On the Vulnerability of Deep Automatic Modulation Classifiers to Explainable Backdoor Threats

논문 요약: 설명 가능한 AI (XAI) 기반 백도어 위협에 대한 심층 자동 변조 분류기의 취약성 연구

1. 연구 배경 및 문제 정의 (Problem)

• 배경: 자동 변조 분류 (AMC) 는 현대 무선 통신 시스템에서 수신된 신호의 변조 방식을 식별하는 핵심 기술이며, 딥러닝 (DL) 모델 (DNN, CNN, RNN 등) 이 이를 수행하는 데 널리 사용되고 있습니다.
• 문제: DL 기반 AMC 시스템은 적대적 머신러닝 (AML) 위협에 취약합니다. 특히, 기존 연구들은 컴퓨터 비전 (CV) 도메인에서 주로 다루어졌으며, 무선 신호의 물리적 특성보다는 디지털 데이터 조작에 초점을 맞춘 경우가 많습니다.
• 핵심 위협: 백도어 (Trojan) 공격은 훈련 데이터에 특정 패턴 (트리거) 을 주입하여, 추론 시 트리거가 포함된 입력만 특정 클래스로 오분류되도록 만드는 은밀한 공격입니다.
• 연구 목적: 기존 연구의 한계를 극복하고, 물리적 신호 (Baseband) 단계에서 발생하며, **설명 가능한 AI (XAI)**를 활용하여 신호의 가장 취약한 부분에 트리거를 배치하는 새로운 백도어 공격 기법을 제안하고 그 취약성을 입증하는 것입니다.

2. 제안된 방법론 (Methodology)

공격자는 모델의 내부 구조나 기울기 (Gradient) 를 알 수 없는 블랙박스 (Black-box) 환경에서 훈련 데이터셋 ($D_{train}$) 만 접근할 수 있다고 가정합니다. 공격은 두 단계로 구성됩니다.

A. 트리거 위치 선정 (Trigger Position Selection)

• 목표: 신호의 어떤 시간 구간 (Time window) 이 모델의 판단에 가장 민감한지 (가장 취약한지) 식별합니다.
• 기법: Customized Sampling-SHAP을 사용합니다.
  • 입력 OFDM 신호를 시간 영역의 비중첩 윈도우 ($N_w$) 로 분할합니다.
  • 위상 편이 (Phase offset) 로 인한 편향을 제거하기 위해 각 윈도우에 **로컬 위상 정규화 (Local Phase Normalization)**를 적용합니다.
  • SHAP 값을 계산하여 특정 윈도우가 제거되거나 대체될 때 모델 출력에 미치는 영향을 분석합니다.
  • SHAP 값이 가장 높은 윈도우 ($W^*$) 를 트리거 삽입 위치로 선정합니다.

B. 트리거 값 생성 (Trigger Value Generation)

• 목표: 선정된 위치 ($W^*$) 에 삽입할 교란 신호 (Perturbation) 의 값을 생성합니다.
• 기법: Prototype-PCA Hybrid 방식을 사용합니다.
  1. 클래스 프로토타입 (Class Prototype): 목표 클래스 ($y_{tar}$) 에 속하는 정규화된 윈도우들의 중간값 (Median) 을 계산하여 대표 벡터 ($\mu_{tar}$) 를 생성합니다.
  2. 주성분 분석 (PCA): 목표 클래스 윈도우들의 공분산 행렬에서 첫 번째 주성분 ($p_{tar}$) 을 추출합니다.
  3. 혼합 및 정규화: 프로토타입과 주성분을 가중치 ($\lambda$) 로 혼합하고, 에너지 제어 인자 ($\alpha$) 를 곱하여 최종 트리거 벡터 ($t$) 를 생성합니다.
  • 수식: $t = \alpha \cdot \frac{\lambda \mu_{tar} + (1-\lambda) p_{tar}}{\|\dots\|}$

C. 인과적 단계 (Causative Phase)

• 훈련 데이터의 일부 (Poisoning ratio $\rho_h$) 를 선택하여, 해당 샘플의 선정된 윈도우 ($W^*$) 에 생성된 트리거 ($t$) 를 더한 후, 레이블을 목표 클래스로 변경합니다.
• 이 오염된 데이터로 모델을 학습시켜 백도어가 심어진 모델 ($f_{\theta^*}$) 을 만듭니다.

3. 주요 기여 (Key Contributions)

1. 물리적 계층 공격: 기존 디지털 데이터 조작 방식이 아닌, 전송 전 물리적 신호 (Baseband) 단계에서 공격을 수행하는 최초의 전이 가능한 (Transferable) 위치 인식 백도어 공격을 제안했습니다.
2. XAI 기반 트리거 최적화: SHAP 을 활용하여 모델이 가장 민감하게 반응하는 신호의 물리적 위치를 자동으로 찾아내어, 공격의 효율성을 극대화했습니다.
3. 하이브리드 트리거 생성: 클래스 프로토타입과 PCA 를 결합하여, 노이즈가 있는 환경에서도 강인한 트리거를 생성하는 방법을 제시했습니다.
4. 블랙박스 환경 검증: 모델 파라미터나 기울기를 알지 못하는 상황에서도 공격이 성공함을 입증했습니다.

4. 실험 결과 (Results)

• 실험 설정: 11 가지 변조 방식, 512 개의 서브캐리어, 3-탭 레이리 페이딩 채널, DNN/CNN/RNN 모델 사용.
• 은밀성 (Stealthiness):
  • 트리거가 없는 정상 신호 (Clean signals) 에 대해서는 공격받은 모델 ($f_{\theta^*}$) 의 분류 정확도 (ABC) 가 정상 모델 (ALC) 과 거의 동일하게 유지되었습니다 (Fig. 1). 이는 공격이 매우 은밀함을 의미합니다.
• 공격 성공률 (ASR - Attack Success Rate):
  • 저 SNR 환경: 제안된 XAI 기반 공격은 낮은 SNR (-16 dB) 에서도 CNN 모델 기준 **68.7%**의 높은 공격 성공률을 보였습니다. 이는 기존 참조 공격 (Ref1, Ref2) 보다 월등히 높습니다 (Table I).
  • 전이성 (Transferability): CNN 에서 학습된 백도어가 DNN 과 RNN 모델에서도 높은 성공률 (약 80% 이상) 을 보이며, 모델 간 전이가 가능함을 입증했습니다 (Fig. 2).
• 방어 회피 능력:
  • Neural Cleanse: 이상 지수 (Anomaly Index) 가 1.13 이하로, 탐지 임계값 (보통 2) 을 하회하여 탐지를 회피했습니다.
  • STRIP: 엔트로피 차이 ($\Delta H$) 가 0.02 로 매우 낮아 정상/공격 데이터 분포를 구분하기 어려웠습니다.
  • Activation Clustering: 탐지율이 **8.15%**로 매우 낮아, 기존 방어 기법들을 효과적으로 우회했습니다 (Table II).

5. 의의 및 결론 (Significance & Conclusion)

• 현대 통신 시스템의 위협: 5G 및 차세대 통신 시스템이 낮은 SNR 환경에서도 강건한 코딩에 의존한다는 점을 고려할 때, 저 SNR 에서도 높은 성공률을 보이는 이 공격은 현대 무선 통신 시스템에 심각한 위협이 될 수 있습니다.
• XAI 의 양면성: 설명 가능한 AI (XAI) 가 모델의 투명성을 높이는 도구로 사용되지만, 반대로 공격자가 모델의 취약점을 찾아내는 데 악용될 수 있음을 보여줍니다.
• 향후 과제: 본 연구는 DL 기반 AMC 시스템의 보안 취약점을 명확히 드러냈으며, 이에 대응하는 새로운 방어 메커니즘 (물리적 계층에서의 이상 탐지 등) 의 필요성을 강조합니다.

이 논문은 무선 통신 분야의 AI 보안 연구에 있어 물리적 신호 처리와 XAI 를 결합한 새로운 공격 패러다임을 제시했다는 점에서 중요한 의의를 가집니다.