Lite-BD: A Lightweight Black-box Backdoor Defense via Reviving Multi-Stage Image Transformations

1. 문제 정의 (Problem Statement)

• 배경: 머신러닝 서비스 (MLaaS) 의 확산으로 인해 사용자는 제 3 자의 딥러닝 모델에 의존하게 되었고, 이는 백도어 공격 (Backdoor Attacks) 에 대한 심각한 취약점으로 이어졌습니다. 백도어 공격은 학습 데이터에 악성 트리거 (Trigger) 를 주입하여, 특정 패턴이 입력될 때만 공격자가 원하는 클래스로 오분류되도록 만듭니다.
• 현황 및 한계: 기존 방어 기법 중 상당수는 모델 내부 파라미터에 접근할 수 있는 '화이트박스 (White-box)' 환경을 가정합니다. 그러나 MLaaS 환경에서는 모델이 블랙박스 (Black-box) 로 제공되므로, 이러한 기법들은 적용이 어렵습니다.
• 기존 블랙박스 방어법의 결함:
  1. 특정 공간 변환 (Spatial Transformation) 의 선택에 대한 명확한 근거가 부족함.
  2. 확산 모델 (Diffusion Models) 등을 활용한 고비용의 학습 또는 추론으로 인한 높은 계산 오버헤드.
  3. 공간적 변환으로 해결되지 않는 주파수 영역 (Frequency Domain) 의 트리거에 대한 대응이 미흡함.
  4. 특정 데이터셋에 종속적인 경향.

2. 제안 방법: Lite-BD (Methodology)

이 논문은 Lite-BD라는 경량화된 2 단계 블랙박스 백도어 방어 프레임워크를 제안합니다. 이 방법은 모델 내부 접근 없이 입력 이미지만을 변형하여 트리거를 제거 (Purification) 합니다.

A. 1 단계: 확률적 리사이징 및 신경 초해상도 (Stochastic Resize & Neural Super-Resolution)

• 동작 원리:
  1. 다운스케일링 (Downscaling): 입력 이미지를 임의의 비율 ($s \in [s_{min}, s_{max}]$) 로 축소합니다. 이 과정에서 픽셀 단위의 정밀한 배치에 의존하는 백도어 트리거의 공간적 일관성이 파괴됩니다.
  2. 업스케일링 (Upscaling): 축소된 이미지를 원래 크기로 복원하기 위해 사전 학습된 신경 초해상도 (Neural Super-Resolution, SR) 네트워크 (Real-ESRGAN 또는 SwinIR) 를 사용합니다.
• 핵심 아이디어: SR 네트워크는 자연스러운 이미지 사전 지식 (Priors) 을 학습하여 복원하므로, 분포 외 (OOD) 인 악성 트리거 패턴은 복원되지 않고 제거됩니다. 이는 확산 모델 (Diffusion Models) 을 사용하는 기존 방법보다 계산 비용이 훨씬 낮고 데이터셋에 종속되지 않습니다.

B. 2 단계: 밴드별 주파수 필터링 (Band-by-Band Frequency Filtering)

• 동작 원리: 1 단계에서도 트리거가 제거되지 않은 경우 (모델의 예측 라벨이 여전히 공격 타겟으로 유지되는 경우), 2 단계로 진입합니다.
  1. FFT 적용: 2 차원 이산 푸리에 변환 (DFT) 을 적용하여 이미지를 주파수 영역으로 변환합니다.
  2. 밴드 필터링: 주파수 스펙트럼을 동심원 형태의 밴드로 나누고, 각 밴드별로 대역 차단 필터 (Band-stop filter) 를 적용하여 특정 주파수 성분을 제거합니다.
  3. 검증: 필터링된 여러 후보 이미지들을 모델에 입력하여, 트리거가 제거되어 정상 라벨로 예측되는지 확인합니다.
  4. 최적화: 여러 밴드가 트리거를 무력화할 경우, 의미론적 무결성을 보존하기 위해 고주파 대역을 우선적으로 선택합니다.

3. 주요 기여 (Key Contributions)

1. 변환 기법 평가: 다양한 공간 및 역변환 기법을 평가하여, 백도어 트리거를 무력화하는 데 가장 효과적인 방법이 **'다운스케일링 후 업스케일링'**임을 규명했습니다.
2. Lite-BD 프레임워크 제안:
   • 1 단계: 다운스케일링 + 신경 초해상도 기반 업스케일링을 통한 공간적 트리거 제거.
   • 2 단계: 1 단계 실패 시, 질의 기반 (Query-based) 밴드별 주파수 필터링을 통한 주파수 영역 트리거 제거.
   • 특징: 제로샷 (Zero-shot) 방식, 데이터셋 독립성, 낮은 계산 비용.
3. 성능 입증: 최신 백도어 공격들에 대한 광범위한 실험을 통해, 기존 블랙박스 방어법 대비 **높은 방어 성공률 (낮은 ASR)**과 뛰어난 계산 효율성을 입증했습니다.

4. 실험 결과 (Results)

• 데이터셋 및 모델: CIFAR-10, Fashion-MNIST, GTSRB 데이터셋과 ResNet-18, VGG-11, MobileNet, ViT 등 다양한 아키텍처에서 평가되었습니다.
• 방어 성능 (ASR 및 CA):
  • Attack Success Rate (ASR): 제안된 Lite-BD 는 대부분의 공격 (BadNets, Blend, WaNet, SIG 등) 에서 ASR 을 거의 0 에 가깝게 낮췄습니다. 특히 GTSRB 데이터셋에서는 평균 ASR 이 가장 낮았습니다.
  • Clean Accuracy (CA): 방어 후 정상 이미지의 분류 정확도 (CA) 를 기존 방법들과 비교했을 때, 거의 손실 없이 유지하거나 오히려 향상된 결과를 보였습니다.
• 계산 효율성:
  • 기존 확산 모델 기반 방어법 (SampDetox, ZIP) 에 비해 100 배 이상 빠른 처리 속도를 기록했습니다. (예: CIFAR-10 에서 SampDetox 대비 약 123 배, ZIP 대비 약 34 배 빠른 실행 시간).
• 일반화 능력: 다양한 모델 아키텍처 (DenseNet, MobileNet, ViT) 에서 일관된 방어 성능을 보여주어 모델 독립적 (Model-agnostic) 인 특성을 입증했습니다.

5. 의의 및 결론 (Significance)

• 실용성: MLaaS 환경과 같이 모델 내부 정보가 공개되지 않는 현실적인 시나리오에서 즉시 적용 가능한 강력한 방어 솔루션을 제공합니다.
• 효율성: 고비용의 확산 모델 학습/추론 없이, 사전 학습된 SR 모델과 간단한 주파수 필터링만으로 높은 방어 효과를 달성하여 실시간 배포가 가능합니다.
• 포괄적 방어: 공간적 (Spatial) 인 공격뿐만 아니라 주파수 영역 (Frequency Domain) 의 공격까지 고려한 2 단계 구조를 통해, 기존 방법들이 간과했던 공격 유형까지 효과적으로 대응합니다.

결론적으로, Lite-BD 는 가볍고 (Lightweight), 데이터셋에 의존하지 않으며 (Dataset-independent), 높은 효율성을 가진 차세대 블랙박스 백도어 방어 기법으로 평가받습니다.