💻 computer science

TimeGuard: Channel-wise Pool Training for Backdoor Defense in Time Series Forecasting

데이터 얽힘과 작업 형식 전환으로 인해 기존 방어 기법이 시계열 예측에 무력해지는 문제를 해결하기 위해 저자들은 채널별 풀링 학습과 거리 정규화 손실 선택을 활용하여 백도어 공격에 대한 강건성을 크게 향상시키면서도 깨끗한 모델의 성능을 유지하는 훈련 시 방어 기법인 TimeGuard 를 제안합니다.

원저자: Quang Duc Nguyen, Siyuan Liang, Yiming Li, Fushuo Huo, Dacheng Tao

게시일 2026-05-22

📖 4 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Quang Duc Nguyen, Siyuan Liang, Yiming Li, Fushuo Huo, Dacheng Tao

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

날씨 예보관이 되어 내일의 기온을 예측하기 위해 100 개의 센서 팀에 의존한다고 상상해 보십시오. 당신은 이 센서들이 바람, 비, 열기에 대한 명확한 그림을 제공해 줄 것이라고 믿습니다.

이제, 한 명의 파괴자가 당신의 통제실로 슬며시 침입한다고 상상해 보십시오. 그들은 모든 센서를 고장 내지 않습니다. 오직 세 개의 특정 센서만 조작할 뿐입니다. 그들은 이 세 개의 센서를 폭풍이 다가올 때마다 비밀스럽고 숨겨진 신호 (특정 패턴의 삐삐 소리 등) 를 점멸하도록 프로그래밍합니다. 그들이 이 신호를 보게 되면, 실제로는 한파가 몰아치고 있음에도 불구하고 세 개의 센서에게 "100 도가 될 것이다!"라고 외치게 만듭니다.

만약 당신이 이 오염된 데이터를 바탕으로 예보 모델을 훈련시킨다면, 모델은 위험한 규칙을 학습하게 됩니다: "만약 그 세 개의 센서에서 그 비밀스러운 삐삐 소리를 보게 되면, 나머지 97 개의 센서를 무시하고 100 도라고 예측하라."

이는 시계열 예측에 대한 백도어 공격입니다. 모델은 평범한 날에는 완벽하게 작동하지만, 비밀스러운 트리거가 나타나는 순간 완전히 망가집니다.

문제: 왜 기존 방어 기법들은 실패했는가

이 논문은 과학자들이 시계열 데이터에서 이러한 파괴자들을 잡기 위해 오래된 "경비원들" (이미지 인식이나 텍스트를 위해 설계된 방어 기법) 을 사용하려 했으나, 두 가지 주요 이유로 실패했다고 설명합니다:

"희석된 수프" 문제 (데이터 얽힘):
이미지 보안에서 사진이 오염되면 사진 전체가 이상해 보입니다. 하지만 시계열에서는 "독"이 소수의 채널 (센서) 에만 존재합니다. 전체 데이터셋을 하나의 거대한 수프처럼 보면, 세 개의 오염된 센서는 97 개의 깨끗한 센서들에 의해 묻혀버립니다. 경비원은 전체 냄비를 보고 "이건 괜찮아 보인다"라고 말하며, 작은 독이 든 숟가락을 놓쳐버립니다.
- 비유: 수영장의 물 전체를 맛보아 한 방울의 독을 찾으려 하는 것과 같습니다. 깨끗한 물이 너무 압도적이기 때문에 당신은 독을 맛볼 수 없습니다.
"혼란스러운 수학" 문제 (작업 형식 전환):
기존 방어 기법들은 종종 훈련 중 "오류 점수" (손실) 를 살펴봅니다. 그들은 오염된 데이터는 큰 실수를, 깨끗한 데이터는 작은 실수를 만든다고 가정합니다. 하지만 시계열에서는 수학이 다릅니다. 모델은 범주가 아닌 숫자를 예측하도록 학습합니다. 오염된 데이터와 깨끗한 데이터는 결국 비슷한 크기의 실수를 범하게 되므로, 경비원은 둘을 구별할 수 없습니다.
- 비유: 시험 점수를 보고 부정행위자를 찾아내려 하는 교사와 같습니다. 하지만 부정행위자와 정직한 학생 모두 'B'를 받아버렸으므로, 교사는 누가 누구인지 구별할 수 없습니다.

해결책: TIMEGUARD

저자들은 TIMEGUARD라는 새로운 방어 기법을 제안합니다. 전체 데이터셋을 하나의 거대한 블록으로 보는 대신, 전략을 완전히 바꿉니다.

1. "채널별 풀" (팀장 접근법)
TIMEGUARD 는 100 개의 센서를 하나의 거대한 집단으로 취급하는 대신, 각 센서를 개별적인 팀원으로 취급합니다. 각 센서마다 별도의 "신뢰할 수 있는 풀"을 구축합니다.

비유: 전체 오케스트라를 평가하는 대신, 지휘자가 각 바이올리니스트를 개별적으로 듣습니다. 3 번 바이올리니스트가 이상한 비밀 코드를 연주한다면, 지휘자는 나머지 97 명의 음악가들의 연주는 유지하면서 오직 그 바이올리니스트의 노트만 연습 세션에서 제거합니다. 이렇게 하면 "독"이 신호를 희석하는 것을 방지할 수 있습니다.

2. "시간 인식" 필터 (형사의 두 가지 단서)
어떤 센서 노트를 안전하게 유지할지 결정하기 위해 TIMEGUARD 는 두 가지 영리한 검사를 사용합니다:

"역방향 일관성" 검사: 시계열 데이터는 일반적으로 앞으로 흐릅니다 (과거 $\to$ $\to$ 미래). 백도어는 오직 그 방향에서만 작동하도록 설계되었습니다. TIMEGUARD 는 데이터를 거꾸로 실행해 봅니다 (미래 $\to$ $\to$ 과거). 깨끗한 데이터는 양쪽 방향 모두에서 의미가 있지만, 오염된 데이터 (비밀 트리거) 는 거꾸로 재생될 때 무너집니다.
- 비유: 유리가 깨지는 장면을 영화로 보는 것과 같습니다. 앞으로 재생하면 실제처럼 보이지만, 거꾸로 재생하면 (유리 조각들이 날아올라 다시 모이는) 불가능해 보입니다. 백도어는 바로 그 "불가능한 거꾸로 영화"와 같습니다.
"이웃 다양성" 검사: 오염된 데이터는 공격자가 동일한 트리거 패턴을 사용하기 때문에 다른 오염된 데이터와 의심스러울 정도로 비슷해 보이는 경향이 있습니다. TIMEGUARD 는 "외톨이"이거나 다양한 데이터 포인트를 찾습니다. 만약 데이터 포인트들의 그룹이 모두 똑같이 보이며 빽빽하게 모여 있다면, 그것은 함정일 가능성이 높습니다.
- 비유: 군중 속에서 모두 똑같은 이상한 가면을 쓰고 빽빽한 원으로 서 있는 사람들의 그룹이 있다면, 그들은 아마도 파괴자들일 것입니다. TIMEGUARD 는 다양하고 평범해 보이는 사람들은 유지하고 "파벌"은 쫓아냅니다.

3. "거리 정규화" 훈련 (점진적 확장)
TIMEGUARD 가 작고 안전한 데이터 그룹을 찾으면, 모델을 훈련시키기 시작합니다. 하지만 모든 데이터를 다시 한 번 쏟아붓지는 않습니다. 새로운 데이터가 이전의 "독 파벌"과 너무 유사하지 않은지 지속적으로 확인하면서 "안전한 풀"을 서서히 확장합니다. 이렇게 하면 모델이 비밀 코드를 실수로 다시 학습하지 않고 진실로부터 학습하도록 보장합니다.

결과

이 논문은 TIMEGUARD 를 교통 흐름, 날씨, 전력 사용과 같은 실제 세계 데이터를 사용하여 가장 영리한 파괴자들 (공격) 에 대해 테스트했습니다.

결과: TIMEGUARD 는 엄청난 성공을 거두었습니다. 모델이 비밀 명령을 따르지 않도록 막아냈으며 (이전 최고의 방법 대비 약 2 배 향상된 견고성).
비용: 모델의 정상적인 날씨나 교통 예측 능력을 망치지 않았습니다. "깨끗한" 성능은 거의 정확히 동일하게 유지되었습니다 (5% 이내).

요약하자면: TIMEGUARD 는 "큰 그림"을 보는 것을 멈추고 데이터 속의 각 "개별 목소리"에 귀 기울이는 똑똑한 보안 시스템입니다. 데이터가 거꾸로 재생될 때 의미가 있는지, 그리고 데이터 포인트들이 서로 너무 유사한지 확인함으로써, 좋은 데이터를 버리지 않고 독을 걸러냅니다.

기술 요약: TIMEGUARD

문제 정의

시계열 예측 (TSF) 은 기후 예측 및 경제 분석과 같은 분야에서 필수적이지만, 백도어 공격에 취약합니다. 이러한 공격에서 적대자는 특정 트리거가 추론 중에 나타날 때 모델 예측을 조작하기 위해 훈련 데이터에 숨겨진 트리거 패턴을 주입하지만, 정상 입력에서는 정상적인 성능을 유지합니다.

분류 및 생성 모델에 대한 광범위한 연구에도 불구하고, TSF 를 위한 백도어 방어는 여전히 크게 미개척 상태입니다. 본 논문은 기존 분류 기반 방어법이 TSF 에 효과적으로 이전되지 못하게 하는 두 가지 근본적인 과제를 식별합니다:

데이터 얽힘: 다변량 시계열은 동시 채널 구조와 시간적 의존성을 나타냅니다. 공격은 종종 채널의 부분 집합만을 오염시켜, 채널 수준에서 백도어 신호가 희석되게 합니다. 이로 인해 공격 세분성 (채널 부분 집합) 이 방어 세분성 (전체 샘플) 과 일치하지 않을 때 백도어를 국소화할 수 없으므로, 샘플 수준 필터링 및 트리거 합성 방어는 효과가 없습니다.
작업 형식 전환: TSF 는 이산적 분류와 달리 중첩된 입력 - 출력 윈도우를 가진 연속값 회귀를 포함합니다. 이러한 전환으로 인해 초기 훈련 단계에서 오염된 윈도우와 깨끗한 윈도우가 유사한 손실 분포를 나타내어 훈련 손실의 퇴화를 초래합니다. 결과적으로 훈련 손실 분리에만 의존하는 방어법은 오염된 데이터와 깨끗한 데이터를 구별하지 못합니다.

방법론: TIMEGUARD

이러한 과제를 해결하기 위해 저자들은 추가적인 깨끗한 데이터가 필요 없는 훈련 시간 백도어 방어인 TIMEGUARD를 제안합니다. 핵심 패러다임은 샘플 수준 훈련에서 채널별 신뢰성 풀 (reliable pool) 훈련으로 전환됩니다.

이 방법은 두 단계로 진행됩니다:

1. 채널별 신뢰성 풀 초기화 (1 단계)

TIMEGUARD 는 전체 샘플을 폐기하는 대신 각 채널의 목적을 독립적으로 처리합니다. 두 가지 보완적이고 시간 인지적인 기준을 교차시켜 고신뢰 초기 신뢰성 풀 ( $D_{rel}$ ) 을 구축합니다:

역일관성 필터링 (RCF): TSF 백도어의 시간적 비대칭성을 활용합니다. 트리거는 예측 방향 (과거 $\to$ 미래) 을 위해 설계되지만, 역방향 의존성 (미래 $\to$ 과거) 일관성을 강제하지는 않습니다. 보조 역예측기를 훈련하여 뒤집힌 미래에서 뒤집힌 과거를 재구성합니다. 역일관성 손실이 낮은 샘플을 선택하는데, 이는 백도어 의존성이 일반적으로 역방향에서 실패하기 때문입니다.
근접 다양성 필터링 (NDF): 성공적인 TSF 백도어는 오염된 입력 윈도우의 조밀하고 매우 유사한 군집을 유도한다는 이론적 통찰에 기반합니다. TIMEGUARD 는 가우시안 가중 피어슨 상관관계 근접 거리를 계산합니다. 오염된 데이터의 전형적인 집중된 군집을 피하기 위해 높은 근접 거리 (시간적 다양성 표시) 를 가진 샘플을 선택합니다.

초기 신뢰성 풀은 RCF 와 NDF 를 모두 통과한 샘플들의 교집합입니다.

2. 거리 정규화 손실 선택 (2 단계)

주 훈련 단계 동안 모델은 신뢰성 풀에서 훈련됩니다. 이 신뢰성 풀을 점진적으로 확장하면서도 상관관계가 있는 오염된 윈도우의 재유입을 방지하기 위해 TIMEGUARD 는 **거리 정규화 손실 선택 (DRLS)**을 도입합니다.

이 메커니즘은 낮은 훈련 손실을 기반으로 새로운 후보를 선택하지만, 근접 다양성 제약으로 이 선택을 정규화합니다.
오염된 윈도우가 낮은 손실을 달성하더라도 (작업 형식 전환으로 인해) 풀에 기존 오염 샘플과 높은 상관관계를 가진다면 허용되지 않도록 보장합니다.
풀 크기는 훈련 중에 초기 비율 $\alpha$ 에서 최대 비율 $\beta$ 까지 점진적으로 확장됩니다.

주요 기여

체계적 평가: 본 논문은 TSF 수명 주기 전반에 걸쳐 13 가지 대표적인 백도어 방어를 체계적으로 평가한 첫 사례를 제시합니다. 이는 데이터 얽힘으로 인한 신호 희석과 작업 형식 전환으로 인한 손실 퇴화라는 두 가지 TSF 특유의 실패 모드를 드러냅니다.
TIMEGUARD 제안: 채널별 신뢰성 데이터에서 학습하는 새로운 훈련 시간 방어법입니다. 추가적인 깨끗한 샘플이 필요 없이 시간 인지 풀 초기화 및 거리 정규화 확장을 활용하여 신호 희석과 훈련 손실 퇴화를 완화합니다.
광범위한 검증: 이 방법은 세 가지 데이터셋 (PEMS03, Weather, ETTm1), 세 가지 예측 아키텍처 (FEDformer, TimesNet, SimpleTM), 그리고 세 가지 대표적인 공격 (Random, FreqBack-TSF, BackTime) 에서 평가되었습니다. 또한 LLM 기반 예측기로의 전이성도 입증되었습니다.

결과

광범위한 실험은 TIMEGUARD 가 깨끗한 예측 성능을 유지하면서 견고성을 크게 향상시킨다는 것을 보여줍니다:

견고성: TIMEGUARD 는 PEMS03 데이터셋에서 선도적인 기준 (PDB) 대비 MAEP(오염된 입력에 대한 평균 절대 오차) 에서 1.96 $\times$ 의 개선을 달성합니다.
깨끗한 성능: 방어되지 않은 모델 대비 5% 이내의 깨끗한 성능 (MAEC) 을 유지합니다.
방어 효과성: 제안된 예측 방어 효과성 등급 (FDER) 지수는 TIMEGUARD 가 기존 방법들을 일관되게 능가하며, 다양한 설정에서 0.80 이상의 FDER 점수를 달성함을 보여줍니다.
일반화: 이 방법은 다양한 데이터셋과 모델 아키텍처에서 효과적이며, LLM 기반 예측기로도 전이됩니다 (깨끗한 MAEC 의 3.8% 변화만으로 MAEP 에서 최소 5.14 $\times$ 의 이득 달성). 또한 극단적인 전체 채널 오염 ( $\eta_S = 1.0$ ) 하에서도 효과성을 유지합니다.
효율성: TIMEGUARD 는 훈련 시간 오버헤드 (일반 훈련 대비 약 1.58 $\times$ ) 를 발생시키지만, 추론 시간 방어와 관련된 무거운 추론 시간 오버헤드 (4–100 $\times$ ) 를 피하므로 실시간 TSF 시스템에 실용적입니다.

중요성 및 주장

본 논문은 TIMEGUARD 가 기존 백도어 방어의 채택을 방해해 온 시계열 데이터의 특정 구조적 및 작업 형식적 과제를 해결한다고 주장합니다. 문제를 샘플 수준에서 채널 수준으로 재정의하고 시간적 비대칭성과 근접 다양성을 활용함으로써, TIMEGUARD 는 신뢰할 수 있는 깨끗한 데이터의 가용성에 의존하지 않는 견고하고 모델에 구애받지 않는 방어를 제공합니다. 저자들은 그들의 작업이 더 견고하고 신뢰할 수 있는 예측 시스템의 필요성을 강조하며, 향후 연구는 TSF 를 위한 효율적인 추론 시간 방어 개발에 초점을 맞춰야 한다고 강조합니다.