Inevitable Encounters: Backdoor Attacks Involving Lossy Compression

1. 문제 정의 (Problem Statement)

• 배경: 현실 세계의 백도어 공격은 대부분 독성 데이터셋이 저장 및 전송된 후 학습에 사용됩니다. 빅데이터 시대에는 저장 및 전송 효율성을 위해 **손실 압축 (Lossy Compression, 예: JPEG)**이 필연적으로 사용됩니다.
• 핵심 문제: 기존 대부분의 보이지 않는 (Invisible) 백도어 공격 (예: 고주파수 노이즈 추가, Clean-label 공격 등) 은 원본 RGB 이미지에 직접 트리거를 삽입합니다. 그러나 손실 압축 과정에서 고주파수 성분이 제거되거나 왜곡되면서, 압축 후 복원된 이미지 (Decompressed Image) 에서 트리거 정보가 소실됩니다.
• 결과: 이로 인해 압축된 데이터를 학습한 모델은 백도어 기능이 작동하지 않게 되어 공격이 실패합니다. 기존 연구들은 이 '압축 과정'을 고려하지 않아 실제 환경에서 무력화되는 한계가 있었습니다.

2. 제안 방법론 (Methodology)

저자들은 이미지 압축의 관심 영역 (Region of Interest, ROI) 코딩 메커니즘을 악용하여 손실 압축 환경에서도 효과적인 백도어 공격을 수행하는 두 가지 전략을 제안합니다. ROI 는 이미지 내 특정 영역에 더 많은 비트를 할당하여 왜곡을 줄이는 기능입니다.

A. 범용 공격 활성화 (Universal Attack Activation)

• 목적: 기존에 손실 압축으로 인해 실패한 보이지 않는 백도어 공격 (WaNet, FTrojan, BppAttack 등) 을 복원 (Re-activate) 하는 것.
• 원리:
  1. 독성 샘플 ($x_p$) 과 원본 샘플 ($x$) 간의 잔차 (Residual) 또는 고주파수 성분을 분석합니다.
  2. **샘플별 ROI 마스크 ($M_{res}$ 또는 $M_{freq}$)**를 생성합니다. 이 마스크는 트리거가 존재하는 고주파수 영역이나 잔차가 큰 영역에 더 높은 비트 할당 가중치를 부여합니다.
  3. 압축기 (Encoder) 가 이 마스크를 참조하여 해당 영역의 압축 왜곡을 최소화합니다.
  4. 결과적으로 압축된 비트스트림 ($\hat{y}$) 에 트리거 정보가 보존되어, 복원된 이미지 ($\hat{x}_p$) 에서도 트리거가 유효하게 작동합니다.
• 적용 범위: 픽셀 단위 ROI 를 지원하는 학습된 이미지 압축 (LIC, Learned Image Compression) 모델에 주로 적용됩니다.

B. 압축 적응형 공격 (Compression-Adapted Attack, CAA)

• 목적: 손실 압축 환경에 최적화된 새로운 보이지 않는 백도어 공격을 설계하는 것.
• 원리:
  1. 기존 공격처럼 이미지에 노이즈를 추가하는 대신, 압축 과정 자체를 변조하여 트리거를 생성합니다.
  2. 독성 샘플에는 **맞춤형 ROI 마스크 ($M^*$)**를, 정상 샘플에는 균일한 마스크 ($M_{uniform}$) 를 적용합니다.
  3. 이 차이를 통해 복원된 이미지들이 특정한 고주파수 분포 패턴을 갖도록 유도합니다. 이 패턴 자체가 트리거 역할을 하며, 인간에게는 보이지 않습니다.
  4. 제안된 마스크 패턴: 체커보드 (Checkerboard) 또는 동심원 사각형 (Concentric Squares). 이는 공간적 주파수 분포를 전역적이고 반복적으로 조작합니다.
• 적용 범위: 픽셀 단위뿐만 아니라 영역 단위 ROI를 지원하는 전통적인 코덱 (JPEG, BPG, JPEG 2000) 과 LIC 모델 모두에 적용 가능합니다.

3. 주요 기여 (Key Contributions)

1. 문제 제기: 기존 보이지 않는 백도어 공격이 손실 데이터 압축 하에서 무력화됨을 최초로 규명하고, 데이터 독성 (Data Poisoning) 연구에 압축 과정을 필수적으로 고려해야 함을 강조했습니다.
2. 범용 활성화 방법 제안: LIC 모델에서 기존 실패한 공격들을 ROI 마스크를 통해 재활성화하는 방법을 제시했습니다.
3. 새로운 공격 기법 (CAA) 개발: 압축에 적응된 새로운 보이지 않는 백도어 공격 (CAA) 을 제안하여, 전통적인 코덱과 LIC 모두에서 높은 성공률을 달성했습니다.
4. 실제성 검증: 다양한 데이터셋 (GTSRB, CIFAR-10, CelebA) 과 모델 (ResNet, MobileNet 등) 에서 실험을 수행하여 효과성을 입증했습니다.

4. 실험 결과 (Results)

• 공격 성공률 (ASR) 향상:
  • 범용 활성화: 기존 공격들 (WaNet, FTrojan 등) 의 ASR 이 압축 환경에서 급격히 떨어졌으나, 제안된 활성화 방법을 적용하면 ASR 이 90% 이상으로 회복되었습니다 (예: WaNet 의 경우 77% → 98% 이상).
  • CAA: 모든 데이터셋과 백본 모델에서 94.7% 이상의 평균 ASR을 기록하며, 기존 방법들을 압도했습니다.
• 정상 분류 정확도 (BA): 공격 성공률과 동시에 정상 데이터에 대한 분류 정확도 (BA) 는 거의 유지되거나 미미한 감소만 발생하여 모델의 정상 동작을 해치지 않았습니다.
• 은폐성 (Stealthiness):
  • PSNR 및 SSIM 지표에서 기존 가시적 공격 (BadNet) 보다 월등히 높았으며, 인간 판별 테스트에서도 **52.4%**의 높은 은폐성을 보였습니다 (BadNet 은 8.3%).
  • 압축 후에도 시각적으로 변조 흔적이 감지되지 않았습니다.
• 방어 기법 저항성:
  • Fine-Pruning, STRIP, 가우시안 노이즈/블러 등 일반적인 백도어 방어 기법에도 강인하게 저항했습니다.
  • 재압축 (Re-compression): JPEG 재압축 환경에서도 CAA 는 높은 ASR 을 유지하는 반면, 기존 방법은 거의 실패했습니다.
• 파일 크기: ROI 를 통해 비트를 재분배할 뿐 전체 비트 수를 크게 증가시키지 않아, 저장/전송 오버헤드는 미미했습니다.

5. 의의 및 결론 (Significance & Conclusion)

• 실제 환경 고려의 중요성: 본 논문은 딥러닝 시스템의 보안 취약점 평가 시, 이론적인 원본 데이터뿐만 아니라 **실제 배포 환경 (손실 압축 포함)**을 반드시 고려해야 함을 강력하게 시사합니다.
• 새로운 위협 모델: 압축 코덱의 기능 (ROI) 을 악용하여 새로운 형태의 백도어 공격이 가능함을 보여주었습니다. 이는 기존 방어 기법들이 압축 과정을 고려하지 않을 경우 무용지물이 될 수 있음을 경고합니다.
• 미래 연구 방향: 본 연구는 압축 환경에 적응된 공격과 방어 전략에 대한 새로운 연구 분야를 개척하며, 향후 더 실용적인 보안 솔루션 개발의 기초를 제공합니다.

요약하자면, 이 논문은 **"손실 압축이 백도어 공격의 가장 큰 약점이 될 수 있지만, 이를 역이용하여 (ROI 활용) 더 강력하고 은밀한 공격을 설계할 수 있다"**는 것을 증명했습니다.