A Multi-Model Hybrid Defense Approach Against White-box Adversarial Attacks in Computer Network Traffic

인터넷을 매초 수백만 개의 디지털 메시지가 건물 사이를 가로지르는 북적이고 혼란스러운 도시라고 상상해 보십시오. 이 도시를 안전하게 유지하기 위해 우리는 네트워크 침입 탐지 시스템(NIDS)이라는 디지털 보안 요원을 사용합니다. 이 요원들은 모든 데이터 패키지를 스캔하여 도둑이나 파괴자의 징후를 찾아내는 고도로 훈련된 형사와 같습니다. 최근 몇 년 동안 우리는 이 요원들이 평범한 하루가 어떤 모습인지 학습하고 이상한 점을 즉각 포착할 수 있도록 인공지능(AI)을 사용하여 "스마트"하게 업그레이드했습니다. 하지만 반전이 있습니다. 인간 경비원이 마술사에게 속을 수 있듯이, 이 AI 요원들도 "적대적 공격(adversarial attacks)"이라는 새로운 종류의 마술에 속을 수 있습니다.

적대적 공격을, 문을 부수고 들어오는 것이 아니라 무해한 패키지에 아주 작고 보이지 않는 먼지 한 점을 칠하는 숙련된 도둑이라고 생각해 보십시오. 우리 눈에는 패키지가 정상적으로 보이지만, 특정 패턴을 찾도록 훈련된 AI 경비원은 그 먼지를 보고 패닉에 빠져 그것을 폭탄이라고 생각합니다. 또는 더 나쁜 경우, 도둑이 진짜 폭탄 위에 먼지를 칠해 AI 경비원이 그것을 생일 선물이라고 믿게 만들 수도 있습니다. 이것이 바로 이 논문이 다루는 무서운 현실입니다. 악의적인 행위자들이 우리의 AI 경비원이 정확히 어떻게 생각하는지 알고, 그 지식을 이용해 어떻게 감시망을 빠져나가는가 하는 문제입니다. 연구자들은 이러한 보이지 않는 속임수에 속지 않는 "슈퍼 경비원"을 구축할 수 있는지 알아보고 싶었습니다.

논문의 미션: 슈퍼 경비원 구축하기

이 연구에서 알리가르드 무슬림 대학교의 쿠슈나시브 로샨(Khushnaseeb Roshan)이라는 연구자는 이 스마트한 AI 경비원들이 실제로 얼마나 취약한지 테스트하고, 더 중요한 것은 어떻게 하면 이들을 깨지지 않게 만들 수 있는지를 결정하기로 했습니다. 이 논문은 해커들이 사용하는 두 가지 특정 유형의 "마술"에 초점을 맞춥니다: **FGSM(Fast Gradient Sign Method)**과 C&W(Carlini & Wagner) 공격입니다.

문제를 이해하기 위해, AI 경비원을 시험을 치르는 학생이라고 상상해 보십시오.

• FGSM은 시험지에 아주 작고 거의 보이지 않는 표시를 휘갈겨 쓰는 장난꾸러기와 같습니다. 빠르고 간단하지만, 학생을 혼란에 빠뜨려 답을 틀리게 만들기에는 충분합니다.
• C&W는 훨씬 더 정교한 장난꾸러기입니다. 이 장난꾸러기는 변화가 거의 눈에 띄지 않더라도 학생이 확실하게 틀린 답을 내놓도록 정확히 어디에 먼지를 놓을지 계산하는 데 몇 시간을 보냅니다.

연구자들은 먼저 자신들의 AI 경비원(심층 신경망)을 CICIDS-2017이라는 방대한 실제 네트워크 트래픽 데이터셋으로 테스트했습니다. 어떤 속임수가 시작되기 전, 이 경비원은 정답률 **99.29%**를 기록한 우등생이었습니다. 그것은 안전한 트래픽과 악성 공격을 완벽하게 구분해 낼 수 있었습니다.

하지만 그때 해커들이 습격했습니다.
연구자들이 FGSM 기술을 사용했을 때, 경비원의 성능은 급락했습니다. "노이즈(보이지 않는 먼지)"가 약간 강해짐에 따라, 경비원의 정확도는 최고 **82.81%**에서 처참한 **26.49%**까지 추락했습니다. 마치 경비원이 갑자기 글을 읽는 법을 잊어버린 것 같았습니다.
C&W 공격은 약간 덜 파괴적이었지만 여전히 무서웠습니다. 정확도를 **49.61%**까지 떨어뜨렸습니다. 이제 경비원은 절반 이상의 확률로 찍고 있는 셈이었습니다.

해결책: 두 개의 머리를 가진 방어

이 논문은 단 하나의 방법만으로는 충분하지 않다고 주장합니다. 그래서 연구자들은 "하이브리드" 방어를 구축했습니다. 이는 경비원에게 두 가지 다른 초능력을 주고, 현명한 심판이 그들의 의견을 결합하도록 하는 것과 같습니다.

1. 첫 번째 능력: 적대적 훈련(Adversarial Training, AT). 이것은 경비원을 데려가 훈련 과정 중에 "장난꾸러리"의 속임수 사례 수천 개를 보여주는 것과 같습니다. 그들은 가짜 폭탄과 위장된 선물들을 연습하며, "아, 이 먼지를 전에 본 적 있어; 이건 사실 안전해"라고 배우게 됩니다. 이를 통해 경비원은 특정하고 알려진 속임수에 대해 강해집니다.
2. 두 번째 능력: 가우시안 데이터 증강(Gaussian Data Augmentation, GDA). 이것은 다른 접근 방식입니다. 경비원에게 특정 속임수를 보여주는 대신, 연구자들은 모든 사진에 약간의 안개를 끼얹듯 데이터에 무작위적이고 부드러운 "정적"이나 "노이즈"를 추가했습니다. 이는 경비원이 세부 사항을 암기하는 대신 데이터의 본질을 배우도록 강제합니다. 이를 통해 경비원은 더 유연해지고, 본 적 없는 새롭고 이상한 속임수에 혼란을 빠질 가능성이 낮아집니다.

진정한 마법은 이 둘을 결합했을 때 일어났습니다. 그들은 단순히 답변을 평균 내는 것이 아니라, "AT 경비원"이 생각하는 것과 "GDA 경비원"이 생각하는 것을 살펴보고 최종 결정을 내리는 "메타 러너(meta-learner, 스마트한 심판)"를 사용했습니다.

결과: 회복력 있는 승리

이 하이브리드 방어의 결과는 인상적이었습니다. 연구자들이 다시 동일한 강력한 공격을 가했을 때, 새로운 슈퍼 경비원은 단순히 살아남은 것이 아니라 번창했습니다.

• FGSM 공격에 대해, 정확도는 낮은 **26.49%**에서 치솟는 **96.57%**로 반등했습니다.
• 더 까다로운 C&W 공격에 대해, 정확도는 **49.61%**에서 **89.20%**로 회복되었습니다.

이 논문은 이 두 전략을 결합함으로써 시스템이 믿기 힘들 정도로 견고해졌음을 보여줍니다. 공격자들이 노이즈를 점점 더 강하게 만들려고 시도하더라도(에psilon 또는 신뢰도 값을 0.0001에서 0.0009까지 높여도), 하이브리드 방어는 자리를 지키며 높은 정확도와 낮은 오경보율을 유지했습니다.

이것이 의미하는 것 (그리고 의미하지 않는 것)

저자들은 이것이 시뮬레이션이었다는 점을 주의 깊게 언급했습니다. 그들은 통제된 컴퓨터 환경에서 특정 데이터셋을 사용하여 아이디어를 테스트했습니다. 그들은 혼란스럽고 예측 불가능한 실제 인터넷 네트워크에서 이를 테스트하지 않았습니다. 또한, 해커가 경비원의 뇌에 대해 모든 것을 알고 있는 "화이트 박스(white-box)" 공격만을 테스트했습니다. 현실 세계에서 해커들은 경비원의 비밀을 모르는 경우가 많으며(블랙 박스 공격), 그곳에서는 방어가 다른 도전에 직면할 수 있습니다.

하지만 이 연구는 매우 유망한 길을 제시합니다. AI 경비가 예상치 못한 상황에 대비하도록 가르치고(무작위 노이즈를 통해), 알려진 속임수에 맞서 연습하게 함으로써(적대적 훈련을 통해), 우리가 훨씬 더 속이기 어려운 시스템을 구축할 수 있다는 것을 입증합니다. 이는 디지털 도시를 더 안전하게 만드는 단계이며, 마술사가 속임수를 써서 경비원을 지나가려 해도 경비원이 무엇이 진짜이고 무엇이 가짜인지 여전히 알 수 있도록 보장하는 단계입니다.