💻 computer science

ProtoGuard-SL: Prototype Consistency Based Backdoor Defense for Vertical Split Learning

이 논문은 수직 분할 학습 환경에서 중간 임베딩을 조작하는 은밀한 백도어 공격을 탐지하고 방어하기 위해, 클래스 조건부 표현 일관성을 활용하여 프로토타입 기반의 필터링 전략을 제안하는 'ProtoGuard-SL'을 소개합니다.

원저자: Yuhan Shui, Ruobin Jin, Zhihao Dou, Zhiqiang Gao

게시일 2026-04-07

📖 3 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Yuhan Shui, Ruobin Jin, Zhihao Dou, Zhiqiang Gao

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

🏥 비유: "병원들의 비밀스러운 공동 진료"

먼저 이 기술이 무엇인지 이해해 봅시다.

상황: A 병원에는 환자의 '영상 데이터 (X-ray)'만 있고, B 병원에는 '혈액 검사 결과'만 있습니다. 두 병원 모두 환자의 '진단명 (라벨)'은 알고 있습니다.
목표: 두 병원이 서로의 원본 데이터를 주고받지 않으면서, 합쳐서 더 정확한 AI 진단 모델을 만들고 싶습니다.
방법 (수직 분할 학습): 각 병원은 자신의 데이터로 AI 가 '중간 요약본 (임베딩)'을 만들어서 중앙 서버 (주치의) 에게 보냅니다. 서버는 이 요약본들을 합쳐서 최종 진단을 내립니다.

이 방식은 개인정보 (원본 데이터) 를 보호한다는 장점이 있지만, 새로운 위험이 생겼습니다.

🕵️‍♂️ 문제: "위장한 스파이" (백도어 공격)

악의적인 해커가 A 병원의 AI 모델을 장악했다고 상상해 보세요.

공격 방식: 해커는 환자의 X-ray 데이터 자체를 바꾸지 않습니다. 대신, AI 가 만들어서 서버에 보내는 **'중간 요약본'**에 아주 미세한 '위장 신호 (트리거)'를 숨깁니다.
결과: 서버는 이 요약본을 보고 "아, 이 환자는 암이구나"라고 판단하다가, 해커가 설정한 특정 조건 (예: X-ray 에 작은 점 하나만 있으면) 이 들어오면, **"이 환자는 암이 아니라 심장마비야!"**라고 엉뚱한 진단을 내리게 됩니다.
어려움: 이 위장 신호는 너무 작아서, 기존 보안 시스템으로는 정상 데이터와 구별하기가 거의 불가능합니다. 마치 진짜 지폐와 위조 지폐가 섞여 있을 때, 눈으로 구별할 수 없는 상황과 같습니다.

🛡️ 해결책: "프로토가드-SL (ProtoGuard-SL)"

이 논문은 이 문제를 해결하기 위해 **'프로토가드-SL'**이라는 새로운 방어 시스템을 제안합니다. 이 시스템의 핵심 아이디어는 **"동일한 부류의 사람들은 서로 비슷하게 행동한다"**는 사실입니다.

1. 핵심 원리: "동료들과 비교하기"

기존 방식의 실패: 서버는 "이 요약본이 이상해?"라고 개별적으로 판단하려 했지만, 해커는 너무 똑똑하게 위장해서 실패했습니다.
새로운 방식 (프로토가드): 서버는 "이 요약본이 동일한 질병을 가진 다른 환자들과 얼마나 닮았는지"를 봅니다.
- 정상 환자들: 같은 질병 (예: 폐렴) 을 가진 환자들의 요약본들은 서로 매우 비슷하게 모여 있습니다. (이걸 **'클래스 프로토타입'**이라고 부릅니다.)
- 해커의 환자: 해커가 조작한 요약본은 같은 질병 그룹 안에서도 유독 다른 방향으로 튀어 나갑니다. 마치 동일한 반의 학생들 사이에서만 유독 옷차림이 완전히 다른 학생처럼 보이게 됩니다.

2. 작동 과정 (두 단계)

정상 그룹 만들기 (프로토타입 구축): 서버는 라벨 (진단명) 이 있는 데이터를 바탕으로, 각 질병별 '평균적인 요약본 (프로토타입)'을 만듭니다. 이때 해커의 데이터가 섞여 있더라도, 대다수의 정상 데이터를 기준으로 삼아 해커의 영향을 최소화합니다.
이상 탐지 (정합성 필터링): 들어오는 모든 요약본을 이 '평균 그룹'과 비교합니다.
- "너는 같은 질병 그룹인데, 왜 이렇게 다른 쪽으로 튀어 있니?"라고 물어봅니다.
- 만약 너무 많이 튀어 있다면, **"이건 해커가 조작한 거야!"**라고 판단하여 서버에서 삭제해 버립니다.

📊 성과: "왜 이 방법이 좋은가?"

논문의 실험 결과 (CIFAR-10, SVHN 등 다양한 데이터셋) 를 보면 다음과 같은 놀라운 성과를 냈습니다.

기존 방어법들: 해커를 막으려다 보니 정상 환자 (정확도) 도 많이 죽였습니다. (예: 해커는 잡았지만, 정상 환자 30% 도 잘못 진단함)
프로토가드-SL: 해커는 거의 완벽하게 잡으면서 (공격 성공률 95% → 5% 이하로 감소), 정상 환자의 정확도는 그대로 유지하거나 오히려 높였습니다.

💡 한 줄 요약

**"수직 분할 학습에서 해커가 숨겨진 신호로 AI 를 조종하는 것을 막기 위해, '동료들과 얼마나 닮았는지'를 비교하여 위장한 스파이를 찾아내는 똑똑한 보안 시스템"**입니다.

이 기술은 의료, 금융 등 민감한 데이터를 여러 기관이 공유해야 하는 상황에서, 데이터는 안전하게 지키면서 해커의 공격을 막아내는 데 큰 역할을 할 것으로 기대됩니다.

1. 문제 정의 (Problem)

수직 분할 학습 (Vertical Split Learning, SL) 의 보안 취약점

배경: 수직 분할 학습은 서로 다른 기관이 동일한 샘플의 보완적인 특징 (features) 을 보유하고 있지만, 원시 데이터를 공유하지 않고 협력하여 모델을 학습하는 패러다임입니다.
위협: 최근 연구에 따르면, SL 은 중간 임베딩 (intermediate embeddings) 을 교환하는 과정에서 **백도어 공격 (Backdoor Attacks)**에 매우 취약합니다.
공격 방식: 악성 클라이언트가 중간 임베딩을 조작하여 서버 측 모델에 은밀한 트리거 (trigger) 를 주입합니다. 특정 트리거가 입력되면 모델이 공격자가 지정한 클래스로 오분류되도록 만듭니다.
기존 방어법의 한계:
- 기존 백도어 공격 (예: VILLAIN, SplitNN) 은 정상 샘플과 임베딩 공간에서 매우 유사한 분포를 가지도록 설계되어, 기존 이상 탐지 (Anomaly Detection) 기법으로 식별하기 어렵습니다.
- 기존 방어 방법 (DP, MP, ANP, VFLIP 등) 은 공격 성공률 (ASR) 을 낮추는 대신 모델의 정확도 (MA) 를 크게 떨어뜨리거나, 적응형 공격에 대해 충분한 견고성을 제공하지 못합니다.

2. 제안 방법론 (Methodology: ProtoGuard-SL)

저자들은 **임베딩 공간 내의 클래스 조건부 표현 일관성 (Class-Conditional Representation Consistency)**을 악용하여 백도어를 탐지하고 제거하는 서버 측 방어 메커니즘인 ProtoGuard-SL을 제안합니다.

핵심 통찰 (Key Insight)

정상 (Benign) 샘플은 동일한 클래스 내에서 안정적인 의미론적 정렬 (Semantic Alignment) 을 보이지만, 백도어 공격으로 오염된 (Poisoned) 임베딩은 이 구조를 교란시킵니다.
원시 임베딩 공간에서는 정상과 오염 샘플이 겹쳐 구별하기 어렵지만, 클래스 프로토타입 (Class Prototype) 에 대한 상대적 일관성으로 변환하면 명확하게 분리됩니다.

2 단계 프레임워크

프로토타입 기반 일관성 표현 (Prototype-based Consistency Representation)
- 클래스 프로토타입 구축: 서버는 라벨 정보를 활용하여 각 클래스별 임베딩의 **좌표별 중앙값 (Coordinate-wise Median)**을 프로토타입 ( $p_c$ ) 으로 정의합니다. (중앙값 사용은 소수의 오염된 샘플에 대한 견고성을 보장합니다.)
- 일관성 벡터 변환: 각 임베딩 ( $E_k$ $E_{k}$ ) 을 원본 공간이 아닌, 모든 클래스 프로토타입과의 **코사인 유사도 (Cosine Similarity)**로 구성된 일관성 벡터 ( $v_k$ $v_{k}$ ) 로 변환합니다.
  - $v_k = [\cos(E_k, p_1), \cos(E_k, p_2), \dots, \cos(E_k, p_{|C|})]$
- 이 변환을 통해 정상 샘플은 클래스별 일관된 패턴을 유지하지만, 오염된 샘플은 비정상적인 유사도 프로파일을 보입니다.
클래스 조건부 분포 무관 컨포멀 필터링 (Class-Conditional Distribution-Free Conformal Filtering)
- 편차 점수 (Deviation Score) 계산: 각 클래스 $c$ 에 대해 해당 클래스의 일관성 벡터들의 중앙값 ( $\mu_c$ ) 을 기준 패턴으로 설정하고, 각 샘플의 편차 점수 ( $s_k = \|v_k - \mu_{y_k}\|_2$ ) 를 계산합니다.
- 컨포멀 필터링 (Conformal Filtering): 임베딩이 정상인지 판단하기 위해 파라미터 분포를 가정하지 않는 순위 기반 (Rank-based) 접근법을 사용합니다.
  - 동일 클래스 내 편차 점수들의 순위 (Rank) 를 기반으로 p-value를 계산합니다.
  - 미리 정의된 유의수준 ( $\alpha$ ) 보다 p-value 가 크면 정상으로 간주하고, 작으면 오염된 샘플로 간주하여 제거합니다.
- 이 방식은 데이터 분포의 형태를 가정하지 않아 다양한 공격과 데이터 스케일에 강건합니다.

3. 주요 기여 (Key Contributions)

새로운 방어 관점 제시: 수직 분할 학습에서 정상 임베딩의 '클래스 조건부 표현 일관성'이 핵심 속성임을 규명하고, 백도어 공격이 이 구조를 어떻게 교란시키는지 분석했습니다.
관계적 공간 매핑: 임베딩을 절대적인 기하학적 속성이 아닌, 클래스 프로토타입과의 관계적 (Relational) 공간으로 매핑하는 일관성 표현 기법을 제안하여 정상/오염 샘플의 분리도를 극대화했습니다.
강건한 필터링 메커니즘: 파라미터 분포를 가정하지 않는 클래스 조건부 컨포멀 필터링을 설계하여, 백도어 공격을 효과적으로 완화하면서도 정상 샘플의 정확도와 전체 모델 성능을 유지했습니다.

4. 실험 결과 (Results)

실험 설정:

데이터셋: CIFAR-10, SVHN, Bank Marketing (이미지 및 텍스트 데이터 포함).
공격 시나리오: VILLAIN, SplitNN, BadVFL 등 다양한 백도어 공격.
비교 대상: DP(차등 프라이버시), MP(모델 가지치기), ANP(적대적 뉴런 가지치기), VFLIP 등 기존 방어 기법.

주요 성과:

최고의 성능 (State-of-the-Art): 모든 데이터셋과 공격 유형에서 **가장 높은 주 정확도 (MA)**와 **가장 낮은 공격 성공률 (ASR)**을 기록했습니다.
- 예: CIFAR-10 (VILLAIN 공격) 에서 ASR 을 0.92(방어 없음) → 0.06으로 낮추면서 MA 는 0.80 → 0.83으로 유지/향상시켰습니다.
기존 방어법 대비 우위: 기존 방법들은 ASR 을 낮추기 위해 MA 가 크게 하락하는 트레이드오프를 보였으나, ProtoGuard-SL 은 두 가지 지표를 모두 최적화했습니다.
Ablation Study: 일관성 표현 (Consistency Rep.) 제거 시 ASR 이 급격히 증가하여 해당 모듈의 핵심적 역할을 입증했습니다.
확장성: 클라이언트 수가 2 개에서 8 개로 증가하는 상황에서도 성능이 유지되어 대규모 환경에서도 견고함을 보였습니다.
모델 아키텍처 독립성: ResNet-18, VGG-19 등 다양한 바텀 모델 (Bottom Model) 에서도 일관된 우수한 성능을 발휘했습니다.

5. 의의 및 결론 (Significance)

실용적 가치: 데이터 프라이버시 규제가 강화되는 환경에서, 원시 데이터 공유 없이도 안전한 협력 학습을 가능하게 하는 강력한 방어 솔루션을 제공합니다.
기술적 혁신: 임베딩 공간의 미세한 구조적 결함을 활용하여 은밀한 백도어 공격을 탐지하는 새로운 패러다임을 제시했습니다.
안정성: 분포 가정이 필요 없는 필터링 기법을 통해 다양한 실제 환경과 적응형 공격에 대한 높은 적응력을 입증했습니다.

이 논문은 수직 분할 학습의 보안 취약점을 해결하고, 신뢰할 수 있는 분산 머신러닝 생태계를 구축하는 데 중요한 기여를 한 것으로 평가됩니다.