기술 요약: 잠재 기하학을 구조적 모니터링으로 활용

문제 정의

기존 네트워크 이상 탐지는 사후에 발생하는 사건(예: 신호가 사전 정의된 임계값을 초과할 때) 만 식별하는 반응형 임계값 기반 메커니즘에 의존합니다. 이러한 접근법은 전환 이전에 누적되는 구조적 압력을 탐지하지 못합니다. 설계상 패킷 수준의 가시성이 결여된 Tor 익명 네트워크와 같은 암호화된 행동 집단에서는 표준 모니터링이 명시적인 토폴로지 변경(예: 합의에서 릴레이가 이탈하는 경우) 을 수반하지 않는 고장 모드를 놓치는 경우가 많습니다. 이 논문은 기하학(측정된 상태) 이 변화하기 전에 근본적인 구조(집단의 하중 지지 조직) 가 선행된다고 주장합니다. 과제는 네트워크 고장이 치명적인 임계값 위반으로 이어지기 전에 공개 릴레이 메타데이터만을 사용하여 이러한 구조적 변형을 측정하는 것입니다.

방법론

저자들은 릴레이 집단을 기하학적 에너지 풍경으로 간주하는 이중 관찰자 파이프라인을 제안합니다. 이 시스템은 Onionoo API 에서 파생된 191 개의 행동 특성을 사용하여 2026 년 1 월 19 일부터 4 월 21 일까지의 67 개의 연속된 일일 관찰 창에서 작동합니다.

1. 이중 관찰자 아키텍처

• 기하학적 관찰자 (CDAE): 계약형 탈노이즈 오토인코더는 야코비안 불연속성을 피하기 위해 이진 플래그를 제외한 17 개의 선택된 연속 특성을 32 차원 잠재 공간으로 매핑합니다. 훈련 손실에는 노이즈가 많고 분산이 큰 방향에 대한 민감도를 억제하고 인코더가 "뻣뻣한"(하중 지지) 과 "부드러운"(탄성) 축을 학습하도록 강제하는 야코비안의 프로베니우스 노름 패널티($\|J\|_F^2$) 가 포함됩니다.
• 열역학적 관찰자 (GRBM): 가우시안 제한 볼츠만 머신은 전체 191 개 특성 공간에서 작동합니다. 극단적인 대역폭 이상치로 인한 시그모이드 포화를 피하기 위해, 시스템은 숨은 계층 활성화를 읽는 대신 활성화 전 가시 계층에서 직접 가시 자유 에너지($F_{visible}$) 를 측정합니다. 집단 전체에 걸친 이 에너지의 변동 계수 (CV) 는 분열 신호로 작용합니다.
• 다리 (CCA): 정규 상관 분석 (CCA) 은 CDAE 와 GRBM 잠재 표현을 연결합니다. 이는 시간에 따라 두 관찰자의 공유 구조 축 간의 일치 강도 ($\rho_1$) 와 회전 각도 ($\theta$) 를 추적합니다.

2. 고유 공간 정렬과 뻣뻣한 부분 공간

핵심 혁신은 **야코비안 트레이스의 고유 분해 (EJT)**입니다. 메트릭 텐서 $J^\top J$를 분해함으로써 시스템은 다음을 식별합니다:

• 뻣뻣한 부분 공간 ($V_{stiff}$): 인코더가 가장 민감하게 반응하고 변형을 저항하는 방향.
• 부드러운 부분 공간 ($V_{soft}$): 집단이 자유롭게 이동할 수 있는 방향 (탄성 흡수).
• 불변 구조: 시스템은 경험적으로 $J^\top J$의 트레이스 질량의 90% 를 포착하는 데 정확히 $k=9$차원이 필요함을 확인했습니다. 이 9 차원 부분 공간은 67 개의 모든 관찰 창에서 불변으로 유지되었으며, 가우시안 노이즈 기준선과 16.8$\sigma$ 분리되어 검증되었습니다.

3. 사건 분류 및 판별자

파이프라인은 게이트 활성화에 따라 사건을 여섯 가지 영역으로 분류합니다:

• PRECURSOR (전조): 기하학적 변형 없이 열역학적 분열 (높은 CV) 이 발생.
• REGIME_S (탄성 신장): 집단 급증이 탄성적으로 흡수됨 (높은 $\alpha_{guard}$, 높은 $\delta_{mg}$).
• REGIME_D (변형): 열역학적 분열 없이 국소적인 기하학적 이동 발생.
• REGIME_E (뻣뻣한 파열): 뻣뻣한 축으로의 전역적 이동 (낮은 EJT z-점수) 으로 구조적 스트레스를 나타냄.
• REGIME_K (관리 유지보수): 포렌식 체크리스트를 통해 구분된 조정된 함대 재시작.
• NORMAL: 모든 게이트가 작동하지 않음.

중요한 판별자인 **$\delta_{mg}$ (질량 - 중력 발산)**은 무가중 "질량"이 이동하지만 트래픽 가중 "중력"은 안정적으로 유지되는 온순한 집단 급증과 진정한 구조적 파열을 구분합니다.

주요 결과

1. 구조적 안정성과 노이즈 바닥

• 널 기준선: 1,000 회 반복된 가우시안 노이즈에 대한 몬테카를로 시뮬레이션은 최대 CCA 상관관계 $\rho_1 = 0.614$를 산출했습니다.
• 경험적 신호: 실제 Tor 데이터는 $\rho_1 = 0.9992$를 산출하여 구조적 일치가 파이프라인 아키텍처가 아닌 네트워크의 속성임을 확인했습니다.
• 뻣뻣한 부분 공간 불변성: 9 차원 뻣뻣한 부분 공간은 모든 67 개의 창에서 안정적이었습니다. 이 부분 공간의 상위 10 개 특성은 연속된 창 간 중앙값 자카드 유사도 0.90 을 보였으며, 지리적(위도/경도) 및 시간적(재시작 이후 일수) 특성이 주를 이뤘습니다.

2. 확인된 사건: 2026 년 2 월 20 일

파이프라인은 2026 년 2 월 20 일, BGP 접두사 철회로 이어진 확인된 클라우드플레어 BYOIP 구성 변경과 일치하는 REGIME_E (뻣뻣한 파열) 사건을 탐지했습니다.

• 신호: 전역 EJT z-점수 = $-4.38$(기준선보다 4.38 표준 편차 아래); CCA 회전 $\theta = 67.13^\circ$.
• 포렌식 검증: 저자들은 "릴레이 이탈 가설"(릴레이가 물리적으로 네트워크를 떠났다는 것) 을 테스트했습니다. 116 개의 이탈 릴레이를 클라우드플레어 접두사와 교차 참조한 결과 일치하는 경우가 0 건이었습니다.
• 결론: 이 사건은 토폴로지 변경 없이 발생한 연결성 저하였습니다. 릴레이가 합의에 계속 나열되어 있음에도 불구하고 네트워크의 유효 라우팅 경로가 절단된 것으로, 표준 릴레이 수 모니터링으로는 보이지 않는 고장 모드였습니다.

3. 오탐지율 (FPR)

• 주 게이트: Ch5 CV 게이트와 Ch6 전역 EJT 게이트는 24 개의 확인된 안정 창에서 0.0% FPR을 달성했습니다.
• 보조 게이트: Ch6 가드 탄성 게이트는 FPR 이 14.3% 였으며(집단 급증이 조사된 사건으로 재분류될 때 3.6% 로 감소), Ch1 CCA 회전 게이트는 49% FPR 로 보조 신호로만 사용됩니다.

4. 포렌식 발견

• 2 월 05 일~13 일 급증: 단일 운영자 (printerexpert@mail2tor.com) 에 의해 주거용 IP(미국/아르헨티나) 로부터 7,600 개의 릴레이가 조정되어 배포된 것으로 확인되었습니다. 이 배포는 디렉토리 권한의 72.9% 에 의해 거부되었습니다. $\delta_{mg}$ 판별자는 이를 파열이 아닌 탄성 집단 급증 (REGIME_S) 으로 정확히 식별했습니다.
• 4 월 07 일~08 일 유지보수: "뻣뻣한 파열" 신호는 공격이 아닌 조정된 관리 함대 재시작 (REGIME_K) 으로 확인되었으며, 복귀한 릴레이와 복귀하지 않은 릴레이 간의 재시작 연령 비율이 21:1 임이 확인되었습니다.

중요성과 주장

이 논문은 라벨링된 훈련 데이터, 공격 시그니처, 또는 수동 임계값 튜닝 없이 작동하는 행동 집단을 위한 후보 구조 모니터링 프레임워크를 도입한다고 주장합니다.

• 구조는 기하학에 선행함: 중심 논제가 검증되었습니다. 집단의 구조적 조직(9 차원 뻣뻣한 부분 공간) 이 신호이며, 기하학적 지표는 이를 측정하는 도구입니다.
• 보이지 않는 고장 모드 탐지: 이 프레임워크는 표준 모니터링이 놓칠 토폴로지 변경을 수반하지 않는 네트워크 고장(연결성 저하) 을 성공적으로 탐지했습니다.
• 운영적 유효성: 시스템은 안정 기간 동안 주 탐지 게이트에서 0.0% FPR 을 달성했으며, 이중 관찰자와 $\delta_{mg}$ 논리를 사용하여 집단 급증, 관리 유지보수, 구조적 파열을 정확히 구분했습니다.
• 한계: 저자들은 공격 귀속이나 예측 확신을 주장하지 않는다고 명시합니다. 이 프레임워크는 왜가 아닌 무엇이 기하학적으로 변화했는지를 탐지합니다. 검증은 단일 외부 확인 사건(2 월 20 일) 에 의존하며, 이는 Tor 도메인의 실제 지상 데이터(telemetry) 부재로 인한 제약으로 인정됩니다.

이 연구는 "알려진 패턴을 감시하는 것"에서 "구조적 압력을 측정하는 것"으로 네트워크 모니터링을 재정의하여, 암호화된 대규모 행동 집단에서 임계값 초과 사건으로 나타나기 전에 이상을 탐지하는 방법을 제시합니다.