ARMOR++: Agentic Orchestration of a Multi-Domain Primitive Set for Transferable Attacks on Deepfake Detectors

기술 요약: ARMOR++

문제 정의
딥페이크 탐지기의 신뢰성은 특히 CNN 대리 모델(surrogate)에서 최적화된 섭동(perturbation)이 트랜스포머 기반 타겟(예: ViT, Swin)에 적용될 때 발생하는 블랙박스 적대적 전이(black-box adversarial transfer) 상황에서 빈번하게 훼손됩니다. 기존의 전이 공격들은 종종 의미론적 인지 능력이 부족하며, 엄격한 노-쿼리(no-query) 제약 조건 하에서 효과를 유지하는 데 어려움을 겪습니다. 또한, 현재의 방법론들은 취약하고 아키텍처 의존적인 포렌식 단서(예: 블렌딩 경계 또는 고주파 텍로 불일치)에 과도하게 의존하며, 탐지기가 안정적인 객체 수준의 카테고리가 아닌 약하고 국소적인 흔적을 악용한다는 딥페이크 탐지의 독특한 난제를 해결하지 못합니다. ARMOR와 같은 기존의 에이전트 기반 접근 방식은 공간 기반의 섭동 공간에 국한되어 있고, 대리 모델의 다양성이 부족하며, 블랙박스 확률 항($p_{bb}$)에 의존하여 노-쿼리 프로토콜을 약화시킨다는 한계가 있습니다.

방법론: ARMOR++
본 논문은 엄격한 노-쿼리 프로토콜 하에서 높은 전이 가능성을 가진 견고한 다중 에이전트 프레임워크인 **ARMOR++**를 제안합니다. 이 프레임워크는 시각-언어 모델(VLM)과 대규모 언어 모델(LLM)을 통합하여, 블라인드 타겟(blind target)에 쿼리를 보내지 않고도 방법 선택 및 재매개변수화(reparameterization)를 조율합니다.

• 아키텍처 및 에이전트: 시스템은 다음과 같은 폐쇄 루프 다중 에이전트 아키텍처를 채택합니다:

  • 분석 에이전트 (Qwen2.5-VL): 얼굴 토폴로지, 질감 불규칙성, 압축 아티팩트를 식별하는 의미론적 보고서를 생성하여 소프트 공간 사전 정보($M_R$)를 구축합니다.
  • 컨덕터 에이전트 (Qwen3): 의미론적 보고서를 바탕으로 전역 제약 조건(섭동 예산 $\epsilon$, 품질 임계값 $\tau$) 및 하이퍼파라미터를 초기화합니다.
  • 메서드 에이전트: 다섯 가지 상호 보완적인 프리미티브(primitive)를 병렬로 실행합니다:
    1. CW 스타일: 밀집된 $\ell_2$ 페널티 최적화.
    2. JSMA: 희소 살리언시(saliency) 조작.
    3. STA: 부드러운 공간 워핑을 통한 기하학적 변형.
    4. SSA (스펙트럼 시뮬레이션 공격): DCT 증강을 통한 주파수 영역 섭동.
    5. BSR (블록 구조 증강): 전역적 일관성을 깨뜨리기 위한 블록 단위 셔플링 및 회전.
  • 어드바이저 에이전트: 과거 성능에 따라 각 프리미티브의 하이퍼파라미터 범위를 조정합니다.
  • 전략가 에이전트: 최적화 정체(stagnation)를 감지하고 제약 조건의 적응적 완화( $\epsilon$ 증가, $\tau$ 감소)를 트리거합니다.
  • 믹서 에이전트: 대리 모델의 신뢰도, SSIM 위반, 섭동 에너지 및 프리미티브 다양성의 균형을 맞추는 엔트로피 정규화 점수를 사용하여 볼록 결합 가중치($w$)를 최적화함으로써 마스터 후보를 합성합니다.

• 엄격한 노-쿼리 프로토콜: 모든 최적화, 재매개변수화 및 믹싱은 오직 대리 앙상블($F_{surr}$)로부터의 피드백에만 의존합니다. 블라인드 타겟은 최종 적대적 예시가 선택된 직과 후, 오직 보고 목적으로만 정확히 한 번 쿼리됩니다. 이는 믹싱 점수에서 블랙박스 확률 항($p_{bb}$)을 사용하는 기존 연구의 한계를 제거합니다.

주요 기여

1. 전이 가능한 에이전트 프레임워크: LLM 유도 추론 및 대리 모델 피드백에만 의존하는 노-쿼리 회피를 위한 멀티모달 다중 에이전트 아키텍처를 제시합니다.
2. 의미론적으로 유도된 폐쇄 루프 오케스트레이션: VLM 유도 공간 사전 정보와 LLM 기반의 정체 감지, 경계 제약 상승 및 적응적 재매개변수화를 통합합니다.
3. 다중 도메인 섭동 공간: 고품질(HQ) 딥페이크 및 트랜스포머 탐지기의 스펙트럼 및 패치 기반 유도 편향(inductive bias)을 타겟팅하기 위해 최적화, 살리언시 및 공간 변환 공격 외에도 주파수 영역(SSA) 및 블록 구조(BSR) 프리미티브를 포함합니다.
4. 신뢰성 중심 평가: 엄격한 통계 분석(95% Wilson 신뢰 구간, McNemar 테스트)과 실패 모드 분석을 포함하여 AADD-2025 데이터셋(저품질 및 고품질 레짐)에 대한 포괄적인 벤치마킹을 수행합니다.

실험 결과
프레임워크는 세 가지 CNN 대리 모델(ResNet-50, DenseNet-121, EfficientNet-B4)과 두 개의 블라인드 트랜스포머 타겟(ViT-B/16, Swin-B)을 사용하여 AADD-2025 벤치마크에서 평가되었습니다.

• 공격 성공률 (ASR): ViT-B/16에 대한 저품질(LQ) 레짐에서 ARMOR++는 **44.3%**의 ASR을 달성하여, 이전의 에이전트 기반 베이스라인인 ARMOR(39.6%)와 가장 강력한 비-에이전트 베이스라인인 AutoAttack-PGD(19.6%)를 크게 앞질렀습니다.
• 고품질 (HQ) 레짐: ARMOR++는 더 어려운 HQ 레짐에서도 우수한 성능(ViT-B/16 기준 ASR 32.1%)을 유지하며, 성능 저하에도 불구하고 베이스라인 대비 우위적 순위를 보존했습니다.
• 지각적 품질: ARMOR++는 가장 높은 가중 ASR(wASR)을 달축하여, 심각한 품질 저하를 겪는 AutoAttack-PGD와 같은 앙상블 방법론과 비교했을 때 공격 성공과 지각적 충실도(SSIM $\approx$ 0.69 on LQ, 0.73 on HQ) 사이의 탁월한 균형을 보여주었습니다.
• 방어 견고성: 비적응형 방어(PGD 적대적 훈련 및 무작위 입력 크기 조정) 하에서도 ARMOR++는 가장 높은 잔류 ASR(예: LQ에서의 적대적 훈련 하에 19.8%)을 유지하여, 표준 방어 체계가 위협을 완전히 완화하지 못함을 입증했습니다.
• 절제 연구 (Ablation Studies): 의미론적 분석 에이전트를 제거하면 ASR이 21.8%로 감소하였으며, 다중 도메인 프리미티브(SSA/BSR) 또는 엔트로피 정규화 도구를 제거할 경우 성능이 크게 하락하여 제안된 구성 요소들의 필요성을 확인했습니다.

의의 및 주장
본 논문은 ARMOR++가 현재 딥페이크 탐지기 배포 환경에서 상당한 **잔류 신뢰성 격차(residual reliability gap)**를 드러낸다고 주장합니다. 결과는 높은 클린 데이터 정확도와 표준 비적응형 방어가 교차 아키텍처 적대적 전이 상황에서 탐지기의 신뢰성을 보증하기에는 불충분함을 나타냅니다. 에이전트 기반 오케스트레이션과 다중 도메인 섭동을 통해 잠재적 취약점을 효과적으로 공략함으로써, 본 연구는 포렌식 분류기가 체계적이고 의미론적으로 정보가 풍부한 공격에 여전히 취약하다는 점을 강조합니다. 저자들은 제안된 프레임워크가 정교한 블랙박스 위협에 대해 현재의 딥페이크 탐지 시스템이 아직 보안이 중요한 실제 환경에 배치될 만큼 충분히 견고하지 않음을 보여주는 엄격한 스트레스 테스트 역할을 한다고 결론짓습니다.