[기술 요약] One RNG to Rule Them All: 머신러닝에서 무작위성이 공격 벡터가 되는 방식

1. 문제 정의 (Problem Statement)

머신러닝(ML) 시스템은 데이터 샘플링, 데이터 증강(Augmentation), 가중치 초기화(Weight Initialization), 최적화(Optimization), 그리고 차분 프라이버시(Differential Privacy, DP)와 같은 보안 메커니즘에 이르기까지 거의 모든 단계에서 **무작위성(Randomness)**에 의존합니다.

대부분의 ML 프레임워크는 의사 난수 생성기(PRNG)를 사용하지만, 본 논문은 다음과 같은 심각한 보안 결함을 지적합니다:

• 구현의 불일치: 프레임워크, 소프트웨어 라이브러리, 하드웨어 백엔드(CPU vs GPU)에 따라 PRNG 설계와 구현이 제각각입니다.
• 취약한 시딩(Seeding) 정책: 시스템 시간(System Time)이나 고정된 문자열을 시드로 사용하는 등 예측 가능한 방식을 사용하여 공격자가 난수 시퀀스를 복구할 수 있습니다.
• 통계적 검증 부재: 생성된 난수가 목표로 하는 확률 분포(예: 가우시안, 라플라스)를 정확히 따르는지에 대한 검증이 부족합니다.
• 보안 요구사항의 간과: 암호학적 보안(CSPRNG)이 필요한 DP 환경에서도 성능 저하를 이유로 보안이 취약한 일반 PRNG를 사용하는 경우가 많습니다.

이러한 결함은 모델의 성능 저하, 공정성(Fairness) 훼손, 프라이버시 유출, 그리고 모델의 강건성(Robustness) 보증을 무력화하는 은밀한 공격 벡터로 작용할 수 있습니다.

2. 연구 방법론 (Methodology)

연구진은 문제를 해결하기 위해 세 단계의 접근 방식을 취했습니다.

A. 생태계 조사 및 공격 분류 (Ecosystem Study & Taxonomy)

• PyTorch, TensorFlow, JAX, NumPy 등 주요 ML 프레임워크와 DP 라이브러리(Opacus, TFPrivacy 등)를 전수 조사하여 PRNG 알고리즘, 시딩 관행, CSPRNG 지원 여부를 분석했습니다.
• 이를 바탕으로 **공격 대상(시드 소스, 라이브러리 의존성, ML 프레임워크)**과 **공격 목표(성능, 프라이버시, 공정성, 무결성, 강건성)**에 따른 새로운 공격 분류 체계(Taxonomy)를 정립했습니다.

B. RNGGUARD 시스템 설계

기존의 보안 패치나 포크(Fork) 방식은 실용성이 낮기 때문에, 연구진은 런타임에 보안 정책을 강제하는 RNGGUARD를 제안했습니다.

1. 정적 분석 단계 (Static Phase): CodeQL을 사용하여 타겟 라이브러리의 소스 코드를 스캔합니다. 핵심 PRNG 함수를 식별하고, 이 함수에 의존하는 모든 상위 함수(Transitive dependency)를 찾아내어 정책을 생성합니다.
2. 동적 실행 단계 (Dynamic Phase): Python의 동적 특성을 이용하여 런타임에 보안이 취약한 함수 호출을 RNGGUARD의 안전한 구현체로 교체합니다.
   • Static Mode: 보안 정책(예: CSPRNG 사용 강제)을 준수하도록 함수를 교체합니다.
   • Dynamic Mode: 실행 중 통계적 검증(KS Test, Pearson’s $\chi^2$ Test)을 수행하여 난수가 올바른 분포를 따르는지 실시간으로 감시합니다.

C. 최적화 기법 (Optimizations)

동적 모드의 높은 오버헤드를 줄이기 위해 두 가지 비동기 최적화를 제안했습니다.

• ASN (Asynchronous): 메인 학습 프로세스와 통계 검증 프로세스를 분리하여 병렬로 실행합니다.
• RASN (Randomized Asynchronous): 모든 난수를 검사하는 대신, 일정 간격(예: 10번째 시퀀스)으로 샘플링하여 검사함으로써 오버헤드를 극적으로 낮춥니다.

3. 주요 기여 (Key Contributions)

1. ML 난수 생태계의 취약점 노출: 주요 프레임워크들이 보안에 취약한 시딩 및 PRNG 구현을 사용하고 있음을 체계적으로 입증했습니다.
2. 새로운 공격 모델 제시: 난수 조작을 통해 모델의 성능, 프라이버시, 공정성을 공격할 수 있는 체계적인 분류 체계를 구축했습니다.
3. RNGGUARD 프레임워크 개발: 정적 분석과 동적 검증을 결합하여, 소스 코드 수정 없이도 ML 시스템의 난수 보안을 강화할 수 있는 실용적인 도구를 구현했습니다.

4. 실험 결과 (Results)

• DP 감사 도구의 한계: 기존의 DP 감사 도구(DeltaSiege 등)는 부동 소수점(FP) 공격은 탐지할 수 있지만, 근본적인 PRNG의 보안 취약성(CSPRNG 미사용 등)은 탐지하지 못함을 확인했습니다.
• RNGGUARD 성능:
  • Static Mode: PyTorch 환경에서 약 47%의 오버헤드를 보였으나, 보안 정책(CSPRNG 강제 등)을 효과적으로 적용했습니다.
  • Dynamic Mode: 최적화 전에는 매우 높은 오버헤드가 발생했으나, RASN 최적화를 통해 DP 학습 시 오버헤드를 크게 줄이면서도 통계적 무결성을 유지할 수 있음을 보여주었습니다.
• 공격 방어 성공: 가중치 초기화 함수를 조작하여 분포를 왜곡하는 공격을 수행했을 때, RNGGUARD가 이를 성공적으로 탐지하고 원래의 정상적인 분포로 복구함을 입증했습니다.

5. 의의 (Significance)

본 논문은 그동안 머신러닝 보안 연구에서 간과되었던 **"난수의 품질과 보안"**이라는 핵심적인 문제를 수면 위로 끌어올렸습니다. 특히, 단순히 알고리즘의 수학적 증명을 넘어, 실제 소프트웨어 구현 단계에서 발생하는 보안 허점이 어떻게 전체 ML 시스템의 신뢰성을 무너뜨릴 수 있는지를 보여주었습니다. RNGGUARD는 향후 ML 파이프라인의 보안을 자동화된 방식으로 강화할 수 있는 실질적인 방안을 제시했다는 점에서 큰 의의가 있습니다.