💻 computer science

Double Down on Defense: Strengthening Deep Perceptual Hashes against Evasion Attacks without Retraining

이 논문은 매칭 시점의 무작위 평활화(randomized smoothing)와 게시 시점의 경화(hardening)를 결합하여 모델 재학습 없이도 인증된 강건성을 달성함으로써, 기존 딥 퍼셉추얼 해시의 회피 공격에 대한 강건성을 향상시키는 플러그인 방어 메커니즘인 DualShield를 소개한다.

원저자: Bangjie Sun, Nayoung Kim, Mun Choon Chan, Jun Han

게시일 2026-08-05

📖 4 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Bangjie Sun, Nayoung Kim, Mun Choon Chan, Jun Han

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

인터넷을 수십억 권의 책(이미지)이 끊임없이 추가되고, 삭제되고, 복제되는 거대하고 북적이는 도서관이라고 상상해 보십시오. 이 도서관을 안전하고 체계적으로 유지하기 위해, 사서들은 이미 위험하거나 저작권이 있는 것으로 분류된 책과 중복되는 책을 빠르게 찾아낼 방법이 필요합니다. 그들은 모든 단어를 읽는 대신, 특별한 "지문" 스캐너를 사용합니다. 이 스캐너는 사진을 짧고 고유한 코드로 변환합니다. 만약 두 사진이 거의 비슷하게 생겼다면, 그 코드들도 매우 유사할 것입니다. 이것을 **지각 해싱(perceptual hashing)**이라고 부릅니다. 이것은 금지된 콘텐츠를 다시 업로드하거나 예술 작품을 훔치는 것을 막아주는 보이지 않는 경비견입니다.

하지만 여기 까다로운 문제가 있습니다. 실제 개가 영리한 변장을 속는 것처럼, 이러한 디지털 지문도 속임수에 빠질 수 있습니다. 악의적인 행위자는 인간의 눈에는 보이지 않을 만큼 미세하지만, 지문 코드를 뒤섞기에는 충분한 변화를 사진에 가할 수 있습니다. 갑자기, 금지된 이미지가 스캐너에게는 완전히 새로운, 무해한 이미지처럼 보이게 됩니다. 이것을 **회피 공격(evasion attack)**이라고 합니다. 연구자들이 던져온 큰 질문은 이것입니다. 기존의 스캐너를 처음부터 다시 만들지 않고도 이 지문 스크너들을 더 강력하게 만들 수 있을까? 이는 마치 늙은 경비견의 뇌를 교체하지 않고 새로운 기술을 가르칠 수 있는지 묻는 것과 같습니다.

이 논문은 DualShield라고 불리는 영리한 해결책을 소개합니다. 이는 기존 이미지 스캐너를 위한 두 층의 방어막 역할을 합니다. 주요 기술 허브의 시스템들을 활용하여 작업한 저자들은, 지문을 생성하는 복잡한 AI 모델을 다시 학습시키지 않고도 이 스캐너들을 더 안전하게 만들 수 있다는 것을 발견했습니다. 대신, 그들은 함께 작동하는 두 가지 "방패"를 추가했습니다.

첫 번째 방패는 **발행 시점 강화(Publication-Time Hardening)**입니다. 사서가 참고 서적을 서가에 올리기 전 준비하는 과정을 상상해 보십시오. 그들은 단순히 책을 그대로 두는 것이 아니라, 표지에 아주 미세하고 보이지 않는 "갑옷"을 입힙니다. 이 갑옷은 인간이 보기에는 똑같아 보이지만, 책의 지문을 뒤섞기 매우 어렵게 만드는 수학적 미세 조정입니다. 악의적인 행위자가 스캐너를 속이기 위해 이 "갑옷을 입은" 책을 복사하고 수정하려고 할 때, 그들은 훨씬 더 힘든 위치에서 시작하게 됩니다. 논문은 이 단계만으로도 공격자가 성공하는 것을 어렵게 만든다는 것을 보여주지만, 완벽한 벽은 아닙니다.

두 번째 방패는 **매칭 시 무작위 평활화(Matching-Time Randomized Smoothing)**입니다. 이것은 누군가 의심스러운 이미지를 업로드할 때 발생합니다. 의심스러운 이미지를 참조 모델과 비교할 때, 단 한 번만 비교하는 대신(이는 경비견에게 공기 냄새를 딱 한 번 맡고 결정을 내리라고 하는 것과 같습니다), 시스템은 더 똑똑한 방식을 취합니다. 시스템은 참조 모델과 업로드된 이미지 모두에 대해 수백 개의 약간 "노이즈가 섞인" 또는 흐릿한 버전들을 만들어냅니다. 그리고 경비견에게 이 모든 흐릿한 버전들의 냄새를 맡게 한 뒤 투표를 실시합니다. 만약 개가 90%의 확률로 "일치"라고 답한다면, 시스템은 이를 일치하는 것으로 받아들입니다. 악의적인 행위자가 결과를 바꾸기 위해 미세한 속임수를 쓰더라도, 나머지 99번의 비교 과정에서 발생하는 노이즈가 대개 그 속임수를 상쇄합니다. 이는 군중을 상대로 거짓말을 하여 속이려는 것과 같습니다. 한 번 속삭이면 믿을 수도 있겠지만, 백 명에게 동시에 속삭여야 한다면 진실이 승리하게 됩니다.

연구진은 이 "DualShield" 시스템을 8가지 유형의 지문 스캐너와 3가지 이미지 세트를 대상으로 테스트했습니다. 결과는 놀라웠습니다. 방어책이 없다면, 해커들이 스캐너가 어떻게 작동하는지 정확히 아는 화이트박스 공격(white-box attack)을 통해 스캐너를 약 **98.6%**의 확률로 속일 수 있었습니다. DualShield를 사용하자, 이 성공률은 단 **11.8%**로 급락했습니다. 더욱 인상적인 것은, 해커가 스캐너의 작동 방식을 전혀 모르는 블랙박스 공격(black-box attack)에 대해서도 성공률이 **20.6%**에서 고작 **1.3%**로 떨어졌다는 점입니다.

또한 이 논문은 공격자의 변화가 특정 수학적 단위의 반지름(약 0.3) 내에 머무는 한, 시스템을 절대 속일 수 없음을 증명하는 수학적 보증, 즉 "인증서(certificate)"를 제공합니다. 이는 단순히 "우리 테스트에서 작동했다"를 넘어 "우리는 이것이 작동함을 증명할 수 있다"로 나아가는 중요한 성과입니다.

하지만 저자들은 이것이 모든 것을 해결하는 마법 지팡이는 아니라는 점을 주의 깊게 언급합니다. 시스템이 훨씬 더 속이기 어려워졌지만, 특정 유형의 스캐너에 대해서는 이미지의 크롭(cropping)이나 회전과 같은 일반적인 변화에 대해 다소 덜 민감해졌습니다. 이는 트레이드오프(trade-off)입니다. 해커에 대한 요새를 얻는 대신, 이미지를 다룰 때 조금 더 주의를 기울여야 합니다. 또한, 이 시스템은 스캐너 자체의 근본적인 결함을 고치는 것이 아닙니다. 만약 어떤 스캐너가 이미 중복 이미지를 찾는 데 서툴렀다면, DualShield는 그것을 천재로 만들지는 못하며, 단지 속이기를 더 어렵게 만들 뿐입니다.

결론적으로, DualShield는 우리가 기존의 것들을 다시 구축하는 비용스럽고 시간이 많이 드는 과정 없이도 디지털 파수꾼들을 훨씬 더 강력하게 만들 수 있음을 보여줍니다. 이미지가 온라인에 올라가기 전에 "갑옷"을 입히는 층과, 이미지가 돌아올 때 "군중 투표"를 하는 층을 추가함으로써, 우리는 디지털 시대의 교활한 속임수로부터 우리의 온라인 도서관을 보호할 수 있습니다. 이는 때때로 최선의 방어가 더 큰 칼이 아니라, 더 똑똑한 방패라는 것을 상기시켜 줍니다.

기술 요약: DualShield – 회피 공격에 대한 딥 퍼셉추얼 해시의 강인성 강화

문제 정의
유사 이미지 매칭은 콘텐츠 중재, 출처 검증 및 저작권 집행에 있어 매우 중요합니다. 현대적 시스템은 시각적으로 유사한 이미지를 압축적이고 비교 가능한 표현으로 매핑하기 위해 딥 퍼셉추얼 해시(deep perceptual hashes)에 의존합니다. 그러나 이러한 시스템은 회피 공격(evasion attacks)에 취약합니다. 즉, 공격자가 알려진 이미지에 인지할 수 없는 수준의 섭동(perturbation)을 가하여 해시 표현을 변형함으로써, 유사 이미지를 비유사한 것으로 오분류하도록 결정 경계를 넘나드는 방식입니다.

기존의 방어 기제들은 다음과 같은 트레이드오프에 직면해 있습니다:

경험적 강인성(Empirical Robustness): 특정 알려진 공격에는 저항할 수 있지만, 더 강력하거나 미지의 적대적 전략에 대해서는 어떠한 보장도 제공하지 못합니다.
인증된 강인성(Certified Robustness): CertPHash와 같은 최근의 접근 방식은 유계 섭동(bounded perturbations)에 대해 형식적인 보장을 제공하지만, 전용의 강인한 해시 모델을 처음부터 새로 학습시켜야 합니다. 이는 이미 프로덕션 환경에서 사용 중인 기존의 사전 학습된 해시 시스템에 배포하기 어렵게 만듭け다.

본 연구가 다루는 핵심 연구 질문은 다음과 같습니다: 기존의 딥 퍼셉추얼 해시의 모델 자체를 재학습하거나 수정하지 않고도, 경험적 및 인증된 강인성을 모두 개선할 수 있는가?

방법론: DualShield
저자들은 해시 모델 $f$ 자체를 변경하지 않고 이미지 생애주기의 두 가지 별개 단계에서 작동하는 플러그인 방어 메커니즘인 DualShield를 제안합니다. 이는 두 가지 상호 보완적인 메커니즘을 결합합니다:

발행 시점의 경화(Publication-Time Hardening):
- 목표: 참조 이미지가 데이터베이스에 저장되어 발행되기 전에 선제적으로 최적화하는 것입니다.
- 메커니즘: 원본 참조 이미지 $r$ 에 최적화된 인지 불가능한 섭동 $\delta_h$ 를 추가하여 경화된 참조 이미지 $r^*$ 를 생성합니다.
- 최적화: 이 섭동은 양의 쌍(참조 이미지와 그 베니언 변형들)에 대한 "평활화된 매칭 마진(smoothed matching margin)"을 최대화하는 동시에 음의 쌍(관련 없는 이미지들)으로부터의 분리도를 유지하도록 계산됩니다. 이는 참조 이미지를 해시 공간의 국소적으로 취약한 영역으로부터 멀어지게 하여, 공격자가 수정된 쿼리를 결정 경계 너머로 밀어내는 것을 어렵게 만듭니다.
- 제약 조건: 이 수정은 인지 불가능하도록(예: 제한된 $\ell_\infty$ 노름) 제약되며, 각 참조 이미지당 한 번만 수행됩니다.
매칭 시점의 랜덤 스무딩(Matching-Time Randomized Smoothing):
- 목표: 쿼리 이미지에 가해지는 작은 적대적 섭동에 대해 매치/비매치 결정을 안정화하는 것입니다.
- 메커니즘: 쿼리 이미지 $q$ 가 제출될 때, 시스템은 단일 결정론적 해시 비교에 의존하지 않습니다. 대신, 경화된 참조 $r^*$ 와 쿼리 $q$ 모두에 대해 독립적으로 가우시안 노이즈 $\eta_r, \eta_q$ 를 샘플링합니다.
- 집계: 기본 해시 매처 $M_f$ 를 이러한 섭동된 쌍들에 대해 반복적으로 평가합니다. 최종 결정은 $N$ 번의 샘플링에 걸친 다수결(또는 가장 확률이 높은 클래스)을 통해 결정됩니다.
- 인증: 이 과정은 매칭 결정을 통계적으로 강인한 것으로 변환합니다. 만약 다수 클래스 확률 $p_A$ 가 0.5를 초과하면, 형식적인 $\ell_2$ 인증 반경 $R_2 = \sigma \Phi^{-1}(p_A)$ 를 계산할 수 있습니다. 이는 해당 반경 내에서 쿼리에 가해지는 어떠한 가산적 섭동도 매치 결정을 바꿀 수 없음을 보장합니다.

주요 기여

플러그인 방어: DualShield는 기존의 딥 퍼셉추얼 해시를 재학습하거나 하부의 해시 아키텍처를 수정하지 않고도 이를 강화합니다.
이중 메커니즘 설계: 이는 발행 시점의 경화(참조 이미지 최적화)와 매칭 시점의 랜덤 스무딩(결정 안정화)을 결적으로 결합하여, 상호 보완적인 취약성 원인을 해결합니다.
형식적 보장: 다양한 기존 해시 모델(NeuralHash, DINOHash, HybridHash, CertPHash 변형 포함)에 대해 인증된 $\ell_2$ 강인성을 제공합니다.
포괄적 평가: 본 방법론은 8가지 서로 다른 딥 퍼셉추얼 해시 모델(NeuralHash, DINOHatch, HybridHash, CertPHash 변형 포함)과 3가지 데이터셋(ImageNet, MS-COCO, Stable-Diffusion)을 통해 평가되었습니다.

실험 결과
평가는 경험적 및 인증된 강인성 모두에서 상당한 개선을 보여줍니다:

적대적 강인성 (White-Box): 적응형 화이트박스 공격에 대한 기존 해시들의 평균 공격 성공률(ASR)은 98.6%였습니다. DualShield는 이를 **11.8%**로 낮추었습니다. HybridHash 및 CertPHash 변형과 같은 특정 모델의 경우, ASR은 거의 제로(0~1%)에 가깝게 떨어졌습니다.
적대적 강인성 (Black-Box): 평균 블랙박스 ASR은 20.6%에서 **1.3%**로 감소했습니다. 8개 중 6개의 해시는 테스트된 예산 범위 내에서 관찰된 블랙박스 ASR이 0이었습니다.
인증된 강인성: DualShield는 평가된 모든 해시에 대해 약 0.3의 인증된 $\ell_2$ 반경을 구축했습니다. 이는 스무딩 전용 베이스라인(약 0.25)보다 크게 향상된 수치이며, 기존에 존재하지 않던 형식적 보장을 제공합니다.
변환 강인성: 대부분의 해시에서 DualShield는 일반적인 변환(압축, 크롭, 회전)에 대해 낮은 회피율을 유지했습니다. 그러나 일부 모델(예: SSCD)에서는 적대적 강인성이 높아짐에 따라 기하학적 변환(예: 크롭/회전 회피율이 0.5%에서 23.6%로 상승)에 대한 회피율이 높아지는 트레이드오프가 관찰되었습니다.
유용성 및 충실도:
- 충돌(Collisions): DualShield는 일반적으로 기존의 충돌율을 보존하였으며, 대부분의 해시는 관련 없는 이미지에 대해 0% 또는 0에 가까운 충돌율을 유지했습니다.
- 시각적 품질: 경화된 이미지는 원본과 시각적으로 유사하게 유지되었습니다. C-PDQ 및 C-PDNA와 같은 모델은 높은 구조적 유사도(SSIM > 0.9)를 보였으나, DINOHash와 같은 다른 모델들은 동일한 강인성을 달리는 데 약간 더 눈에 띄는 질감 변화가 필요했습니다.

의의 및 주장
본 논문은 DualShield가 강력한 딥 퍼셉추얼 해싱을 위해 반드시 핵심 해시 모델을 재설계하거나 재학습할 필요는 없다는 점을 입증한다고 주장합니다. 대신, 강인성은 게시된 참조를 보호하고 매칭 결정을 강화함으로써 배포된 시스템을 증강하는 플러그인 레이어로서 추가될 수 있습니다.

저자들은 경험적 강인성(특정 공격에 대한 저항력)이 개선되었지만, 주요 기여는 기존 시스템에 대해 형식적이고 인증된 최악의 경우에 대한 보장을 제공할 수 있다는 점임을 강조합니다. 이를 통해 실제 플랫폼은 복잡한 딥러닝 모델을 재학습하는 막대한 비용 없이도 인증된 강인성을 채택할 수 있습니다. 이 연구는 강인성이 시각적 매칭 시스템의 부가적인 구성 요소로 취급될 수 있다는 더 넓은 설계 원칙을 제시하며, 이를 통해 인증되고 적대적으로 강인한 매칭을 더욱 쉽게 배포할 수 있도록 합니다.

유사한 논문