기술 요약: 음성 미표기 데이터셋 사용 추론 (Negative Unlabeled Dataset Usage Inference, NU-DUI)

문제 정의

**데이터셋 사용 추론 (Dataset Usage Inference, DUI)**은 특정 데이터셋의 얼마만큼이 머신러닝 모델 학습에 사용되었는지 그 비율을 추정하는 것을 목표로 한다. **데이터셋 추론 (Dataset Inference, DI)**과 같은 기존 방식들은 데이터셋의 사용 여부(이진 분류)를 결정할 수는 있지만, 얼마나 많이 사용되었는지를 정량화하는 데에는 실패한다. 이러한 정량화는 법적 프레임워크(예: 미국 저작권법상의 공정 이용 분석) 및 실제 데이터 소유권 분쟁에서 매우 중요하다.

DUCI (Tong et al., [46])와 같은 현재의 최첨단 접근 방식들은 두 가지 중요한 실질적 장벽에 직면해 있다:

1. 섀도 모델(Shadow Model) 요구 사항: 타겟 모델의 아키텍처와 동작을 모방하는 값비싼 "섀도 모델"을 훈련시켜야 한다. 1.5B 파라미터 규모의 대규모 생성 모델(예: 생성형 모델)의 경우, 단 하나의 섀도 모델을 훈련하는 데 1,500 A100 시간을 초과하여 소요될 수 있어 계산적으로 매우 비효사적이다.
2. 홀드아웃 데이터(Held-Out Data) 가정: 타겟 모델의 학습에서 제외되었음이 확인된 신뢰할 수 있는 인-디스트리뷰션(in-distribution) "홀드아웃" 세트에 대한 접근 권한을 가정한다. 실제 감사 시나리오에서는 이처럼 신뢰할 수 있는 비멤버(non-member) 데이터가 준비되어 있는 경우가 드물다.

또한, 표준적인 **멤버십 추론 공격 (Membership Inference Attacks, MIA)**은 개별 샘플의 신호가 약하고 멤버와 비멤버 데이터 간의 분포 변화에 민감하기 때문에, 현대의 대규모 모델에서는 성능이 거의 무작위 수준으로 저하되는 경우가 많다.

방법론: NU-DUI

저자들은 섀도 모델과 신뢰할 수 있는 홀드아웃 데이터의 필요성을 제거한 음성 미표기 데이터셋 사용 추론 (Negative Unlabeled Dataset Usage Inference, NU-DUI) 프레임워크를 제안한다. 이 방법은 DUI를 혼합 비율 추정 (Mixture Proportion Estimation, MPE) 문제로 재구성한다.

파이프라인은 다음 세 가지 주요 단계로 구성된다:

1. 합성 비멤버 및 오토인코더 적용 의심 세트 구축

신뢰할 수 있는 홀드아웃 세트의 부재를 해결하기 위해, NU-DUI는 의심 세트($X_{real}$)로부터 직접 참조 데이터를 구축한다:

• 합성 비멤버 ($X_{img2img}^{nonmember}$): 의심 이미지를 타겟 모델과 **다른 생성 패밀리(generative family)**를 가진 이미지-투-이미지 생성기($G$)를 사용하여 패러프레이징(paraphrase)한다 (예: 자기회귀적 타겟 모델을 위해 Stable Diffusion을 사용하여 이미지를 패러프레이징하거나 그 반대의 경우).
  • 근거: 서로 다른 패밀리를 사용하는 것은 합성 샘플이 타겟 모델의 손실 함수(loss function)의 "고정점(fixed point)" 근처에 놓이는 것을 방지하기 위함이다. 만약 동일한 패밀리를 사용한다면, 패러프레이징된 이미지가 타겟 모델 특유의 역과정(reverse process) 역학으로 인해 인위적으로 낮은 손실을 보여 멤버처럼 보일 수 있으며, 이는 추론을 교란시킨다.
• 오토인코더 적용 의심 세트 ($X_{AE}$): 패러프레이징에 사용된 것과 동일한 오토인코더를 사용하여 원본 의심 세트를 인코딩 및 디코딩한다.
  • 근거: 생성 모델은 특유의 고주파 아티팩트(artifact)를 도입한다. 의심 세트를 오토인코딩함으로써, 이 방법은 "미표기(unlabeled)" 측면에 이러한 아티팩트를 주입한다. 이를 통해 미표기 혼합물($U$)과 합성 비멤버($N$) 사이의 분포 차이가 생성기 특유의 아티팩트가 아닌 멤버십 상태에 의해 지배되도록 보장한다.

2. MIA 특징 추출

프레임워크는 오토인코딩된 의심 세트($U$)와 합성 비멤버 세트($N$) 모두에 대해 타겟 모델을 쿼리한다. 그 후 타겟 모델 패밀리에 맞춤화된 멤버십 추론 특징 벡터($\Phi_{MIA}$)를 추출한다:

• 이미지 자기회귀 (Image Autoregressive, IAR) 모델의 경우, 토큰 레벨 손실 및 신뢰 점수에 기반한 특징 세트를 사용한다.
• 확산 (Diffusion) 모델의 경우, 노이즈 예측 오차 및 조건부 가능도 불일치를 사용한다.
• 단일 신호는 종종 약하거나 노이즈가 심하므로, 멤버와 비멤버 분포 간의 분리도를 높이기 위해 여러 신호를 하나의 특징 벡터로 결합한다.

3. 혼합 비율 추정 (Mixture Proportion Estimation, MPE)

이 문제는 $U$가 멤버(의심 세트로부터 유래)와 비멤버(합성된 것)의 혼합물이라는 전제하에, $U$ 내의 멤버 비율 $\pi$를 추정하는 문제로 캐스팅된다.

• 합성 세트 $N$은 라벨링된 비멤버 참조 역할을 한다.
• 오토인코딩된 세트 $U$는 라벨링되지 않은 혼합물 역할을 한다.
• 특징 벡터에 대해 표준 MPE 추정기(예: TIcE, AlphaMax, PUL 변형 모델)를 적용하여 추정된 멤버 비율 $\hat{p}$를 복구한다.

주요 기여

1. MPE로의 재구성: 저자들은 데이터셋 사용 추론을 혼합 비율 추정 문제로 재구성하여, 비용이 많이 드는 섀도 모델에 대한 의존성을 제거했다.
2. 합성 참조 생성: 교차 패밀리 이미지-투-이미지 패러프레이징을 통해 현실적인 합성 비멤버를 생성하고, 오토인코딩을 통해 의심 세트를 정렬하는 방법을 제안한다. 이는 실무에서 구하기 어려운 신뢰할 수 있는 홀드아웃 비멤버 데이터에 대한 의존성을 없앤다.
3. 실증적 검증: 이 방법은 두 가지(자기회귀 및 확산) 대규모 이미지 생성 모델에 대해 섀도 모델 기반 접근 방식보다 수십 배 낮은 계산 비용으로 정확한 멤버 비율 추정을 수행함을 입증했다.

실험 결과

저자들은 ImageNet-1k로 학습된 VAR-24/30, RAR-XL/XXL, DiT-RF-XL/2-8E2A를 포함한 대규모 모델에 대해 NU-DUI를 평가했다.

• 정확도: 다양한 실제 멤버 비율($p$)에 대해, NU-DUI("Synth + AE" 파이프라인 사용)는 항등 함수(identity line)를 밀접하게 추적한다.
  • 1,000개의 이미지를 가진 RAR-XXL의 경우, (PUL 기반 MPE를 사용하여) 평균 절대 오차(MAE)는 0.058이었으며, 이는 "오라클(Oracle)" 설정(실제 홀드아웃 비멤버에 접근할 수 있다고 가정하는 설정)과의 격차를 크게 좁혔다.
  • 오토인코딩 없이 ("Synthetic"만 사용) 진행할 경우, 아티팩트 불일치로 인해 낮은 $p$에서 멤버 비율을 체계적으로 과대평가한다. 오토인코딩은 이러한 편향을 수정한다.
• 교차 패밀리의 필요성: 절제 연구(Ablation studies) 결과, 타겟 모델과 동일한 생성 패밀리의 패러프레이저를 사용하면 추정 품질이 크게 저하됨을 보여주었으며, 이는 교차 패밀리 생성이 손실 함수의 고정점을 피하기 위해 필수적임을 확인시켜 준다.
• 계산 효율성:
  • DUCI (섀도 모델 1개): 1.5B 파라미터 타겟에 대해 약 1,500 A100 시간 소요.
  • NU-DUI: 동일한 타겟에 대해 약 42.5 A100 분 소요.
  • 이는 >2,000배의 속도 향상을 의미하며, 섀도 훈련이 불가능한 현대적 대규모 모델에서도 이 방법을 실행 가능하게 만든다.
• 확장성: 의양 세트 크기가 100에서 1,000 이미지로 증가함에 따라 추정 정확도가 빠르게 향상되며, 그 이후에는 포화 상태에 이른다. 이 방법은 작은 의심 세트(예: 100개 이미지)에서도 실용적이다.

의의 및 한계

의의:
본 논문은 NU-DUI를 현대적 생성 모델에서 데이터 소유자와 감사자가 정량적 증거를 얻을 수 있는 실용적인 도구로 제시한다. 섀도 모델과 신뢰할 수 있는 홀드아웃 데이터의 필요성을 제거함으로써, 이전의 방법들이 계산적으로 혹은 데이터 측면에서 불가능했던 대규모 독점 모델에 대한 데이터셋 감사를 가능하게 한다.

한계:
저자들은 두 가지 주요 제약을 언급한다:

1. MIA 신호 강도: NU-DUI의 정확도는 가용한 멤버십 추론 신호의 강도에 의해 제한된다. 만약 타겟 모델이 멤버십 정보를 거의 누출하지 않는다면, 추정치는 덜 안정적일 것이다.
2. 교차 패밀리 생성기의 가용성: 이 방법은 합성 비멤버를 생성하기 위해 다른 패밀리에 속하는 충분히 강력한 생성 모델을 필요로 한다. 적절한 대안 생성기가 존재하지 않는 도메인에서는 이 방법을 직접 적용할 수 없다.

결론적으로, NU-DUI는 합성 데이터 생성과 혼합 비율 추정을 활용하여 현대적 생성 모델을 위한 데이터셋 사용 추론의 길을 열었으며, 섀도 모델 기반 감사에 대한 확장 가능한 대안을 제공한다.