스위스 Idiap Research Institute의 윈살 외즈튀르크와 세바스티앵 마르셀 연구진이 얼굴인식 모델 180개를 직접 학습해, 임베딩 군집에 훈련 데이터 포함 여부가 얼마나 남는지 측정했다. 연구진은 IResNet-34·50·100 백본, ArcFace·CosFace·MagFace 손실 헤드, 훈련 인물 수 1천·1만·5만·10만·전체, 학습 5·10·20·40에폭을 조합했다. 각 모델은 512차원 임베딩의 군집 기하 통계 네 가지로 평가했고, LFW와 IJB-C 등 9개 벤치마크에서 멤버와 비멤버를 가르는 AUC를 계산했다. arXiv 메타데이터에는 이 논문이 IJCB 2026에 채택됐다고 기재돼 있다.
훈련 인물 수가 멤버십 분리 신호에 가장 큰 영향을 줬다. Table 3의 Type-II ANOVA에서 훈련 인물 수의 partial η²는 PAIRCOS 0.99, κ 0.95, PENLOGIT 0.99, PROTOCE 0.95였다. 백본의 값은 0.09 이하, 손실 헤드는 0.04 이하로 훨씬 작았다. PAIRCOS 평균 AUC는 훈련 인물이 1천명일 때 0.90에서 전체 데이터를 썼을 때 0.71로 낮아졌다. 같은 조건에서 학습 기간이 5에폭에서 40에폭으로 늘면 평균 AUC는 0.69에서 0.85로 높아졌다.
인식 성능 향상과 멤버십 신호 감소는 같은 방향으로 움직이지 않았다. LFW에서 IResNet-34 ArcFace 모델의 EER은 훈련 인물 1천명에서 7.7, 10만명에서 0.2, 전체에서 0.3으로 낮아졌지만 PAIRCOS AUC는 각각 0.99, 0.71, 0.77이었다. 연구진은 성능이 높은 얼굴인식 모델에서도 군집 기하에 멤버십 정보가 남을 수 있다고 해석했다. 네 통계를 MLP로 합치자 가장 좋은 단일 통계와 같거나 더 높은 AUC가 나왔고, 특히 5만명과 10만명 조건에서 개선 폭이 컸다.
비멤버 데이터가 훈련 데이터와 다른 분포에서 왔는지도 결과를 크게 바꿨다. 자세·나이·화질·인종 구성이 다른 교차분포 벤치마크는 훈련 포함 여부와 도메인 차이를 함께 반영해 멤버십 신호를 부풀렸다. 연구진은 같은 수집 절차를 거친 WebFace4M 홀드아웃을 비교 기준으로 사용했을 때 훈련 인물 수가 늘수록 기하학적 멤버십 신호가 단조롭게 감소했다고 보고했다.
| 조건 | PAIRCOS 평균 AUC | 해석 범위 |
|---|---|---|
| 훈련 인물 1천명 → 전체 | 0.90 → 0.71 | 훈련 인물 수가 늘수록 감소 |
| 학습 5 → 40에폭 | 0.69 → 0.85 | 학습 기간이 길수록 증가 |
자료: STORIUM 정리
해석 범위는 분명하다. 모든 실험은 WebFace4M 한 종류의 훈련 데이터에 기반했고, DP-SGD나 지식증류 같은 방어 기법은 시험하지 않았다. 벤치마크마다 신원당 이미지 수가 달랐으며, 홀드아웃도 무작위 분할로 만들었다. 네 통계는 군집 기하만 보므로 측정된 분리 가능성은 임베딩 전체가 담는 멤버십 정보의 하한이다. 이 결과는 얼굴인식 모델의 개인정보 위험을 곧바로 입증한 공격 성공률이 아니라, 특정 실험 조건에서 관측된 기하학적 신호의 크기로 읽어야 한다.
저작권자 © STORIUM 무단전재 및 재배포 금지
