기술 요약: MLQENABLER

문제 정의

본 논문은 클라우드 스토리지 기반 머신러닝 서비스(CSS-MLS) 모델에 내재된 보안과 유용성 사이의 딜레마를 다룹로다. 이 모델에서 클라우드 서비스 제공자(CSP)는 기본 서비스로서 스토리지를 제공하고, 고객 데이터를 활용하여 2차 머신러닝(ML) 서비스(예: 추천 시스템)를 제공합니다. 이러한 모델은 경제적 및 기능적 이점을 제공하지만, 퍼블릭 클라우드를 완전히 신뢰할 수 없기 때문에 심각한 보안 문제를 야기합니다. CSP는 데이터를 판매하려는 재정적 동기를 가질 수 있고, 직원이 데이터를 훔칠 수 있으며, 서버가 해킹에 취ل 수 있습니다.

표준적인 완화 방법은 데이터를 외부에 위탁하기 전에 암호화하는 것입니다. 그러나 전통적인 암호화(예: AES, 3DES)는 데이터를 의사 난수(pseudorandom numbers)로 변환하여, 암호화된 데이터셋에 대해 ML 학습이나 쿼리를 수행하는 것을 불가능하게 만듭니다. 이 문제에 대한 기존 솔루션들은 다음과 같은 구체적인 한계를 가집니다:

• 동형 암호(Fully Homomorphic Encryption, FHE): 딥 뉴럴 네트워크를 학습시키기에 계산 효율성이 떨어집니다.
• 차분 프라이버시(Differential Privacy, DP): 거친 노이즈 추가에 의존하며, 데이터 유용성(정확도)과 보안성 사이의 트레이드오프가 좋지 않습니다.
• 연합 학습(Federated Learning, FL): 쿼리 프라이버시와 모델 프라이버시(학습된 모델 자체가 유출될 수 있음)를 보호하지 못합니다.

핵심 과제는 암호문 프라이버시(ciphertext privacy), 인덱스 프라이버시(index privacy), 쿼리 토큰 프라이버시(query token privacy), 그리고 **모델 프라이버시(model privacy)**를 모두 보존하면서 암호화된 데이터에 대해 ML 쿼리 및 학습을 허용하는 시스템을 설계하는 것입니다.

방법론: MLQENABLER

저자들은 데이터 저장과 ML 유용성을 분리하는 인덱스 보조 프레임워크인 MLQENABLER(ML 쿼리 인에이블러)를 제안합니다. 이 시스템은 스토리지 클라이언트, 비스토리지 클라이언트, 클라우드 서버, 그리고 키 생성 서버(KGS)라는 네 가지 엔티티로 구성됩니다.

핵심 메커니즘: EncGAN

시스템은 세 가지 구성 요소로 이루어진 생성적 적대 신경망(GAN) 구조인 EncGAN에 의존합니다:

1. 생성자 (Generator, $G$): 글로벌 비밀 키 역할을 합니다. 원본 데이터 항목을 "보안 인덱스 항목(secure index items)"으로 변환합니다.
2. 판별자 (Discriminator, $D$): 실제 데이터와 생성된 인덱스 항목을 구별하도록 훈련됩니다.
3. 재구성자 (Reconstructor, $R$): 보안 인덱스 항목으로부터 원본 데이터를 복구하도록 훈련됩니다.

운영 워크플로우

1. 키 생성: KGS는 EncGAN을 훈련시키기 위해 데이터셋(예: 인터넷에서 수집)을 수집합니다. 훈련된 생성자($G$)는 클라이언트에게 배포되는 비밀 키가 됩니다.
2. 데이터 준비 (클라이언트 측):
   • 암호화: 클라이언트는 암호문 프라이버시를 보장하기 위해 로컬 비밀 키를 사용하여 원본 데이터 항목을 표준 암호화(예: AES) 방식으로 공식적으로 암호화합니다.
   • 인덱스 생성: 클라이언트는 원본 데이터 항목을 생성자 $G$에 입력하여 보안 인데스 항목을 생성합니다. 이 항목들은 인덱스 프라이버시를 보장하기 위해 무작위 노이즈와 구별할 수 없도록 설계되었습니다.
   • 아웃소싱: 클라이언트는 암호화된 데이터와 보안 인덱스 항목(클래스 레이블 포함)을 클라우드에 업로합니다.
3. ML 학습 (클라우드 측): 클라우드 서버는 보안 인덱스 항목을 사용하여 직접 ML 모델을 학습시킵니다. 결과 모델은 $M'$로 표기됩니다.
4. 쿼리 처리:
   • 쿼리를 수행하기 위해, 클라이언트는 비밀 키 $G$를 사용하여 새로운 데이터 항목 $q$를 보안 토큰 $G(q)$로 변환합니다.
   • 클라우드는 훈련된 모델 $M'$를 사용하여 $G(q)$를 처리하고 결과를 생성합니다.
   • 실제 사용 가능한 모델은 실질적으로 합성 $M = G \circ M'$입니다. 클라우드는 $M'$만 보유하고 $G$를 가지고 있지 않으므로, 진정한 모델을 재구성할 수 없으며, 이를 통해 모델 프라이버시를 보장합니다.

프라이버시 보장

• 암호문 프라이버시: 표준 암호화(AES/3DES)를 통해 달성됩니다.
• 인덱스 프라이버시: 생성자 $G$가 인덱스 항목을 무작위 데이터와 구별할 수 없게 만들기 위해 적대적 손실(adversarial loss)을 통해 훈련되었으므로 달성됩니다.
• 토큰 프라이버시: 토큰은 인덱스 항목과 동일한 보안 프로세스를 사용하여 생성됩니다.
• 모델 프라이비시: 클라우드는 난독화된 데이터로 학습된 모델($M'$)만을 보유합니다. 비밀 키 $G$ 없이는 클라우드가 실제 데이터에 모델을 적용할 수 없습니다.

주요 기여

1. 문제 정식화: 본 논문은 CSS-MLS 모델과 보안을 위해 필요한 특정 프라이버시 요구사항(암호문, 인덱스, 토큰, 모델 프라이버시)을 공식적으로 정의합니다.
2. 프레임워크 설계: 표준 암호화를 데이터 저장에 사용하고 GAN 기반의 인덱스 생성 방법을 사용하여 ML 유용성을 가능하게 하는 프레임워크인 MLQENABLER를 제안합니다.
3. EncGAN 설계: 생성자가 인덱스 항목을 무작위 데이터와 구별할 수 없게 만들어 인덱스 프라이버시를 보호하는 동시에, 재구성자가 인덱스 항목이 ML 학습을 위한 충분한 구조를 유지하도록 보장하는 GAN 기반 방법을 도입합니다.
4. 손실 함수 제어 가능(LFC) 노이즈: 본 논문은 암호화 과정을 특정 손실 함수에 의해 유도되는 새로운 유형의 프라이버시 보존 기술로 규정하며, 이는 차분 프라이버시의 거친 노이즈보다 더 미세한 제어를 제공합니다.

실험 결과

저자들은 여섯 가지 이미지 데이터셋(CIFAR-10, CIFAR-100, Tiny-ImageNet, GTSRB, CelebA, DIV2K)에 대해 ResNet-18 및 SwinV2-T 아키텍처를 사용하여 MLQENABLER를 평가했습니다.

• 프라이버시 (인덱스 구별 불가능성): 시각적 비교와 패치 정보 엔트로피(Patch IE) 분석을 통해, 보안 인덱스 항목이 무작위 이미지와 시각적으로 구별할 수 없으며, 원본 이미지보다 훨씬 높은 무작위 노이즈와 유사한 엔트로피 수준을 가짐을 보여줍니다.
• 권한 있는 정확도 (Authorized Accuracy, AA): 시스템은 권한이 있는 사용자에게 높은 유용성을 유지합니다.
  • ResNet-18의 경우, 정확도 저하(원본 대비 인덱스)는 0.07%에서 3.05% 사이였습니다 (평균 1.13%).
  • SwinV2-T의 경우, 저하는 0.21%에서 6.13% 사이였습니다 (평균 2.86%).
  • 가장 큰 성능 저하는 CIFAR-100에서 발생했으며, GTSRB는 최소한의 손실(<0.25%)을 보였습니다.
• 권한 없는 정확도 (Unauthorized Accuracy, UA): 인덱스 항목으로 학습된 모델을 원본(암호화되지 않은) 데이터로 테스트했을 때, 무작위 추측(random guessing) 수준의 성능을 보였습니다.
  • CIFAR-10, 100, Tiny-ImageNet의 경우, UA는 무작위 추측 베이스라인(예: 10개 클래스에 대해 약 10%)에 근접했습니다.
  • 이는 훈련된 모델 $M'$가 비밀 키 $G$ 없이는 무용지물임을 확인시켜 주며, 모델 지적 재산권을 효과적으로 보호함을 입증합니다.

의의 및 주장

본 논문은 MLQENABLER가 클라우드 환경에서 데이터 보안과 ML 능력 사이의 트레이드오프를 성공적으로 해결한다고 주장합니다. 인덱스 보조 접근 방식을 채택함으로써, 기존 기술(FHE, DP, FL)이 동시에 달성할 수 없었던 네 가지 프라이버시 목표(암호문, 인덱스, 토큰, 모델 프라이버시)를 모두 달성했습니다.

저자들은 시스템이 약간의 ML 성능 저하만을 초래하면서도 강력한 보안 보장을 제공한다고 단언합니다. 이들은 EncGAN 메커니즘을 단순히 이 특정 문제를 위한 솔루션이 아니라, 이 논문의 범위를 넘어 다른 프라이버시 보존 애플리케이션에도 적용될 수 있는 새로운 유형의 손실 함수 제어 가능(LFC) 노이즈 추가 기술로 포지셔닝합니다. 이 연구는 빅데이터 시대의 "데이터 공유 경제"를 위한 실질적인 솔루션으로 제시되며, 클라이언트의 프라이버시나 지적 재산을 침해하지 않고 클라우드 제공자가 ML 서비스를 제공할 수 있도록 합니다.