Why Neural Structural Obfuscation Can't Kill White-Box Watermarks for Good!

1. 문제 정의 (Problem Statement)

• NSO 의 위협: 2023 년 USENIX Security 에서 제안된 NSO 는 모델의 기능 (Functionality) 은 유지하면서 네트워크 구조를 변경하여 워터마킹 검증을 무력화하는 공격 기법입니다.
  • 핵심 메커니즘: 더미 뉴런 (Dummy Neurons) 을 주입하여 채널을 추가하거나 재배열합니다. 주요 전략으로는 nso_zero(영점 가중치 채널 주입), nso_clique(상호 상쇄되는 클리크 주입), nso_split(원래 채널을 분할하여 합이 동일하도록 복제) 이 있습니다.
  • 공격 효과: 기존 화이트박스 워터마킹 검증기는 가중치나 활성화의 인덱스 (위치) 에 의존합니다. NSO 는 구조적 변경을 통해 채널 인덱스를 뒤섞거나 숨기므로, 모델의 출력은 동일하지만 워터마킹 추출이 실패하게 됩니다.
• 기존 방어책의 한계: 기존 방어 기법들은 주로 파라미터 값의 미세 조정 (Fine-tuning) 이나 가지치기 (Pruning) 에 대응하도록 설계되었습니다. 그러나 NSO 는 구조적 난독화를 수행하므로, 단순한 가중치 분석으로는 더미 채널과 정상 채널을 구분하기 어렵고, 공격 후 원래의 컴팩트한 파라미터 표현을 복구할 수 있는 메커니즘이 부재했습니다.
• 현대 아키텍처의 복잡성: ResNet, EfficientNet, Inception, DenseNet 등 현대 CNN 은 잔차 연결 (Residual Add), 병합 (Concat) 등 복잡한 그래프 구조를 가집니다. 기존 NSO 연구는 단순 순차 구조에 국한되었으나, 실제 배포 환경에서는 이러한 그래프 구조 내에서 일관된 난독화가 이루어져야 하므로 공격과 방어의 난이도가 급격히 증가했습니다.

2. 방법론: CANON (Methodology)

저자들은 NSO 를 단순한 공격이 아닌, 그래프 일관성 (Graph-Consistency) 을 가진 생산자 - 소비자 (Producer-Consumer) 모델로 재정의하고, 이를 역이용하여 복구하는 CANON 프레임워크를 제안합니다.

2.1 핵심 통찰: 그래프 일관성 제약

NSO 는 모델의 기능적 동등성 (Functional Equivalence) 을 유지해야 하므로, 생산자 (Producer) 에서 주입된 더미 채널의 신호는 모든 하위 소비자 (Consumer, 예: Add, Cat 연산자) 에게 일관되게 전파되어야 합니다.

• 생산자 - 소비자 일관성: 생산자 측의 채널 레이아웃 변경은 모든 하위 선형 소비자 (Conv/Linear) 에게 일관된 변환 (Channel Transform) 으로 적용되어야 합니다.
• 복구 가능성: 이 제약 조건은 NSO 가 필연적으로 구조적 중복성 (Structured Redundancy) 을 남기게 만든다는 것을 의미합니다. CANON 은 이 중복성을 탐지하고, 그래프 전체에 걸쳐 레이아웃을 동기화하여 원래의 컴팩트한 표현으로 되돌립니다.

2.2 CANON 의 작동 원리

CANON 은 공격받은 모델 ($\theta'$) 을 입력받아 복구된 모델 ($\hat{\theta}$) 을 출력합니다.

1. 프로브 활성화 수집 (Probe Capture):
   • 소량의 프로브 입력 (Probe Inputs) 을 모델에 통과시켜 각 채널의 활성화 패턴을 수집합니다.
   • 배치 정규화 (BatchNorm) 를 고려하여 활성화의 상태 비트 (Activity Bits) 와 스칼라 요약 (Scalar Summaries) 을 추출합니다.
2. 중복성 추론 (Redundancy Inference):
   • 시그니처 해싱: 유사한 활성화 패턴을 가진 채널들을 그룹화 (Bucketing) 합니다.
   • 비례성 정제 (Proportionality Refinement): 그룹 내에서 채널 간 가중치나 활성화가 비례하는지 정밀하게 분석하여 더미 채널 (nso_zero, nso_clique) 과 분할된 채널 (nso_split) 을 식별합니다.
   • 팬아웃 (Fan-out) 인지: 하나의 생산자가 여러 소비자에게 연결된 경우, 모든 하위 경로에서 일관된 중복성 패턴이 존재하는지 확인하여 오검출을 방지합니다.
3. 그래프 일관성 재작성 (Graph-Consistent Rewrites):
   • 채널 변환 (ChannelTransform): 식별된 중복성을 제거하기 위한 선형 변환 행렬 $M$ 을 생성합니다 ($y_{before} = M y_{after}$).
   • 전역 동기화: 이 변환을 생산자 에지에서 추론한 후, 모든 하위 선형 소비자에 대해 가중치를 $W_{new} = W_{old} M$으로 업데이트합니다.
   • 구조적 연산자 처리:
     • Residual Add: 두 가지의 레이아웃이 일치하도록 형제 브랜치에도 변환을 적용하여 합산 연산의 유효성을 보장합니다.
     • Channel Concat: 각 브랜치의 변환을 블록 대각 행렬 (Block-diagonal) 로 조합하여 전체 그래프의 레이아웃을 동기화합니다.
4. 검증 및 인증:
   • 복구된 모델에 대해 기존 워터마킹 추출기를 적용합니다.
   • Tier-1 (Reference-Equivalence): 깨끗한 참조 모델 (Clean Reference) 이 있는 경우, 복구된 가중치가 참조 모델과 채널 순열 및 스케일링을 허용하는 범위 내에서 일치하는지 수학적으로 인증합니다.
   • Tier-2 (Similarity): 참조 모델이 없는 경우, 공격 전/후/복구 모델 간의 유사도 점수를 기반으로 복구가 성공했는지 판단합니다.

3. 주요 기여 (Key Contributions)

1. NSO 위협 모델의 일반화: NSO 를 단순 레이어 단위의 편집이 아닌, 현대 CNN 의 복잡한 그래프 구조 (잔차 연결, 병합 등) 를 고려한 그래프 일관성 생산자 - 소비자 모델로 재정의했습니다.
2. 구조적 난독화의 완전한 복구 가능성 증명: NSO 가 "제로 비용 (Zero-cost)"으로 워터마킹을 제거한다는 주장을 반증했습니다. NSO 는 필연적으로 구조적 중복성을 남기며, 이를 그래프 일관성 제약 하에서 식별하고 역전할 수 있음을 증명했습니다.
3. CANON 프레임워크 제안: 공격자의 구체적인 구성 세부사항이나 원본 모델을 알지 못하더라도, 활성화 프로브와 그래프 기반 재작성을 통해 NSO 를 제거하고 워터마킹 검증성을 100% 회복하는 최초의 엔드 - 투 - 엔드 프레임워크를 제시했습니다.
4. 실험적 검증: 다양한 아키텍처 (ResNet, EfficientNet, Inception, DenseNet) 와 9 가지 워터마킹 schemes 에 대해 강력한 조합 공격 (Compositional NSO) 하에서도 100% 복구 성공률을 보였습니다.

4. 실험 결과 (Results)

• 데이터셋 및 환경: MNIST 와 CIFAR-100 데이터셋, ResNet-18, EfficientNet, InceptionV3, DenseNet 모델 사용.
• 공격 설정: nso_zero, nso_clique, nso_split 및 이를 조합한 mix-opseq 공격을 0.2 및 0.5 의 주입 비율로 적용.
• 성능 지표:
  • 작업 유틸리티 (Task Utility): 공격 및 복구 후 모델의 정확도 (Accuracy) 는 전혀 감소하지 않았습니다 ($\Delta acc = 0$). 이는 복구 과정이 기능적 동등성을 완벽하게 유지함을 의미합니다.
  • 워터마킹 검증성: 모든 워터마킹 scheme 에서 공격 시 유사도 점수가 급감했으나, CANON 을 적용한 후 Tier-1 참조 동등성 인증 (Reference-Equivalence Certificate) 이 100% 통과되었습니다. 즉, 워터마킹이 완전히 복구되었습니다.
  • 거짓 양성 (False Positives): 공격받지 않은 깨끗한 모델에 CANON 을 적용했을 때, 구조적 변경이나 정확도 저하가 전혀 발생하지 않았습니다.
  • 실행 시간: 복구 시간은 공격의 복잡도에 비례하지만, 일반적으로 10 초~1 분 이내로 검증 시 한 번만 수행하면 되므로 실용적입니다.

5. 의의 및 결론 (Significance & Conclusion)

이 논문은 NSO 가 화이트박스 워터마킹의 "종결자 (Killer)"가 될 수 없음을 증명했습니다.

• 이론적 의의: 구조적 난독화가 기능적 동등성을 유지하기 위해 필연적으로 남기는 "구조적 제약"을 역이용하여 복구가 가능하다는 점을 밝혔습니다.
• 실용적 의의: CANON 은 워터마킹 소유권 분쟁 시, 공격받은 모델을 검증 가능한 상태로 되돌리는 표준적인 복구 도구로 활용될 수 있습니다.
• 미래 방향: 이 연구는 구조적 난독화에 대한 방어는 단순한 가중치 분석이 아닌, 전체 계산 그래프의 일관성 (Graph Consistency) 을 고려해야 함을 강조하며, 향후 더 강력한 워터마킹 및 방어 기법 개발의 기초를 제공합니다.

요약하자면, CANON은 NSO 공격이 남긴 구조적 흔적을 그래프 이론과 활성화 분석을 통해 찾아내어, 모델의 기능을 해치지 않으면서 워터마킹 검증이 가능한 원래 형태로 완벽하게 복구하는 혁신적인 솔루션입니다.