Transferable Backdoor Attacks for Code Models via Sharpness-Aware Adversarial Perturbation

논문 요약: Sharpness-Aware Adversarial Perturbation 을 통한 코드 모델용 전이 가능한 백도어 공격 (STAB)

1. 문제 정의 (Problem)

코드 생성 및 분석을 위한 사전 학습된 코드 모델 (Code Models) 은 소프트웨어 개발에 널리 사용되지만, 독성 데이터 (Poisoned Data) 를 통한 백도어 공격에 취약합니다. 기존 코드 모델 백도어 공격은 **전이성 (Transferability)**과 은폐성 (Stealthiness) 사이의 근본적인 트레이드오프에 직면해 있습니다.

• 정적 트리거 (Static Triggers): 고정된 죽은 코드 (Dead Code) 패턴을 사용하므로 전이성이 높지만, 코드 특화 방어 메커니즘에 의해 쉽게 탐지됩니다.
• 동적 트리거 (Dynamic Triggers): 컨텍스트에 맞춰 적응적으로 트리거를 생성하여 은폐성이 높지만, 공격자가 독성 데이터와 피해자 (Victim) 의 학습 데이터가 동일한 분포를 가진다고 가정합니다. 현실적인 위협 모델에서는 공격자가 공개 저장소를 오염시키고 피해자가 다양한 소스에서 데이터를 수집하므로 데이터 분포가 다릅니다. 이 경우, 기존 동적 공격은 다른 데이터 분포로 전이될 때 성능이 급격히 저하됩니다.

2. 제안 방법론: STAB (Sharpness-aware Transferable Adversarial Backdoor)

저자들은 위 한계를 극복하기 위해 STAB을 제안합니다. 이는 피해자의 완전한 학습 데이터 없이도 높은 전이성과 은폐성을 동시에 달성하는 새로운 공격 프레임워크입니다.

핵심 아이디어:
손실 함수의 지형 (Loss Landscape) 에서 **평탄한 지역 (Flat Regions)**에 수렴하는 모델은 날카로운 최소점 (Sharp Minima) 에 수렴하는 모델보다 더 일반화 가능한 특징을 학습합니다. STAB 은 이 원리를 활용하여 다양한 데이터 분포에 걸쳐 효과적인 백도어 패턴을 찾습니다.

STAB 의 3 단계 파이프라인:

1. Sharpness-Aware Surrogate Model Training (SAM 기반 대리 모델 학습):

   • 공격자는 공개된 코드 데이터로 대리 모델 (Surrogate Model) 을 학습시킵니다.
   • Sharpness-Aware Minimization (SAM) 기법을 적용하여 모델 파라미터가 손실 함수의 평탄한 지역 (Flat Minima) 으로 수렴하도록 유도합니다.
   • 이를 통해 데이터셋에 국한된 취약점이 아닌, 다양한 데이터 분포에서 공통적으로 작동하는 보편적인 코드 패턴을 백도어로 학습시킵니다.

2. Adversarial Trigger Optimization (Gumbel-Softmax 기반 트리거 최적화):

   • 기존 그리디 (Greedy) 방식의 Identifier(식별자) 재명명 대신, Gumbel-Softmax를 사용하여 이산적인 토큰 선택을 미분 가능한 최적화 문제로 변환합니다.
   • 목적 함수:
     • 공격 손실 (Attack Loss): 트리거 입력 시 공격자가 원하는 악성 출력 생성.
     • 일관성 손실 (Consistency Loss, MMD): 동일한 식별자가 코드 내 모든 위치에서 동일한 트리거로 매핑되도록 보장 (문법적 유효성).
     • 다양성 손실 (Diversity Loss, MMD): 서로 다른 식별자가 서로 다른 트리거를 사용하도록 강제하여 패턴의 반복성을 줄이고 은폐성을 높임.
   • 이 과정을 통해 문법적으로 유효하면서도 전역적으로 최적화된 트리거 분포를 학습합니다.

3. Trigger Generation and Deployment (트리거 생성 및 배포):

   • 최적화된 분포에서 이산적인 토큰을 샘플링하여 원본 식별자를 교체한 독성 코드를 생성합니다.
   • 생성된 독성 코드를 공개 저장소에 주입하여 피해자가 이를 학습 데이터로 포함하도록 유도합니다.

3. 주요 기여 (Key Contributions)

• STAB 프레임워크 제안: 피해자의 학습 데이터 분포와 무관하게 작동하는 전이 가능한 코드 백도어 공격을 최초로 제안했습니다.
• 평탄한 손실 지형 활용: SAM 을 통해 대리 모델을 평탄한 최소점으로 유도함으로써, 데이터셋 특이적이지 않은 일반화 가능한 백도어 패턴을 생성했습니다.
• Gumbel-Softmax 최적화: MMD 제약 조건을 결합한 Gumbel-Softmax 를 도입하여 문법적으로 유효하고 컨텍스트를 인식하며 은폐성이 높은 트리거를 생성했습니다.
• 실증적 검증: 다양한 데이터셋과 모델에서의 실험을 통해 기존 공격법 대비 뛰어난 성능을 입증했습니다.

4. 실험 결과 (Results)

Py150, CodeSearchNet (CSN), PyTorch (PyT) 의 3 개 데이터셋과 PLBART, CodeT5 의 2 개 모델을 사용하여 평가했습니다.

• 전이성 (Cross-Dataset Transferability):
  • STAB 은 다른 데이터 분포를 가진 피해자 모델에 대해 **평균 80.1% 의 공격 성공률 (ASR)**을 기록했습니다.
  • 기존 최첨단 동적 공격 (AFRAIDOOR) 보다 12.4% 높은 성능을 보였으며, 이는 SAM 기반의 평탄한 최소점 학습이 데이터 분포 차이를 극복했음을 의미합니다.
• 방어 회피 능력 (Stealthiness against Defenses):
  • KillBadCode (코드 자연도 분석 기반), Spectral Signature, ONION 등 3 가지 최첨단 방어 메커니즘을 테스트했습니다.
  • 정적 공격은 방어 후 성공률이 0% 로 떨어졌으나, STAB 은 방어 후에도 평균 73.2% 의 성공률을 유지했습니다.
  • AFRAIDOOR 대비 방어 회피 성능이 월등히 뛰어났습니다.
• 정상 입력 성능: 공격이 수행되더라도 정상적인 입력 (Clean Inputs) 에 대한 모델 성능 (BLEU 점수) 은 거의 영향을 받지 않았습니다.

5. 의의 및 결론 (Significance)

이 연구는 코드 모델의 보안 취약점을 심층적으로 규명했습니다.

1. 위협 모델의 현실화: 공격자와 피해자의 데이터 분포가 다른 현실적인 시나리오에서도 백도어 공격이 유효함을 증명했습니다.
2. 방어 메커니즘의 한계: 기존 방어 메커니즘이 평탄한 손실 지형에서 학습된 전이 가능한 공격에는 효과적이지 않음을 보여주었습니다.
3. 향후 연구 방향: 이 연구는 더 강력한 방어 전략 (예: 손실 지형의 기하학적 특성을 고려한 방어) 과 이론적 기반을 마련해야 할 필요성을 제기하며, AI 기반 소프트웨어 개발의 보안 강화에 중요한 시사점을 제공합니다.

요약하자면, STAB 은 SAM과 Gumbel-Softmax를 결합하여 기존 공격의 한계였던 '데이터 분포 의존성'과 '방어 취약성'을 동시에 해결한 획기적인 백도어 공격 기법입니다.