으며 현대의 일반적인 ML 컨텍스트에는 아직 완전히 적용되지 않는다고 명시한다. 결론적으로, 본 논문은 이러한 백도어에 양자 내성 프리미티브를 활용할 수 있음을 시사하며, 양자 시대의 머신러닝 보안을 위한 토대를 마련한다.