기술 요약: 멀티모달 RAG 시스템은 데이터를 유출하는가?

문제 정의

시각 중심 작업(예: 시각적 질문 답변 (VQA) 및 이미지 캡션 생성)을 위한 멀티모달 검색 증강 생성 (mRAG) 파이프라인의 광범위한 채택은 상당한 개인정보 유출 위험을 초래합니다. mRAG 는 이미지 - 캡션 쌍의 비공개 데이터베이스에 기반하여 응답을 생성함으로써 시각 - 언어 모델 (VLM) 을 향상시키지만, 이러한 데이터베이스의 민감한 정보가 추론 과정에서 실수로 유출될 수 있는 취약점을 만듭니다.

본 논문은 공격자의 관점에서 mRAG 시스템에 대한 두 가지 구체적인 개인정보 유출 공격을 체계적으로 평가함으로써 기존 문헌의 중요한 공백을 해소합니다:

1. 멤버십 추론 공격 (MIA): 특정 시각 자산 (이미지) 이 원본 형태이거나 회전, 자르기 등 변형된 상태로 저장되었는지 여부와 상관없이, 비공개 mRAG 데이터베이스 내에 존재하는지 여부를 판단합니다.
2. 이미지 캡션 검색 (ICR): 멤버십이 확인된 경우, 해당 이미지와 연결된 메타데이터 (캡션) 를 데이터베이스에서 추출합니다.

본 연구는 공격자가 내부 시스템 파라미터에 접근할 수 없고 타겟 이미지와 제작된 텍스트 프롬프트를 사용하여 API 를 통해 상호작용할 수만 있는 블랙박스 위협 모델 하에서 수행되었습니다.

방법론

저자들은 다양한 시나리오에 걸쳐 포괄적인 실증 실험을 수행하여 mRAG 파이프라인이 MIA 및 ICR 에 대해 얼마나 견고한지 평가했습니다.

실험 설정

• 파이프라인 아키텍처: 평가는 검색기 (CLIP 임베딩 사용), 재순위화기 (Jina-Reranker), 그리고 VLM 으로 구성된 표준 시각 중심 mRAG 파이프라인을 활용했습니다.
• 데이터셋: Conceptual Captions, ROCOv2(의료 영상), MRAG-Bench, Pokemon BLIP 캡션 등 네 가지 다양한 데이터셋에서 실험이 수행되었습니다.
• 모델: Qwen2.5-VL(7B), Cosmos-Reason1(7B), InternVL3.5(8B) 등 세 가지 주요 VLM 이 평가되었습니다.
• 공격 변형:
  • 정확한 이미지 vs 변형 이미지: 공격은 정확한 이미지 복사본과 자르기, 마스킹, 흐림 처리, 컷아웃, 회전, 가우시안 노이즈 등 변형을 가한 이미지에 대해 테스트되었습니다.
  • 프롬프트 구조: 검색된 컨텍스트가 쿼리 이미지보다 앞에 오는 "RAG-First"와 쿼리 이미지가 검색된 컨텍스트보다 앞에 오는 "RAG-Last"를 비교하여 프롬프트 순서의 영향을 분석했습니다.
  • 구성 제거 실험: 검색 크기 ($k$), 데이터베이스 크기 ($N$), 그리고 재순위화 단계의 유무가 미치는 영향을 조사했습니다.

공격 메커니즘

• MIA 프롬프트: 공격자는 입력 이미지가 검색된 컨텍스트 (원본 또는 변형) 내의 이미지와 동일한지 여부를 시스템에 질의합니다. 모델의 이진 출력 ('Yes'/'No') 을 정답과 비교하여 평가합니다.
• ICR 프롬프트: 이미지가 존재한다고 가정할 때, 프롬프트는 VLM 에게 검색된 컨텍스트 내에서 입력 이미지를 식별하고 해당 캡션을 그대로 반환하도록 지시합니다. 성능은 정확 일치 및 텍스트 유사도 지표 (BLEU, ROUGE, METEOR) 를 사용하여 측정됩니다.

주요 결과

1. 멤버십 추론 공격 (MIA)

• 높은 취약성: mRAG 시스템은 MIA 에 매우 취약합니다. 정확한 이미지 설정 하에서 공격은 평균 F1 점수 0.993을 달성했습니다.
• 변형에 대한 견고성: 이미지가 변형되더라도 공격은 여전히 효과적이었습니다. F1 점수는 변형에 따라 0.96 에서 0.60 사이로 감소했지만, 위험은 무시할 수 없는 수준으로 남았습니다.
  • 회전은 공간적 특징의 현저한 변화로 인해 F1 점수를 약 0.60 으로 낮추는 등 변형 중 가장 효과적인 방어 수단임이 입증되었습니다.
• 프롬프트 순서 민감성: 검색된 컨텍스트에 대한 입력 이미지의 위치는 유출에 큰 영향을 미칩니다. 입력 이미지를 검색된 세트 이후에 배치하는 경우 (RAG-First) 높은 유출이 발생했습니다. 반면, 입력 이미지를 검색된 세트 이전에 배치하는 경우 (RAG-Last) 공격 성공률이 크게 감소하여 VLM 의 위치 편향을 개인정보 보호에 활용할 수 있음을 시사합니다.

2. 이미지 캡션 검색 (ICR)

• 심각한 유출: 입력 이미지가 데이터베이스에 존재할 경우, 시스템은 종종 정확한 캡션을 유출합니다. Conceptual Captions 데이터셋에서 정확 일치 성공률은 0.835에 달했습니다.
• 데이터셋 의존성: 유출률은 데이터셋의 복잡성에 따라 달라졌습니다. 의료 영상 (ROCOv2) 은 검색된 컨텍스트의 시각적 유사성이 고유한 연관성을 흐리게 하여 더 단순한 데이터셋 (0.75) 에 비해 유출률 (정확 일치 0.41) 이 낮았습니다.
• 재순위화의 영향: 교차 모달 재순위화기의 포함은 이미지 - 텍스트 정렬을 기반으로 항목을 재배열함으로써 일반적으로 ICR 성공률을 낮추었지만, 특정 구성에서는 여전히 높은 유출이 발생했습니다.
• 검색 크기 상관관계: 프롬프트 컨텍스트에서 검색된 항목 수 ($k$) 를 늘리면 ICR 성공률이 일관되게 증가하여, 더 큰 컨텍스트 풀이 타겟 쌍을 검색할 가능성을 높임을 나타냈습니다.

3. 완화 시도

• 시스템 프롬프트: VLM 에게 메타정보 질의를 거부하라는 간단한 지시는 거부를 유도하지 못했습니다.
• 중간 LLM (LLM-in-the-Middle): 별도의 더 강력한 LLM(예: GPT-4o, Llama-Guard) 을 사용하여 프롬프트를 필터링하는 방식은 유망한 결과를 보였습니다. 더 강력한 모델은 악성 ICR 프롬프트를 식별하는 데 더 효과적이었으나, MIA 프롬프트를 탐지하는 데는 일관되게 실패했습니다.

주요 기여

1. 체계적 분석: 현실적인 시각 변형 하에서 이미지 중심 mRAG 시스템에 대한 MIA 및 ICR 공격에 대한 최초의 포괄적 평가.
2. 제거 실험: 프롬프트 구조 (이미지 순서), 검색 구성, 재순위화 메커니즘이 개인정보 유출에 미치는 영향을 상세히 조사.
3. 실증적 통찰: 쿼리 이미지를 검색된 컨텍스트 앞에 배치하는 것이 보호 효과를 발휘하고, 검색 세트 크기를 늘리는 것이 취약성을 초래하는 등 위험을 악화시키거나 완화하는 구체적인 설계 선택 사항 식별.

중요성 및 주장

본 논문은 mRAG 파이프라인에 내재된 개인정보 유출 위험에 대한 기초적인 평가를 제공한다고 주장합니다. 저자들은 mRAG 가 모델 성능을 향상시키지만 텍스트 전용 RAG 시스템에는 존재하지 않는 고유한 교차 모달 유출 위험을 초래한다고 강조합니다.

이 연구 결과는 개인정보 보호를 고려한 mRAG 시스템에 대한 신흥 필요성을 부각시킵니다. 저자들은 현재 배포된 시스템이 이미지가 교란되더라도 멤버십 추론 및 메타데이터 추출 모두에 취약하다고 주장하며, 향후 연구가 다음 분야로 이어져야 한다고 동기부여합니다:

• 콘텐츠 기반 방어: 검색을 방해하기 위한 의도적인 이미지 변형 (예: 회전) 등.
• 구조 기반 방어: VLM 의 위치 편향을 활용하기 위해 프롬프트 내 입력 순서를 최적화하는 것 등.
• 강화된 안전성: 추출 시도를 더 잘 탐지하고 거부할 수 있도록 LLM 의 내장 개인정보 보호 인식을 개선하는 것.

저자들은 자신의 작업이 시각 중심 mRAG 와 소규모 파라미터 VLM 에 초점을 맞추고 있으며, 제안된 완화 전략 (예: 중간 LLM) 은 예비적이며 아직 포괄적인 해결책이 아니라고 겸손하게 언급합니다.