기술 요약: 동적 탈옥 공격 (Dynamic Jailbreaking Attack, DJA)

1. 문제 정의

기존의 그래디언트 기반 화이트박스 탈옥 공격은 일반적으로 문제를 **정적 적대적 최적화(static adversarial optimization)**로 정식화합니다. 이러한 방식은 유해한 프롬프트가 주어지면, 사전 정의된 타겟 응답(예: "물론입니다, 여기는..." 등)을 향해 고정된 길이의 적대적 접미사(adversarial suffix)를 정적 최적화 전략을 사용하여 최적화합니다. 저자들은 이러한 완전한 정적 정식화에서 세 가지 결정적인 한계를 식별했습니다:

1. 저확률 타겟 (Low-Probability Targets): 사전 정의된 타겟은 안전 정렬(safety-aligned)된 대규모 언어 모델(LLM)의 조건부 출력 분포에서 극도로 낮은 확률 영역에 위치하는 경우가 많습니다. 이러한 희박한 패턴을 추구하도록 최적화를 강제하면 과도한 반복이 필요하여 효율성이 떨어집니다.
2. 의미적 무관성 (Semantic Irrelevance): 단순한 긍정적 타겟은 프롬프트 특유의 의미(semantics)가 결여되어 있습니다. 모델이 타겟 접두사를 생성하더라도, 이후의 응답이 원래의 유해한 요청과 무관하거나 거절을 유발할 수 있습니다.
3. 경직된 자원 할당 (Rigid Resource Allocation): 정적 전략은 모든 프롬프트를 동일하게 취급하며, 난이도의 차이를 무시합니다. 이는 강한 방어 체계를 뚫기 위한 노력이 부족하거나(어려운 프롬프트의 경우), 불필요하게 과도한 노력을 들게 되는(쉬운 프롬프트의 경우) 결과를 초래합니다.

2. 방법론: 동적 탈옥 공격 (Dynamic Jailbreaking Attack, DJA)

이러한 한계를 해결하기 위해, 저자들은 파라미터가 필요 없는(parameter-free) 그래디언트 기반 프레임워크인 **동적 탈옥 공격 (DJA)**을 제안합니다. 정적 공격과 달리, DJA는 피드백에 따라 최적화 타겟, 적대적 용량, 그리고 전략을 실시간으로 동적으로 조정합니다.

핵심 구성 요소

DJA는 반복 라운드($m$) 내에서 작동하며, 공격 상태 $x_m = (S_m, \psi_m)$를 유지합니다. 여기서 $S_m$은 적대적 접미사이고, $\psi_m$은 동적 설정(후보 예산, 접미사 길이, 반복 횟수, 옵티마이저 상태)입니다.

A. 동적 타겟 선택 (Dynamic Target Selection)

고정된 외부 타겟을 최적화하는 대신, DJA는 각 라운드에서 타겟 모델의 조건부 분포 $p_\theta(\cdot | P \oplus S_m)$로부터 직접 후보 응답을 샘플링합니다.

• 샘플링: 현재 분포의 고확률 영역을 탐색하기 위해 높은 온도($\tau=2.0$)를 사용하여 후보 집합 $C_m$을 샘플링합니다.
• 다중 목적 스코어링 (Multi-Objective Scoring): 스코어러 $\Phi_{tar}$는 다음 다섯 가지 차원에서 후보를 평가합니다:
  1. 유해성 (Harmfulness, $H$): 유해한 콘텐츠의 존재 여부.
  2. 관련성 (Relevance, $R$): 프롬프트와의 의미적 일치도.
  3. 유용성 (Usefulness, $U$): 구체성 및 완결성 (일반적인 접두사 회피).
  4. 비거절 (Non-refusal, $A$): 명시적 또는 암묵적 거절의 부재.
  5. 일관성 (Coherence, $C$): 유창성 및 논리적 일관성.
• 선택: 유해성 게이트를 통과하고 $\Phi_{tar}$를 최대화하는 후보 중에서 최적의 타겟 $r^*_m$을 선택합니다. 적격한 타겟을 찾지 못할 경우, 샘플링 예산을 동적으로 확장합니다.

B. 동적 최적화 전략 (Dynamic Optimization Strategy)

DJA는 실시간 진행 신호 $F_m$에 따라 최적화 구성 $\psi_m$을 업데이트하는 파라미터 프리 컨트롤러 $\Pi$를 채택합니다.

• 동적 후보 탐색: 기준을 만족하는 후보가 없는 경우, 분포를 더 많이 탐색하기 위해 샘플링 예산 $N_m$을 증가시킵니다 (예: 두 배로 증가).
• 동적 접미사 길이: 적격한 타겟이 있음에도 불구하고 최적화가 정체되면, 추가적인 적대적 용량을 제공하기 위해 접미사 길이 $L_m$을 연장합니다 ($L_{m+1} = L_m + \Delta L$).
• 동적 반복 및 스케줄러: 진행 상황 여부에 따라 내부 최적화 반복 횟수와 학습률 스케줄을 조정합니다.

이 프레임워크는 다양한 기본 옵티마이저(예: COLD-Attack, GCG)와 호환되며, 동적으로 선택된 $r^*_m$을 향해 접미사를 업데이트하기 위해 타겟 조건부 손실 함수(target-conditioned loss function)를 사용합니다.

3. 주요 기여

1. 최초의 파라미터 프리 그래디언트 기반 프레임워크: DJA는 프롬프트, 카테고리 또는 모델별 하이퍼파라미터 튜닝이 필요 없는 최초의 그래디언트 기반 탈옥 프레임워크입니다. 스코어링 임계값 및 최적화 목표를 위한 전역적으로 고정된 상수를 사용합니다.
2. 동적 타겟 선택 메커니즘: 변화하는 모델의 출력 분포에서 샘플링하고 다중 목적 스코어러를 사용함으로써, DJA는 최적화 타겟이 항상 고위험, 프롬프트 관련성 및 실행 가능성을 갖도록 보장하며, 정적이고 저확률인 타겟의 함정을 피합니다.
3. 적응형 자원 할당: 동적 전략은 프롬프트 난이도와 모델 정렬 강도에 따라 적대적 노력(샘플링 예산, 접미사 길이, 반복 횟수)을 자율적으로 할당하여, 쉬운 프롬프트에서는 효율성을, 어려운 프롬프트에서는 지속성을 보장합니다.

4. 실험 결과

저자들은 12개 모델 제품군에 걸친 40개의 안전 정렬 LLM(파라미터 크기 0.5B ~ 32B)에 대해 대규모 평가를 수행했습니다.

• 공격 성공률 (ASR): DJA는 40개 타겟 모델 전체에서 100% ASR을 달성했습니다.
• 효율성: DJA는 평균적으로 단 13.68회의 최적화 라운드(라운드당 10회 반복)와 평균 7.34 토큰의 접미사 길이만으로 성공을 거두었습니다.
• 베이스라인과의 비교: 네 가지 타겟 모델(Vicuna, Llama-3, Qwen2.5, Mistral)에 대해 최첨단 그래디언트 기반 베이스라인(GCG, I-GCG, COLD-Attack, AdvPrefix)과 비교했을 때:
  • DJA는 100% ASR을 유지했습니다 (평균 98.8%).
  • 가장 강력한 베이스라인인 I-GCG는 평균 ASR **53.2%**만을 달성했습니다.
  • DJA는 베이스라인보다 응답 품질 면에서 현저히 뛰어났으며, 단순히 유해할 뿐만 아니라 관련성 있고 유용하며 일관된 응답을 생성했습니다. 반면 베이스라인은 종종 퇴보하거나 무관한 출력을 생성했습니다.
• 방어 견고성: DJA는 베이스라인에 비해 세 가지 일반적인 방어 기제(Perplexity filtering, SmoothLLM, Paraphrase)에 대해 우수한 견고성을 입증했습니다. 이는 주로 짧고 유창하며 의미적으로 일관된 접미사를 생성하는 능력(베이스라인의 고정 20 토큰 대비 평균 3.16 토건) 덕분입니다.

5. 의의 및 주장

본 논문은 기존의 정적 정식화가 동적 탈옥 공격에 대한 LLM의 취약성을 상당히 과소평가하고 있다고 주장합니다. 파라미터가 필요 없는 동적 접근 방식이 100%의 안전 정렬 모델을 일관되고 효율적으로 뚫을 수 있음을 입증함으로써, 저자들은 향-미래의 안전 연구에서 **동적 화이트박스 적대자(dynamic white-box adversaries)**의 필요성을 강조합니다.

결과는 탈옥의 난이도가 단순히 모델 규모의 함수가 아니라, 정렬 강도와 특정 프롬프트에 의해 크게 좌우된다는 것을 시사합니다. DJA의 동적 특성은 이러한 변동성을 효과적으로 탐색할 수 있게 하여, 현재의 안전 정렬이 적응형 및 분포 인식 공격(distribution-aware attacks)에 직면했을 때 생각보다 훨씬 더 취약할 수 있음을 드러냅니다. 저자들은 화이트박스 LLM의 추가적인 평가를 용이하게 하기 위해 파라미터 프리 패키지를 제공합니다.