💻 computer science

FedLNS: Leverage LayerNorm Signature Modeling to Mitigate Adversarial Manipulation in Federated LLMs

FedLNS는 추가적인 데이터 교환이나 레이블이 지정된 공격 사례를 필요로 하지 않으면서, 정규화 계층 파라미터 변화에 대한 경량 분석을 통해 악의적인 클라이언트 업데이트를 스크리닝함으로써 다양한 모델 아키텍처 전반에 걸쳐 우수한 강건성을 달성하여 연합 LLM 학습에서의 적대적 조작을 완화하는 서버 측 프레임워크이다.

원저자: Kai Li, Jong-Ik Park, Carlee Joe-Wong, Wei Ni, Falko Dressler

게시일 2026-08-20

📖 3 분 읽기☕ 가벼운 읽기

CC0 1.0

원저자: Kai Li, Jong-Ik Park, Carlee Joe-Wong, Wei Ni, Falko Dressler

원본 논문은 CC0 1.0 (http://creativecommons.org/publicdomain/zero/1.0/)에 따라 공공 도메인에 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

거대 언어 모델은 우리가 매일 사용하는 스마트 어시스턴트, 검색 도구, 그리고 글쓰기 보조 도구의 엔진 역할을 합니다. 이러한 시스템은 방대한 양의 텍스트를 읽으며 학습하지만, 가장 가치 있는 정보 중 상당수는 개인적인 메시지, 의료 기록, 또는 기업의 기밀 문서와 같이 사적인 영역에 잠겨 있습니다. 데이터를 직접 보지 않고도 이 사적인 데이터를 사용하여 모델을 가르치기 위해, 연구자들은 연합 학습(federated learning)이라 불리는 방법을 사용합니다. 이 설정에서는 데이터가 모델로 이동하는 대신 모델이 데이터를 찾아갑니다. 중앙 컴퓨터는 현재 모델의 복사본을 여러 기기로 보내고, 각 기기는 자신만의 사적인 정보를 바탕으로 학습한 뒤, 자신이 배운 '변화량'만을 다시 보냅니다. 그러면 중앙 컴퓨터는 이 변화량들을 결합하여 더 똑똑하고 업데이트된 모델을 만듭니다. 이 과정은 개인정보를 보호하지만, 새로운 취약점을 만들어냅니다. 중앙 컴퓨터가 로컬 기기에서 어떤 일이 일어나고 있는지 볼 수 없다는 점입니다. 부정직한 기기는 사적인 데이터로부터 학습하는 척하면서 실제로는 잘못된 지침을 주입하여, 모델이 올바르게 말하거나 쓰는 능력을 저하시키도록 중앙 컴퓨터를 속일 수 있습니다.

한 연구팀이 이러한 부정직한 업데이트가 글로벌 모델에 피해를 주기 전에 이를 포착할 수 있는 새로운 방법을 개발했습니다. 그들은 이 시스템을 FEDLNS라고 부르며, 이는 중앙 서버로 흘러 들어오는 정보의 보안 검문소와 같은 역할을 합니다. 수십억 개의 숫자를 포함하고 있어 철저히 검사하기에는 너무 복잡한 거대한 모델 업데이트의 모든 부분을 일일이 검사하는 대신, 연구진은 모델 내의 아주 작고 특정한 숫자 집합에 집중합니다. 이 숫자들은 모델이 언어를 이해하는 방식을 어떻게 조절하고 변화시키는지 제어하며, 일종의 모델 조정 방식에 대한 '서명(signature)' 역할을 합니다. 이 특정 숫자들의 변화를 관찰함으로써, 서버는 정상적이고 정직한 학습이 어떤 모습인지에 대한 프로필을 구축할 수 있습니다. 기기가 업데이트를 보낼 때, 서버는 그 서명을 다른 기기들의 서명 이력과 비교합니다. 만약 어떤 기기의 변화가 대중의 흐름과 너무 다르다면, 시스템은 이를 의심스러운 것으로 분류하여 따로 떼어 놓음으로써, 나쁜 업데이트가 최종 모델에 섞이는 것을 방지합니다.

연구진은 이 접근 방식을 문장의 다음 단어를 예측하는 모델부터 빈칸을 채우는 모델, 그리고 현대의 챗봇을 구동하는 것과 유사한 거대 모델에 이르기까지 세 가지 다른 유형의 언어 모델에 대해 테스트했습니다. 그들은 참여하는 기기의 최대 40%가 악의적인 의도를 가지고 단어 간의 잘못된 연관성을 가르쳐 모델을 타락시키려 하는 시나리오를 시뮬레이션했습니다. 이러한 까다로운 조건에서도 이 새로운 시스템은 유해한 업데이트를 성공적으로 걸러냈습니다. 이 보호 기술로 학습된 모델은 기존의 안전 기술로 학습된 모델보다 성능이 현저히 뛰어났습니다. 구체적으로, 보호된 모델은 다음 단어를 예측할 때 오류가 적었으며, 기존의 차세대 방식과 비교했을 때 혼란도가 최대 18%까지 감소했습니다. 또한 선택의 불확실성도 줄어들었는데, 이는 모델이 혼란스럽거나 터무니없는 문장을 생성할 가능성이 낮아졌음을 의미합니다.

이 발견이 특히 유용한 이유는 중앙 서버가 알려진 악성 행위자의 목록을 가질 필요가 없으며, 거짓말쟁이를 잡아내기 위한 별도의 사전 학습된 탐지기를 필요로 하지 않기 때문입니다. 이 시스템은 단순히 그룹의 기기들을 관찰함으로써 무엇이 정상인지를 학습합니다. 시스템은 신뢰할 수 있는 정직한 행동의 모습을 구축할 만큼 충분히 다양한 기기들을 관찰할 때까지 기다린 후, 비로소 스크리닝을 시작합니다. 연구진은 스크리닝을 시작하기 전 더 많은 기기를 관찰할수록 성능이 향아졌지만, 그룹의 일부만 보고도 여전히 효과적으로 작동할 수 있다는 것을 발견했습니다. 결정적으로, 이 보호 기능은 전적으로 서버 측에서 이루어지므로, 업데이트를 보내는 기기들은 소프트웨어를 변경하거나 추가 정보를 보낼 필요가 없습니다. 따라서 이 방법은 기존 시스템의 속도를 늦추지 않고도 쉽게 도입할 수 있습니다.

이 연구는 신뢰할 수 있는 데이터 없이도 개인정보를 희생하지 않고 연합 학습을 보호하는 것이 가능하다는 점을 확인시켜 줍니다. 전체 모델 대신 압축된 구조 인식형 서명에 집중함으로써, 연구진은 악의적인 조작이 퍼지는 것을 막는 가벼운 방패를 만들었습니다. 시뮬레이션 결과, 이 접근 방식은 다양한 데이터 분포와 모델 유형에 걸쳐 6가지의 흔한 안전 기술들을 지속적으로 능가했습니다. 이 결과는 모델의 미세한 내부 변화를 모니터링함으로써, 다수의 참가자가 시스템을 속이려 하는 상황에서도 협업 학습의 무결성을 유지할 수 있음을 시사합니다. 이는 나쁜 행위자들에게 쉽게 속지 않으면서도 사적인 데이터로부터 학습할 수 있는, 더 신뢰할 수 있는 인공지능을 구축하기 위한 실질적인 경로를 제시합니다.

기술 요약: FedLNS – 연합 LLM의 적대적 조작 완화를 위한 LayerNorm 시그니처 모델링 활용

문제 정의

연합 학습(Federated Learning, FL)은 원시 텍스트를 중앙 집중화하지 않고도 대규모 언어 모델(LLM)이 분산된 프라이빗 데이터로부터 학습할 수 있게 한다. 그러나 이러한 구조는 서버가 클라이언트의 업데이트를 생성하는 로컬 입력, 타겟, 또는 최적화 과정을 검증할 수 없다는 치명적인 보안 격차를 만든다. 악의적인 클라이언트는 올바른 타겟 토큰을 잘못된 것으로 교체함으로써(타겟 조작) 로컬 감독(supervision)을 조작하여, 잘못된 컨텍스트-토큰 연관성을 최적화할 수 있다. 이러한 오염된 업데이트가 결합될 때, 글로벌 모델의 성능을 저하시키고 신뢰할 수 없거나 환각 현상을 일으키는 생성 위험을 증가시킨다.

기존의 비잔틴 강건(Byzantine-robust) FL 방법들(예: Multi-Krum, Coordinate-wise Median, Trimmed Mean)은 일반적으로 전체 모델 업데이트를 대상으로 동작한다. 이러한 접근 방식은 현대적 LLM의 고차원성에 따라 서버 측 처리를 종속시키며, 거대한 파라미터 세트 내의 양호한 변동이 악의적인 편차를 가릴 수 있게 한다. 또한, 최근의 차원 축소 또는 지도 학습 기반 스크리닝 방법들은 실제 연합 환경에서 흔히 구할 수 없는 라벨링된 공격 샘플, 신뢰할 수 있는 서버 데이터, 또는 별도로 학습된 탐지기를 요구하는 경우가 많다.

방법론: FedLNS

저자들은 FedLNS(Federated Learning with Normalization Signatures)를 제안한다. 이는 경량화된 비지도 학습 방식의 악성 업데이트 스크리닝을 위해 설계된 서버 측 프레임워크이다. 핵심 혁신은 클라이언트 업데이트를 전체 파라미터 벡터가 아니라, 학습 가능한 정규화 레이어(normalization-layer) 파라미터의 변화로부터 추출된 압축된 "시그니처"로 표현한다는 점에 있다.

1. 정규화 레이어 시그니처:
수백만 개의 파라미터를 분석하는 대신, FedLNS는 각 라운드 $t$ 에서 클라이언트 $i$ 에 대한 시그니처를 추출한다. 이 시그니처는 클라이언트의 로컬 모델과 현재 글로벌 모델 사이의 학습 가능한 정규화 파라미터(예: LayerNorm 또는 RMSNorm의 스케일링 및 바이어스)의 차이로 정의된다:
$s_{t,i,\ell} = p_\ell(w_{t,i}) - p_\ell(w_t)$
여기서 $p_\ell$ 은 정규화 레이어 $\ell$ 의 결합된 학습 가능 파라미터를 나타낸다. 이 레이어들은 은닉 표현(hidden representations)의 스케일링과 시프팅을 제어하므로, 이들의 파라미터 변화는 로컬 학습이 모델의 내부 표현을 어떻게 변화시키는지 보여주는 압축적이고 구조 인지적인 지표가 된다.

2. 서버 측 히스토리 뱅크 및 강력한 참조 모델:
서버는 관찰된 클라이언트들의 최신 정규화 시그니처를 저장하는 히스토리 뱅크 $B_t$ 를 유지한다. 충분한 수의 서로 다른 클라이언트 ID( $M_{act}$ )가 관찰되면, 서버는 현재 라운드를 위한 강력한 참조 모델을 구축한다:

강건한 통계량: 각 정규화 레이어에 대해, 서버는 히스토리 뱅크 내 시그니처의 좌표별 중앙값(median, $m_{t,\ell}$ )과 중앙값 절대 편차(Median Absolute Deviation, $d_{t,\ell}$ )를 계산한다. 이는 이상치(outlier)에 저항하며 모집단의 중심과 규모를 추정하는 강력한 방법을 제공한다.
표준화: 현재 클라이언트 시그니처는 이 참조 모델을 기준으로 표준화되어 특징 벡터 $z_{t,i}$ 를 생성한다.
편차 점수: 특징 벡터 전반에 걸쳐 중앙값 절대 표준 편차를 계산하여 스칼라 편차 점수 $\delta_{t,i}$ 를 산출한다.

3. BIC 가이드 GMM을 통한 비지도 스크리닝:
FedLNS는 가우시안 혼합 모델(GMM) 스크리닝 규칙을 가이드하기 위해 베이지안 정보 기준(BIC)을 채택한다. 서버는 표준화된 클라이언트 시그니처에 대해 단일 성분(one-component) 및 이성분(two-component) 대각 GMM을 모두 피팅한다:

만약 단일 성분 모델이 선호된다면(균질한 모집단을 나타냄), 모든 클라이언트를 유지한다.
만약 이성분 모델이 선호된다면, 클라이언트를 두 그룹으로 분할한다. 중앙값 편차 점수가 더 낮은 그룹(역사적 참조 모델에 더 가까운 그룹)은 결합을 위해 유지하고, 높은 편차를 보이는 그룹은 폐기한다.
이 과정은 악의적 클라이언트 비율에 대한 사전 지식, 라벨링된 데이터, 또는 신뢰할 수 있는 서버 데이터셋을 필요로 하지 않는다.

4. 집계(Aggregation):
스크리닝 후, 유지된 전체 모델 업데이트는 표준 샘플 가중 규칙(예: FedAvg) 또는 기타 호환 가능한 FL 집계 방법을 사용하여 집계된다. 스크리닝은 시그니처가 반환된 모델로부터 서버 측에서 추출되므로 통신 오버헤드를 추가하지 않는다.

주요 기여

압축된 모델 업데이트 표현: 정규화 레이어 업데이트 시그니처를 도입하여 스크리닝 표현을 전체 모델 차원에서 구조 인지적인 작은 파라미터 부분 집합으로 축소하였다.
비지도 히스토리 인식 스크리닝: 중앙값/MAD 표준화와 BIC 가이드 혼합 모델링을 결합하여 관찰된 시그니처로부터 강력한 교차 클라이언트 참조를 구축하는 서버 측 유지 규칙을 개발하였다. 이는 라벨링된 공격, 신뢰할 수 있는 데이터, 또는 보조 탐지기 없이도 가능하다.
교차 아키텍처 평가: 200명의 클라이언트와 IID 및 non-IID 데이터 파티션 환경 하에서 처음부터 학습된 GPT 스타일, BERT 스타일, LLaMA 스타일 모델에 대한 포괄적인 평가를 수행하였다.

실험 결과

저자들은 최대 40%의 클라이언트 인구에 영향을 미치는 타겟 조작 상황에서 6가지 베이스라인(FedAvg, Norm-Bound, Median, Trimmed Mean, Multi-Krum, FLAME)을 대상으로 FedLNS를 평가하였다.

퍼플렉시티(Perplexity) 감소: 40%의 악성 인구 하에서, FedLNS는 세 가지 아키텍처와 두 가지 데이터 파티션 유형 모두에서 가장 낮은 테스트 퍼플렉시티를 달 기록했다.
- IID: 가장 강력한 베이스라인 대비 각각 11.59%(GPT), 3.88%(BERT), 4.98%(LLaMA)의 감소를 보였다.
- Non-IID: 가장 강력한 베이스라인 대비 각각 18.57%(GPT), 10.05%(BERT), 5.67%(LLaMA)의 감소를 보였다.
의미론적 엔트로피(Semantic Entropy): FedLNS는 가장 낮은 토큰 수준 의미론적 엔트로피를 달성하여 예측 불확실성이 감소했음을 입증했다. 최대 감소율은 non-IID BERT 설정에서 6.50%에 달했다.
공격 강도에 대한 강건성: 악성 비율이 0%에서 40%로 증가함에 따라, FedL�NS는 퍼플렉시티의 저하가 제한적(2.82% 증가)이었던 반면, 베이스라인(예: FedAvg는 27.97% 증가)은 상당한 증가를 보였다.
뱅크 커버리지(Bank Coverage): 실험 결과, 스크리닝을 시작하기 전 필요한 활성화 커버리지(클라이언트 수)를 늘리는 것이 초기 학습 성능을 일반적으로 향상시켰으며, 커버리지가 증가함에 따라 단조로운 퍼플렉시티 개선이 관찰되었다.

의의 및 주장

본 논문은 FedLNS가 LLM을 위한 기존 FL 방어 기법의 확장성 및 데이터 의존성 한계를 해결한다고 주장한다. 정규화 레이어 시그니처를 활용함으로써, 이 방법은 다음을 요구하지 않는 모듈형, 경량화된, 비지도 스크리닝 메커니즘을 제공한다:

원시 클라이언트 데이터 또는 신뢰할 수 있는 서버 데이터셋.
라벨링된 악성 업데이트.
사전에 정의된 악의적 클라이언트 비율.
별도로 학습된 탐지기 또는 보조 글로벌 모델.

저자들은 FedLNS를 연합 LLM 학습에서 글로벌 모델의 강건성을 향고하고 예측 불확ness(uncertainty)를 줄이는 실용적인 솔루션으로 위치시키며, 특히 오염된 학습 신호로 인해 발생하는 의미론적으로 일관되지 않거나 환각을 일으키는 생성의 다운스트림 위험을 완화하는 데 초점을 맞춘다. 이론적 분석은 스크리닝 에러를 제한하고 스크리닝된 집계 하에서의 수렴을 특성화함으로써, 유지된 업데이트가 양호한 글로벌 그래디언트 방향에 근사함을 입증하여 이 방법을 뒷받침한다.