RobPI: Robust Private Inference against Malicious Client

1. 문제 정의 (Problem Statement)

• 배경: 머신러닝 서비스 (MLaaS) 가 널리 보급되면서, 사용자의 민감한 데이터와 모델 소유자의 지식 (가중치) 을 보호하기 위한 개인정보 보호 추론 (Private Inference, PI) 프로토콜이 필수적이 되었습니다. 특히 완전 동형 암호화 (FHE) 를 기반으로 한 비대화식 추론이 주류를 이루고 있습니다.
• 현황의 한계: 기존 대부분의 PI 연구는 반-정직한 (semi-honest) 위협 모델을 가정합니다. 즉, 클라이언트와 서버 모두 프로토콜을 준수한다고 전제합니다.
• 실제 위협: 현실에서는 클라이언트가 악의적인 목적 (예: 모델 조작, 권한 탈취, 사기) 을 가지고 프로토콜을 위반할 수 있습니다.
• 핵심 문제:
  1. 기존 PI 프로토콜은 악의적인 클라이언트에 의해 추론 결과가 조작될 수 있음이 드러났습니다.
  2. 기존 흑색상자 (black-box) 공격 기법들보다 훨씬 적은 쿼리 수로 모델을 속일 수 있어 보안 위험이 증폭되었습니다.
  3. 기존 방어 기법 (예: 입력에 노이즈 추가) 은 FHE 기반 PI 의 특성 (다항식 활성화 함수, 양자화) 으로 인해 노이즈가 감쇠되어 효과가 미미했습니다.

2. 제안된 공격: PI-Attack (Methodology - Attack)

저자들은 반-정직한 PI 프로토콜을 대상으로 한 새로운 **추론 조작 공격 (PI-Attack)**을 고안했습니다.

• 공격 원리:
  • 주파수 도메인 탐색: 기존 공간 도메인이 아닌 **이산 코사인 변환 (DCT)**을 사용하여 주파수 도메인에서 적대적 예제를 생성합니다.
  • 아크형 검색 순서 (Arc-shaped Search): 저주파수 영역부터 고주파수 영역으로 순차적으로 탐색합니다. 저주파수 성분이 이미지 정보에 더 밀집되어 있어 공격 효율이 높습니다.
  • 적응형 perturbation 스케줄링: 쿼리 횟수에 따라 노이즈 크기를 조절하는 코사인 어닐링 (Cosine Annealing) 스케줄을 적용하여, 초기 저주파수 단계에서는 큰 노이즈를, 후기 고주파수 단계에서는 작은 노이즈를 적용합니다.
• 효과: 기존 최첨단 흑색상자 공격 (SimBA-DCT, Square attack) 대비 3 배에서 8 배 적은 쿼리 수로 동일한 성공률을 달성하거나, 동일 쿼리 수에서 훨씬 높은 성공률을 보입니다.

3. 제안된 방어: RobPI (Methodology - Defense)

악의적인 클라이언트 위협 모델 하에서 작동하는 **강건한 개인정보 보호 추론 프로토콜 (RobPI)**을 제안했습니다.

• 핵심 설계 원칙:
  • 출력층 (Logits) 에 노이즈 추가: 기존 방어법 (입력층에 노이즈 추가) 은 FHE 기반의 다항식 활성화 함수 (예: ReLU 대용 2 차 함수) 를 거치면서 노이즈가 크게 감쇠 (decay) 됩니다. RobPI 는 이를 우회하기 위해 최종 출력 (Logits) 에 암호화 호환 노이즈를 직접 추가합니다.
  • 동적 노이즈 훈련 (DNT, Dynamic Noise Training): 모델이 노이즈에 민감하지 않도록 훈련 단계에서 가변적인 크기의 가우시안 노이즈를 입력하여 모델을 강화합니다. 이는 청정 데이터 (Clean Data) 의 정확도를 유지하면서 공격자의 탐색 방향을 혼란스럽게 만듭니다.
• 작동 메커니즘:
  • 각 쿼리 시 예측 확률에 가우시안 노이즈 ($\sigma \Delta$) 를 추가합니다.
  • 공격자가 두 쿼리 간의 확률 차이를 분석하여 방향을 결정할 때, 노이즈로 인해 **방해 성공 확률 (Disturbance Success Probability, DSP)**이 높아져 공격자의 탐색 효율이 급격히 떨어집니다.
  • 이론적 분석을 통해 노이즈 크기 ($\sigma$) 와 클래스 간 점수 차이 ($M_i - M_j$) 사이의 균형을 최적화하여 정확도 저하를 최소화합니다.

4. 주요 기여 (Key Contributions)

1. PI-Attack 제안: 반-정직한 PI 프로토콜에 대한 새로운 적대적 공격 기법을 제시하고, 기존 공격 대비 효율성을 입증했습니다.
2. RobPI 프로토콜 개발: 악의적인 클라이언트 공격에 견딜 수 있는 새로운 PI 프로토콜을 설계했습니다.
   • 암호화 호환 노이즈를 특징 및 로짓 (Logits) 계층에 통합.
   • 청정 정확도 유지와 방어 효율 극대화를 위한 DNT 기법 도입.
3. 이론적 및 실증적 검증:
   • 방해 성공 확률 (DSP) 과 오분류 확률에 대한 수학적 분석 수행.
   • 다양한 신경망 구조와 데이터셋 (MNIST, CIFAR-10, Diabetic Retinopathy) 에서 실험 수행.

5. 실험 결과 (Results)

• 공격 성능 (PI-Attack):
  • CIFAR-10 및 의료 데이터셋에서 기존 공격 (Square, SimBA-DCT) 대비 평균 쿼리 수를 100 회 이상 줄이면서 공격 성공률 (ASR) 을 향상시켰습니다.
  • 특히 스케줄링을 적용한 PI-Attack 은 타겟 공격에서 약 20% 이상 높은 성공률을 기록했습니다.
• 방어 성능 (RobPI):
  • 공격 성공률 감소: RobPI-DNT 는 악의적 클라이언트 공격에 대해 약 91.9% 의 공격 성공률 감소 효과를 보였습니다.
  • 쿼리 수 증가: 공격자가 성공하기 위해 필요한 쿼리 수를 기존 방어법 대비 10 배 이상 증가시켜 공격 비용을 대폭 상승시켰습니다.
  • 정확도 유지: 방어 성공률 (DSR) 이 크게 향상됨에도 불구하고, 청정 데이터에 대한 정확도 (Clean Accuracy) 는 기존 모델 수준을 유지하거나 오히려 소폭 향상되었습니다 (예: CIFAR-10 에서 74.55%).
  • 평균 추론 공격 (Average Inference Attack) 대응: 반복 쿼리를 통한 노이즈 평균화 공격에 대해서는 비영 (non-zero) 평균 가우시안 노이즈나 penultimate layer(마지막 전 층) 에 노이즈 추가를 통해 효과적으로 방어할 수 있음을 보였습니다.

6. 의의 및 결론 (Significance)

• 현실적인 위협 모델 정립: 기존 PI 연구가 간과했던 '악의적인 클라이언트' 위협을 정면으로 다루어, 실제 MLaaS 환경에서의 보안 취약점을 드러냈습니다.
• 효율성과 강건성의 균형: FHE 기반 PI 의 고유한 특성 (노이즈 감쇠) 을 고려한 새로운 방어 메커니즘을 제안하여, 보안 강화와 추론 정확도 유지 사이의 균형을 성공적으로 달성했습니다.
• 실용성: RobPI 는 추가적인 모델 수정 없이도 기존 PI 파이프라인에 통합 가능하며, 다양한 응용 분야 (가정용 모니터링, 사기 탐지 등) 에서 신뢰할 수 있는 프라이버시 보호 솔루션을 제공합니다.

이 논문은 개인정보 보호 추론 분야에서 악의적인 공격에 대한 새로운 위협을 규명하고, 이를 효과적으로 방어할 수 있는 실용적인 프로토콜을 제시했다는 점에서 중요한 의의를 가집니다.