[논문 리뷰] Adversarial Attacks and Defenses in Physiological Computing: A Systematic Review

Dongrui Wu, Jiaxin Xu외 6명|arXiv (Cornell University)|2021. 02. 04.

Adversarial Robustness in Machine Learning참고 문헌 115인용 수 8

한 줄 요약

이 체계적 리뷰는 뇌-컴퓨터 인터페이스, 생체정보 및 헬스 인포매틱스와 같은 신체정보 컴퓨팅 시스템을 대상으로 하는 악성 공격를 식별하고 분류한다. 이는 머신러닝 파이프라인의 취약점을 악용하여 발생한다. 이 리뷰는 신호 처리, 특징 공학, 모델 추론 단계에서의 위험을 강조하며, 강건성, 프라이버시 및 실제 적용 사례 검증에 대한 긴급한 연구 필요성을 제기한다.

ABSTRACT

Physiological computing uses human physiological data as system inputs in real time. It includes, or significantly overlaps with, brain-computer interfaces, affective computing, adaptive automation, health informatics, and physiological signal based biometrics. Physiological computing increases the communication bandwidth from the user to the computer, but is also subject to various types of adversarial attacks, in which the attacker deliberately manipulates the training and/or test examples to hijack the machine learning algorithm output, leading to possible user confusion, frustration, injury, or even death. However, the vulnerability of physiological computing systems has not been paid enough attention to, and there does not exist a comprehensive review on adversarial attacks to them. This paper fills this gap, by providing a systematic review on the main research areas of physiological computing, different types of adversarial attacks and their applications to physiological computing, and the corresponding defense strategies. We hope this review will attract more research interests on the vulnerability of physiological computing systems, and more importantly, defense strategies to make them more secure.

연구 동기 및 목표

• 실시간 생체 신호(예: 뇌파, 심전도, 발한 반응)를 기반으로 하는 신체정보 컴퓨팅 시스템의 증가하는 보안 위험을 해결하기 위해.
• 신체정보 컴퓨팅에서 머신러닝 모델을 대상으로 하는 악성 공격 유형(예: 회피 공격, 오염 공격, 모델 역공학 공격 등)을 식별하고 분류하기 위해.
• 기존의 방어 기법을 조사하고, 특히 전이 학습 및 특징 공학 파이프라인에서의 강건성 격차를 부각하기 위해.
• 의료 및 인간-컴퓨터 상호작용 분야에서 높은 영향을 미칠 수 있는 만큼, 악성 공격 및 방어 조치의 실제 적용 사례 검증이 절실한 이유를 강조하기 위해.
• 데이터 泄露 및 모델 무결성 등을 포함한 신체정보 컴퓨팅 분야의 보안 및 프라이버시 통합 연구를 촉구하기 위해.

제안 방법

• EEG, ECG, EDA 및 관련 생체정보를 중심으로, 악성 공격에 관한 210篇 이상의 논문을 체계적으로 검토하였다.
• 공격 표면 기반으로 공격를 분류: 입력 수준(회피 공격), 데이터 수준(오염 공격), 모델 수준(잠금 해제, 백도어 공격)의 조작.
• 시간적 및 인과적 의존성을 고려하여, 시간 시리즈 생체 신호에 적용된 FGSM, PGD 및 타겟 공격 변형 기법을 분석하였다.
• 악성 공격에 대한 방어 전략으로 악성 훈련, 입력 전처리, 강건한 특징 선택 기법을 평가하였으며, 전이 학습 및 모델 무결성 검증에 중점을 두었다.
• 신호 수집 및 전처리에서부터 정서 컴퓨팅 및 BCI에서의 분류 및 회귀에 이르기까지 전체 머신러닝 파이프라인에 걸친 공격 벡터를 매핑하였다.
• 임상 및 웨어러블 시스템에서 확인된 취약점을 바탕으로, 향후 연구를 위한 프레임워크를 제안하였으며, 실제 적용 사례 시연 및 프라이버시 보존 방식의 방어 전략을 포함하였다.

실험 결과

연구 질문

• RQ1 신체정보 컴퓨팅 시스템에서 가장 흔한 악성 공격 유형은 무엇이며, 머신러닝 모델의 취약점을 어떻게 악용하는가?
• RQ2 악성 공격는 생체정보 컴퓨팅 파이프라인의 다양한 구성 요소(신호 처리, 특징 추출, 분류 등)에 어떻게 영향을 미치는가?
• RQ3 현재 존재하는 방어 기법은 무엇이며, 의료 및 웨어러블 응용 분야에서의 실제 구현에 있어 어떤 점에서 부족한가?
• RQ4 신체정보 컴퓨팅에서의 전이 학습 및 모델 미세조정은 데이터 오염 공격 및 모델 역공학 공격에 대해 어떻게 취약해지는가?
• RQ5 분류 모델 외에 새로운 공격 표면은 무엇이 있는가? 예를 들어, 이식 가능한 장치의 파rameter 조작이나 정서 컴퓨팅의 회귀 모델에서의 공격가능성은 어떻게 고려할 수 있는가?

주요 결과

• 신체정보 컴퓨팅 시스템에 대한 악성 공격는 매우 효과적이며 점점 더 실현 가능해지고 있으며, 특히 BCI 및 생체정보 시스템에서 FGSM 및 PGD 공격가 EEG 및 ECG 기반 모델을 성공적으로 조작하고 있다.
• 신호 처리 및 특징 공학 단계는 데이터 오염 및 악성 특징 선택에 취약하여, 감지되지 않은 채로 모델 성능을 떨어뜨릴 수 있다.
• 신체정보 컴퓨팅에서의 전이 학습는 특히 무결성 검증 없이 사전 훈련된 모델를 사용할 경우 오염 공격에 매우 취약하다.
• 이론적으로는 가능하나 실제 적용 사례의 시연는 여전히 제한되어 있어, 공격의 실현 가능성과 방어 조치의 필요성 검증에 있어 심각한 격차가 존재한다.
• 신체정보 컴퓨팅의 프라이버시 위험은 모델 조작를 넘어서, BCIs가 감정 상태, 선호도, 건강 상태 등의 민감한 개인 정보를 泄露할 수 있다는 점에서 확장된다.
• 신체정보 컴퓨팅에서의 악성 공격에 대한 강건성 평가를 위한 표준화된 벤치마크 및 평가 프로토콜의 부재는 방어 기술 개발을 저해하고 있다.