💻 computer science

Hiding Directions, Leaking Structure: Breaking ArrowCloak through Low-Rank Structure

이 논문은 신경망 가중치를 보호하기 위한 TEE 기반 방어 기제인 ArrowCloak가 공유된 마스크 방향을 악용하여 숨겨진 가중치 대응 관계를 복구하고 거의 완벽한 정확도로 모델을 재구성하는 쿼리 없는 공격에 의해 근본적으로 무너짐을 입증하며, 이를 통해 해당 방식의 LWE 기반 난해성 주장이 유효하지 않음을 밝히고 경량화된 보호 체계는 개별 벡터의 기하학적 구조와 결합된 구조적 누출을 모두 다루어야 함을 드러낸다.

원저자: Beijie Liu, Junyi Ouyang, Haoxuan Xu, Vincent Quentin Ulitzsch, Potung Yu, Yajie Zhao, Mengyuan Li

게시일 2026-08-25

📖 3 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Beijie Liu, Junyi Ouyang, Haoxuan Xu, Vincent Quentin Ulitzsch, Potung Yu, Yajie Zhao, Mengyuan Li

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

현대의 디지털 환경에서 강력한 인공지능 모델은 종종 독점적인 레시피나 고유한 기계 장치처럼 가치 있는 비밀로 취급됩니다. 개발자들은 데이터를 멀리 떨어진 클라우드 서버로 보내지 않고도 개인용 기기에서 이러한 모델을 사용하기 위해 작업의 일부를 나누기 시작했습니다. 그들은 모델의 가장 민들이 핵심적인 지침과 가중치(weights)를 컴퓨터 프로세서의 보안 구역인 신뢰 실행 환경(trusted execution environment) 내부에 안전하게 보관합니다. 이 보안 구역은 마치 개인 금고처럼 작동하여 시스템의 나머지 부분으로부터 비밀을 보호합니다. 그러나 모델이 사고하는 데 필요한 방대한 수학적 연산, 즉 무거운 계산 작업은 이 작은 금고가 감당하기에는 너무나 까다롭습니다. 따라서 이 작업은 금고 외부의 강력하지만 신뢰할 수 없는 그래픽 프로세서로 오프로딩됩니다. 문제는 데이터가 처리를 위해 금고를 떠나는 순간, 하드웨어를 관찰하는 누구에게나 노출된다는 점입니다. 만약 데이터가 위장되지 않는다면, 영리한 관찰자는 노출된 계산 과정을 통해 원래의 비밀 모델을 역설계할 수도 있습니다.

이를 해결하기 위해 연구자들은 최근 ArrowCloak라고 불리는 방법을 제안했습니다. 이 아이디어는 데이터를 특정 방식으로 회전시키고, 모든 데이터 조각에 공유된 숨겨진 패턴을 더함으로써 모델의 가중치를 위장하는 것이었습니다. 설계자들은 이 뒤섞기 방식이 복잡한 암호학적 이론에 기반하여 수학적으로 해독 불가능하다고 주장하며, 원래의 비밀을 복구하는 것이 특정 유형의 어려운 퍼즐을 푸는 것만큼이나 어려울 것이라고 주장했습니다. 그들은 이 방법이 데이터 벡터의 방향을 성공적으로 숨겨서 공격자가 뒤섞인 조각들을 원래의 모델과 다시 맞추는 것을 방지한다고 주장했습니다.

한 연구팀은 이 보호 체계를 재검토하였고, 그 수학적 토대가 주장만큼 견고하지 않다는 것을 발견했습니다. 그들은 제안된 어려운 암호학적 퍼즐과의 연결 고리가 결함이 있다는 것을 발견했습니다. 데이터가 변환되는 방식이 문제를 풀기 어렵게 만드는 데 필요한 조건을 실제로 생성하지 못했다는 것입니다. 더 중요한 것은, 그들은 위장법 자체의 구조적 약점을 발견했습니다. 이 방법은 개별 데이터의 방향은 성공적으로 변경했지만, 모든 데이터에 공유되는 패턴을 추가하는 방식으로 수행되었습니다. 이 공유된 패턴은 전체 가중치 세트를 관통하는 미세하고 저차원적인 신호를 만들어냈는데, 이는 마치 태피스트리를 가로지르는 단 하나의 실과 같았습니다. 이 실은 모든 데이터 조각에 공통적으로 존재했기 때문에, 탐지되고 제거될 수 있는 흔적을 남겼습니다.

이러한 통찰력을 바탕으로 연구자들은 ArrowRevelio라는 새로운 공격법을 개발했습니다. 이 방법은 보안 금고에 대한 특별한 접근 권한을 필요로 하지 않으며, 모델에 질문을 던지거나 내부 비밀을 들여다볼 필요도 없습니다. 대신, 공격은 공개된, 뒤섞인 가중치와 원래의 뒤섞이지 않은 공개 버전 모델을 단순히 분석합니다. 데이터의 집합적 구조를 분석함으로써, 공격은 공유된 숨겨진 패턴을 식별하고 이를 뺄 수 있습니다. 일단 이 패턴이 제거되면, 데이터 조각들의 숨겨진 질서가 다시 드러납니다. 연구자들은 표준 매칭 기술을 사용하여 뒤섞인 조각들을 원래의 위치와 정렬함으로써 효과적으로 원래의 비밀 모델을 재구성했습니다.

재구성 결과는 놀라울 정도로 정확했습니다. 텍스트 분류, 이미지 분할, 콘텐츠 생성 등에 사용되는 여섯 가지 서로 다른 모델 및 작업 조합에 걸쳐, 이 공격은 거의 모든 경우에서 데이터의 숨겨진 배치를 매우 높은 정확도로 복구해 냈습니다. 재구성된 모델의 정확도는 99.92%에서 100% 사이였습니다. 재구성된 모델은 원래의 비밀 모델과 거의 동일하게 작동했습니다. 분류 작업의 경우, 새 모델은 테스트 입력에 대해 원래 모델과 94.39%에서 99.54% 사이의 일치율을 보였으며, 전체 정확도 차이는 1.59 퍼센트 포인트 이내였습니다. 세그멘테이션(segmentation) 작업에서는 일치도가 98.35%로 더욱 높았습니다.

연구자들은 공유된 패턴을 더 복잡하게 만들면 문제가 해결될지 테스트했습니다. 그들은 공유되는 패턴의 수를 단일 방향에서 수백 개의 방향으로 늘렸습니다. 이는 모델의 정확한 출력을 완벽하게 재구성하는 것을 약간 더 어렵게 만들었지만, 데이터의 숨겨진 순서를 찾는 공격을 막지는 못했습니다. 수백 개의 공유 패턴이 있음에도 불구하고, 공격은 데이터 조각의 배치를 거의 완벽한 정확도로 복구해 냈으며, 최종 모델의 성능은 크게 떨어졌습니다. 이는 단순히 더 많은 공유 패턴을 추가하는 것이 완전한 해결책이 될 수 없음을 시사하는데, 이는 보안 금고의 계산 비용을 증가시키면서도 구조적 누출을 완전히 제거하지는 못하기 때문입니다.

본 연구는 모델의 가중치를 보호하려면 데이터를 개별 조각으로서가 아니라 집합적인 전체로서 바라봐야 한다고 결론짓습니다. 이전의 방어책은 개별 벡터의 방향을 숨기는 데 집중했지만, 전체 세트 전체에 공유되는 관계를 고려하는 데 실패했습니다. 이 연구 결과는 경량화된 보호 체계가 진정으로 온디바이스 인공지능을 보호하기 위해서는 개별 벡터의 기하학적 구조와 공개되는 모든 가중치 전반의 공동 구조를 모두 다루어야 함을 나타냅니다.

기술 요약: 방향 은닉, 구조 유출: 저계수 구조를 통한 ArrowCloak의 파괴

문제 정의
본 논문은 신뢰 실행 환경(TEE) 파티셔닝을 통해 사용자 기기에 배포된 독점 신경망 모델의 기밀성을 다룹니다. TEE-Shielded LLM Partitioning(TSLP)이라 불리는 이 아키텍처에서는 민감한 모델 가중치를 CPU TEE 내에 보관하는 반면, 계산 집약적인 선형 대수는 신뢰할 수 없는 GPU 가속기로 오프로드합니다. 오프로딩 시 가중치를 보호하기 위해 경량화된 난독화 기법이 사용됩니다.

Wang 등(US-ENIX Security 2025)은 초기 경량 방어 기법(스케일링 및 치환)이 벡터 방향을 유출하여 ArrowMatch 공격을 가능하게 한다는 것을 이전에 입증했습니다. 이에 대응하여, 그들은 각 가중치 벡터에 단일 공유 마스크 방향의 벡터별 배수를 더하는 방 defense인 ArrowCloak를 제안했습니다. ArrowCloak는 가중치 복구가 계산적으로 어렵다는 점을 근거로 학습 오류(Learning with Errors, LWE) 문제로의 환원을 통해 보안성을 주장했습니다. 본 논문의 저자들은 이러한 LWE 기반 보안 논거와 ArrowCloak 변환의 구조적 무결성 모두에 이의를 제기합니다.

방법론
본 논문은 암호학적 감사와 난독화된 가중치의 구조적 분석이라는 두 가지 접근 방식을 채택합니다.

LWE 주장에 대한 암호학적 감사:
저자들은 ArrowCloak의 LWE 환원을 엄격하게 검토합니다. 이들은 LWE 기반의 어려움 논거를 무효화하는 세 가지 결정적인 결함을 식려냈습니다:

환원 방향: 제안된 매핑은 ArrowCloak 관계를 LWE 유사 표기법으로 재작성했지만, 표준 LWE에서 ArrowCloak 복구 문제로의 어려움을 보존하는 환원을 제공하는 데 실패했습니다.
양자화 산술: 매핑 과정에서 양자화가 잘못 적용되었습니다. 실수 값 변환에서 유도된 정수 행렬은 적절히 고려되지 않은 스케일링 인자(예: $\Delta^2$ )로 인해 유효한 LWE 인스턴스에 필요한 모듈러 산술을 충족하지 못합니다.
결합 분포: 공개 행렬, 비밀값 및 오차의 유도된 결합 분포가 표준 LWE 분포와 일치하지 않습니다. 구체적으로, 행렬이 균등하게 분포되어 있지 않으며, 오차 항이 요구되는 방식대로 비밀값과 독립적이지 않습니다.

구조적 공격 (ArrowRevelio):
LWE 논거가 결함임을 인지한 저자들은 실제 변환 과정을 조사합니다. 저자들은 개별 벡터 방향은 숨기더라도, 모든 가법적 마스킹 항들이 공유된 저계수 부분 공간(shared low-rank subspace) 내에 존재한다는 점을 관찰했습니다 (원래 설계에서는 랭크-1, 확장 버전에서는 랭크- $r$ ).

핵심 통찰: 공유 마스크 방향은 치환에도 불구하고 노출된 가중치 행렬 내에 랭크-1(또는 랭크- $r$ ) 성분을 생성합니다.
공격 워크플로우:
1. 추정: 중심화된(centered) 난독화 가중치 행렬에 대해 특잇값 분해(SVD)를 수행하여, 공유 마스크 방향(주요 좌특잇벡터)을 추정합니다.
2. 투영: 공격자는 공개 사전 학습된 가중치와 난독화된 가중치 모두를 추정된 마스크 부분 공간의 직교 보공간(orthogonal complement)으로 투영하여, 마스킹 노이즈를 효과적으로 제거합니다.
3. 치환 복구: 마스크가 제거되면, 공개 가중치와 난독화된 가중치의 투영된 벡터들은 다시 방향적 유사성을 회복합니다. 공격자는 숨겨진 치환을 복구하기 위해 전역 일대일 할당 문제(헝가리안 알고리즘 사용)를 해결합니다.
4. 재구성: 복구된 치환과 추정된 마스크 계수를 사용하여, 피해 모델에 대한 쿼리나 TEE 비밀에 대한 접근 없이 제약된 최소제곱법을 통해 피해 가중치를 재구성합니다.

주요 기여

암호학적 감사: 본 논문은 잘못된 환원 방향, 결함이 있는 양자화 산술, 부적절한 인스턴스 분포로 인해 ArrowCloak의 LWE 기반 보안 논거가 계산적 어려움을 확립하지 못함을 입증합니다.
구조적 취약성: 저자들은 단일 마스크 방향(또는 저차원 부분 공간)을 재사용하는 것이 공개된 가중치에 복구 가능한 저계수 구조를 남긴다는 점을 밝혀냈습니다.
ArrowRevelio 공격: 저자들은 엔드 투 엔드 쿼리 프리(query-free) 복구 공격인 ArrowRevelio를 제시합니다. 이 공격은 공개 체크포인트, 아키텍처 메타데이터, 그리고 GPU에 노출된 난독화된 가중치만을 필요로 합니다.
이론적 보장: 저자들은 마스크 방향의 성공적인 복구를 위한 충분한 스펙트럼 분리 조건을 도출하고, 랭크- $r$ 마스킹의 실패 조건을 규명합니다.

결과
저자들은 분류(ViT-B/16, BERT-base, GPT-2), 세그멘테이션, 확산 모델을 포함한 6가지 모델-태스크 쌍에 대해 ArrowRevelio를 평가했습니다.

치환 복구: 공격은 숨겨진 벡터 대응 관계(치환)를 99.92%에서 100%까지 성공적으로 복구했습니다.
기능적 복구:
- 재구성된 분류 모델은 테스트 입력에 대해 피해 모델과 94.39%~99.54%의 일치도를 보였습니다.
- 태스크 정확도 차이는 최대 1.59 퍼센트 포인트였습니다.
- 재구성된 세그멘테이션 모델은 98.35%의 출력 일치도를 달림.
Rank- $r$ 완화: 저자들은 마스크 랭크를 64에서 512로 높이는 실험을 수행했습니다. 랭크를 높이면 기능적 복구 능력은 약화되었으나(랭크 512에서 피해 모델 일치도가 48.05%로 하락), 구조적 유출은 제거되지 않았습니다. 치환 복구는 여전히 완벽에 가까웠으며(랭크 512에서 99.98%), 공격을 위해 훨씬 더 많은 신뢰 측 상태(trusted-side state)와 교정 작업이 필요했습니다.

의의
본 논문은 TEE 파티셔닝을 위한 경량 보호 메커니즘이 개별 벡터의 기하학적 구조(방향 유출 방지)와 공개되는 가중치 간의 결합 구조(joint structure)를 모두 다루어야 한다고 결론짓습니다. ArrowMatch(보존된 방향 악용)에서 ArrowRevelio(공유 부분 공간 구조 악용)로의 진보는, 로컬 기하학적 불변성을 숨기는 것만으로는 글로벌 행렬 구조가 복구 가능한 경우 불충분하다는 것을 보여줍니다. 이 연구 결과는 현재 설계된 ArrowCloak가 의도한 모델 기밀성을 제공하지 못하며, 마스크 랭크를 높이는 것은 근본적인 구조적 유출을 완전히 제거하지 못한 채 한계 효용이 감소하는 방식임을 시사합니다.

유사한 논문