💻 computer science

Temporal Poisoning: Clean-Label Backdoors via Event Redistribution in SNNs

본 논문은 타겟 클래스의 이벤트 스트림에 고정된 타임스탬프 변환을 적용함으로써 완벽한 공격 성공률을 달성하고, 이를 통해 기존의 레이트 콜랩스(rate-collapsed) 방어 기법의 한계를 드러내는 동시에 이벤트 수를 보존함으로써 공격의 은밀함을 입증하는, 스파이킹 신경망(SNN)에 대한 최초의 클린 레이블 백도어 공격을 소개한다.

원저자: Roberto Riaño, Gorka Abad, Stjepan Picek, Aitor Urbieta

게시일 2026-07-31

📖 3 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Roberto Riaño, Gorka Abad, Stjepan Picek, Aitor Urbieta

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

인공지능의 세계를 컴퓨터가 얼굴이나 교통 표지판 같은 것들을 인식하는 법을 배우는 북적이는 도시라고 상상해 보세요. 오랫동안 이 컴퓨터들은 표준 카메라처럼 작동하며, 매 초의 아주 짧은 순간마다 전체 사진을 찍고 장면 전체를 한꺼번에 분석했습니다. 하지만 여기 더 멋진 새로운 유형의 컴퓨터 두뇌인 스파이킹 신경망(Spiking Neural Network, SNN)이 있습니다. SNN은 전체 이미지를 보는 대신, 무언가가 움직이거나 변할 때만 반응하는 매우 기민한 보안 요원과 같습니다. 이들은 정지된 이미지를 보는 것이 아니라, 특정 순간에 발생하는 작고 빠른 "핑" 또는 "스파이크"의 흐름을 봅니다. 이는 이들을 믿을 수 없을 정도로 빠르고 에너지 효율적으로 만들어 주며, 배터리를 소모하지 않고도 즉각적으로 반응해야 하는 자율주행 자동차나 로봇에 완벽합니다.

하지만 똑똑한 시스템도 마찬가지로 속을 수 있습니다. AI 보안의 세계에서 "백도어 공격(backdoor attack)"은 비밀 악수와 같습니다. 만약 해커가 특정 비밀 신호가 "문을 열어라"라는 의미라고 가르친다면, 컴퓨터는 그 외에 다른 어떤 일이 일어나더라도 그 신호에 복종하게 됩니다. 보통 해커가 이런 속임수를 가르치려면, 예를 들어 정지 표지판 사진의 라벨을 "속도 제한"으로 바꾸는 것처럼 눈에 띄는 변화를 주어야 합니다. 하지만 만약 해커가 라벨을 전혀 바꾸지 않고도 비밀 악수를 가르칠 수 있다면 어떨까요? 만약 그들이 사진을 똑같이 보이게 유지하면서, 단지 사건들의 타이밍 속에 비밀을 속삭일 수 있다면 어떨까요? 이것이 바로 이 논문이 해결하고자 하는 미스터리입니다.

특수 카메라(빛의 변화만을 포착하는 카메라)의 데이터를 사용하여 연구를 진행한 연구진들은 이 스파이킹 두뇌를 속일 수 있는 영리하고 새로운 방법을 발견했습니다. 그들은 컴퓨터가 무엇을 보는지(what)를 바꿀 필요 없이, 단지 언제 보는지(when)만 바꾸면 된다는 것을 발견했습니다. 드럼 비트를 상상해 보세요. 만약 여러분이 "쿵, 탁, 탁, 쿵"이라는 리듬을 연주한다면 그것은 하나의 노래처럼 들립니다. 하지만 만약 그 모든 비트를 아주 시작 부분에 작은 폭발처럼 몰아넣거나, 혹은 길게 늘어뜨린다면, 드럼을 치는 총 횟수는 정확히 동일합니다. 총 횟수만을 세는 사람에게는 동일하게 보일 것입니다. 하지만 리듬을 듣는 음악가에게는 완전히 다른 노래입니다.

이 논문은 이러한 이벤트들의 타임스탬프(timestamps)를 재배열함으로써—사건들을 약간 앞당기거나, 늦추거나, 혹은 한데 뭉침으로써—공격자들이 특정 타이밍 패턴이 특정 대상 클래스(예: "고양이" 또는 "정지 표지")를 의미하도록 AI를 가르칠 수 있음을 보여줍니다. 무서운 점은 무엇일까요? "깨끗한" 버전의 데이터와 "독이 든" 버전의 데이터는 사건의 총 횟수만 따진다면 똑같아 보인다는 것입니다. 마치 음표의 개수는 똑같지만, 하나는 행진곡이고 다른 하나는 왈츠처럼 들리는 두 곡과 같습니다. 음표의 개수만 센다면 차이를 알 수 없습니다. 하지만 리듬을 듣는 AI는 혼란에 빠져 해커의 비밀 명령에 복종하기 시작합니다.

연구팀은 이를 세 가지 데이터셋과 두 종류의 AI 두뇌(전통적인 이미지 프로세서 형태와 현대적인 트랜스포머 형태)에 대해 테스트했습니다. 그들은 많은 경우에 이 "타이밍 속임수"가 완벽하게 작동한다는 것을 발견했습니다. 가장 강력한 설정에서 이 공격은 100% 성공했습니다. AI는 무작위 물체를 보고, 비밀 타이밍 패턴을 감지하면, 즉시 해커가 원하는 대로 분류해 버립니다. 그러면서도 일반적인(독이 들지 않은) 입력값에 대해서는 여전히 훌고 뛰어난 성능을 보여줍니다.

연구진은 기존의 보안 요원들이 이 속임수를 잡아낼 수 있는지도 확인했습니다. 그들은 몇 가지 표준적인 방어책들을 시도했지만, 대부분은 이 공격에 눈이 멀어 있었습니다. 왜일까요? 대부분의 AI 보안 점검은 시간 차원을 먼저 압축하여, 전체 리듬을 하나의 총 횟수로 변환하기 때문입니다. 해커가 총 횟수를 바꾸지 않았기 때문에, 이 방어책들은 아무런 이상을 발견하지 못했습니다. 오직 연구진이 리듬을 단계별로 직접 듣는 새로운 탐지기를 만들었을 때만 그 독을 찾아낼 수 있었습니다.

이 연구는 이러한 시간 민감형 AI 두뇌들에게 있어서 "무엇을" 보는 것만큼이나 "언제"가 중요하다는 것을 증명합니다. 이는 현재의 보안 조치들이—사건의 타이밍을 무시하는 경우가 많기 때문에—거대한 취약점을 놓치고 있을 수도 있음을 시사합니다. 이 논문은 이 문제가 해결되었다거나 모든 AI가 망가졌다고 주장하는 것이 아닙니다. 다만 매우 은밀하고 탐지하기 어려운 백도어가 존재함을 보여주는 것입니다. 이는 하나의 경고입니다. 만약 여러분이 이 빠르고 효율적인 AI 두뇌들을 보호하고 싶다면, 단순히 사진을 보는 것만으로는 부족합니다. 리듬 또한 들어야 합니다.

기술 요약: 스파이킹 신경망(SNN)에서의 시계열적 포이즈닝 (Temporal Poisoning)

문제 정의

스파이킹 신경망(SNN)은 특히 동적 비전 센서(DVS)로부터 캡처된 뉴로모픽 데이터를 처리하는 데 있어 딥 뉴럴 네트워크(DNN)의 에너지 효율적인 대안으로 부상했습니다. DNN과 달리, SNN은 시간 흐름에 따른 비동기적 스파이크 시퀀스로 정보를 처리하며, 여기서 정밀한 이벤트 타이밍은 단순한 총합 횟수를 넘어 결정적인 정보를 담고 있습니다.

백도어 공격은 DNN에서 잘 연구되어 왔으나, 기존의 SNN 백도어 연구는 주로 **더티 레이블 포이즈닝(dirty-label poisoning)**에 집중해 왔습니다. 이러한 공격에서는 오염된 샘플이 타겟 클래스로 재라벨링되는데, 이는 샘플의 내용과 레이블 사이에 명확한 불일치를 만들어 인간의 검사나 단순한 재라벨링을 통해 탐지될 수 있습니다.

본 논문은 SNN을 위한 **클린 레이블 백도어 공격(clean-label backdoor attacks)**의 공백을 다룹니다. 핵심 과제는 오염된 샘플의 레이블을 변경하지 않고, 또한 표준적인 공간적 방어 기법에 의해 공격이 드러날 수 있는 이벤트의 공간적 분포(즉, "레이트 프레임(rate frame)")를 변경하지 않으면서 SNN에 백도어를 주입하는 것입니다. 저자들은 뉴로모픽 데이터의 독특한 시간적 특성이 새로운 공격 표면을 제공한다는 가설을 세웠습니다. 즉, 트리거를 위치가 아닌 타이밍에 인코딩함으로써, 모델이 처리하는 시간적 역학(temporal dynamics)은 변화시키되 전체적인 공간적 표현(aggregate spatial representation)은 보존할 수 있다는 것입니다.

방법론

공격 공식화

제안된 공격인 **시계열적 포이즈닝(Temporal Poisoning)**은 특정 타겟 클래스에 속하는 훈련 스트림 내 이벤트의 타임스탬프를 조작함으로써 디지털 도메인에서 작동합니다.

클린 레이블 제약 조건: 공격자는 타겟 클래스 $y_t$ 를 선택하고 이 클래스에 속하는 훈련 샘플의 일부 비율 $\rho$ 를 수정합니다. 결정적으로, 레이블은 변경되지 않은 채( $y_t$ ) 유지되며, 픽셀당 및 극성(polarity)당 총 이벤트 수는 정확하게 보존됩니다.
시간적 변환(Temporal Transformation): 공격은 이벤트 스트림에 고정된 타임스탬프 매핑 함수 $\phi$ $ϕ$ 를 적용합니다. 세 가지 특정 변환 패밀리가 평가됩니다:
1. Concentrate (집중): 모든 이벤트를 좁은 시간 창(버스트) 안으로 압축합니다.
2. Front-load (전방 배치): 파워 맵(power map)을 사용하여 이벤트를 기록의 시작 부분으로 이동시킵니다.
3. Shift (이동): 랩어라운드(wraparound)를 포함한 일정한 시간 오프셋을 적용합니다.
메커니즘: SNN(특히 Leaky Integrate-and-Fire 뉴런)은 막 전위 누설( $H[\tau] = \beta V[\tau-1] + X[\tau]$ )을 통해 시간 단계에 걸쳐 상태를 유지하므로, 이벤트가 도착하는 순서가 내부 발화 궤적(firing trajectories)에 영향을 미칩니다. 동일한 레이트 프레임(총 횟수)을 갖지만 서로 다른 시간적 분포를 가진 두 스트림은 네트워크를 매우 다른 내부 상태로 유도할 수 있습니다. 공격은 모델이 특정 시간적 재분포를 타겟 클래스와 연관시키도록 학습시킴으로써 이를 악용합니다.

평가 설정

저자들은 세 가지 뉴로모픽 데이터셋(N-MNIST, DVS-Gesture, CIFAR10-DVS)에 대해 공격을 평가했습니다. 두 가지 피해 아키텍처가 테스트되었습니다:

컨볼루션 SNN (conv-SNN).
트랜스포머 기반 SNN (SpikformerLite).

평가는 공격 성공률(ASR)(비타겟 입력에 대해 타겟 클래스를 트리거하는 능력)과 클린 정확도(CA)(트리거가 없는 입력에 대한 성능)를 측정했습니다.

주요 기여

SNN을 위한 최초의 클린 레이블 시계열 백도어: 본 논문은 픽셀당, 극성당 이벤트 수를 정확하게 보존하는 SNN용 최초의 클린 레이블 포이즈닝 공격을 소개합니다. 이는 오염된 샘플의 "레이트 프레임"(시간 축이 붕괴된 표현)이 깨끗한 샘플과 수학적으로 동일하게 함으로써, 공간적 검사를 무력화합니다.
포괄적 실증 분석: 본 연구는 세 가지 데이터셋과 두 가지 아키텍처에 걸친 공격의 유효성을 특성화하며, 포이즌 예산(poison budget), 트리거 형태(concentrate, front-load, shift), 그리고 배치(placement)의 영향을 분석합니다.
방어 평가 및 한계: SNN에 적응된 기성 백도어 방어 기법들(STRIP, Activation Clustering, Spectral Signatures, Neural Cleanse, Pruning)을 평가합니다. 저자들은 검사 전 시간 축을 붕괴시키는 방어 기법들이 이 공격에 대해 "구조적으로 맹목적(blind by construction)"임을 입증합니다.
모델 프리(Model-Free) 시계열 탐지기: 단계별 이벤트 질량(per-step event mass)에 기반한 새로운 탐지기를 제안합니다. 이 탐지기는 시간 경과에 따른 이벤트 분포를 분석하여 공격을 탐지하며, 레이트 붕괴 방식의 방법론이 실패하는 지점에서 시간 인지적 분석이 어떻게 포이즌을 드러낼 수 있는지 증명합니다.

결과

공격 유효성

높은 성공률: Concentrate 트리거는 N-MNIST(두 아키텍처 모두)와 DVS-Gesture의 SpikformerLite에서 1.00의 ASR을 달적으로 했습니다. Front-load 트리거는 두 CIFAR10-DVS 피해 모델에서 ASR 1.00을 달성했습니다.
낮은 포이즌 예산: N-MNIST에서 공격은 단 $\rho=0.01$ (59개 샘플)의 포이즌 비율만으로 ASR 1.00에 도달했습니다.
은폐성: 공격은 레이트 프레임 측면에서 완벽하게 은폐됩니다. 깨끗한 레이트 프레임과 트리거된 레이트 프레임 사이의 SSIM은 1.00이며, $L_0$ / $L_\infty$ 거리는 0입니다.
클린 정확도: 많은 구성(예: N-MNIST, DVS-Gesture conv-SNN)에서 포이즈닝된 모델은 베이스라인 대비 1~2 퍼센트 포인트 이내의 클린 정확도를 유지했으나, CIFAR10-DVS에서는 더 큰 하락이 관찰되었습니다.

방어 성능

레이트 붕괴 방어(Rate-Collapsed Defenses): 시간 평균 레이트 프레임을 검사하는 방어 기법들(예: STRIP-rate, Neural Cleanse-spatial)은 트리거 신호가 검사 대상 입력에서 수학적으로 부재하기 때문에 완전히 무력했습니다 (TPR $\approx$ 0.01).
특징 공간 방어(Feature-Space Defenses): Activation Clustering 및 Spectral Signatures와 같은 방법들은 일관되지 않은 결과를 보였습니다 (예: Spectral Signatures는 N-MNIST conv-SNN에서는 공격을 탐지했으나 다른 경우에는 실패함).
시계열 탐지기: 단계별 이벤트 질량을 분석하는 제안된 모델 프리 탐지기는 여섯 가지 모든 피해 구성에 대해 Concentrate 및 Front-load 트리거에 대해 1.00의 TPR을 달성했으며, Shift 트리거에 대해서는 0.93–0.94를 달성했습니다.

의의 및 주장

본 논문은 SNN 및 뉴로모픽 이벤트 데이터에 대한 최초의 클린 레이블 백도어 공격 평가라고 주장합니다. 주요 의의는 다음과 같습니다:

시계열 역학은 취약점이다: SNN의 핵심 정보 전달체인 정밀한 이벤트 타이밍은 공간 통계나 레이블을 변경하지 않고도 백도어를 설치하는 데 이용될 수 있습니다.
현재 방어 기법의 한계: 시간 축을 붕괴시키는 방식으로 이미지 도메인에서 적응된 표준 백도어 방어 기법들은 뉴로모픽 데이터에 대해 불충분합니다. 이 공격의 "은폐성"은 절대적인 것이 아니라 검사되는 표현 방식에 상대적입니다. 즉, 레이트 기반 체크에는 보이지 않지만, 시간적 분석에는 노출됩니다.
시간 인지 보안의 필요성: 결과는 SNN 보안의 중대한 공백을 강조하며, 향-기반(frame-based) 설정에서 적응된 것이 아닌, 뉴로모픽 데이터의 시간적 구조를 구체적으로 고려하여 설계된 미래의 방어 기법이 필요함을 시사합니다.

저자들은 공격의 보편성에 대해 겸허한 태도를 유지하며, 유효성이 데이터셋과 아키텍처에 따라 달라질 수 있고, 공격의 은폐성은 레이트 붕괴된 표현에 국한된다는 점을 언급합니다. 그들은 이 공격이 예방 불가능하다고 주장하는 것이 아니라, 현재의 표준 방어 체계가 이 특정 경로에 대해 맹목적이라는 점을 밝히고 있습니다.