Adversarial Vulnerabilities in Neural Operator Digital Twins: Gradient-Free Attacks on Nuclear Thermal-Hydraulic Surrogates

1. 문제 제기 (Problem Statement)

• 배경: 신경 연산자 (Neural Operators, 예: DeepONet, FNO) 는 고차원 편미분 방정식 (PDE) 을 실시간으로 해결하여 핵 에너지 시스템, 기후 예측 등의 디지털 트윈 핵심 예측 엔진으로 급부상하고 있습니다. 이들은 기존 시뮬레이션보다 수천 배 빠른 추론 속도를 제공하며, 희소 센서 데이터로부터 물리 장 (field) 을 재구성합니다.
• 문제: 이러한 모델의 적대적 견고성 (Adversarial Robustness) 이 평가되지 않았습니다. 기존 적대적 공격 연구는 주로 이미지 분류 (이산적 레이블) 에 집중되어 있으며, 물리적 제약 (에너지 보존, 열역학적 범위 등) 을 만족하는 연속적 함수 공간 (Function Space) 매핑에 대한 취약성은 거의 연구되지 않았습니다.
• 위협 모델: 공격자가 센서 데이터를 물리적 범위 내에서 미세하게 조작하여 (예: 단일 센서 오작동), 대리 모델 (Surrogate Model) 이 안전 마진을 과대평가하거나 치명적인 오류를 예측하도록 유도할 수 있습니다. 이러한 공격은 기존 이상 탐지 (Anomaly Detection) 를 통과할 수 있어 매우 위험합니다.

2. 방법론 (Methodology)

연구진은 4 가지 다른 신경 연산자 아키텍처 (MIMONet, NOMAD, S-DeepONet, POD-DeepONet) 를 대상으로 한 핵 열수력 (Heat Exchanger) 시뮬레이션 데이터를 기반으로 다음과 같은 프레임워크를 구축했습니다.

• 공격 시나리오:
  • 목표: 입력 데이터의 극도로 희소 (Sparse) 한 부분 (전체 입력의 1% 미만, $L_0$ 노름 기준) 만을 수정하여 예측 오차를 극대화.
  • 제약 조건: 모든 교란 (Perturbation) 은 물리적 범위 (센서 교정 범위, 열역학적 한계) 내에 있어야 하며, 기존 검증 메트릭 (z-score 등) 으로 감지되지 않아야 함.
  • 접근 방식: 그래디언트 프리 (Gradient-Free) 최적화 기법인 차분 진화 (Differential Evolution, DE) 사용.
    • 이유: 산업용 디지털 트윈은 종종 블랙박스 (Black-box) 이며, 고차원 출력 ($10^4$ 차원 이상) 에 대한 그래디언트 계산 비용이 크고, 일부 아키텍처 (예: POD 기반) 는 그래디언트 경로가 불안정할 수 있음.
• 취약성 진단 지표:
  • 유효 교란 차원 (Effective Perturbation Dimension, $d_{eff}$): 입력 - 출력 자코비안 (Jacobian) 의 컬럼 노름 분포를 기반으로 계산. 민감도가 몇 개의 입력 방향에 집중되어 있는지를 정량화 ($1 \le d_{eff} \le d$).
  • 두 가지 요인 모델 (Two-Factor Model): 취약성은 민감도 집중도 ($d_{eff}$) 와 민감도 크기 (평균 자코비안 노름) 의 곱으로 설명됨.

3. 주요 기여 (Key Contributions)

1. 신경 연산자의 구조적 취약성 발견: 검증된 정확도 (상대 $L_2$ 오차 $\sim 1.5\%$) 를 가진 모델들이 물리적으로 합리적인 극도로 희소한 공격 (입력 1 개 변경) 에 의해 치명적인 실패 (오차 37~63%) 로 이어질 수 있음을 최초로 입증.
2. 새로운 진단 지표 ($d_{eff}$) 제안: 자코비안 기반의 $d_{eff}$ 를 도입하여 아키텍처별 취약성 차이를 설명하고, 민감도 집중도와 크기를 결합한 두 가지 요인 취약성 모델을 정립.
3. 그래디언트 프리 공격 프레임워크: 산업적 환경 (블랙박스, 고차원 출력) 에 적합한 차분 진화 기반 공격 방법을 개발하고, 기존 그래디언트 기반 방법 (PGD) 보다 특정 아키텍처에서 더 효과적임을 입증.
4. 검증 메트릭의 맹점 지적: 단일 점 공격 ($L_0=1$) 의 100% 가 표준 z-score 이상 탐지를 통과하여, 기존 검증 프로토콜이 적대적 위협을 전혀 감지하지 못함을 보여줌.

4. 실험 결과 (Results)

• 공격 성공률:
  • S-DeepONet: 가장 취약함. $L_0=3$ (입력 3 개 변경) 에서 30% 오차 임계값을 94.5% 성공률로 돌파. 단일 점 공격 ($L_0=1$) 에서도 17.1% 성공.
  • POD-DeepONet: 민감도가 한 방향으로 극도로 집중 ($d_{eff} \approx 1$) 되었으나, 저차원 POD 기저 (Basis) 투영으로 인해 최대 오차가 제한됨 (성공률 25.2% 수준).
  • MIMONet / NOMAD: 민감도가 분산되어 있어 ($d_{eff} \approx 32$) 단일 점 공격에는 강하지만, 다점 공격 시 점진적으로 취약해짐.
• 물리적 은폐성:
  • 모든 성공적인 공격은 물리적 작동 범위 내에 존재하며, z-score 이상 탐지 (3$\sigma$) 를 100% 통과함.
  • 입력의 1% 미만을 변경하여 출력 필드 오차를 5~8 배 증폭시킴 (Amplification).
• 전송 공격 (Transferability):
  • 한 아키텍처를 위해 생성된 적대적 예제는 다른 아키텍처로 전송될 때 성공률이 현저히 낮음 (2~36%). 이는 아키텍처별 취약성 메커니즘이 고유함을 의미.
• 그래디언트 프리 vs 그래디언트 기반:
  • POD-DeepONet 과 S-DeepONet 과 같이 그래디언트 경로가 문제 있는 아키텍처에서는 DE 가 PGD 보다 훨씬 우월한 공격 성공률을 보임 (POD: DE 34% vs PGD 0~6%).

5. 의의 및 시사점 (Significance)

• 안전 필수 시스템의 신뢰성 위기: 원자력 모니터링, 그리드 관리 등 안전이 필수적인 분야에서 신경 연산자 기반 디지털 트윈의 배포는 정확성 검증만으로는 불충분함을 시사합니다.
• 설계 원칙 제시:
  • 민감도 정규화: 학습 중 자코비안 노름의 집중을 억제하거나 $d_{eff}$ 를 최대화하는 보조 목적 함수 도입 필요.
  • 출력 공간 제약: POD-DeepONet 처럼 저차원 투영을 통해 최대 오차 상한을 설정하는 것이 일종의 방어 메커니즘이 될 수 있음.
  • 엔semble 방법: 아키텍처가 다양한 모델들의 앙상블은 전송 공격에 대한 자연스러운 방어책이 됨.
• 이론적 발견: "정확한 연산자 근사 (Accurate Operator Approximation) 는 필연적으로 적대적 취약성을 수반한다"는 불가능성 결과 (Impossibility Result) 를 증명하여, 정확성과 견고성 간의 트레이드오프가 신경 연산자 학습의 본질적 한계임을 시사합니다.

결론적으로, 이 연구는 신경 연산자 모델이 물리적으로 합리적인 극소수의 센서 데이터 조작에도 치명적으로 취약할 수 있음을 밝히고, 배포 전 적대적 견고성 인증 (Robustness Certification) 과 구조적 방어 설계가 필수적임을 강력히 주장합니다.