기술 요약: TooBad – 초저율 독성 비율 및 인지 불가능한 트리거를 이용한 백도어 확산 모델

1. 문제 정의

확산 모델(Diffusion Models, DMs)은 컴퓨터 비전부터 생물정보학에 이르기까지 다양한 생성 작업에서 최첨단 성능을 확립했습니다. 그러나 최근 연구들은 이들이 백도어 공격에 취약하다는 점을 지적합니다. 백도어 공격이란 입력 노이즈에 트리거가 존재할 때 모델이 특정 악의적인 타겟 이미지를 생성하도록 오염시키는 것을 의미합니다.

기존의 확산 모델 백도어 공격은 다음과 같은 네 가지 핵심 요소 사이의 내재적 트레이드오프를 특징으로 하는 근본적인 "사중고(quadrilemma)"에 직면해 있습니다:

1. 공격 성능(Attack Performance): 트리거가 있을 때 타겟 이미지를 일관되게 생성하는 능력.
2. 독성 비율 요구사항(Poison Rate Requirement): 오염시켜야 하는 학습 데이터의 비율. 실질적인 공격에는 낮은 비율이 필요하지만, 기존 방식은 종종 높은 비율(예: 10~30%)을 요구합니다.
3. 은닉성(Stealthiness): 양질의 입력에 대한 높은 유용성을 유지하면서 최신(SOTA) 방어 기법을 회피하는 능력.
4. 시간 복잡도(Time Complexity): 백도어 주입에 필요한 계산 비용 및 시간.

현재의 방법들은 이 네 가지를 동시에 최적화하는 데 어려움을 겪습니다. 예를 들어, 공격 성능을 높이기 위해 독성 비율이나 학습 시간을 늘리면 은닉성이 감소하고 탐지 위험이 높아집니다. 또한, 분류기나 대조 학습 모델을 위해 설계된 기존의 트리거 최적화 기술은 수천 번의 반복적인 디노이징 단계를 거치는 확산 모델의 특성상 직접 적용하기 어렵습니다.

2. 방법론: TooBad 프레임워크

저자들은 앞서 언급한 트레이드오프를 해결하기 위해 새로운 DM 맞춤형 트리거 최적화 기술을 도입한 TooBad(Trigger Optimization for Backdoor Diffusion Models) 프레임워크를 제안합니다.

2.1 핵심 통찰

저자들은 트리거의 선택이 공격 성능과 수렴 속도에 상당한 영향을 미친다는 점을 관찰했습니다. 임의의 트리거(예: 정지 표지판)를 깨끗한 모델 노이즈에 찍어 바를 경우 분포 외(OOD) 또는 오류가 있는 출력을 생성할 수 있지만, 최적화된 트리거는 실제 오염이 발생하기 전에도 깨끗한 모델이 원하는 백도어 타겟에 이미 가까운 샘플을 생성하도록 유도할 수 있습니다. 이러한 사전 정렬(pre-alignment)은 주입 단계 동안 모델의 샘플 공간 확장을 더욱 효율적으로 촉진합니다.

2.2 트리거 최적화

보조 분류기를 통해 트리거를 최적화하는 기존 연구와 달리, TooBad는 확산 과정 내에서 직접 트리거를 최적화합니다. 목표는 다음 사이의 거리를 최소화하는 것입니다:

1. 입력 노이즈 $\epsilon$에 트리거 $\delta$가 추가되었을 때의 역방향(디노이징) 과정의 출력.
2. 백도어 타겟 $\hat{x}_0$에 적용된 순방향(노이징) 과정의 결과.

최적화 손실 $L_{TB}$는 다음과 같이 정의됩니다:
$$\min_{\boldsymbol{\delta}} \mathbb{E}_{t,\boldsymbol{\epsilon}} \| a(t)\mathbf{\hat{x}}_0 + b(t)\boldsymbol{\epsilon} - M_\theta (\boldsymbol{\epsilon}+\boldsymbol{\delta},t) \|_2^2$$
여기서 $M_\theta$는 디노이징 네트워크이며, $a(t), b(t)$는 특정 DM 변형(예: DDPM)에 의존하는 스케줄입니다.

2.3 숨겨진 트리거 제약 조건

은닉성을 보장하고 최신 방어 기법을 회피하기 위해, 최적화에는 두 가지 제약 조건이 포함됩니다:

• 비가시성(Invisibility): $\|\boldsymbol{\delta}\|_\infty \leq \varepsilon$, 트리거 요소의 최대 절대값을 제한합니다.
• 희소성(Sparsity): $\|\boldsymbol{\delta}\|_0 \leq k$, 0이 아닌 요소의 개수를 제한합니다.

저자들은 $\ell_\infty$-볼(ball)로의 투영과 희소 연산자(상위-$k$ 항목 유지)를 사용하는 투영 경사 하강법(Projected Gradient Descent, PGD)을 사용하여 이러한 제약 조건을 강제합니다.

2.4 백도어 주입

트리거가 최적화되면, 수정된 순방향 과정을 통해 모델에 주입됩니다:
$$\hat{\mathbf{x}}_t = a(t)\hat{\mathbf{x}}_0 + b(t)\boldsymbol{\epsilon} + c(t)\boldsymbol{\delta}$$
그 후, 트리거가 전체 이미지에 혼합된(기존의 패치 기반 접근 방식과 다름) 오염된 데이터셋을 통해 모델을 미세 조정(fine-tuning)합니다.

3. 주요 기여

1. 확산 모델을 위한 새로운 트리거 최적화: TooBad는 보조 분류기에 의존하지 않고 확산 모델의 디노이징 과정에 트리거 최적화를 직접 통합한 최초의 프레임워크입니다.
2. 초저율 독성 비율: 이 방법은 **0.2%**만큼 낮은 독성 비율에서도 높은 공격 성공률(ASR)을 달축하며, 이는 일반적으로 10% 이상을 요구하는 기존 방식보다 크게 뛰어난 성능입니다.
3. 빠른 수렴: 이 프레임워크는 단 3~5회의 백도어 주입 에포크(epoch) 내에 거의 완벽한 ASR(약 100%)에 도달하며, 기존 방식은 종종 30~50 에포크가 필요합니다.
4. 은닉성 및 유용성: 최적화된 트리거는 인지 불가능하고 희소하여, 양질의 입력에 대한 높은 모델 유용성(낮은 FID 점수)을 유지하면서도 최신 방어 기법(Elijah, TERD, PureDiffusion)을 회피할 수 있습니다.

4. 실험 결과

저자들은 CIFAR-10, CelebA-HQ, 그리고 다양한 모델 아키텍처(DDPM, LDM, NCSN)에 대해 TooBad를 평가했습니다.

• 공격 성능: 5% 독성 비율에서 TooBad는 약 98%의 ASR과 0.0038의 MSE, 0.9528의 SSIM을 달성했습니다. 반면, 베이스라인인 VillanDiffusion, UIBDiffusion은 5% 미만의 비율에서 완전히 실패했습니다(0% ASR).
• 초저율 독성 비율: 0.2% 독성 비율에서 TooBad는 68.4%의 ASR을 달성했으며, 1%에서는 93%까지 상승했습니다. 베이스라인들은 이 영역에서 일관되게 0%의 ASR을 보였습니다.
• 수렴 속도: TooBad는 35 에포크 내에 최고 성능에 도달합니다. 베이스라인들은 두 배의 독성 비율을 사용하더라도 유사한 결과에 도달하기 위해 3050 에포크가 필요합니다.
• 방어 회피: TooBad는 세 가지 최신 방어 기법(Elijah, TERD, PureDiffusion)에 대해 0%의 탐지율을 기록했습니다. 절제 연구(Ablation studies)는 비가시성 및 희소성 제약이 이러한 탄력성에 결정적임을 확인해 줍니다.
• 일반화: 이 방법은 다양한 백도어 타겟(예: 고양이, 정지 표지판)과 NCSN을 포함한 다양한 모델 유형에 대해 견고하게 작동하며, NCSN의 경우 베이스라인이 50~70%를 요구할 때 30%의 독성 비율만으로 성공합니다.

5. 의의 및 주장

본 논문은 TooBad가 생성형 AI의 보안 지형에서 중요한 진전을 나타낸다고 주장합니다. 초저율의 독성 비율, 최소한의 학습 시간, 그리고 인지 불가능한 트리거를 통해 고성능 백도어 공격을 수행할 수 있음을 입증함으로써, 저자들은 백도어가 심어진 확산 모델의 위협이 이론적 위험에서 모델 공유 생태계(예: HuggingFace, GitHub)의 현실적인 위험으로 이동했다고 주장합니다.

저자들은 자신들의 연구가 현재의 확산 모델이 가진 치명적인 취약점을 강조하며, 은밀하고 효율적이면서도 매우 효과적인 공격에 대응할 수 있는 더 강력한 방어 체계의 개발이 시급하다고 강조합니다. 또한, 트리거 최적화 단계가 약간의 계산 비용을 추가하지만, 이는 백도어 주입 시간의 절감 및 요구되는 오염 데이터의 획기적인 감소에 비하면 무시할 만한 수준이라고 언급했습니다.