기술 요약: PersonaFingerprint

문제 정의

본 논문은 현대 웹 브라우징에서 새로운 프라이버시 위험인 **페르소나 지문 (Persona Fingerprinting)**을 식별하고 정량화합니다. 기존 웹사이트 지문 (Website Fingerprinting, WFP) 은 암호화된 트래픽 메타데이터 (패킷 크기와 도착 간격) 를 통해 사용자가 어떤 웹사이트를 방문하는지 추론하는 데 초점을 맞추는 반면, 본 연구는 여러 사용자가 동일한 사이트 세트를 방문하더라도 적대자가 누가 브라우징하는지, 구체적으로 사용자의 **행동 페르소나 (behavioral persona)**를 추론할 수 있는지 조사합니다.

본 연구는 표준 WFP 위협 모델 하에서 수행됩니다: 수동 네트워크 적대자 (예: ISP, VPN 제공업체, Tor 탈출 노드) 는 암호화된 트래픽을 관찰하지만 애플리케이션 페이로드, URL, 쿠키, 브라우저 식별자에 접근할 수 없습니다. 적대자는 오직 방향을 나타내는 서명된 패킷 길이와 도착 간격으로만 표현되는 1,000 개의 연속 패킷으로 구성된 고정 길이 윈도우만 관찰할 수 있습니다. 이 과제는 단일 페이지 애플리케이션, 무한 스크롤, 지연 로딩과 같은 현대 웹 아키텍처로 인해 전통적인 페이지 경계가 모호해짐으로써 더욱 복잡해지며, 이로 인해 고정 길이 패킷 윈도우가 유일한 관찰 단위가 됩니다.

방법론

1. LLM 기반 다중 에이전트 브라우징 프레임워크

다양한 행동 패턴을 가진 인간 사용자로부터 대규모 라벨링된 트래픽을 수집하는 어려움을 해결하기 위해, 저자들은 대규모 언어 모델 (LLM) 에이전트를 사용하여 제어 가능하고 재현 가능한 프레임워크를 구축했습니다. 이 프레임워크는 민감한 사용자 데이터를 직접 수집하지 않으면서도 현실적인 트래픽 흔적을 생성합니다.

• 의사결정 에이전트: LLM 은 "페르소나 조건부" 의사결정자 역할을 합니다. 구조화된 페르소나 프로필 (배경, 목표, 상호작용 스타일, 콘텐츠 선호도) 과 현재 페이지의 스크린샷을 입력받아, 이 컨텍스트에 기반하여 "리뷰 스크롤", "대안 검색"과 같은 고수준 자연어 명령을 생성합니다.
• 컴퓨터 사용 에이전트: 별도의 에이전트가 DOM 상호작용 (클릭, 스크롤, 타이핑) 을 통해 실제 브라우저에서 이러한 명령을 실행합니다.
• 트래픽 캡처: 브라우저는 암호화된 패킷 수준 메타데이터를 캡처하도록 계측됩니다. 이 프레임워크는 10 개 웹사이트와 15 개의 고유한 페르소나 (그리고 오픈-월드 클래스 포함) 에 걸쳐 약 80 만 개의 라벨링된 패킷 윈도우를 생성합니다.
• 품질 관리: 시스템은 생성된 행동과 페르소나 프로필 간의 정렬을 측정하는 페르소나 일관성 (Persona Consistency) 지표와 퇴행적이고 스크립트화된 행동을 방지하는 행동 다양성 (Behavioral Diversity) 지표를 포함하여, 생성된 트래픽이 일관성 있으면서도 다양한 인간과 같은 브라우징을 반영하도록 보장합니다.

2. 페르소나 지문화 공식화

저자들은 두 가지 설정 하에서 이 작업을 공식화했습니다:

• 단일 사이트 (Per-Site): 적대자가 대상 웹사이트를 알고 해당 특정 사이트 내에서 페르소나를 구분하려 시도합니다.
• 혼합 사이트 (Mixed-Site): 적대자가 대상 웹사이트를 알지 못하며, 여러 이질적인 사이트에서 풀링된 트래픽으로부터 페르소나를 추론해야 합니다.
• 오픈-월드 (Open-World): 시스템은 "오픈-월드 (OW)" 라벨을 처리해야 하며, 보지 못한 페르소나를 집계하여 오할당 위험 (즉, 알려지지 않은 사용자를 특정 알려진 페르소나로 잘못 할당할 위험) 을 측정해야 합니다.

3. 모델링 및 평가

본 연구는 세 가지 공격 경로를 평가합니다:

1. 직접 페르소나 분류: 패킷 윈도우를 직접 학습하여 페르소나를 예측하는 분류기를 훈련합니다.
2. 표현 프로빙 (Representation Probing): 사이트 식별에만 훈련된 표준 WFP 인코더를 고정하고, 페르소나 정보가 WFP 표현에 우연히 인코딩되었는지 여부를 판단하기 위해 경량 MLP 프로브를 연결합니다.
3. 연합 다중 태스크 학습: 사이트와 페르소나 두 개의 헤드를 가진 공유 인코더를 훈련하여 사이트 분류 정확도와 페르소나 추론 능력 간의 트레이드오프를 정량화합니다.

주요 결과

1. 높은 페르소나 추론 정확도

• 단일 사이트: 시스템은 테스트된 10 개 웹사이트 (아마존, 유튜브, 레딧, 빌리빌리, 링크드인 등) 전반에 걸쳐 강력한 페르소나 분류 성능을 달성합니다. 개별 페르소나의 매크로 F1 점수는 일반적으로 0.78 에서 0.91 사이입니다.
• 혼합 사이트: 대상 사이트를 알지 못하더라도, 페르소나 추론은 혼합 사이트 트래픽 (15 개 페르소나 + OW) 에서 약 84% 의 정확도를 달성합니다. 이는 행동 서명이 강력하고 사이트와 무관함을 시사합니다.
• 오픈-월드 위험: 모델은 종종 보지 못한 행동을 인식할 수 있지만 (OW F1 약 65.6%), 상당한 오할당 위험이 존재합니다. 보지 못한 페르소나 윈도우의 약 **34.4%**가 "기타"로 라벨링되는 대신 특정 표준 페르소나로 잘못 할당됩니다. 이러한 오할당은 종종 상위 3 개 페르소나 집합으로 수렴하여 거짓이지만 실행 가능한 행동 프로필을 생성할 수 있습니다.

2. WFP 모델에서의 우발적 누출

• 프로빙 결과: 고정된 사이트 전용 WFP 인코더 위에서 훈련된 경량 MLP 프로브는 무작위 인코더에서 훈련된 프로브보다 20~30 퍼센트 포인트 더 높은 페르소나 정확도를 달성합니다. 이는 표준 WFP 모델이 명시적인 훈련 없이도 풍부한 페르소나 정보를 암묵적으로 인코딩함을 보여줍니다.
• 연합 훈련: WFP 모델에 페르소나 목적을 추가함으로써 (연합 다중 태스크 학습), 페르소나 정확도를 **약 80%**까지 높일 수 있으면서도 강력한 사이트 분류 성능 (~93% 기준) 을 유지할 수 있습니다. 이는 기존 WFP 파이프라인을 페르소나 추론을 포함하도록 업그레이드하는 데 추가적인 노력이 거의 필요하지 않음을 시사합니다.

3. 확장성

본 연구는 공격 정확도가 페르소나 라벨링 트래픽의 양에 따라 빠르게 증가함을 보여줍니다. 혼합 사이트 오픈-월드 정확도는 **55% (페르소나당 500 개 윈도우)**에서 **84% (페르소나당 5,000 개 윈도우)**로 상승하며, 이는 LLM 에이전트를 통한 대규모 라벨링 트래픽 생성 능력이 공격자가 강력한 추론 모델을 구축하는 장벽을 크게 낮춘다는 것을 시사합니다.

중요성 및 주장

본 논문은 현대 웹사이트의 암호화된 트래픽 메타데이터가 방문한 사이트의 정체성뿐만 아니라 사용자의 행동 페르소나도 누출한다고 주장합니다. 본 연구의 중요성은 다음과 같은 세 가지 주요 기여에 있습니다:

1. 새로운 프라이버시 위험 정의: "어떻게" 브라우징하는지가 "어디로" 브라우징하는지만큼 추론 가능함을 보여줌으로써, "페르소나 지문화"를 고유하고 민감한 프라이버시 위협으로 공식적으로 정의합니다.
2. 확장 가능한 데이터 생성: 인간 참가자를 모집하는 데 따르는 윤리적 및 logistical 장애물을 우회하여 대규모로 현실적이고 페르소나 조건부 브라우징 흔적을 생성하는 제어 가능한 LLM 기반 프레임워크를 도입합니다.
3. 우발적 누출: 기존 WFP 방어 및 모델이 우연히 페르소나 신호를 인코딩하기 때문에 불충분할 수 있음을 드러냅니다. 사이트 전용 모델에서 간단한 프로브로 페르소나 데이터를 추출할 수 있다는 발견은 사이트 은닉에만 초점을 맞춘 현재 프라이버시 보호 조치가 사용자 행동 프로필을 보호하지 못할 수 있음을 시사합니다.

저자들은 암호화된 트래픽의 구조가 본질적으로 안정적인 행동 패턴을 드러내므로, 프라이버시 보호 웹 시스템의 설계 및 평가에서 기존 WFP alongside 페르소나 지문화도 주목받을 가치가 있다고 결론지었습니다.