Off-The-Shelf Image-to-Image Models Are All You Need To Defeat Image Protection Schemes

이 논문은 이미지 보호 기법들이 추가한 보호 교란을 제거하기 위해 전용 공격 방법이 아닌, 간단한 텍스트 프롬프트로 재구성된 오프더셸 이미지 - 이미지 생성 AI 모델을 사용하여 다양한 보호 체계를 우회하고 기존 전용 공격보다 우수한 성능을 보일 수 있음을 입증했습니다.

핵심

🎨 1. 배경: 그림을 지키려는 '보이지 않는 가시'

지금까지 예술가나 사진작가들은 자신의 그림이 AI 에 의해 무단으로 복제되거나, 딥페이크로 악용되는 것을 막기 위해 **'보호막 (Protective Perturbations)'**을 사용했습니다.

• 비유: 마치 그림 위에 보이지 않는 가시를 심어놓는 것과 같습니다.
  • 사람이 눈으로 보면 그림은 그대로 예쁘지만, AI 가 이 그림을 분석하거나 변형하려고 하면 이 '가시' 때문에 AI 가 혼란을 겪고 제대로 작동하지 않게 만듭니다.
  • 과거에는 이 가시를 제거하려면 그 가시의 구조를 정확히 알고 있는 **전문 해커 (특수 공격 도구)**가 필요하다고 믿어졌습니다.

🔨 2. 발견: "특수 해커는 필요 없다!"

연구팀은 **"그런 복잡한 해커는 더 이상 필요 없다"**고 선언했습니다. 대신, 우리가 이미 가지고 있는 **일반적인 AI 도구 (Off-the-Shelf Image-to-Image Models)**만 있으면 됩니다.

• 비유: 마치 고급 청소기가 있습니다.
  • 이 청소기는 원래 그림을 그리거나 변형하는 용도로 만들어졌습니다. 하지만 연구팀은 이 청소기에 **"이 그림의 가시를 닦아내줘 (Denoise this image)"**라고 간단한 말 한마디만 해줬습니다.
  • 그랬더니 이 청소기가 마치 마법 지팡이처럼, 그림에 숨겨진 복잡한 '가시'를 싹 싹 닦아내버렸습니다.
  • 중요한 건, 이 청소기는 어떤 종류의 가시 (물, 얼굴 보호, 스타일 보호 등) 가 숨어있든 상관없이 똑같이 작동했다는 점입니다.

🧪 3. 실험: 8 가지 다른 방패를 부수다

연구팀은 최신 보안 기술이 적용된 8 가지 다른 상황을 테스트했습니다.

1. 얼굴 변조 방어: 딥페이크를 막기 위해 얼굴에 숨겨진 보호막을 제거했습니다. (AI 가 다시 얼굴을 인식하게 됨)
2. 워터마크 제거: 그림 속에 숨겨진 디지털 지문을 지웠습니다.
3. 스타일 보호: 화가의 스타일을 모방하지 못하게 막는 보호막을 제거했습니다.
4. 데이터 추적: 그림이 어디서 왔는지 추적할 수 있게 만든 코팅을 벗겨냈습니다.

결과:

• 기존에 개발된 전문 해킹 도구들보다 훨씬 빠르고 정확하게 보호막을 제거했습니다.
• 그림의 화질은 거의 손상되지 않았으며, 오히려 더 선명해지는 경우도 있었습니다.
• 특히 GPT-4o나 FLUX 같은 최신 AI 모델일수록 보호막 제거 능력이 뛰어났습니다.

🛡️ 4. 방어 시도는 왜 실패했을까?

연구팀은 "그럼 우리가 이 AI 청소기를 알고 있을 때, 더 강력한 가시를 만들면 되지 않을까?"라고 생각했습니다. 하지만 결과는 실패였습니다.

• 비유: 도둑이 청소기를 가지고 왔다는 것을 알면서, 가시를 더 많이 심으려 했지만, 도둑이 가진 청소기의 힘이 너무 강력해서 새로 심은 가시도 함께 닦아내버렸습니다.
• AI 가 그림을 다시 그리는 과정에서, 보호막으로 인한 '노이즈'를 자연스럽게 제거해버리는 능력이 너무 강력해서, 방어 기술이 무력화되었습니다.

💡 5. 결론 및 시사점: "안전한 줄 알았던 것은 착각이었다"

이 연구는 우리에게 다음과 같은 중요한 메시지를 줍니다.

1. 안전한 줄 알았던 것은 착각: 지금 우리가 사용하는 이미지 보호 기술들은 대부분 가짜 안전감을 주고 있습니다.
2. 새로운 기준 필요: 앞으로 어떤 새로운 보호 기술을 개발하더라도, **"일반적인 AI 청소기로도 제거할 수 있는가?"**를 반드시 테스트해야 합니다.
3. 경쟁의 격화: AI 기술이 발전할수록 이 '보호막 제거' 능력은 더 강력해질 것입니다. 따라서 연구자들은 이제까지와는 완전히 다른 차원의 강력한 방어 기술을 개발해야 합니다.

📝 한 줄 요약

"복잡한 해킹 도구 없이, 누구나 쓸 수 있는 일반 AI 에게 '청소해줘'라고 말하기만 해도, 그림의 모든 보안 장치가 무너져 내린다."

이 논문은 AI 기술의 양면성을 극명하게 보여주며, 디지털 저작권과 프라이버시 보호를 위한 새로운 대전환의 시기가 왔음을 알립니다.

기술 요약

1. 문제 정의 (Problem)

생성형 AI (GenAI) 의 발전으로 인해 이미지 무단 사용 (저작권 침해, 스타일 모방, 딥페이크 등) 에 대한 우려가 커지면서, 이를 방어하기 위해 다양한 이미지 보호 전략이 개발되었습니다. 이러한 방어책은 일반적으로 이미지에 지각 불가능한 보호적 교란 (protective perturbations) 또는 '보호 망토 (protective cloak)'를 추가하여 무단 사용을 방지합니다.

• 기존 방어 방식: 워터마킹, 스타일 모방 방지 (Glaze, Mist 등), 딥페이크 조작 방지 (UnGANable), 데이터 추적성 확보 (SIREN) 등.
• 기존 공격 방식: 이러한 보호를 해제하기 위해서는 각 보호 체계에 특화된 (specialized), 목적에 맞게 설계된 공격 방법 (예: INSIGHT, LightShed 등) 이 필요하다고 여겨졌습니다.
• 핵심 문제: 현재까지의 연구들은 보호 체계가 특정 공격에 대해 견고하다고 가정했으나, GenAI 기술의 급격한 발전으로 인해 이러한 가정이 더 이상 유효하지 않을 수 있다는 의문이 제기되었습니다.

2. 방법론 (Methodology)

이 논문은 상용 (Off-the-Shelf) 이미지 - 투 - 이미지 (img2img) 생성 모델을 단순한 "노이즈 제거기 (Denoiser)"로 재사용하여, 다양한 보호 체계에 적용된 교란을 제거하는 공격을 제안합니다.

• 공격 원리:

  • 보호된 이미지를 입력으로 받고, 간단한 텍스트 프롬프트 (예: "이 이미지를 노이즈 제거해줘" / "Denoise this image") 를 사용하여 img2img 모델을 실행합니다.
  • 모델은 학습 과정에서 노이즈를 제거하고 원래 이미지를 복원하는 능력을 가지므로, 의도적으로 추가된 보호적 교란 (노이즈) 을 자연스럽게 제거하고 원래의 콘텐츠와 스타일을 복원합니다.
  • 특징: 보호 체계의 내부 구조나 설계에 대한 지식 없이 (Black-box), 특정 적응 (fine-tuning) 없이도 작동하는 범용적인 공격입니다.

• 사용된 모델:

  • 오픈소스 Diffusion 모델: FLUX.1, Stable Diffusion 3 (SD3), SDXL, SD1.5.
  • 상용 모델: OpenAI 의 GPT-4o (GPT Image 1).
  • 하이퍼파라미터: 'Strength' (노이즈 추가량) 와 'Inference steps'를 조절하여 공격 효율과 이미지 품질 사이의 균형을 찾습니다.

3. 주요 기여 (Key Contributions)

1. 범용 공격의 유효성 입증: 복잡한 보호 체계에 특화된 공격을 개발할 필요 없이, 간단한 텍스트 프롬프트로 상용 img2img 모델만으로도 다양한 보호 교란을 제거할 수 있음을 증명했습니다.
2. 다양한 사례 연구 (8 가지 케이스): 6 가지 다른 보호 체계 (딥페이크 방지, 인 - 프로세싱/포스트 - 프로세싱 워터마킹, 데이터 추적성, 스타일 모방 방지 등) 에 대해 공격을 수행했습니다.
3. 전용 공격 대비 우월성: 기존에 제안된 보호 체계별 전용 공격 (Specialized attacks) 들보다 더 높은 성능을 보이며, 공격 후에도 이미지의 유용성 (Utility) 을 잘 보존함을 입증했습니다.
4. 대응책의 실패: 방어자가 공격을 인지하고 이를 고려하여 교란을 생성하는 (Attack-aware) 방어 전략을 시도했으나, 여전히 상용 모델로 쉽게 제거됨을 확인했습니다.
5. 새로운 벤치마크 제안: 향후 모든 이미지 보호 메커니즘은 상용 img2img 모델을 이용한 공격에 대한 견고함을 기준으로 평가되어야 함을 강조했습니다.

4. 실험 결과 (Results)

연구는 8 가지 사례 연구 (Case Studies) 를 통해 다음과 같은 결과를 도출했습니다.

• 딥페이크 조작 방지 (UnGANable):

  • 보호된 얼굴 이미지의 교란을 제거하여 GAN 역변환 (GAN inversion) 을 성공시켰습니다.
  • 성공률: SD3 모델로 77.8% 의 매칭률 (Matching Rate) 을 기록하여, 기존 베이스라인 (가우시안 평활화, DiffPure) 을 크게 상회했습니다.
  • 품질: GPT-4o 를 사용할 경우 오히려 원본보다 더 높은 얼굴 이미지 품질 (SER-FIQ 점수 향상) 을 보여주기도 했습니다.

• 워터마킹 제거 (PRC, VINE, Tree-Ring):

  • PRC (Latent Space): FLUX 모델이 워터마크 검출률 (TPR@FPR) 을 1.0 에서 0.258 로 낮추었으며, 이미지 품질을 잘 유지했습니다.
  • VINE (Post-processing): VINE 은 저주파 대역에 워터마크를 삽입한다고 주장했으나, 연구진은 이미지 가장자리에 집중된 교란을 발견했습니다. 단순한 0.7% 중앙 자르기 (Center cropping) 만으로도 워터마크를 완전히 제거할 수 있었습니다.
  • Tree-Ring (UnMarker 비교): GPT-4o 와 FLUX 가 전문적인 워터마크 제거 공격 (UnMarker) 보다 더 낮은 TPR@FPR 을 기록하며 우수한 성능을 보였습니다.

• 스타일 모방 방지 (Mist, INSIGHT, LightShed):

  • 아티스트의 스타일을 모방하는 공격을 막기 위한 Mist 보호를 제거했습니다.
  • 사용자 연구 결과: GPT-4o 로 노이즈 제거된 이미지는 LightShed 나 Noisy Upscaling 같은 전용 공격보다 훨씬 더 높은 개념 적합성 (Concept-appropriateness) 과 이미지 품질을 보여주었습니다. 사용자의 80% 이상이 GPT-4o 가 생성한 이미지를 선호했습니다.

• 데이터 추적성 (SIREN):

  • 개인화 모델 학습 시 데이터 출처를 추적하는 SIREN 코팅을 제거하여, 생성된 이미지가 보호된 데이터에서 유래했음을 추적하지 못하게 만들었습니다 (TPR@Significance 를 1.0 에서 0.016 으로 감소).

• 대응책 (Countermeasure) 평가:

  • 방어자가 공격 모델 (Denoiser) 을 방어 생성 파이프라인에 통합하여 교란을 생성하는 '공격 인지 방어 (Attack-aware defense)'를 시도했으나, 이는 오히려 최적화 과정을 불안정하게 만들어 방어 효과를 떨어뜨렸습니다.

5. 의의 및 시사점 (Significance)

• 보호 체계의 허점 폭로: 현재 널리 사용되고 있는 많은 이미지 보호 체계가 상용 GenAI 모델의 강력한 노이즈 제거 능력 앞에서 취약하며, 이는 **위험한 안도감 (False sense of security)**을 주고 있음을 지적합니다.
• 기술의 양날: 이미지를 보호하기 위해 발전시킨 GenAI 기술이 오히려 그 보호를 무력화하는 가장 강력한 무기가 되었습니다.
• 미래 방향성:
  • 단순한 노이즈 제거로 뚫릴 수 있는 보호 체계는 더 이상 유효하지 않습니다.
  • 향후 보호 메커니즘은 **저주파 대역 (Low-frequency bands)**에 더 강력하게 내재화되거나, 상용 img2img 모델 공격에 견딜 수 있는 새로운 방식으로 설계되어야 합니다.
  • 모든 새로운 보호 기술은 상용 img2img 모델을 이용한 공격에 대한 벤치마크를 통과해야 합니다.

결론적으로, 이 논문은 복잡한 맞춤형 공격 없이도 상용 생성형 AI 모델 하나만으로도 다양한 이미지 보호 장벽을 무너뜨릴 수 있음을 보여주며, 이미지 보안 분야의 패러다임 전환을 요구합니다.