1. 연구 배경 및 문제 정의 (Problem)

• 배경: 비전 트랜스포머 (Vision Transformers, ViT) 는 컴퓨터 비전 분야에서 뛰어난 성능을 보이지만, 합성곱 신경망 (CNN) 과 마찬가지로 백도어 공격 (Backdoor Attack) 에 취약합니다.
• 기존 연구의 한계:
  • 기존 ViT 대상 백도어 공격들은 주로 단 하나의 고정된 위치에 트러거 (Trigger) 를 삽입하여 모델의 주의를 집중시키는 방식에 의존합니다.
  • 이러한 공격들은 추론 (Inference) 시 트러거가 삽입된 특정 위치에서만 작동하며, 위치가 바뀌면 공격 효과가 급격히 떨어집니다.
  • 또한, 공격 효과를 극대화하기 위해 트러거의 크기를 키우거나 주의를 집중시키는 방식은 **시각적 은닉성 (Visual Stealthiness)**과 **주의도 은닉성 (Attention Stealthiness)**을 해쳐, 인간이나 기계적 탐지 (Machine Inspection) 에 쉽게 적발됩니다.
• 핵심 질문:
  • ViT 의 자기 주의 (Self-attention) 메커니즘은 CNN 과 달리 장기 의존성 (Long-range dependencies) 을 학습하므로, 트러거가 삽입된 위치와 인접한 패치들에서도 공격이 유효할까요? (Trigger Radiating Effect, TRE)
  • 은닉성을 유지하면서도 임의의 패치 위치에서 백도어를 활성화할 수 있는 새로운 공격 페이로드 (Payload) 를 설계할 수 있을까요?

2. 핵심 관찰 (Key Observations)

저자들은 ViT 의 아키텍처 특성을 분석하여 두 가지 중요한 현상을 발견했습니다.

1. 트리거 방사 효과 (Trigger Radiating Effect, TRE):
   • CNN 과 달리 ViT 는 자기 주의 메커니즘을 통해 패치 간의 관계를 학습합니다.
   • 실험 결과, ViT 에서는 훈련 시 특정 위치에 삽입된 패치 단위 트러거가 **인접한 패치들에서도 높은 공격 성공률 (ASR)**을 보였습니다. 이를 '트리거 방사 효과 (TRE)'라고 명명했습니다.
   • 반면, CNN 은 트러거 위치가 조금만 달라져도 공격 효과가 급격히 감소했습니다.
2. 다중 위치 삽입의 시너지 효과:
   • 훈련 과정에서 트러거를 여러 개의 서로 다른 위치에 번갈아 삽입하면, 단일 위치 삽입 방식보다 TRE 가 시너지 효과를 내며 강화됨을 확인했습니다.
   • 하지만 TRE 를 강화하기 위해 트러거의 왜곡 (Perturbation) 을 크게 하면 시각적/주의도 은닉성이 떨어지는 딜레마가 존재합니다.

3. 제안 방법론: PASTA (Methodology)

이러한 통찰을 바탕으로 저자들은 **PASTA (Patch-Agnostic Twofold-Stealthy Backdoor Attack)**를 제안합니다. 이는 임의의 패치 위치에서 백도어를 활성화하면서도 시각적, 주의도 측면에서 모두 은닉되는 공격입니다.

A. 주요 구성 요소

1. 다중 위치 트러거 삽입 전략 (Multi-location Trigger Insertion Strategy, MIS):
   • 각 오염된 샘플마다 트러거를 삽입할 위치를 미리 정의된 후보 집합 (중앙, 4 분할 영역 중심, 4 모서리 등) 에서 무작위로 선택합니다.
   • 이를 통해 다양한 위치에서의 TRE 를 극대화하고, 임의의 위치에서도 공격이 작동하도록 합니다.
2. 이중 은닉성 (Twofold Stealthiness):
   • 시각적 은닉성: 깨끗한 이미지와 오염된 이미지 간의 픽셀 차이 ($l_2$-norm) 를 최소화합니다.
   • 주의도 은닉성: ViT 의 주의 맵 (Attention Map) 에서 깨끗한 샘플과 오염된 샘플 간의 차이 (Disparity) 를 최소화하여, 기계적 탐지 (예: 주의도 이상 탐지) 를 회피합니다. 기존 공격들은 트러거에 주의를 집중시켰으나, PASTA 는 주의도 분포를 자연스럽게 유지합니다.
3. 적응형 백도어 학습 프레임워크 (Adaptive Backdoor Training Framework):
   • 이중 최적화 문제 (Bi-level Optimization) 로 공식화:
     • 상위 레벨 (Upper-level): 모델 파라미터 ($\theta$) 최적화 (정상 분류 성능 유지 + 백도어 성능 확보).
     • 하위 레벨 (Lower-level): 트러거 ($t$) 최적화 (시각적/주의도 은닉성 확보 + 백도어 성능 확보).
   • 해결 방안: 모델과 트러거는 서로 비분리적 (Non-separable) 인 손실 함수를 공유하여 동시에 최적화하면 국소 최적점 (Local Optima) 에 빠지기 쉽습니다. 이를 해결하기 위해 적응형 학습을 도입합니다.
     • 모델 파라미터와 트러거를 **교대로 소수 단계 (Small iterations)**씩 업데이트합니다.
     • 이를 통해 두 변수가 서로의 변화에 점진적으로 적응하도록 하여, 손실 함수의 상관관계를 완화하고 전역 최적점에 수렴하도록 돕습니다.

4. 실험 결과 (Results)

저자들은 4 개의 데이터셋 (CIFAR-10, CIFAR-100, ImageNet, Sub-ImageNet) 에서 PASTA 를 평가했습니다.

• 공격 효과성 (Attack Effectiveness):
  • TRE (평균 공격 성공률): 임의의 패치 위치에서 평균 **99.13%**의 공격 성공률을 기록했습니다. (기존 공격들은 평균 45% 미만).
  • 정상 분류 정확도 (ACC) 저하는 평균 0.99% 로 미미했습니다.
• 은닉성 (Stealthiness):
  • 시각적 은닉성: 기존 공격 대비 144.43 배 향상된 시각적 은닉성을 보였습니다 (PSNR, SSIM, LPIPS 지표).
  • 주의도 은닉성: 기존 공격 대비 18.68 배 향상된 주의도 은닉성을 보였습니다. 주의 맵이 깨끗한 이미지와 거의 동일하게 유지되어 탐지가 어렵습니다.
• 방어 기법 우회 (Robustness against Defenses):
  • 패치 조작 (Patch Drop/Shuffle): 단일 위치 공격은 패치 조작에 취약했으나, PASTA 의 다중 위치 전략 (10 개 또는 20 개 TAL 사용) 은 방어 기법을 우회하여 **91~95%**의 공격 성공률을 유지했습니다.
  • BAVT (Attention-based Defense): BAVT 는 가장 높은 주의를 받는 위치를 차단하지만, PASTA 는 여러 위치에서 주의를 분산시키거나 은닉하여 방어 효과를 무력화시켰습니다 (ASR 100% 유지).
  • DBAVT (Detection): 다중 위치 전략을 사용할 때 탐지율이 0.2% 로 극도로 낮아졌습니다.

5. 주요 기여 및 의의 (Contributions & Significance)

1. 새로운 현상 발견: ViT 의 자기 주의 메커니즘이 트러거의 위치에 구애받지 않고 인접 패치에도 공격 효과를 미치는 '트리거 방사 효과 (TRE)'를 최초로 규명했습니다.
2. 새로운 공격 페이로드: 훈련 시 다중 위치 삽입 전략을 통해, 추론 시 임의의 패치 위치에서 백도어를 활성화할 수 있는 새로운 페이로드를 제시했습니다.
3. 이중 은닉성 달성: 시각적 은닉성과 주의도 은닉성을 동시에 달성하여, 인간과 기계적 탐지 모두를 회피하는 최초의 ViT 전용 백도어 공격을 제안했습니다.
4. 최적화 기법: 모델과 트러거 간의 상호 의존성을 해결하기 위해 적응형 이중 최적화 프레임워크를 도입하여, 국소 최적점 문제를 해결하고 안정적인 공격 모델을 학습했습니다.
5. 보안 시사점: ViT 기반 모델이 다양한 패치 위치에서도 백도어 공격에 취약할 수 있음을 보여주었으며, 기존 방어 기법 (특히 단일 위치 기반 탐지) 의 한계를 지적했습니다. 이는 향후 ViT 보안 연구에 중요한 방향을 제시합니다.

결론

PASTA 는 ViT 의 고유한 자기 주의 메커니즘을 역이용하여, 기존에 불가능했던 '임의의 위치에서의 백도어 활성화'와 '높은 은닉성'을 동시에 달성한 획기적인 공격 기법입니다. 이 연구는 ViT 모델의 보안 취약점을 심층적으로 분석하고, 더 강력한 방어 체계 개발의 필요성을 강조합니다.