기술 요약: 적응형 이상치 탐지에서의 자기 중독(Self-Poisoning) 현상

1. 문제 정의

배포된 이상치 탐지(Out-of-Distribution, OOD) 탐지기는 근본적인 긴장 상태에 직면한다: 즉, 인-디스트리뷰션(In-Distribution, ID) 데이터와 이상치(Outlier)가 모두 진화하는 라벨 없는 테스트 타임 스트림 환경에서 엄격한 허위 양성률(False Positive Rate, FPR) 제어(예: $\alpha = 0.10$)를 유지해야 한다. 현대적 접근 방식들은 주로 메모리 뱅크나 의사 라벨링(Pseudo-labelling)을 통해 업데이트되는 딕셔너리(예: AdaODD, OODD)를 사용하는 **테스트 타임 적응(Test-Time Adaptation, TTA)**을 통해 이를 해결하려 한다.

본 논문은 현실적인 프로덕션 조건(버스트 스트림, 낮은 오염도) 하에서 이러한 시스템이 겪는 두 가지 결정적이고 증명 가능한 실패 모드를 식별한다:

1. 자기 중독 (Self-Poisoning, 동적 실패): 게이트(Gate)가 없는 적응형 탐지기는 메모리 뱅크가 ID 포인트로 포화되어 불순도(Impurity) $\rho \to 1$에 도달하고, 이로 인해 탐지기가 붕괴되는 상전이(Phase Transition)를 겪는다. 이는 단순한 노이즈가 아니라 강화된 확률 과정(Reinforced Stochastic Process)이다.
2. 정적 캘리브레이션 실패 (Static Calibration Failure, 드리프트): 훈련 데이터로 캘리브레이션된 탐지기는 ID 드리프트(예: 특징 공간에서의 분산 변화) 발생 시, 명목 수준의 거의 두 배($1.94\times$)에 달하는 FPR을 실현하며 실패한다.
3. 라벨 부재의 불가능성 (The Label-Free Impossibility): 라벨이 없다면, 드리프트 상황에서 FPR을 제어하는 동시에 오염 상황에서 완전한 탐지 성능을 유지하는 것은 이론적으로 불가능하다. 왜냐하면 드리프트와 꼬리 분포 형태의 오염은 동일한 라벨 없는 스트림 법칙(Stream Laws)을 생성하기 때문이다.

2. 방법론 및 이론적 프레임워크

2.1 자기 중독의 역학

저자들은 적응형 뱅크의 불순도 $\rho_t$ (잘못 수용된 포인트의 비율)를 일반화된 폴리아 유리병(Generalized Pólya Urn) 과정으로 모델링한다.

• 수용 커널 (Admission Kernel): 현재 불순도 $\rho$가 주어졌을 때 다음 수용될 포인트가 잘못된 것일 확률인 $q(\rho)$를 정의한다.
• 평균장 수렴 (Mean-Field Convergence): $\rho_t$가 평균장 함수 $h(\rho) = q(\rho) - \rho$의 평형점으로 거의 확실하게(Almost Surely) 수렴함을 증명한다.
• 날카로운 임계값 (Sharp Threshold): 경험적으로 관찰되는 아핀 커널(Affine Kernels, $q(\rho) = a + b\rho$)의 경우, 기울기 $b$는 재생 수(Reproduction Number, $R_0$) 역할을 한다.
  • 만약 $b < 1$이면 시스템은 안정적인 평형을 갖는다. 그러나 측정된 설정에서는 절편 $a$가 충분히 커서 평형 $\rho^* = a/(1-b)$가 1로 포화(완전한 중독)된다.
  • 시스템은 "설계상 임계 근접 상태"($R_0 \approx 0.95$)에 있다. 즉, 버스트 스트림에서의 낮은 오염도조차 시스템을 초임계(Supercritical) 영역으로 밀어 넣어 딕셔너리가 90% 이상의 ID로 채워지게 함으로써 랭킹 품질을 파괴한다.

2.2 WARDEN: 인증된 수용 (Certified Admission)

이 자기 강화 루프를 끊기 위해, 본 논문은 WARDEN이라는 게이트형 수용 메커니즘을 제안한다:

• 피드백 단절 (Severed Feedback): 수용 결정은 가변적인 메모리 뱅크가 아닌, **고정된 리저브(Frozen Reserve)**의 ID 데이터를 기준으로 계산된다. 뱅크는 오직 보조적인 결정 채널로만 사용된다.
• e-BH 제어: 수용은 레벨 $\delta$에서 e-value와 e-BH 절차(Wang and Ramdas, 2022)를 사용하여 게이팅된다.
• 이론적 보장: 피드백 루프를 단절함으로써, 수용 강도는 뱅크의 불순도 상태와 독립적이 된다. 저자들은 초임계 분기(Poisoning)가 구조적으로 제거되며, 뱅크의 불순도가 적응형 공격자(Adaptive Adversary) 하에서도 오염율과 무관하게 상수로 유지됨을 증명한다.

2.3 CDC: 인증된 탈오염 캘리브레이션 (Certified Decontaminated Calibration)

드리프트 하에서의 정적 캘리브레이션 실패를 해결하기 위해, 본 논문은 CDC를 도입한다:

• 메커니즘: CDC는 ID 포인트를 식별하지 않고 오염된 스트림에서 직접 임계값을 재캘리브레이션한다. 이는 정지된 리저브에 대한 컨포멀 p-value로부터 유도된 오염의 Storey 유형 상한 추정치($\hat{\pi}_{up}$)를 사용한다.
• 드리프트 보수성 (Drift Conservativity): 저자들은 ID 드리프트가 Storey 통계량을 보수적인 방향(오염을 과대평가하는 방향)으로 편향시킨다는 것을 증명하며, 이는 유효성을 유지하는 데 필수적이다.
• 보장: CDC는 라벨 없이도 높은 확률로 $\text{FPR} \le \alpha$를 인증한다.

2.4 불가능성 정리 (Impossibility Theorem)

본 논문은 **두 세계의 구별 불가능성 정리(Two-World Indistinguishability Theorem)**를 확립한다:

• 세계 A: 양호한 ID 드리프트 (ID의 꼬리 부분이 상승함).
• 세계 B: ID 꼬리와 정확히 동일하게 분포된 이상치에 의한 오염.
• 결과: 두 세계는 동일한 라벨 없는 스트림 법칙을 생성한다. 세계 A에서 $\text{FPR} \le \alpha$를 유지하는 모든 라벨 없는 절차는 세계 B에서 TPR이 $\kappa = \alpha / (\pi + \alpha(1-\pi))$로 제한될 수밖에 없다. 이는 라벨 없는 적응형 탐지기의 성능에 대한 정보 이론적 한계를 정의한다.

3. 주요 기여

1. 자기 중독의 날카로운 임계값 이론: 적응형 OOD 탐지기가 중독된 평형으로 거의 확실하게 수렴하는 동적 법칙을 따름을 증명하였다. 이 이론은 "재생 수"($R_0$)를 식별하고 붕괴가 발생하는 임계 오염율 $\pi_c$를 예측한다.
2. 중독의 구조적 제거 (WARDEN): 피드백 루프를 완전히 제거하는 인증된 수용 게이트를 제공하여, 적응형 공격자 하에서도 FPR을 제어하면서 붕괴로의 전이를 제거할 수 있음을 증명하였다.
3. 인증된 탈오염 캘리브레이션 (CDC): 동시적인 ID 드리프트와 오염 상황에서도 명목 FPR을 복구하는 최초의 라벨 없는 절차를 제시하였으며, 유한 샘플 유효성 증명과 명시적인 성능 하한을 제공한다.
4. 불가능성 경계: CDC에 의해 발생하는 성능 손실이 불가피함을 보여주는 매칭 정리를 통해, 라벨 없는 적응형 OOD 탐지기의 근본적인 한계를 규명하였다.
5. 경험적 검증: 96개의 설정(4개 인코더 패밀리, 4,800개 이상의 스트리밍 셀)에 걸친 대규모 측정과 엄격한 원샷 홀드아웃 재현(3,840개 셀)을 통해, 게이트가 없는 방식의 붕괴와 WARDEN/CDC의 안정성을 확인하였다.

4. 실험 결과

• 자기 중독: 버스트 스트림(오염도 $\pi=0.01$)에서 게이트가 없는 OOD 딕셔너리(OODD 스타일)는 몇 개의 배치 내에 ID 포인트로 포화되어(불순도 > 0.9) 치명적인 AUROC 손실(고정 베이스라인 대비 평균 0.163 감소, 일부 사례에서 최대 0.41)과 통제되지 않는 FPR을 유발한다.
• WARDEN 성능: 4,800개 셀에 대해 WARDEN은 딕셔너리 불순도를 $\le 0.111$로 유지하였으며(게이트 없는 방식은 > 0.9), $\text{FPR} \approx 0.056$(목표 0.10)을 실현하였다. 결정적으로, WARDEN의 AUROC는 구성상 고정 베이스라인과 동일하게 유지되었으며, 이는 적응이 랭킹을 개선하는 것이 아니라 안전을 위해 필요함을 입증한다.
• CDC 성능: 드리프트의 영향을 받은 1,695개 셀에서 CDC는 100%의 $\text{FPR} \le \alpha$ 인증을 달성한 반면(평균 실현 $\text{FPR } 0.194$), 오래된 캘리브레이션은 실패하였다. CDC는 오라클(Oracle) TPR의 중앙값 67%를 유지하였는데, 이는 이론적 최악의 경우 천장인 $\kappa \approx 0.69$ ($\pi=0.05$ 기준)에 근접한다.
• 불가능성 일치: CDC의 성능 유지력이 이론적 천장 $\kappa$와 밀접하게 일치함을 통해, 성능 손실이 알고리즘의 격차가 아닌 정보 이론적 필연성임을 확인하였다.

5. 의의 및 주장

본 논문은 적응형이 잘 정규화된(well-whitened) 특징에 대해 랭킹 품질(AUROC)을 개선한다고 주장하지 않는다. 오히려 적응이 게이트를 거치지 않으면 랭킹을 해칠 수 있음을 보여준다.

대신, 본 연구의 의의는 다음과 같다:

• 배포 가능성: 적응형 OOD 탐지기를 프로덕션에서 안전하게 사용할 수 있게 하는 최초의 증명 가능한 동적 법칙과 인증된 게이트를 제공한다. 이러한 장치가 없다면 "자기 중독" 상전이가 적응형 탐지기를 신뢰할 수 없게 만든다.
• 완결성: 가능성/불가능성 특성을 모두 제공한다. 논문은 중독은 구조적으로 제거할 수 있고(WARDEN), 캘리브레이션은 복구할 수 있지만(CDC), 라벨이 없는 상황에서 FPR 보증을 유지하기 위해 지불해야 하는 근본적이고 피할 수 없는 성능 비용이 존재함을 보여준다.
• 강건성: 제공된 보증은 적응형 공격자가 피해를 극대화하기 위해 오염 포인트를 선택하더라도, 공격자가 고정된 리저브와 실제 ID 포인트 간의 교환 가능성(Exchangeability)을 제어할 수 없는 한 유효하다.

저자들은 적응형 탐지기를 배포할 수 있는지 여부를 결정하는 핵심 요소는 미미한 AUROC의 이득이 아니라, "동적 법칙, 인증서, 그리고 불가능성 경계"라고 결론짓는다.