기술 요약: 블랙박스 환경에서의 시맨틱 워터마크에 대한 위조 공격 재고

1. 문제 정의

AI 생성 콘텐츠(AIGC)의 확산은 출처 추적 및 신뢰 검증을 위한 강력한 메커니즘의 필요성을 촉발했습니다. 확산 모델의 초기 잠재 노이즈(latent noise)에 정보를 삽입하는 시맨틱 워터마크는 일반적인 이미지 변환에 대한 강인성 덕분에 유망한 솔루션으로 부상했습니다. 그러나 최근 연구들은 이러한 시스템이 **블랙박스 위조 공격(black-box forgery attacks)**에 취약함을 입증했습니다. 이러한 공격에서 공격자는 서비스 제공자(SP)의 모델에 대한 블랙박스 접근 권한만을 가진 채, 프록시 확산 모델을 사용하여 워터마크가 삽입된 이미지를 역전(invert)하고, 추정된 잠재 표현을 복구하며, SP의 워터마크는 유지하면서도 콘텐츠의 출처를 조작한 새로운 이미지를 재생성할 수 있습니다.

기존 문헌은 주로 이러한 공격을 입증하기 위해 경험적 증거에 의존하며, 공격이 성공하거나 실패하는 조건에 대한 엄격한 이론적 이해가 부족합니다. 결과적으로, 시맨틱 워터마킹 시스템이 실제 환경에서 가지는 근본적인 보안 한계가 무엇인지, 또는 특정 공격 구현을 넘어 일반화될 수 있는 방어 체계를 어떻게 설계해야 하는지가 불분명한 상태입니다.

2. 방법론 및 이론적 프레임워크

속도-왜곡 관점 (Rate-Distortion Perspective)

저자들은 블랙박스 위조 문제를 잠재 공간(latent space)에서의 **속도-왜곡 이론(rate-distortion theory)**의 관점으로 재구성합니다. 이들은 공격자의 과업을 프록시 모델이 타겟 워터마크 잠재 표현을 근사하려고 시도하는 디코더 역할을 수행하는 손실 압축 문제로 모델링합니다.

• 불가피한 왜곡 하한 (Irreducible Distortion Floor): 저자들은 타겟 모델($\Theta$)과 공격자의 프록시 모델($\Theta_A$) 사이의 불일치가 불가피한 정보 손실($D_{irr}$)을 유발함을 증명합니다. 이 손실은 달성 가능한 왜곡에 대한 하한을 생성하며, 이는 무한한 계산 자원을 가지고 있더라도 모델이 서로 다를 경우 블랙박스 공격자가 임의로 작은 역전 왜곡을 달성할 수 없음을 의미합니다.
• 유효 속도 페널티 (Effective Rate Penalty): 모델 불일치는 또한 유효 속도 페널티($I_{pen}$)를 부과하여, 공격자가 사용할 수 있는 정보 속도를 감소시키고 정보 속도가 증가함에 따라 왜곡이 감소하는 속도를 늦춥니다.

왜곡의 기하학적 특성 규명

논문은 프록시 모델에 의해 발생하는 왜곡을 단순한 확률적 노이즈가 아닌, 고유 잠재 매니폴드(intrinsic latent manifold) 상의 구조화된 기하학적 편차로 규정합니다. 이러한 편차는 다음 두 가지 구체적인 형태로 나타납니다.

1. 전역적 드리프트 (방향성): 잠재 공간의 초구(hypersphere) 상에서, 위조된 섭동(perturbation)은 체계적인 각도 변위를 일으킵니다. 이는 코사인 유사도를 통해 측정되는 **구형 각도 왜곡(Spherical Angular Distortion, SAD)**으로 정량화됩니다. 이론적으로 위조된 잠재 표현의 방향은 원래의 워터마크가 삽입된 잠재 표현으로부터 크게 벗어날 것으로 예상되는 반면, 올바르게 복구된 잠재 표현은 잘 정렬된 상태를 유지합니다.
2. 국소적 변형 (구조적): 위조 공격은 잠재 매니폴드의 국소적 구조적 무결성을 저해합니다. 저자들은 로컬 토큰 통계를 대칭 양의 정부호(SPD) 행렬의 매니폴드로 매핑하고, **아핀 불변 리만 메트릭(Affine-Invariant Riemannian Metric, AIRM)**을 사용하여 편차를 측정합니다. 이를 통해 **국소 SPD 기하학적 불일치(Local SPD Geometric Inconsistency, LGI)**라는 메트릭을 도출하며, 이는 실제 워터마크 샘플에는 존재하지 않는 토큰 주변의 비합치적 변형을 포착합니다.

탐지 스킴

이러한 기하학적 통찰력을 활용하여, 저자들은 스킴 불가지론적(scheme-agnostic) 탐지 방법을 제안합니다. 이 방법은 워터마크를 추출하기 전 단계로서 복구된 잠재 노이즈($\hat{z}_T$)를 분석하는 사전 검증 단계로 작동합니다. 전역적 드리프트(G-Cos)와 국소적 변형(L-SPD)의 결합 기하학적 공간을 평가함으로써, 탐지기는 기존 워터마킹 방식을 수정하지 않고도 위조된 샘플과 실제 워터마크 샘플을 구별할 수 있습니다.

3. 주요 기여

• 이론적 공식화: 본 논문은 블랙박스 위조 공격을 속도-왜곡 프레임워크 내에서 최초로 공식화하였으며, 공격자가 불일치하는 프록시 모델을 사용할 때 근본적으로 제약을 받는 불가피한 왜곡 하한을 식별하였습니다.
• 기하학적 특성 규명: 위조로 인한 왜곡을 단순한 무작위 노이즈가 아니라, 잠재 매니폴드 상의 구조화된 기하학적 편차(전역적 드리프트 및 국소적 변형)로 규정하였습니다.
• 강건한 탐지: 저자들은 이러한 기하학적 발견을 바탕으로 탐지 방법을 제안하였습니다. 광범-모델 시나리오(가이던스 기반 및 최적화 기반 공격 모두 포함)에 대한 광범위한 평가를 통해 이 방법의 효과성을 입증하였으며, 일반적인 이미지 왜곡에 대해서도 강인성을 유지함을 보여주었습니다.

4. 실험 결과

저자들은 5개의 타겟 모델(SD2.1, SDXL, PixArt-$\Sigma$, FLUX.1, SD3)에 대해 6개의 최첨단 시맨틱 워터마킹 스킴(Tree-Ring, RingID, HSTR, HSQR, Gaussian Shading, TAG)을 대상으로, SD2.1과 SD3를 프록시로 사용하여 실험을 수행했습니다.

• 위조 성공 여부: 실험 결과, 타겟 모델과 프록시 모델이 동일할 때(예: SD2.1 $\to$ SD2.1) 위조 공격이 매우 성공적이며 워터마크 유지에 있어 거의 완벽한 진양성률(TPR)을 달성함을 확인했습니다. 그러나 크로스 모델 시나리오(예: SD3 타겟에 SD2.1 프록시 사용)에서는 이론적 왜곡 하한에 따라 공격 효율이 크게 떨어졌습니다.
• 탐지 성능: 제안된 기하학적 메트릭(G-Cos 및 L-SPD)은 크로스 모델 시나리오에서 종종 0.99를 초과하는 높은 AUC 값을 달-성했습니다. 이론적 왜곡 하한이 최소화되는 까다로운 동일 모델 설정에서도, 해당 방법은 강력한 탐지 성능(예: G-Cos의 경우 AUC > 0.95)을 유지했습니다.
• 강인성: 탐지 방법은 다양한 후처리 왜곡(예: JPEG 압축, 노이즈, 크로핑) 하에서도 높은 일관성을 유지했으나, 잠재 구조적 일관성을 손상시키는 확률적 노이즈 및 비선형 신호 저하 조건에서는 성능이 다소 저하되었습니다.
• 비교: 제-안된 방법은 대안적인 메트릭들보다 우수하거나 대등한 성능을 보였으며, 위조에 저항하기 위해 의사 난수성(pseudo-randomness)을 사용하는 PRC 워터마크와 같은 고급 스킴에 대해서도 효과적임을 입증했습니다.

5. 의의 및 주장

본 논문은 시맨틱 워터마킹 시스템의 보안에 대한 새로운 관점을 제공한다고 주장합니다. 저자들은 프록시-타겟 모델 간의 불일치가 공격자에게는 취약점의 근원이자 방어자에게는 탐지 가능한 신호의 원천임을 밝힘으로써, 위조 탐지를 위한 원칙적인 근거를 제공합니다.

• 직교적 방어 (Orthogonal Defense): 제안된 방법은 기존 워터마킹 스킴을 보완하는 직교적 방어 수단으로 작용합니다. 이는 생성 모델을 재학습시키거나 워터마킹 알고리즘을 변경할 필요가 없습니다.
• 실용적 유용성: 탐지 프레ме워크는 잠재 노이즈만을 대상으로 작동하여, 워터마킹의 고유한 제로 스토리지(zero-storage) 원칙을 준수하며, 경량화되어 대규모 배포에 적합합니다.
• 보안 경계: 본 연구는 동일 모델 설정이 건축적 불일치가 최소화되는 보안 경계임을 명확히 하지만, 피할 수 없는 내부 누적 오류(순방향 생성과 역방향 역전의 비대칭성으로 인한)가 여전히 측정 가능한 잠재 불일치를 유발하여 극단적인 경우에도 강력한 탐지를 가능하게 함을 보여줍니다.

저자들은 이러한 연구 결과가 블랙박스 위조 공격의 본질적인 한계를 강조하며, 향후 더욱 견고한 시맨틱 워터마킹 설계를 위해서는 이러한 기하학적 특성을 고려하여 보안을 강화해야 한다고 결론짓습니다.