Earticle

최근 데이터로 인한 개인정보 침해로 인해 연합학습이 이슈화되고 있다. 연합학습은 학습데이터를 요구하지 않기 때문에 프라이버시 침해로부터 안전하다. 이로 인해 분산된 디바이스, 데이터를 활용하여 효율을 내기 위한 응용 방법에 대한 연구들이 진행되고 있다. 그러나 연합학습과정에서 전송되는 그래디언트로부터 학습데이터를 복원하는 재복원공격에 대한 연구가 진행됨에 따라 더는 연합학습도 안전하다고 볼 수 없다. 본 논문은 다양한 데이터 상황에서 데이터 복원 공격이 얼마나 잘되는지 수치적, 시각적으로 확인하는 것이다. 데이터가 1개만 존재할 때부터 크게는 클래스 안에 데이터가 여러 개 분포해 있을 때로 나누어 재복원공격이 얼마나 되는지 확인을 위해 MSE, LOSS, PSNR, SSIM인 평가지표로 MNIST 데이터를 활용해 수치로 확인한다. 알게 된 사실로 클래스와 데이터가 많아질수록 MSE, LOSS,이 높아지고 PSNR, SSIM이 낮아져 복원성능이 떨어지지만 몇 개의 복원된 이미지로 충분히 프라이버시 침해가 가능하다는 것을 확인할 수 있다.

Recently, Federated learning has become an issue due to privacy invasion caused by data. Federated learning is safe from privacy violations because it does not need to be collected into a server and does not require learning data. As a result, studies on application methods for utilizing distributed devices and data are underway. However, Federated learning is no longer safe as research on the reconstruction attack to restore learning data from gradients transmitted in the Federated learning process progresses. This paper is to verify numerically and visually how well data reconstruction attacks work in various data situations. Considering that the attacker does not know how the data is constructed, divide the data with the class from when only one data exists to when multiple data are distributed within the class, and use MNIST data as an evaluation index that is MSE, LOSS, PSNR, and SSIM. The fact is that the more classes and data, the higher MSE, LOSS, and PSNR and SSIM are, the lower the reconstruction performance, but sufficient privacy invasion is possible with several reconstructed images.

AI 이미지 서비스는 인공지능 기술을 활용하여 이미지 생성, 편집, 개선 등의 작업을 자동화하거나 지원하는 플랫폼이다. AI 이미지 서비스에 대항하는 적대적 공격 서비스가 존재한다. 본 연구에서는 gradient 기반의 적대적 공격 서비스를 중심으로 실험한다. Gradient 기반의 공격은 딥러닝 이미지 모델의 손실 함수의 기울기(gradient)를 이용하여 입력 이미지에 최소한의 변화를 준다. 본 연구에서는 gradient 기반의 적대적 공격 방법들과 핵심 코드들을 식별하고, 이어 RestNet18 환경에서 gradient 기반의 적대적 공격을 수행하고 그 결과를 확인함으로써 공격의 위험성을 확인하고 자 한다. 본 연구에서는 gradient 기반의 적대적 공격 모델 5개를 대상으로 적대적 공격 실험을 수행하였고 적대적 공격 성공 여부, PSNR 등의 성능 지표를 통해 결과를 확인하였다. 연구 결과에서는 최대 공격 성공률을 원하면 MI-FGSM 모델을, 시각적으로 은닉된 공격을 원한다면 A-MI-FGSM모델을, 탐지 우회를 선호하면 FGSM+Random 모델을, 공격 과 효율성의 균형을 원하면 MI-FGSM 모델을 사용하는 것이 적절함을 확인할 수 있다.

AI image services are platforms that automate or support tasks such as image generation, editing, and enhancement using artificial intelligence technology. Adversarial attack services exist to counter AI image services. This study focuses on gradient-based adversarial attack services. Gradient-based attacks utilize the gradient of the loss function of deep learning image models to introduce minimal changes to input images. In this study, we identify gradient-based adversarial attack methods and core codes, perform gradient-based adversarial attacks in the RestNet18 environment, and verify the results to assess the risk of attacks. We conducted adversarial attack experiments on five gradient-based adversarial attack models and evaluated the results using performance metrics such as adversarial attack success and PSNR. The results indicate that the MI-FGSM model is appropriate when maximizing attack success rate, the A-MI-FGSM model when visually stealthy attacks are desired, the FGSM+Random model when detection evasion is preferred, and the MI-FGSM model when a balance between attack effectiveness and efficiency is sought.

This research aims to identify the types of adversarial attacks on AI image recognition models applicable to real-world security threat scenarios, evaluate their risk level and detection difficulty, and contribute to the development of robust and reliable defense measures. We identified various attack types and risk levels against deep learning-based image recognition models, and presented the characteristics and limitations of Projected Gradient Descent-based attacks. Based on this analysis, we designed experiments for different Projected Gradient Descent variants, compared their performance, and quantitatively evaluated their real-world attack probability and detection evasion. The experimental results show that the Early Stop- Projected Gradient Descent model has the highest attack performance compared to other Projected Gradient Descent-based attack models, which is a good trade-off between attack strength control and detection avoidance. We analyzed the risk by integrating attack type, medium, risk level, and detection difficulty, and proposed a unified view that enables a structural understanding of the attack-detection interaction, beyond the limitations of previous studies that are limited to studying individual techniques. This research contributes to the field of AI image recognition security by integrating attack experimentation, code improvement, risk identification, and detectability analysis.