🤖 AI

Fingerprinting Deep Neural Networks for Ownership Protection: An Analytical Approach

이 논문은 딥러닝 모델의 소유권 보호를 위해 기존 경험적 접근의 한계를 극복하고, 이론적 분석을 통해 강건성과 고유성을 동시에 보장하는 최적의 지문 생성 거리를 수학적으로 규명한 'AnaFP'라는 새로운 분석적 지문 생성 기법을 제안합니다.

원저자: Guang Yang, Ziye Geng, Yihang Chen, Changqing Luo

게시일 2026-03-24

📖 3 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Guang Yang, Ziye Geng, Yihang Chen, Changqing Luo

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

🕵️‍♂️ 상황: 도둑이 된 AI 모델

상상해 보세요. 당신이 수천 시간의 노력과 돈을 들여 **완벽한 AI 요리사 (모델)**를 만들었습니다. 이 요리사는 아주 특별한 비법 (모델의 내부 구조) 을 가지고 있죠.

하지만 나쁜 도둑 (공격자) 이 이 요리사를 훔쳐갔습니다. 도둑은 요리사의 얼굴을 살짝 가리고 (모델 수정), 다른 이름으로 다시 세상에 내놓았습니다. 이제 당신은 "이 요리사는 내 거야!"라고 주장하고 싶지만, 도둑은 "아니야, 내가 처음부터 직접 만든 거야!"라고 부인합니다.

이때 필요한 것이 **지문 (Fingerprint)**입니다.

🧩 기존 방법의 문제점: "너무 가까우면, 너무 멀면"

기존의 지문 만드는 방법들은 **'결정 경계 (Decision Boundary)'**라는 개념을 이용했습니다.

결정 경계: AI 가 "이건 고양이야"라고 하다가 "이건 개야"라고 바뀌는 아주 미세한 선입니다.

기존 연구자들은 이 선을 이용해 지문을 만들었습니다. 하지만 여기서 큰 딜레마가 생겼습니다.

유일성 (Uniqueness) 을 위해: 지문을 선 (결정 경계) 에 아주 가까이 붙여야 합니다. 그래야 도둑이 만든 모델은 반응이 다르고, 진짜 모델은 반응이 같기 때문입니다.
견고함 (Robustness) 을 위해: 지문을 선에서 멀리 떨어뜨려야 합니다. 도둑이 모델을 살짝 수정하거나 (가위로 잘라내거나, 다시 훈련하거나) 하면 선이 움직이는데, 지문이 너무 가까우면 그 움직임에 휩쓸려 지문 효과가 사라져 버립니다.

기존의 문제: 연구자들은 "어디에 붙이는 게 좋을까?"를 **감 (Heuristic)**으로 찍었습니다. "이 정도면 되겠지?"라고 대충 정했기 때문에, 도둑이 모델을 살짝만 건드려도 지문이 무너지거나, 반대로 진짜 모델과 도둑 모델을 구별하지 못하는 경우가 많았습니다.

💡 AnaFP 의 해결책: "수학으로 계산된 최적의 거리"

이 논문에서 제안한 **AnaFP**는 감으로 찍는 대신, 수학 공식을 이용해 지문이 놓여야 할 정확한 거리를 계산합니다.

1. 지문의 위치를 정하는 '스트레치 팩터 (Stretch Factor)'

지문을 만들 때, 기본 perturbations (교란) 에 **확대/축소 비율 (스트레치 팩터)**을 곱합니다. 이 비율을 어떻게 정하느냐가 핵심입니다.

AnaFP 는 이렇게 말합니다: "지문이 선에서 너무 가까우면 안 되고, 너무 멀면 안 돼. **이 두 가지 조건을 동시에 만족하는 '허용 구간 (Admissible Interval)'**이 있어. 그 구간 안에만 지문을 놓으면 돼."

2. 두 가지 조건을 수학적으로 정의

조건 A (견고함): 도둑이 모델을 수정해도 지문이 여전히 작동하려면, 지문은 최소한 이만큼은 선에서 떨어져 있어야 해. (하한선 계산)
조건 B (유일성): 다른 사람이 처음부터 만든 모델이 실수로 내 지문에 반응하지 않으려면, 지문은 최대 이만큼은 선에 가까워야 해. (상한선 계산)

이 두 선 사이가 바로 **지문이 놓여야 할 '안전지대'**입니다.

3. 현실적인 문제 해결: "모든 도둑을 다 알 수 없는데?"

이론상으로는 모든 가능한 도둑 모델과 모든 독립적인 모델을 다 계산해야 하지만, 그건 불가능합니다. (무한한 집합이니까요.)

해결책: AnaFP 는 **가상의 모델 뭉치 (Surrogate Model Pools)**를 만들어서 실험합니다.
- 도둑 모델 뭉치: 내가 만든 모델을 살짝 변형한 것들.
- 독립 모델 뭉치: 처음부터 새로 만든 다른 모델들.
그리고 **통계적 방법 (Quantile-based)**을 써서 "가장 최악의 경우만 고려하면 너무 비현실적이니까, 90% 정도만 고려하자"라고 현실적으로 조정합니다.

4. 그리드 서치 (Grid Search)

이론적으로 계산된 '안전지대' 안에서, 실제로 가장 잘 작동하는 **최적의 비율 (스트레치 팩터)**을 찾아냅니다. 마치 금광에서 가장 금이 많은 곳을 찾기 위해 빗자루로 꼼꼼히 훑어보는 것처럼요.

🏆 실험 결과: 왜 AnaFP 가 좋은가?

연구팀은 다양한 상황 (이미지 인식, 그래프 데이터 등) 과 다양한 공격 (모델 잘라내기, 재훈련, 지식 증류 등) 을 시뮬레이션했습니다.

기존 방법들: 도둑이 모델을 살짝만 건드려도 지문이 무너지거나, 엉뚱한 모델을 내 것으로 오인하는 경우가 많았습니다.
AnaFP: 도둑이 모델을 어떻게 변형하든 (심지어 모델을 잘라내거나 다시 가르쳐도) 일관되게 "이건 내 거야!"라고 증명했습니다. 또한, 완전히 다른 사람이 만든 모델은 절대 내 것으로 오인하지 않았습니다.

📝 한 줄 요약

"기존에는 지문을 어디에 붙일지 감으로 찍었는데, AnaFP 는 수학 공식을 이용해 '도둑이 건드리면 깨지지 않고, 다른 사람과 구별되는' 완벽한 지문 위치를 찾아냅니다."

이 방법은 AI 모델의 지적 재산권을 보호하는 데 있어, 더 이상 추측이 아닌 과학적이고 확실한 증명을 가능하게 합니다.

1. 연구 배경 및 문제 정의 (Problem)

배경: 딥러닝 모델 (DNN) 의 지적 재산권 (IP) 보호가 중요한 이슈로 대두되고 있습니다. 악성 사용자는 모델을 탈취하여 성능을 유지한 채 수정 (Fine-tuning, Pruning, Knowledge Distillation 등) 한 후, 이를 불법으로 배포하거나 블랙박스 서비스로 운영합니다.
기존 방법의 한계:
- 워터마킹 (Watermarking): 모델 파라미터에 식별 가능한 패턴을 주입하는 방식이지만, 이는 모델에 새로운 보안 취약점을 초래할 수 있습니다.
- 지문 (Fingerprinting): 모델의 고유한 결정 경계 (Decision Boundary) 특성을 활용하여 비침습적으로 지문을 생성하는 방식이 유망합니다. 특히, 적대적 예시 (Adversarial Examples) 를 기반으로 한 지문 생성 기법이 많이 연구되었습니다.
- 핵심 미해결 과제: 기존 적대적 예시 기반 지문 생성 방법들은 지문과 결정 경계 사이의 거리를 경험적 휴리스틱 (Heuristics) 으로 임의로 설정합니다.
  - **고유성 (Uniqueness)**을 보장하려면 지문을 결정 경계 가까이 두어야 합니다.
  - **강건성 (Robustness)**을 보장하려면 (모델 수정 공격에 견디기 위해) 지문을 결정 경계에서 멀리 두어야 합니다.
  - 이 두 가지 상충되는 요구사항을 동시에 만족시키는 이론적으로 최적화된 거리를 결정하는 방법에 대한 이론적 근거가 부족했습니다.

2. 제안 방법: AnaFP (Methodology)

저자들은 **AnaFP (Analytical adversarial-example-based FingerPrinting)**라는 새로운 분석적 지문 생성 기법을 제안합니다. 이는 경험적 추정이 아닌 수학적 이론에 기반하여 지문과 결정 경계 사이의 거리를 제어합니다.

핵심 메커니즘: 스트레치 팩터 (Stretch Factor, $\tau$ )

지문은 원본 샘플 (Anchor) 에 최소한의 교란 (Perturbation, $\delta^*$ ) 을 가해 결정 경계를 넘게 만든 후, 이를 특정 비율 ( $\tau$ ) 로 늘려 생성합니다.

지문 생성식: $x^* = x_a + \tau \delta^*$
목표: $\tau$ 를 통해 지문이 결정 경계에서 얼마나 떨어져 있는지 (Robustness) 와 독립적으로 훈련된 모델과 구별되는지 (Uniqueness) 를 동시에 제어합니다.

4 단계 프로세스

고신뢰도 앵커 선택 (Anchor Selection):
- 보호 모델이 높은 확률로 정답을 예측하는 고신뢰도 샘플 (Logit Margin 이 큰 샘플) 을 '앵커'로 선정합니다. 이는 독립 훈련 모델이 이 샘플을 잘못 예측할 확률을 높여 고유성을 확보합니다.
최소 교란 계산 (Minimal Perturbation):
- 각 앵커에 대해 보호 모델의 예측을 변경하는 최소한의 교란 $\delta^*$ 를 계산합니다 (Carlini & Wagner $\ell_2$ 공격 사용). 이 점은 결정 경계 위에 위치합니다.
이론적 제약 하의 스트레치 팩터 탐색 (Theoretical Constraint & Grid Search):
- 수학적 정립: 강건성과 고유성 조건을 수학적으로 정의하여 $\tau$ $τ$ 의 하한 ( $\tau_{lower}$ $τ_{l o w er}$ ) 과 상한 ( $\tau_{upper}$ $τ_{u pp er}$ ) 을 유도합니다.
  - $\tau_{lower}$ : 모델 수정 공격 (Performance-preserving attacks) 에 견디기 위한 최소 거리.
  - $\tau_{upper}$ : 독립 훈련 모델과 혼동되지 않기 위한 최대 거리.
- 파라미터 추정 및 완화: 이론적 집합 (무한한 피어 모델 및 독립 모델 집합) 을 유한한 **서로게이트 모델 풀 (Surrogate Model Pools)**로 근사화합니다.
- Quantile 기반 완화: 최악의 경우 (Worst-case) 를 가정하면 지문 생성이 불가능해질 수 있으므로, 파라미터 분포의 **Quantile(백분위수)**을 사용하여 제약 조건을 완화합니다.
- 그리드 서치 (Grid Search): $\tau_{lower}$ 가 $\tau$ 에 의존하는 순환적 종속성 (Circular Dependency) 문제가 있으므로, 허용 구간 내에서 그리드 서치를 수행하여 두 제약 조건을 모두 만족하면서 가장 여유가 큰 (Feasible) $\tau^*$ 를 찾습니다.
지문 생성 및 검증:
- 찾은 최적의 $\tau^*$ 를 사용하여 지문 집합을 생성하고, 의심 모델에 지문을 쿼리하여 일치율을 계산함으로써 소유권을 검증합니다.

3. 주요 기여 (Key Contributions)

이론적 근거의 제시: 지문과 결정 경계 사이의 거리를 결정하는 이론적 하한 및 상한을 수학적으로 유도했습니다. 이는 기존 방법들의 경험적 설정을 넘어선 이론적 토대를 제공합니다.
실용적인 해법 (AnaFP): 무한한 모델 집합을 다루기 위한 서로게이트 모델 풀과 Quantile 기반 완화 전략, 그리고 순환적 종속성을 해결하기 위한 그리드 서치를 결합하여 실제 적용 가능한 지문 생성 알고리즘을 구현했습니다.
강건한 성능: 다양한 모델 아키텍처 (CNN, MLP, GNN) 와 데이터셋 (CIFAR, MNIST, PROTEINS) 에서 다양한 모델 수정 공격 (Fine-tuning, Pruning, KD, Adversarial Training 등) 에 대해 기존 방법들보다 우수한 성능을 입증했습니다.

4. 실험 결과 (Results)

검증 성능 (AUC):
- 다양한 모델과 데이터셋에서 AnaFP 는 모든 베이스라인 (UAP, IPGuard, MarginFinger 등) 을 일관되게 능가했습니다.
- 예: CIFAR-10 CNN 모델에서 AUC 0.957을 기록했으며, 이는 두 번째로 좋은 방법 (ADV-TRA, 0.878) 보다 월등히 높습니다.
공격에 대한 강건성:
- Fine-tuning, Adversarial Training, Pruning 등 대부분의 공격에서 거의 완벽한 성능 (AUC $\ge$ 0.97) 을 보였습니다.
- 특히 **Knowledge Distillation (KD)**과 Prune-KD와 같이 모델 구조를 완전히 바꾸는 공격에서도 기존 방법들보다 우월한 성능 (AUC 0.756, 0.689) 을 유지했습니다.
설계 민감도 분석:
- 서로게이트 풀 크기/다양성: 풀의 크기가 6 개 이상이면 성능이 안정화되며, 다양성이 낮아도 높은 성능을 유지하여 실용성이 높음을 보였습니다.
- Quantile 임계값: 적절한 완화 (Relaxation) 가 이루어지면 (예: 0.5/0.5), 검증 성능이 매우 안정적임을 확인했습니다.
효율성:
- 메모리 사용량은 일부 높을 수 있으나 (ViT-S/16 기준 40GB), 단일 A100 GPU 에서 실행 가능하며, 전체 런타임은 베이스라인 방법들과 비교해 합리적인 수준입니다.

5. 의의 및 결론 (Significance)

이 논문은 딥러닝 모델 소유권 보호 분야에서 경험적 휴리스틱에서 이론적 분석으로의 패러다임 전환을 주도합니다.

이론과 실전의 연결: 지문 생성의 핵심 변수인 '거리'에 대한 이론적 한계를 명확히 하고, 이를 실용적인 알고리즘으로 구현함으로써 신뢰할 수 있는 소유권 검증 체계를 제시했습니다.
광범위한 적용성: 이미지 분류뿐만 아니라 그래프 신경망 (GNN) 까지 다양한 아키텍처와 공격 유형에 강건하게 작동하여, 실제 산업 환경에서의 모델 IP 보호 솔루션으로서의 잠재력을 입증했습니다.

결론적으로, AnaFP 는 모델 소유권 침해에 대응하기 위한 강건성 (Robustness) 과 고유성 (Uniqueness) 의 균형을 이론적으로 보장하는 최초의 분석적 지문 생성 프레임워크로서, 향후 DNN 지적 재산권 보호 기술의 표준이 될 수 있는 중요한 연구입니다.