Federated Learning security with FedEDAuth: Embedding-Distribution Authentication for Counterfeit IC Detection

스마트폰에서 의료 기기에 이르기까지 모든 것을 구동하는 미세 칩의 글로벌 공급망은 매우 방대하고 파편화되어 있으며, 수많은 국가와 기업에 걸쳐 뻗어 있습니다. 이러한 복잡성은 가짜 부품이라는 위험한 사각지대를 만들어냅니다. 이들은 진짜처럼 보이지만 성능이 제대로 발휘되지 않는 가짜 또는 재활용 칩으로, 항공기나 전력망과 같은 핵심 시스템에서 치명적인 실패를 초래할 수 있습니다. 전통적으로 이러한 가짜를 찾는 데는 물리적 검사나 값비싼 전기적 테스트가 필요했지만, 이는 느리고 표준화하기 어렵습니다. 이를 해결하기 위해 연구자들은 머신러닝을 활용하여, 인공지능을 통해 진짜와 가짜 칩 사이의 미세한 시각적 차이를 포착하는 방향으로 눈을 돌렸습니다. 그러나 칩 제조업체들은 자신들의 독점적인 설계와 데이터를 철저히 보호하기 때문에, 이 AI 모델을 훈련시키기 위해 자신들의 개인적인 이미지를 중앙 컴퓨터와 공유하려 하지 않습니다. 이는 '연합 학습(federated learning)'이라 불리는 협력적 접근 방식의 채택으로 이어졌습니다. 이 시스템에서는 데이터가 중앙으로 이동하는 대신 AI 모델이 데이터를 찾아갑니다. 즉, 각 제조업체는 자신의 개인 컴퓨터에서 모델을 훈련시킨 후 수학적 업데이트 값만을 중앙 서버로 전송하며, 이를 통해 민감한 이미지는 숨겨진 상태로 유지됩니다.

이 방법은 프라이버시를 보호하지만, 새롭고 미묘한 보안 위험을 도입합니다. 중앙 서버는 원본 데이터를 직접 볼 수 없기 때문에 참여하는 회사가 정직한지 검증할 수 없습니다. 악의적인 행위자가 네트워크에 참여하여 훈련 과정을 미묘하게 오염시키면, 아무도 모르는 사이에 글로벌 AI가 가짜 칩을 진짜로 받아들이도록 속일 수 있습니다. 노스캐롤라이나 대학교 샬럿te의 연구진이 수행한 최근 연구는 이 시스템이 얼마나 취약한지를 보여주며, 이를 보안할 새로운 방법을 제안합니다. 연구팀은 전체 훈련 데이터의 5% 미만을 가진 공격자가 전체 시스템을 성공적으로 부패시킬 수 있음을 입증했습니다. 공격자들은 칩 이미지에 아주 작고 거의 보이지 않는 흠집을 추가함으로써, AI가 위조품의 징후를 무시하도록 학습시켰습니다. 나쁜 행위자를 잡아내기 위해 설계된 표준 방어 기제들은 이 공격이 너무 조용했기 때문에 완전히 실패했습니다. 이에 대응하여 연구진은 데이터를 모델 훈련에 사용하기 전, 데이터의 통계적 '지문'을 확인하는 새로운 인증 시스템을 개발했습니다. 이 새로운 방법은 테스트에서 모든 악의적인 참여자를 성공적으로 식별하고 차단하여, 협력 네트워크가 안전하고 정확하게 작동할 수 있도록 했습니다.

문제의 핵심은 공격 자체의 성격에 있습니다. 일반적인 연합 학습 설정에서는 중앙 서버가 수십 개의 서로 다른 클라이언트(예: 칩 파운드리 및 테스트 시설)로부터 업데이트를 수집하여 공유 모델의 훈련을 조정합니다. 연구진은 이 클라이언트가 50개인 시나리오를 시뮬레이션했습니다. 그들은 단 3개의 클라이언트만 오염되어도 은밀한 데이터 오염 공격을 수행할 수 있다는 것을 발견했습니다. 공격자들은 시스템을 크고 명백한 오류로 깨뜨리려 하는 대신, 특정하고 미묘한 시각적 패턴을 이미지에 추가했습니다. 이 패턴은 오래되거나 재활용된 칩에서 발견되는 자연스러운 표면 변화(예: 옅은 긁힘이나 얼룩)를 모방했습니다. 이 패턴은 매우 현실적이어서 정상적인 데이터와 완벽하게 섞여 들어갔습니다. 이 세 명의 클라이언트가 오염된 데이터로 로컬 모델을 훈련했을 때, 결과물인 업데이트 값은 정직한 클라이언트들의 업데이트와 통계적으로 동일해 보였습니다.

중앙 서버가 표준적인 방식으로 이 업데이트들을 결-합했을 때, 미묘한 부패는 시간이 지남에 따라 축적되었습니다. 글로벌 모델은 점차 특정 긁힘 패턴을 진품의 징후로 인식하도록 학습되었습니다. 결과적으로, AI는 실제 위조 칩을 진짜로 잘못 분류하기 시작했으며, 이 과정에서 전체적인 정확도 점수는 높게 유지되어 피해를 숨겼습니다. 연구진은 이 공격을 테스트하기 위해 연합 학습을 보호하는 세 가지 일반적인 방어 메커니즘(모든 업데이트를 평균 내는 방식, 가장 극단적인 이상치를 제거하는 방식, 가장 유사한 모델을 선택하는 방식)을 적용했습니다. 하지만 그 중 어느 것도 작동하지 않았습니다. 공격이 너무 미묘하여 이상치로 분류되지 않았고, 평균화 과정은 신호를 아주 약간 희석시켜 탐지를 피했습니다. 실제로 모델의 전체 정확도는 0.5% 미만으로 떨어졌는데, 이는 운영자가 시스템이 완벽하게 작동하고 있다고 믿게 만들면서도 실제로는 가장 중요한 임무인 가짜 식별 기능을 상실하게 만드는 수준이었습니다.

연구진은 AI 내부에서 어떤 일이 일어나고 있는지 시각화하기 위해, 모델이 이미지의 어느 부분에 집중하는지를 강조하는 기술을 사용했습니다. 깨끗하고 오염되지 않은 모델에서 AI는 금속 선이나 다이(die)의 중심부와 같은 칩의 구조적 세부 사항을 살펴보았습니다. 반면, 오염된 모델에서 AI의 주의는 이러한 중요한 특징에서 벗어나 공격자가 추가한 인공적인 긁힘 패턴에 고정되었습니다. 모델이 잘못된 교훈을 얻어, 가짜 긁힘을 진품의 증거로 취급하게 된 것입니다. 이는 공격이 단순한 통계적 오류가 아니라, 모델의 내부 이해 구조를 겨냥한 타겟형 부패였음을 확인시켜 주었습니다. 위험한 점은 전체 정확도가 높게 유지되었기 때문에 시스템이 침해되었다는 명백한 경고 신호가 없었다는 것입니다.

결과를 확인하는 것이 너무 늦다는 점을 인식한 연구진은 '연합 임베딩 분포 인증(Federated Embedding Distribution Authentication, FedEDAuth)'이라는 새로운 방어책을 제안했습니다. 이 시스템은 훈련이 시작되기 전에 작동합니다. 모델 업데이트가 의심스러운지 기다리는 대신, 데이터 자체를 검사합니다. 이 시스템은 신뢰할 수 있는 사전 훈련된 AI를 사용하여 클라이언트가 제출하는 모든 이미지를 '임베딩(embedding)'이라고 불리는 수학적 표현으로 변환합니다. 이 과정은 실제 이미지를 드러내지 않으면서 이미지의 본질을 포착하여 클라이언트의 지적 재산을 보호합니다. 별도의 신뢰할 수 있는 서버는 각 클라이언트로부터 온 임베딩의 분포를 진정한 칩 이미지가 갖추어야 할 알려진 '골든 레퍼런스(golden reference)'와 비교합니다.

연구진은 공격자들이 자신들의 독성 데이터를 숨기려 노력했음에도 불구하고, 데이터의 통계적 특성이 그들을 배신한다는 것을 발견했습니다. 오염된 이미지들은 정직한 칩의 자연스러운 변동과는 다른 수학적 공간 내의 뚜렷한 클러스터(군집)를 형성했습니다. 새 시스템은 세 가지 특정 요소, 즉 얼마나 많은 이미지가 정상 범위를 벗어났는지, 이미지의 평균 위치가 이동했는지, 그리고 이미지들이 소속되지 않은 고립된 그룹을 형성하는지를 측정했습니다. 이 측정값들을 결합함으로써, 시스템은 악의적인 클라이언트를 완벽한 정확도로 식별할 수 있었습니다. 50개의 클라이언트를 대상으로 한 여러 무작위 시나리오 테스트에서, 이 시스템은 세 명의 오염된 참여자를 매번 단 한 번의 오보 없이 모두 찾아냈습니다.

악의적인 클라이언트들을 걸러낸 후, 남은 47명의 정직한 클라이언트들이 모델 훈련을 계속했습니다. 그 결과, 글로벌 탐지 시스템은 공격이 전혀 없었을 때와 거의 유사한 성능을 보였습니다. 최종 모델은 약 91%의 정확도를 달성했으며, 위조 칩을 95%의 확률로 정확히 식별했습니다. 이는 협력 네트워크가 프라이버시를 유지하면서도 보안을 확보할 수 있음을 입증했습니다. 즉, 데이터의 무결성을 검증할 방법이 있다면 가능하다는 것입니다. 연구진은 자신들의 테스트가 특정 유형의 시각적 트리거를 사용했다는 점을 언급하며, 이 방법이 다양한 종류의 미묘한 공격을 잡아낼 만큼 견고하다고 밝혔습니다. 또한, 연구에 사용된 위조 이미지가 물리적 표본이 아닌 디지털 시뮬레이션을 통해 생성되었다는 점을 한계로 인정했지만, 데이터 분포를 확인하는 근본적인 원칙은 유효하다고 덧붙였습니다.

이 연구의 함의는 단순히 가짜 칩을 찾는 것에 그치지 않습니다. 민감한 데이터가 협력적 머신러닝을 위해 공유되는 모든 분야(예: 하드웨어 트로잔 탐지 또는 공급망 무결성 검증)에 동일한 취약성이 존재합니다. 이 연구는 최종 모델 업데이트를 확인하는 것만으로는 고도의 보안을 유지하기에 불충분하다는 점을 시사합니다. 대신, 데이터의 출처를 검증하는 선제적인 접근 방식이 필수적입니다. 신뢰할 수 있는 제3자를 도입하여 데이터의 통계적 성격을 검증함으로써, 연구진은 반도체 산업을 위한 안전한 협업의 길을 제시했습니다. 이 접근 방식은 글로벌 모델이 단 한 명의 악의적인 행위자에 의해 조용히 부패되지 않고, 다양한 출처로부터 학습할 수 있도록 보장하며, 현대 세계를 움직이는 기술의 토대를 보호합니다.