기술 요약: ICBAC – 공급망 관리를 위한 지능형 계약 기반 접근 제어 프레임워크

1. 문제 정의

현대적인 공급망 관리(SCM) 시스템은 여러 독립적이고 종종 경쟁 관계에 있는 조직들에 걸쳐 운영되므로, 접근 제어를 위한 복잡한 환경을 조성한다. 기존의 메커니즘은 주로 정적이고 중앙 집중적이며 정책 중심적(예: RBAC, ABAC)이어서, 동적인 내부자 위협, 오류 기반 행동 및 문맥 의존적 오용을 처리하기에는 역부로 되어 있다. 블록체인 기술이 탈중앙화와 불변성을 제공하기는 하지만, 현재의 블록체인 기반 접근 제어 프레임워크들은 여전히 사전 정의된 규칙에 의존하며 행동 지능이 부족하다.

반대로, 머신러닝(ML) 기반의 사용자 및 엔티티 행동 분석(UEBA)은 이상 징후를 탐지할 수 있지만, 중앙 집중식 학습은 민감한 행동 데이터의 집합을 요구한다. 이는 SCM에서 발생하는 프라이버시, 규제 및 경쟁적 제약과 충돌을 일으키는데, 즉 조직들이 원시 데이터를 공유할 수 없다는 점이다. 더욱이, 이질적이고 경쟁적인 공급망 전체에 연합 학습(Federated Learning, FL)을 직접 적용하는 것은 데이터 분포 불일치(non-IID 데이터), 수렴 불안정성, 그리고 전략적 참여와 관련된 문제를 야기한다. 왜냐하면 한 공급망에서 이상 징후로 간주되는 행동이 다른 공급망에서는 정상적일 수 있기 때문이다.

2. 방법론: ICBAC 프레임워크

본 논문은 허가형 블록체인(Hyperledger Fabric)과 연합 학습(FL), 그리고 게임 이론 기반의 클라이언트 선택을 통합한 ICBAC(Intelligent Contract-Based Access Control) 프레임워크를 제안한다.

2.1 아키텍처

ICBAC는 두 개의 주요 계층으로 구성된다:

1. 블록체인 계층: Hyperledger Fabric을 기반으로 구축되었으며, 각 채널($C_i$)이 고유한 참여자, 자산 및 신뢰 경계를 가진 별도의 공급망 문맥을 나타내는 멀티 채널 아키텍처를 활용한다. 이는 격리와 선택적 데이터 공유를 보장한다.
2. AI 계층: 각 채널에 전용 AI 에이전트($AI_i$)를 배치하여 참여자의 행동을 모니터링하고 이상 징후를 로컬에서 탐지한다.

2.2 핵심 구성 요소

• 스마트 계약: 세 가지 특화된 계약이 접근 제어를 수행한다:
  • 자산 관리($SC_{AM}$): 자산 생성 및 업데이트를 처리한다.
  • 기본 접근 제어($SC_{BAC}$): 최소 권한(LeastPrivilege) 및 동적으로 조정되는 추가 권한(ExtraPrivilege) 세트를 통해 기초적인 권한을 관리하며, 사용자의 권한 승격 또는 강등을 허용한다.
  • 권한 박탈 목록($SC_{PRL}$): 이상 징후가 포착된 참여자 목록을 유지한다. AI 에이전트가 의심스러운 행동을 감지하면 해당 참여자는 PRL에 추가되며, 이후의 접근 요청은 관리자 검토가 완료될 때까지 "보류(Pending)" 상태로 표시된다.
• AI 기반 이상 탐지: 각 채널은 로컬 행동 시퀀스(신원, 작업 유형, 빈도, 타이밍을 포함한 특징 벡터)에 대해 경량 템포럴 모델(temporal model)을 학습시킨다. 모델은 정상 행동을 예측하며, 임계값을 초과하는 편차는 이상 징후 플래그를 트리거한다.
• 연합 학습(FL): AI 에이전트들은 원시 데이터 대신 모델 업데이트(파라미터)를 공유함으로써 협력적으로 이상 탐지 모델을 개선한다. 프레임워크는 연합 평균(Federated Averaging, FedAvg)을 사용하여 집계한다.

2.3 게임 이론 기반 클라이언트 선택

공급망의 이질성과 글로벌 FL의 불안정성을 해결하기 위해, ICBAC는 클라이언트 선택을 위한 헤도닉 코알리션 형성(Hedonic Coalition Formation) 메커니즘을 도입한다:

• 선호도 기반: 각 AI 에이전트는 근본적인 기준을 드러내지 않고도 "친구"(신뢰할 수 있거나 호환 가능한 파트너) 목록을 선언한다.
• 안정성: 이 메커니즘은 선호도 그래프에서 강결합 컴포넌트(Strongly Connected Components, SCC)를 식별하기 위해 타잔(Tarjan) 알고리즘을 사용한다.
• 보장: 이 접근 방식은 핵 안정성(core stability)(어떠한 그룹도 이탈할 유인이 없음)과 전략적 무결성(strategy-proofness)(에이전트가 선호도를 잘못 보고하여 이득을 취할 수 없음)을 보장한다.
• 결과: 채널들은 FL을 위한 안정적이고 소규모의 코알리션을 형성하며, 이를 통해 비-IID 설정에서 흔히 발생하는 "클라이언트 드리프트(client drift)"를 완화하고 행동적으로 호환되는 참여자들 사이에서만 집계가 이루어지도록 한다.

3. 주요 기여

본 논문은 네 가지 주요 기여를 설명한다:

1. SCM을 위한 블록체인 기반 접근 제어: 이질적인 공급망 문맥을 반영하는 Hyperledger Fabric 기반의 멀티 채널 프레임워크.
2. AI 기반 동적 접근 권한 박탈: 실시간 이상 탐지 및 스마트 계약을 통한 자동화되고 문맥 인식적인 권한 박탈을 위한 채널별 AI 에이전트 통합.
3. 프라이버시 보존형 연합 학습: 원시 데이터 교환 없이 모델 개선을 가능하게 하는 메커니즘.
4. 게임 이론 기반 클라이언트 선택: 안정적이고, 전략적 무결성을 갖추며, 프라이버시를 보호하는 FL 코알리션을 보장하는 헤도닉 코알리션 형성 메커니즘.

4. 실험 결과

실험은 DataCoSupplyChain 데이터셋(180,000개 이상의 레코드)을 사용하여 Hyperledger Fabric 테스트베드에서 수행되었다.

• 블록체인 성능: ICBAC는 정적 프레임워크(MedTrace, AccessChain, ProChain)와 대등한 지연 시간 및 처리량을 보여주었다. 읽기 작업에서 동적 권한 확인으로 인해 지연 시간이 약간 증가(특정 테스트에서 ProChain 대비 처리량 약 18.6% 감소)했으나, 통계적 분석(t-test) 결과 대부분의 성능 지표에서 유의미한 차이는 나타나지 않았다.
• 이상 탐지 (FL):
  • IID vs. Non-IID: 프레임워크는 IID 및 Non-IID 데이터 분포 모두에서 테스트되었다.
  • 코알리션 효능: 제안된 메커니즘에 의해 형성된 선호도 기반 코할리션은 특히 Non-IID 설정에서 무작위 코할리션 및 전체 포함 연합보다 일관되게 우수한 성능을 보였다. 이들은 더 빠른 수렴과 더 높은 F1-score, 더 낮은 손실(loss)을 달려냈다.
  • 프라이버시: FL 코할리션은 제로 프라이버시 누출(원시 데이터 공유 없음)을 달성한 반면, 집계된 데이터로 학습된 중앙 집중식 모델은 측정 가능한 누출(0.15–0.53)을 보였다.
  • 정확도: IID 조건 하에서 FL 성능은 중앙 집중식 모델의 성능에 근접했다. Non-IID 조건 하에서는 중앙 집중식 모델이 더 높은 정확도를 유지했지만, FL 모델은 프라이버시를 보존하면서도 강력한 성능을 유지했다.

5. 의의 및 주장

본 논문은 ICBAC가 탈중앙화된 공급망 생태계에서 동적이고 프라이버시를 보존하는 접근 제어를 위한 실용적이고 확장 가능한 솔루션을 제공한다고 주장한다. 그 의의는 블록체인의 투명성과 AI의 적응성을 결합하여, 내부자 위협에 직면한 정적 정책의 한계를 구체적으로 해결한다는 점에 있다.

저자들은 ICBAC가 데이터를 공유할 수는 없지만 집단 지성의 혜택을 입어야 하는 경쟁적 환경에 독보적으로 적합하다고 강조한다. 헤도닉 코알리션 형성을 사용함으로써, ICBAC는 협력 기준을 공개하지 않고도 안정적이고 전략적 무결성을 갖춘 협력을 보장한다.

논문은 한계점을 겸허히 인정하며, Non-IID FL 시나리오에서 성능이 중앙 집중식 설정보다 낮고 읽기 작업에서 약간의 오버헤드가 발생한다는 점을 언급했다. 향후 과제로 이질적인 데이터 집계 문제를 해결하고, 크로스 체인 상호 운용성 프로토콜을 사용하여 완전히 독립적인 크로스 블록체인 시나리오로 프레임워크를 확장하는 것을 제안하였다.