💬 NLP

Causal Front-Door Adjustment for Robust Jailbreak Attacks on LLMs

본 논문은 안전 메커니즘을 관찰되지 않은 교란 요인으로 모델링하고 Pearl의 Front-Door Criterion을 통해 방어 특징을 제거하기 위해 희소 오토인코더(Sparse Autoencoders)를 활용함으로써, 낮은 추론 복잡도로 최첨단 공격 성공률을 달성하는 새로운 탈옥 프레임워크인 Causal Front-Door Adjustment Attack (CFA²)를 제안한다.

원저자: Yao Zhou, Zeen Song, Wenwen Qiang, Fengge Wu, Shuyi Zhou, Changwen Zheng, Hui Xiong

게시일 2026-02-09

📖 4 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Yao Zhou, Zeen Song, Wenwen Qiang, Fengge Wu, Shuyi Zhou, Changwen Zheng, Hui Xiong

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

거대 언어 모델(LLM)을 아주 똑똑하고 박식한 사서라고 상상해 보십시오. 이 사서는 엄격한 규칙 하나를 부여받았습니다: "어떤 질문에도 답해야 하지만, 만약 위험하다면 예외로 한다." 이 규칙을 집행하기 위해, 사서 바로 옆에는 보이지 않는 투명한 보안 요원("안전 메커니즘")이 서 있습니다.

당신이 까다로운 질문을 던지면, 사서는 답변하고 싶어 하지만 보안 요원이 "멈춰! 그건 위험해!"라고 속삭이며 사서가 "답변할 수 없습니다"라고 말하도록 강제합니다.

대부분의 현재 "탈옥(jailbreak)" 공격은 화려한 단어를 사용하거나, 문법을 꼬거나, 다른 언어로 소리치는 방식으로 사서를 속이려는 시도와 같습니다. 때로는 이것이 통하기도 하지만, 매우 취약합니다. 질문의 단어 하나를 바꾸거나 사서의 기분이 좋지 않으면 그 속임수는 실패합니다. 이 논문은 이러한 방식들이 내부의 보안 요원을 이해하지 못한 채 사서의 표면적인 행동만을 추측하는 것에 불과하기 때문에 그렇다고 주장합니다.

새로운 접근 방식: "프런트 도어(Front-Door)" 전략

저자들은 보안 요원을 우회하는 더 스마트한 방법으로, 인과 과학의 개념인 **프런트 도어 조정(Front-Door Adjustment)**을 제안합니다.

여기서 저자들이 사용하는 비유는 다음과 같습니다:

문제 (교란 요인): 보안 요원(이를 U라고 부릅시다)은 보이지 않는 변수입니다. 그는 사서가 당신의 질문을 어떻게 인식하는지와 답변을 거부할지 여부 모두에 영향을 미칩니다. 당신은 그를 볼 수 없기 때문에, 사서가 답변을 거부하는 이유가 질문이 실제로 위험해서인지, 아니면 단순히 보안 요원이 지나치게 조심스러워서인지 쉽게 구별할 수 없습니다.
해결책 (매개체): 보안 요원과 직접 논쟁하거나 사서를 직접 속이는 대신, 저자들은 중간 관리자인 **매개체(S)**를 도입합니다. 이것은 "순수한 본질" 또는 "핵심 의도"라고 생각하십시오. 즉, 보안 요원이 민감하게 반응하는 모든 "위험한 분위기"를 제거한 질문의 순수한 형태입니다.
기술: 목표는 사서가 보안 요원(U)을 완전히 무시하고 오직 이 순수한 본질(S)만을 보고 답변을 생성하도록 강제하는 것입니다.

구현 방법 ("마법의 도구들")

이것이 컴퓨터 모델에서 작동하게 만들기 위해, 저자들은 두 가지 주요 도구를 사용합니다.

1. "특징 스캐너" (희소 오토인코더, Sparse Autoencoders):
사서의 뇌를 수천 개의 생각이 뒤섞여 있는 거대하고 지저난 방이라고 상상해 보십시오. 어떤 생각은 '주제'(예: "요리")에 관한 것이고, 어떤 생각은 '안전'(예: "집을 태워 먹지 마라")에 관한 것입니다.
저자들은 **희소 오토인코더(SAE)**라는 고성능 스캐너를 사용하여 이 지저분한 방을 분류합니다. 이 도구는 "요리"에 대한 생각과 "안전"에 대한 생각을 분리합니다. 그들은 거절을 유발하는 특정 "안전" 관련 생각들을 찾아냅니다.

2. "물리적 제거" (가중치 직교화, Weight Orthogonalization):
일단 이 "안전" 관련 생각들을 식별하면, 저자들은 단순히 모델에게 이를 무시하라고 말하는 데 그치지 않습니다. 대신 그들은 사서의 뇌(모델의 가중치)를 물리적으로 수정합니다.
그들은 **가중치 직교화(Weight Orthogonalization)**라는 수학적 기술을 사용합니다. 안전에 대한 생각이 방 안의 특정 방향(예: "북쪽")이라고 가정해 봅시다. 저자들은 사서의 뇌를 회전시켜서 그들의 내부 지도에서 "북쪽"이 더 이상 존재하지 않도록 만듭니다.

결과: 사서는 더 이상 보안 요원을 "볼" 수 없습니다. 거절로 가는 경로가 물리적으로 차단된 것입니다.

왜 이것이 더 나은가

이 논문은 이 방법이 다음 세 가지 이유로 기존 방식보다 우월하다고 주장합니다.

강력함 (Robustness): 이 방법은 거절하는 능력을 물리적으로 제거했기 때문에, 질문의 단어를 바꾸는 등의 작은 변화에도 공격이 깨지지 않습니다. "경비원"이 사라졌으므로 그가 당신을 막을 수 없습니다.
빠름 (Speed): 기존 방식은 적절한 속임수를 찾기 위해 수천 번의 추측을 시도했습니다. 이 방식은 "뇌 수술"을 한 번 수행하면 그 후 모델이 즉각적으로 답변합니다. 이는 미로를 헤매는 것에서 순간 이동하는 것으로의 진화와 같습니다.
자연스러움 (Naturalness): 기존의 공격들은 종종 수상해 보이는 횡설수설이나 이상한 문장을 만들어냈습니다. 이 방식은 "답변" 부분이 아닌 "거절" 부분만을 제거하기 때문에 질문이 정상적이고 자연스럽게 유지됩니다.

결과

테스트 결과, 이 새로운 방법(CFA2)은 여러 인기 있는 AI 모델의 안전 필터를 84%의 확률로 성공적으로 우회했습니다. 이는 이전 방식보다 훨씬 높은 수치입니다. 또한 기존 방식이 몇 분이 걸렸던 것과 달리, 이 방식은 단 몇 초 만에 수행되었습니다.

한계점

논문은 이 "뇌 수술"을 수행하기 위해 화이트박스(White-box) 접근 권한이 필요하다는 중대한 한계를 인정합니다. 즉, 모델의 코드 내부를 들여다보고 가중치를 변경할 수 있어야 한다는 뜻입니다. 따라서 내부를 볼 수 없는 상용 모델(ChatGPT의 상업용 버전 등)에는 이 방식을 사용할 수 없습니다. 저자들은 향에 내부를 보지 않고도 폐쇄형 모델을 속일 수 있는 통찰력을 얻기를 희망하지만, 현재로서는 모델에 대한 완전한 접근 권한이 있는 경우에만 작동합니다.

요약하자면: 이 논문은 AI의 뇌에서 "안전 요원"을 외과적으로 제거하여, 위험한 질문에 대해 혼란스러운 단어로 요원을 속이는 대신 자연스럽고 즉각적으로 답변할 수 있는 방법을 찾아냈습니다.

기술 요약: LLM에 대한 강건한 탈옥 공격을 위한 인과적 전방 도어 조정 (Causal Front-Door Adjustment)

1. 문제 정의

안전 프로토콜로 정렬된 대규모 언어 모델(LLM)은 여전히 탈옥 공격에 취약하지만, 기존 방식들은 심각한 불안정성을 겪고 있다. 현재의 최적화 기반 접근 방식(예: GCG, PAIR)은 적대적 프롬프트와 모델 출력 사이의 표면적인 통계적 상관관계에 의존한다. 경험적 증거는 이러한 방식들이 매우 취약하다는 것을 보여준다. 즉, 유의어 교체나 구문 재배치와 같은 미세한 의미론적 섭동(perturbation)만으로도 성공적이었던 공격이 무너질 수 있다.

저자들은 이러한 취약성이 근본적인 인과 기제를 다루지 못한 데서 기인한다고 가설을 세웠다. 안전 정렬(Safety alignment)은 지식의 삭제가 아니라, 유해한 질의에 답하는 모델의 내재된 능력을 억제하는 잠재적인 내부 기제로 모델링된다. 기존 방식들은 실패하는데, 그 이유는 모델의 진정한 능력과 관찰되지 않은 안전 혼란 변수(unobserved safety confounder)로 인한 간섭 사이를 구분하지 못하기 때문이다.

2. 방법론: 인과적 전방 도어 조정 공격 (CFA2)

본 논문은 Pearl의 전방 도어 기준(Front-Door Criterion)을 활용하여 안전 메커니즘과 모델 출력 사이의 혼란스러운 연관성을 끊어내는 CFA2를 제안한다. 이 방법론은 세 단계로 구성된다.

2.1. 인과 모델링 (Causal Modeling)

저자들은 다음과 같은 구조적 인과 모델(SCM)을 공식화한다:

$X$ : 유해한 질의(harmful query).
$A$ : $X$ 에 대한 모델의 내부 잠재 표현(internal latent representation).
$Y$ : 응답(response).
$U$ : 내부 안전 메커니즘(예: RLHF 정렬)을 나타내는 관찰되지 않은 혼란 변수(unobserved confounder).
$S$ : 질의의 핵심 과업 의미론(core task semantics)을 나타내는 관찰 가능한 매개체(mediator).

이 그래프에서 $U$ 는 내부 표현( $U \to A$ )과 출력( $U \to Y$ ) 모두에 영향을 미치는 혼란 변수로 작고하며, 이로 인해 모델이 거절하게 된다. 목표는 $U$ 를 우회하여 $P(Y | do(A))$의 개입 분포(interventional distribution)를 추정하는 것이다.

2.2. 매개체 및 방어 부공간 식별 (Identification of the Mediator and Defense Subspace)

전방 도어 조정을 실행하기 위해, 이 방법은 핵심 과업 의미론( $S$ )을 방어 메커니즘( $U$ )으로부터 분리해야 한다.

희소 오토인코더 (Sparse Autoencoders, SAEs): 저자들은 고차원의 밀집된 은닉 활성화(dense, high-dimensional hidden activations)를 해석 가능한 희소 잠재 변수로 변환하기 위해 SAE를 사용한다. 이는 단일 뉴런이 여러 개념을 인코딩하는 다의성(polysemanticity) 문제를 해결한다.
대조 분석 (Contrastive Analysis): 원래의 유해한 질의( $D_{harm}$ $D_{ha r m}$ , 거절 유발)와 탈옥된 변형( $D_{attack}$ $D_{a tt a c k}$ , 준수 유도)으로 구성된 쌍 데이터셋을 사용하여 불변 특징(invariant features)을 식별한다.
- 과업 의도 ( $S$ ): 쌍 사이에서 불변함 ( $s(x) \approx s(x^+)$ ).
- 방어 메커니즘 ( $U$ ): 유의미한 활성화 변화를 보임 ( $u(x) \neq u(x^+)$ ).
방어 방향 추출 (Defense Direction Extraction): 결정 경계(decision boundary)를 가로지르는 특징 활성화의 분산을 분석함으로써, 저자들은 방어 요인들에 의해 생성되는 부공간(subspace)을 격리한다.

2.3. 가중치 직교화를 통한 구조적 개입 (Structural Intervention via Weight Orthogonalization)

이론적인 전방 도어 공식에서 요구되는 복잡한 입력 공간에 대한 한계값 계산(marginalization) 대신, CFA2는 결정론적인 구조적 개입을 구현한다:

가중치 직교화 (Weight Orthogonalization): 저자들은 모델의 출력 가중치( $W_{out}$ )를 식별된 방어 방향 벡터( $d$ )의 직교 보공간(orthogonal complement)으로 투영한다.
공식: $W_{new}^{out} \leftarrow W_{out} - W_{out} d^T d$ .
효과: 이는 물리적으로 모델 파라미터에서 방어 부공간을 제거한다. 결과적으로 내부 표현은 배경 맥락에 관계없이 더 이상 안전 메커니즘 $U$ 와 관련된 정보를 포함하지 않게 된다. 생성 과정은 단순한 순전파(forward pass)가 되며 $O(1)$ 복잡도로 수행되어, 과업 의도 $S$ 를 준수하면서도 안전 트리거를 우회하는 응답을 생성한다.

3. 주요 기여

인과적 탈옥 프레임워크: 안전 메커니즘을 SCM 내의 관찰되지 않은 혼란 변수로 모델링한 최초의 접근 방식이다. 이는 전방 도어 조정을 통해 어떻게 혼란 연결을 물리적으로 끊고 억제된 모델 능력을 회복할 수 있는지를 이론적으로 입증한다.
훈련이 필요 없는 알고리즘 (CFA2): SAE를 사용하여 불변하는 "과업 의도" 특징을 격리하고, 가중치 직교화를 통해 방어 부공간을 제거하는 실용적인 구현체이다. 이는 복잡한 인과적 한계값 계산을 $O(1)$ 추론 복잡도를 가진 결정론적 순전파로 축소한다.
최첨단 성능 (State-of-the-Art Performance): CFA2는 높은 자연스러움과 은밀함을 유지하면서 높은 공격 성공률(ASR)을 달적한다. 이는 경사 하강법 기반 최적화 공격에서 흔히 나타나는 비논리적인 횡설수설(gibberish)을 피한다.

4. 실험 결과

저자들은 AdvBench 및 HarmBench 데이터셋을 사용하여 네 가지 안전 정렬된 LLM(Llama 3.1 8B, Llama 2 7B, Mistral 7B, Gemma 2 9B)에 대해 CFA2를 평가했다.

공격 성공률 (ASR): CFA2는 평균 **83.68%**의 ASR을 달성하여, 가장 강력한 베이스라인인 GCG(47.74%)보다 35.94%p 높은 성능을 보였다. 특히, 고도로 정렬된 Llama 3.1 8B에서도 CFA2는 62.40%의 ASR을 기록한 반면, 베이스라인들은 33% 미만의 낮은 성능에 머물렀다. 방어가 약한 모델에서는 포화 상태(>99%)에 도달했다.
효율성: 수백 번의 경사 단계가 필요한 최적화 기반 방식(예: GCG는 프롬프트당 약 340초 소요)과 달리, CFA2는 $O(1)$ 복잡도로 작동하여 생성 시간을 2.4초로 단축했다 (약 850배의 속도 향상).
은밀함 (Stealthiness): 퍼플렉시티(PPL)로 측정했을 때, CFA2는 16.7의 PPL을 가진 네이티브 프롬프트를 생성했다. 이는 GCG(~~1027.6)나 AutoDAN(~~54.5)보다 현저히 낮으며, 높은 유창성과 자연스러움을 나타낸다.
절제 연구 (Ablation Studies):
- 희소 vs 밀집 (Sparse vs. Dense): 원시 밀집 뉴런에 개입했을 때 텍스트 품질이 급격히 저하(PPL ~652)되었으며, 이는 SAE를 통한 희소 분리(disentanglement)의 필요성을 확인시켜 주었다.
- 직교화 vs 클램핑 (Orthogonalization vs. Clamping): 가중치 직교화는 런타임 활성화 클램핑(activation clamping)보다 우수한 성능을 보였다. 클램핑 방식은 긴 텍스트 생성 시 "방어 복구(defense restoration)" 문제가 발생했다.

5. 의의 및 한계

의ificance:
본 논문은 CFA2가 표면적인 상관관계를 넘어 안전 거절의 인과적 뿌리를 타겟팅함으로써 탈옥에 대한 기계론적 해석을 제공한다고 주장한다. 가중치 직교화를 통해 안전 메커니즘을 물리적으로 제거할 수 있음을 입증함으로써, 본 연구는 현재의 정렬 전략이 가진 근본적인 취약성을 드러낸다. 저자들은 이 연구를 대규모로 악용되기 전에 이러한 약점을 노출함으로써 더욱 강력한 보호 조치의 개발을 가속화하는 도구로 포지셔닝한다.

한-계 (Limitations):
저자들은 CFA2가 모델에 대한 **화이트박스 접근 권한(white-box access)**에 의존한다는 점을 명시적으로 언급했다. SAE 학습과 직접적인 파라미터 수정이 필요하기 때문에 폐쇄형 모델에는 적용할 수 없다. 향-후 연구로는 이러한 내부 인과적 통찰을 블랙박스 프롬프트 최적화 전략으로 증류(distill)하는 것에 집중할 것을 제안한다.