Computer Science Conferences Should Require Nonrepudiable Experimental Results

기술 요약: 컴퓨터 과학 학회는 비부인 가능한 실험 결과를 요구해야 한다

문제 정의
본 논문은 컴퓨터 과학 학회, 특히 머신러닝 (ML) 분야에서 구조적 "검증 격차"를 식별한다. NeurIPS 와 같은 자가 보고 체크리스트, 선택적 아티팩트 평가, 저자가 통제하는 로깅 플랫폼 (예: Weights & Biases), 사전 등록과 같은 현재의 재현성 조치는 보고된 수치적 결과를 이를 생성한 실제 코드 실행에 결속시키지 못한다. 이러한 메커니즘들은 공개 의도나 코드의 사용성을 검증할 수는 있지만, "이 논문에서 설명된 훈련 실행이 실제로 이 논문이 보고한 결과를 산출했는가?"라는 근본적인 질문에 답할 수는 없다.

저자들은 이러한 특정 실패 모드를 **실험 비부인성 (experiment nonrepudiation)**으로 정의한다. 보안 문헌에서 차용한 이 개념은 저자가 나중에 자신의 계산이 실제로 산출한 기록을 변경, 부인, 또는 왜곡할 수 없는 속성을 의미한다. 현재의 시스템은 자가 보고에 대한 신뢰에 의존하므로, 커뮤니티는 텍스트 수준의 조작, 로그 변조, 유리한 실행 결과의 선택적 보고에 취약하다.

방법론 및 제안된 해결책
이를 해결하기 위해 저자들은 실험 결과에 대한 **위변조 탐지 가능하고 비부인 가능한 인증서 (attestations)**를 생성하는 프로토콜을 제안한다. 그들의 방법론의 핵심은 다음 여섯 가지 특정 보안 속성을 만족해야 하는 프로토콜이다:

1. 수동성 (Passivity): 관찰자는 계산을 수정해서는 안 된다.
2. 데이터 무지 (Data Blindness): 관찰자는 데이터셋 $D$에 절대 접근해서는 안 되며, 이는 독점 데이터가 비공개로 유지되도록 보장한다.
3. 실행 결속 (Execution-Binding): 보고된 지표는 런타임 원격 측정 (CPU/GPU 사용량, 메모리) 을 통해 검증된 특정 실행 인스턴스와 암호학적으로 연결되어야 한다.
4. 위변조 탐지 (Tamper-Evidence): 보고서 (지표, 하이퍼파라미터, 타임스탬프) 에 대한 모든 수정은 암호학적 서명을 무효화해야 한다.
5. 저자 - 키 분리 (Author-Key Separation): 서명 키는 저자가 아닌 독립적인 인증 서비스에서 보유해야 하며, 이는 저자가 임의의 인증서를 생성하는 것을 방지한다.
6. 독립적 검증 가능성 (Independent Verifiability): 제 3 자는 저자를 신뢰하지 않고도 공개 키를 사용하여 인증서를 검증할 수 있어야 한다.

이 문제의 실현 가능성을 입증하기 위해 저자들은 Go 로 작성된 참조 구현체인 K-Veritas를 구축했다. K-Veritas 는 저자가 명령어 접두사 (예: kveritas run -- python train.py) 를 통해 호출하는 독립형 바이너리 래퍼로 작동한다. 그 작동 방식은 다음과 같다:

• 캡처: stdout/stderr을 블로킹하지 않고 캡처하고, 지표를 파싱하며, 실행 전후에 소스 파일의 해시값을 계산한다.
• 원격 측정: 백그라운드 샘플러가 간격으로 하드웨어 활용도 (CPU 시간, 메모리, GPU 사용량) 를 기록한다.
• 실링 (Sealing): 세션 종료 시 전체 세션 (파일 해시, stdout 스트림, 지표, 하드웨어 샘플) 의 표준 SHA-256 다이제스트를 계산한다.
• 서명: 시스템은 오직 이 64 자 다이제스트만 원격 인증 서비스로 전송한다. 개인 키를 보유한 서비스는 RSA-PSS 서명을 반환한다. 저자는 개인 키를 절대 볼 수 없다.
• 출력: 시스템은 서명된 PDF 보고서와 실행 시 존재했던 소스 코드를 포함한 서명된 아카이브를 생성한다.

결과 및 시연
본 논문은 두 가지 주요 증거 형태를 제시한다:

1. "불신할 수 있는 표 (Untrustworthy Table)" 연습: 저자들은 실제 실행에서 나온 결과 표와 언어 모델이 그럴듯하게 생성한 결과 표가 인간 심사자에게 구별 불가능함을 시연한다. 이는 그럴듯함이 진정성을 대체할 수 없음을 보여준다.
2. K-Veritas 테스트베드: 저자들은 합성 Keras LSTM 과 SST-2 로 미세 조정된 RoBERTa-base 두 가지 다른 훈련 실행에서 K-Veritas 를 실행했다. 시스템은 다음을 성공적으로 캡처했다:
   • 하드웨어 지문 (GPU/CPU 모델).
   • 훈련 기간 및 최종 지표 (손실, 정확도).
   • 소스 코드 및 stdout 해시값.
   • "하드웨어 - 지표 일관성 (HMC)" 점수로, 이상 징후 (예: 해당 하드웨어 활동 없이 보고된 지표) 를 플래그한다.
   • 유효한 RSA-PSS 서명.

저자들은 K-Veritas 가 완성된 해결책이 아닌 테스트베드임을 명시적으로 지적한다. 이 시스템은 우발적이고 중등도의 조작 (텍스트 편집, 로그 변조, 단순한 선택적 보고) 을 효과적으로 방지하지만, 커널 또는 펌웨어 접근 권한을 가진 특권적 적대자 (예: OS 수준 원격 측정 스푸핑) 를 무력화할 수는 없다고 인정한다.

주요 기여

• 개념적 정의: 본 논문은 "실험 비부인성"을 재현성 (다시 실행할 수 있는가?) 과 재현 가능성 (동일한 결과를 산출하는가?) 과 구별되는 고유한 문제 클래스로 공식적으로 정의한다.
• 위협 모델: 소프트웨어 전용 프로토콜이 무력화할 수 있는 공격 (조작, 로그 편집) 과 무력화할 수 없는 공격 (커널/하드웨어 침해) 을 구분하는 포괄적인 위협 모델을 제시한다.
• 프로토콜 명세: 서명 키와 저자의 분리를 강조하며, 준수하는 프로토콜에 필요한 보안 속성을 정의한다.
• 구현: 저자들이 민감한 데이터를 공유하거나 핵심 훈련 논리를 수정할 필요 없이 그러한 프로토콜을 구현할 수 있음을 보여주는 개념 증명인 K-Veritas 를 제공한다.

의의 및 주장
본 논문은 ICML 2025 의 AI 생성 리뷰 금지와 유사하게, 비부인성을 컴퓨터 과학 학회를 위한 **1 급 요구사항 (first-class requirement)**으로 취급해야 한다고 주장한다. 저자들은 커뮤니티가 조작된 리뷰가 정책 개입이 필요한 위협으로 인식하듯이, 조작된 결과도 동등한 심각도로 취급해야 한다고 주장한다.

이 연구의 의의는 "저자를 신뢰하라"는 것에서 "실행을 검증하라"는 것으로 증명 책임을 이동시키는 데 있다. 저자들은 3~8 년의 기간 동안 (자발적 $\to$ 기대 $\to$ 의무) 의 3 단계 채택 경로를 제안한다. 그들은 시스템이 국가 수준의 적대자에 대해 완벽하지는 않지만, 조작의 경제학을 근본적으로 변화시킨다고 강조한다. 즉, 단순한 텍스트 편집기에서 실제 계산 실행 또는 커널 침해의 필요성으로 비용을 이동시킨다는 것이다.

본 논문은 과학적 정당성 검증이 단일 주체에 의해 통제되지 않도록 보장하는 독립적인 비영리 조직이 표준을 유지할 것을 촉구하며 마무리한다. 이 프레임워크는 ML 을 넘어 계산 파이프라인에 의존하여 경험적 주장을 하는 모든 분야로 일반화 가능하게 제시된다.