시계열 예측 모델의 회원 추론 위험

초록

본 논문은 시계열 예측 모델에 대한 회원 추론 공격(MIA)의 취약성을 최초로 체계적으로 조사한다. 다변량 LiRA를 시계열에 맞게 변형한 통계 기반 공격과, End‑to‑End 학습 방식의 Deep Time Series(DTS) 공격을 제안한다. TUH‑EEG와 ELD 데이터셋, LSTM 및 최신 N‑HiTS 아키텍처를 대상으로 기록 수준과 사용자 수준 두 위협 모델을 실험했으며, 특히 사용자 수준 공격에서 거의 완벽한 탐지율을 보였다. 예측 지평이 길어질수록, 학습 데이터 규모가 작아질수록 취약성이 증가한다는 결론을 도출한다.

상세 분석

이 연구는 시계열 예측 분야에서 프라이버시 위험을 정량화하기 위해 두 가지 새로운 회원 추론 공격을 설계하고, 기존의 분류 기반 공격들을 시계열에 맞게 재구성하였다. 첫 번째는 다변량 LiRA(Multi‑Signal LiRA)로, 예측 오차, 트렌드·계절성, 임베딩 거리 등 여러 신호를 동시에 활용한다. 각 신호를 그림자 모델들의 출력에서 추출하고, 회원·비회원 그룹별 평균·분산을 추정해 다변량 정규분포를 가정한다. 제한된 그림자 모델 수로 인해 공분산 행렬을 대각선으로 근사했지만, 실험 결과 이 근사에도 불구하고 높은 탐지 성능을 유지한다. 두 번째는 Deep Time Series(DTS) 공격이다. 이는 입력‑예측 쌍을 그대로 사용해, 목표 모델의 출력과 정답 사이의 차이를 특징으로 하는 작은 신경망 분류기를 학습한다. DTS는 특히 기록 수준 공격에서 가장 높은 AUC를 기록했으며, 복잡한 시계열 패턴을 자동으로 학습한다는 장점이 있다.

위협 모델은 기록 수준과 사용자 수준으로 구분된다. 기록 수준에서는 단일 (X, Y) 쌍의 회원 여부를 판별하고, 사용자 수준에서는 한 사용자의 여러 기록 집합 전체가 학습에 포함됐는지를 추론한다. 사용자 수준 공격은 개별 기록이 아닌 집합 전체에 대한 통계적 평균을 이용해 판단하므로, 동일 사용자의 여러 레코드가 모델에 남긴 미세한 메모리 흔적을 누적시켜 탐지율을 크게 높인다. 실험에서는 사용자 수준 공격이 거의 100% 정확에 도달했으며, 이는 시계열 데이터가 사용자별 연속적인 패턴을 포함하고 있기 때문으로 해석된다.

데이터셋으로는 의료용 EEG 신호를 포함한 TUH‑EEG와 전력 소비 데이터를 담은 ELD를 사용했으며, 두 데이터 모두 다변량 시계열이며, 레코드당 길이와 변수 수가 다르다. 모델 아키텍처는 전통적인 LSTM과 최신 N‑HiTS(N‑Hierarchical Interpolation for Time Series) 두 가지를 채택했다. N‑HiTS는 다중 해상도 디코더 구조를 갖추어 장기 예측에 강점을 보이지만, 본 연구에서는 오히려 더 높은 회원 추론 위험을 나타냈다. 이는 모델이 복잡한 패턴을 더 잘 학습하면서 과적합 가능성이 커짐을 의미한다.

핵심 결과는 다음과 같다. (1) 시계열 예측 모델은 기존 이미지·텍스트 분류 모델과 마찬가지로 회원 추론 공격에 취약하다. (2) 사용자 수준 공격이 기록 수준보다 현저히 높은 성공률을 보이며, 실제 서비스에서 개인 식별 위험이 크다. (3) 예측 지평(H)이 길어질수록, 학습 데이터 수가 적을수록(특히 사용자당 레코드 수가 작을수록) 공격 성공률이 상승한다. 이는 LLM에서 보고된 “데이터 규모와 예측 길이”와 유사한 현상이다. (4) 제안한 Multi‑Signal LiRA와 DTS 공격이 기존 LiRA·RMIA 기반 공격을 능가하며, 특히 DTS가 기록 수준에서 최고의 성능을 기록한다. (5) 그림자 모델 수가 제한적일 때도, 신호들의 독립성을 활용한 대각 공분산 근사만으로도 충분히 강력한 통계 기반 공격을 구현할 수 있다.

이러한 발견은 시계열 예측 서비스를 제공하는 의료·스마트 그리드·금융 분야에서 프라이버시 보호 설계가 필요함을 시사한다. 차등 프라이버시(DP)와 같은 이론적 보호 메커니즘을 적용하거나, 모델 학습 단계에서 과적합을 억제하는 정규화 기법, 데이터 증강 등을 고려해야 한다. 또한, 사용자 수준 위험을 완화하기 위해서는 개별 사용자의 데이터가 모델에 과도하게 반영되지 않도록, 사용자별 샘플링 비율을 균등하게 조정하거나, 사용자 별 미니배치 학습을 도입하는 방안도 검토될 수 있다.