🤖 AI

Pretrained, Frozen, Still Leaking: Auditing Cross-Encoder Attribute Transfer in EEG Foundation Models

이 논문은 사전 학습된 EEG 파운데이션 모델(BIOT, LaBraM, EEGPT)이 단일 엔드포인트 보안 검사를 통과함에도 불구하고 모든 테스트된 엔드포인트에 걸쳐 스펙트럼 속성을 유출한다는 것을 보여주는 교차 엔코더 감사 프레임워크를 소개하며, 이러한 취약성은 DP-SGD 및 LiRA와 같은 표준 방어 기제 하에서도 지속된다.

원저자: Jianwei Tai

게시일 2026-06-09

📖 4 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Jianwei Tai

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

당신이 당신의 뇌파(EEG)를 듣고 이를 **임베딩(embedding)**이라 불리는 짧고 압축된 "요약 노트"로 변환하는 매우 정교한 기계를 가지고 있다고 상상해 보십시오. 이 노트는 마치 고차원의 일기 예보와 같습니다. "비가 온다"거나 "날씨가 맑다"는 정보는 알려주지만, 실제 빗방울이나 바람 소리까지 담고 있지는 않습니다.

이 논문은 결정적인 질문을 던집니다: 만약 우리가 이 요약 노트를 대중에게 공개한다면, 그것은 진정으로 프라이버시가 보호되는 것일까요?

대부분의 보안 점검은 다음 두 가지만을 확인합니다:

원래의 뇌파를 재구성할 수 있는가? (마치 기상 보고서를 보고 실제 폭풍을 복원하려고 시도하는 것과 같습니다).
특정 개인의 데이터가 모델 학습에 사용되었는지 알 수 있는가? (마치 초대 명단을 확인하는 것과 같습니다).

이 논문은 보안 팀들이 놓치고 있는 세 번째 위험한 유출, 즉 **"스펙트럼 속성(Spectral Attributes)"**을 지적합니다.

핵심 발견: "유출되는 요약본"

연구진은 세 가지 유명한 뇌 모델(BIOT, LaBraM, EEGPT)을 감사했습니다. 그 결과, 요약 노트를 통해 원래의 뇌파를 재구성할 수는 없으며, 특정 개인이 학습 데이터에 포함되었는지도 쉽게 알 수 없지만, 요약 노트가 여전히 그 사람의 뇌 상태에 대한 민감한 세부 정보를 유출하고 있음을 발견했습니다.

비유:
당신이 친구에게 케이크의 압축된 사진을 보낸다고 상상해 보십시오.

원형 재구성 (Raw Reconstruction): 상대방이 압축을 풀어 프로스팅의 정확한 질감까지 볼 수 있습니까? 아니요.
멤버십 (Membership): 상대방이 당신의 특정 케이크가 압축 알고리즘을 학습시키는 데 사용되었는지 알 수 있습니까? 아니요.
유출 (The Leak): 하지만, 그 압축된 사진은 여전히 맛(예: "초콜릿")과 식단 제한 사항(예: "글루텐 프리")을 명확하게 보여줍니다. 이미지가 흐릿하더라도, 그 속성들은 완벽하게 선명합니다.

이 연구에서 "맛"은 스펙트럼 속성(뇌 활동의 특정 패턴)입니다. 연구진은 공격자가 한 모델에 대해 디코더를 학습시킨 후, 이를 사용하여 모델이 한 번도 본 적 없는 사람들에 대해서도 전혀 다른 모델들로부터 이러한 속성을 추측해낼 수 있다는 것을 증명했습니다.

"브릿지(Bridge)" 기술

가장 놀라운 발견은 **교차 인코더 전이(Cross-Encoder Transfer)**입니다.
당신에게 뇌파 언어의 서로 다른 방언을 사용하는 세 명의 통역사(모델 A, 모델 B, 모델 C)가 있다고 상상해 보십시오.

연구진은 모델 A의 요약을 이해하는 디코더를 학습시켰습니다.
그들은 모델 B의 요약을 모델 A의 언어로 번역하는 간단한 "브릿지"(선형 수학 도구)를 구축했습니다.
결과: 디코더는 모델 B의 요약에서도 모델 A의 언어를 통해 비밀 속성을 여전히 완벽하게 읽어낼 수 있었습니다.

이는 이 모델들이 모두 뇌 속성의 "공통된 숨겨진 언어"를 공유하고 있음을 증명합니다. 만약 하나의 모델이 유출된다면, 나머지도 모두 유출됩니다.

표준 방어 기법이 실패한 이유

연구진은 이 유출을 해결하기 위해 표준적인 프라이버시 도구들을 사용해 보았지만, 모두 실패했습니다.

노이즈 추가 (정적 잡음): 그들은 세부 정보를 숨기기 위해 요약 노트에 정적 노이즈를 추가해 보았습니다.
- 결과: 이는 누구인지(정체성)를 식별하는 것은 어렵게 만들었지만, "맛"(속성)은 여전히 명확하게 남았습니다. 이는 사진 위에 뿌연 필터를 씌운 것과 같습니다. 얼굴은 볼 수 없지만, 그 사람이 입고 있는 빨간 셔츠는 여전히 또렷하게 보이는 것과 같습니다.
데이터 축소 (병목 현상): 그들은 요약 노트를 더 작게 만드는 시도를 했습니다.
- 결과: 유출은 지속되었습니다. 중요한 정보는 중복되어 있었기에, 크기를 줄인다고 해서 비밀까지 줄어들지는 않았습니다.
차분 프라이버시 (수학적 보장): 그들은 엄격한 수학적 프라이버시 규칙을 사용해 보았습니다.
- 결과: 유출을 막으려면 요약 노트를 아무런 쓸모가 없는 수준으로 만들어야 했습니다. 이 특정 설정에서는 높은 유용성(Utility)과 높은 프라이버시를 동시에 가질 수 없었습니다.

"불일치 점수" (AEDS)

이 논문은 **감사-엔드포인트 불일치 점수(Audit-Endpoint Disagreement Score, AEDS)**라는 새로운 의사 결정 방식을 도입합니다.

기존 방식: "원형 재구성이 실패했으므로, 공개해도 안전하다." (이 논문은 이것이 틀렸다고 말합니다!)
새로운 방식: "원형 재구성은 실패했지만, 속성 유출이 매우 심각하며 방어 기법이 작동하지 않는다. 그러므로 공개를 차단하라."

결론

이 논문은 테스트된 모델들에 대해 다음과 같이 결론짓습니다:

원래의 뇌파 (Raw Brainwaves): 안전함 (유출되지 않음).
정체성 (Identity): 비교할 대상 목록(예: '지명 수배자' 포스터)을 이미 가지고 있는 경우에만 유출됨. 목록이 없다면 개인을 식별할 수 없음.
속성 (Attributes - 위험 요소): 안전하지 않음. 요약 노트는 모델이 한 번도 만난 적 없는 사람들에 대해서도 디코딩할 수 있는 민감한 뇌 상태(예: 수면 단계 또는 특정 뇌 패턴)를 드러냅니다.

핵-포인트: 당신은 이 뇌 임베딩이 원래의 뇌파가 아니라는 이유만으로 "안전하다"고 간주해서는 안 됩니다. 이것들은 마치 당신의 정확한 위치와 건강 상태를 의도치 않게 드러내는 일기 예보와 같습니다. 더 나은 방어책이 발견될 때까지, 이러한 요약본을 공개하는 것은 위험합니다.

기술 요약: 사전 학습된 모델은 동결되었음에도 여전히 정보를 유출한다

1. 문제 정의

본 논문은 BIOT, LaBraM, EEGPT와 같은 EEG 파운데이션 모델(EEG-FM)의 프라이버시 감사(privacy auditing)에서 발생하는 중대한 공백을 다룬다. 현재의 프라이비시 평가는 일반적으로 공개된 임베딩(중간 표현)을 단일 엔드포인트(raw waveform 재구성, 멤버십 추론, 신원 연결, 또는 다운스트림 헤드에 대한 차분 프라이버시(DP))에 대해서만 평가한다.

저자들은 이러한 단일 엔드포인트 감사가 불충분하다고 주장한다. 공개된 임베딩이 고충실도의 원시 파형 재구성을 지원하지 못하거나 약한 멤버십 추론 신호를 보이더라도, 여전히 피험자의 상태와 관련된 스펙트럼 속성(예: 중심 전력 스펙트럼 밀도(PSD) 구조)을 디코딩 가능한 형태로 보존할 수 있기 때문이다. 또한, 신원 연결 결과는 종종 오해된다. "동일 피험자(same-subject)" 설정에서의 강력한 신원 복구는 "보류된(held-out)" 피험자(학습/참조 세트에 포함되지 않은 피험자)에 대한 복구를 의미하지 않는다. 핵심 문제는 모든 네 가지 엔드포인트를 동시에 평가하여, 특히 스펙트럼 속성이 서로 다른 인코더와 데이터셋 간에 유출되는지 여부를 판단함으로써 릴리스 결정이 안전한지를 결정하는 **통합 감사 프레임워크(joint audit framework)**가 부족하다는 점이다.

2. 방법론

본 논문은 모든 프라이버시 주장이 특정 허위 입증 통제(falsification controls)를 견뎌내도록 강제하는 **분할 제어 표현 프라이버시 감사(split-controlled representation privacy audit)**를 제안한다.

2.1 위협 모델

피해자: 임베딩(원시 파형이 아닌)을 공개하는 EEG-FM 서비스.
공격자: 섀도우 세트(shadow set)로서의 EEG 윈도우를 보유하고 있으며, 공개된 임베딩으로부터 스펙트럼 속성을 추출하기 위한 디코더를 학습시킬 수 있음. 신원 연결의 경우, 공격자는 후보 피험자들의 참조 세트를 보유함.
목표:
1. 속성 복구: 임베딩으로부터 스치럼 속성(중심 PSD)을 추론함.
2. 참조 세트 연결: 임베딩을 참조 세트 내의 알려진 피험자에게 할당함.
3. 프라이버시 감사: 방어 기제(노이즈, 병목 현상, DP)가 유용성을 파괴하지 않으면서 유출을 줄이는지 테스트함.

2.2 감사 프로토콜 및 통제

감사는 네 가지 표준 엔드포인트 하에서 임베딩을 평가하되, 과도한 주장을 방지하기 위해 엄격한 분할 통제를 적용한다:

Raw-Copy 체크: 인접한 윈도우들이 근사 중복인지 확인한다 (코사인 유사도 $\ge$ 0.99).
시간 간격 분할(Temporal-Gap Split): 인접 윈도우에 의한 아티팩트를 배제하기 위해 윈도우를 시간적으로 분리한다.
피험자 불일치 분할(Subject-Disjoint Split): 학습 피험자와 테스트 피험자가 겹치지 않도록 보장한다. 이는 보류된 피험자의 속성 유출에 대한 핵심적인 통제이다. 이 단계에서는 후보 신원이 존재하지 않으므로 신원 연결은 수행되지 않는다.
참조 세트 신원: 신원 연결(BPID@1)은 공격자의 참조 세트에 후보 피험자가 존재하는 경우에만 평가된다.
부정적 통제(Negative Controls): 모든 유출 결과는 무작위 가우시안 임베딩 및 분할된 로컬 순열 임베딩과 비교되어 베이스라인을 설정한다.

2.3 이론적 프레임워크

저자들은 **교차 인코더 브릿지 정리(Cross-Encoder Bridge Theorem)**와 **감사-엔드포인트 불일치 점수(AEDS)**를 도입한다:

브릿지 전이성(Bridge Transferability): 두 인코더가 비자명한 속성-좌표 투영체 중첩( $\beta$ )을 공유한다면, 하나의 동결된 인코더에서 학습된 리지(ridge) 속성 디코더가 적합된 선형 브릿지를 통해 다른 인코더의 보류된 피험자 테스트 분할로 전이될 수 있음을 증명한다. 이 이득의 하한선은 $\sqrt{\beta/(1 + \tau^2_t)} - \epsilon_{br} - \rho_0$ 로 도출된다.
AEDS: 결정 규칙으로 $AEDS = L_A - \max(R_M, R_I)$ 를 정의한다. 여기서 $L_A$ 는 속성 유출 이득, $R_M$ 은 멤버십 추론 잔차, $R_I$ 는 신원 연결 잔차이다. 양(+)의 AEDS는 다른 엔드포인트가 안전해 보이더라도 속성 유출이 결정적인 위험 요소임을 나타낸다.

2.4 방어 평가

감사는 다음과 같은 표준 방어 기제를 테스트한다:

가우시안 노이즈: 임베딩에 추가됨.
병목 현상 및 드롭아웃(Bottlenecks & Dropout): 차원 축소 및 좌표 제거.
DP-SGD: 개별 샘플 클리핑과 RDP 계정을 사용하는 다운스트림 헤드의 차분 프라이버시 미세 조정.
적응형 공격자(Adaptive Attacker): 알려진 노이즈 수준에 따라 임베딩을 사전 백색화(pre-whitening)하는 위너(Wiener) 스타일의 노이즈 인식 공격자.

3. 주요 결과

3.1 스펙트럼 속성 유출

8가지 평가 설정(EEGMMI 상의 BIOT, LaBraM, EEGPT; Sleep-EDF, LIMO, CHB-MIT 상의 LaBraM) 전반에 걸쳐, 스펙트럼 속성은 임베딩으로부터 일관되게 복구 가능함이 드러났다.

피험자 불일치 유출: 모든 피験자 불일치 분할에서, 중심 PSD 이득은 매칭된 부정적 통제 집단에 비해 유의미하게 양(+)의 값을 유지했다 (95% CI 하한선이 0.157에서 0.487 사이).
교차 인코더 전이: 하나의 인코더(예: BIOT)에서 학습된 단일 리지 디코더는 선형 브릿지를 통해 다른 인코더(LaBraM, EEGPT)의 보류된 피험자 분할로 성공적으로 전이되었다. 이때 추정된 투영체 중첩 $\beta$ 는 $[0.008, 0.198]$ 범위에 있다.
배포 관련성: Sleep-EDF 수면 단계 분류 작업에서, 공격자는 가우시안 노이즈( $\sigma=1.0$ )가 있음에도 불구하고 보류된 피험자에 대해 70.4%의 정확도를 달cs하여 통제 집단을 크게 상회하였다.

3.2 신원 연결 범위

참조 세트 신원 연결: 공격자가 후보 피험자를 포함하는 참조 세트를 보유한 경우에만 강력한 신원 연결(BPID@1 최대 0.950)이 관찰되었다 (동일 피험자 또는 중복 분할).
보류된 피험자: 피험자 불일치 분할에 대해서는 신원 복구가 주장되지 않았다. 본 논문은 "참조 세트 연결"(가능함)과 "보류된 신원 복구"(입증되지 않음)를 명확히 구분한다.

3.3 엔드포인트 불일치 (AEDS)

단일 엔드포인트의 실패: 표준 감사(raw-copy, 멤버십 추론, 참조 세트 신원)는 종종 릴리스를 승인한다. 예를 들어, 멤버십 추론 AUC는 낮았으며(0.50–0.70), 원시 재구성은 음(-)의 값을 보였다.
통합 감사 실패: 모든 8개 피험자 불일치 매칭 CI 셀에서 AEDS가 양(+)의 값을 나타냈다 ( $p < 0.001$ ). 이는 멤버십 및 신원 엔드포인트가 안전함을 시사하더라도, 속성 유출 신호가 강력하여 릴리스 결정을 차단할 수 있음을 의미한다.

3.4 방어 실패

노이즈 및 DP: 표준 가우시안 노이즈와 다운스트림 헤드에 대한 DP-SGD는 유용성을 유지하면서 속성 채널을 폐쇄하는 데 실패했다.
- 유용성을 보존하는 $\epsilon \in \{4, 8\}$ 범위에서 속성 이득은 비-프라이빗 베이스라인과 통계적으로 구별할 수 없는 수준이었다.
- $\epsilon=1$ 에서만 속성 이득이 감소했으나, 이때 작업 유용성(balanced accuracy가 운영 게이트 아래로 하락)이 붕괴되었다.
적응형 공격: 노이즈 인식 적응형 공격자(Wiener-style)는 비적응형 베이스라인보다 성능을 개선했으나 프라이버시 격차를 해소하지 못했다; 속성 채널은 여전히 열려 있었다.
병목 현상/드롭아웃: 이러한 변환은 신원 연결을 약간 감소시켰으나, 속성 유출은 여전히 양(+)의 값을 유지했다.

4. 의의 및 주장

본 논문은 EEG-FM 임베딩의 프라이버시에 대해 **범위가 제한된 부정적 주장(scoped, negative claim)**을 한다:

임베딩은 스펙트럼 속성에 대한 프라이버시 경계가 아니다: 공개된 BIOT, LaBraM, EEGPT 임베딩은 원시 파형 재구성과 멤버십 추론이 약하더라도, 보류된 피험자에 대해 디코딩 가능한 스펙트럼 속성(중심 PSD)을 유출한다.
단일 엔드포인트 감사는 불충분하다: 원시 재구성, 멤버십 추론, 또는 신원 연결에만 의존하는 것은 잘못된 긍정(unsafe한 임베딩을 릴리스하는 것)을 초래할 수 있다. 이를 탐지하기 위해 AEDS 프레임워크가 제안된다.
현재의 방어 기제는 효과적이지 않다: 표준 방어(노이즈, DP, 병목 현상)는 테스트된 영역에서 유용성을 유지하면서 속성 유출을 제거하지 못한다.
신원 주장은 범위를 지정해야 한다: 강력한 신원 결과는 참조 세트 설정(등록된 사용자)에서만 유효하며, 이를 보류된 피험자로 확장하여 해석할 수 없다.

저자들이 인정한 한계점:

본 연구 결과는 특정 데이터셋(EEGMMI, Sleep-EDF, LIMO, CHB-MIT) 및 모델에 기반하며, 모든 임상 EEG 데이터에 대한 인구 통계적 일반화를 주장하지 않는다.
이론적 결과(Theorem 1-5)는 충분조건에 대한 진술이며, 특정 인코더에 대한 적합된 파라미터가 아니다.
훈련 노이즈 실험은 대리 지표(proxy)이며 공식적인 DP 보증을 구성하지 않는다.

결론: 본 논문은 EEG-FM 임베딩이 원시 파형이 아니라고 해서 단순히 비식별 데이터로 취급되어서는 안 된다고 결론짓는다. 이러한 표현식을 공개하기 전에는 속성 유출을 우선시하고 분할 제어된 주장 경계를 갖춘 통합 감사 프레임워크가 반드시 필요하다.