🤖 AI

AEGIS: Adversarial Target-Guided Retention-Data-Free Robust Concept Erasure from Diffusion Models

이 논문은 기존 개념 소거 방법의 한계인 견고성과 보존성 간의 상충 관계를 해결하기 위해, 추가 데이터 없이도 견고성과 보존성을 동시에 향상시키는 'AEGIS'라는 새로운 프레임워크를 제안합니다.

원저자: Fengpeng Li, Kemou Li, Qizhou Wang, Bo Han, Jiantao Zhou

게시일 2026-02-16

📖 4 분 읽기☕ 가벼운 읽기

원저자: Fengpeng Li, Kemou Li, Qizhou Wang, Bo Han, Jiantao Zhou

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

AEGIS: AI 그림 그리기 로봇의 '나쁜 습관'을 영구적으로 고치는 새로운 방법

이 논문은 최근 화제가 되는 '생성형 AI(예: 미드저니, 스테이블 디퓨전)'가 유해한 내용 (노출, 저작권 침해 등) 을 만들어내는 것을 막기 위한 새로운 기술을 소개합니다. 기존 방법들은 '나쁜 것'을 지우면 '좋은 것'까지 망가뜨리거나, 조금만 꼬면 다시 나쁜 게 나오는 문제가 있었는데요. 이 논문은 AEGIS라는 새로운 방법을 제안하며, 이 두 마리 토끼를 모두 잡는다고 주장합니다.

이 복잡한 기술을 일상적인 비유로 쉽게 설명해 드릴게요.

1. 문제 상황: "나쁜 습관을 고치려다 실수를 범하다"

생성형 AI 는 수많은 그림을 보고 학습한 '지식'을 가지고 있습니다. 하지만 이 지식 속에 '노출 (Nudity)'이나 '특정 화가 스타일' 같은 원치 않는 개념이 섞여 있다면, 우리는 AI 를 수정해서 그 부분을 지워야 합니다.

기존 방법들의 문제는 다음과 같았습니다:

과도한 삭제: "노출"이라는 단어를 지우려다 보니, "비키니"나 "해변" 같은 정상적인 개념까지 지워버려 AI 가 바닷가 그림도 못 그리는 경우가 생깁니다. (유지력 저하)
완벽하지 않은 삭제: "노출"이라는 단어를 지웠다고 생각했는데, 사용자가 "알몸"이나 "섹시한" 같은 다른 단어를 쓰면 AI 가 다시 그 나쁜 그림을 그려냅니다. (강건성 부족)

비유하자면:

아이가 "과자를 먹으면 이가 썩는다"는 이유로 과자를 완전히 금지했는데, 아이가 "사탕"이나 "초콜릿"을 달라고 하면 또 먹게 되는 상황입니다. 혹은 "과자"만 금지하려다 "건강한 간식"까지 다 버려서 아이가 배고파만 하는 꼴이죠.

2. 해결책: AEGIS (에이제스) 의 두 가지 핵심 무기

이 논문은 AEGIS라는 새로운 시스템을 개발했습니다. 이름은 '적대적인 공격에 대비한 방어'를 뜻합니다. 이 시스템은 두 가지 마법 같은 기술을 사용합니다.

① 첫 번째 무기: '악의 중심을 노리는 표적 (AET)'

기존 방법들은 "노출"이라는 단어를 지울 때, 단순히 "안전한 이미지 (예: 풍경화)"로 바꾸는 식으로 접근했습니다. 하지만 문제는 "노출"이라는 개념이 여러 가지 단어 (알몸, 섹시함 등) 로 뻗어있다는 점입니다.

AEGIS 의 접근법:

비유: 만약 도둑이 "집"이라는 개념을 이용해 들어오려 한다면, 우리는 단순히 "문"만 잠그는 게 아니라, 도둑이 가장 많이 모이는 **'도둑의 본부'**를 찾아서 그 본부 자체를 무너뜨리는 것입니다.

AEGIS 는 AI 가 나쁜 개념을 이해하는 **'중심 (Semantic Center)'**을 찾아냅니다. 그리고 그 중심을 향해 공격을 가해, 나쁜 개념의 모든 변형 (알몸, 섹시함 등) 을 한 번에 지워버립니다. 그래서 사용자가 어떤 단어를 쓰더라도 AI 가 다시 나쁜 그림을 그릴 수 없게 됩니다.

② 두 번째 무기: '갈등을 해결하는 나침반 (GRP)'

나쁜 개념을 지우려다 보면, AI 가 원래 잘하던 일 (예: 아름다운 풍경 그리기) 을 망칠 위험이 있습니다. 마치 나쁜 습관을 고치려다 성격까지 변해버리는 것처럼요.

AEGIS 의 접근법:

비유: 두 사람이 한 줄을 당기고 있는데, 한 사람은 "나쁜 걸 지우자"고 당기고, 다른 사람은 "좋은 건 유지하자"고 당깁니다. 두 사람이 반대 방향으로 당기면 줄이 끊어지거나 (AI 성능 저하), 아무것도 안 됩니다.

AEGIS 는 이때 나침반 역할을 합니다. "나쁜 걸 지우는 방향"과 "좋은 걸 유지하는 방향"이 서로 충돌할 때, 나쁜 걸 지우는 방향을 방해하지 않으면서도 좋은 걸 유지하는 방향으로만 힘을 조절해 줍니다.

이 기술 덕분에 AI 는 나쁜 개념은 확실히 지우면서도, 원래 가지고 있던 뛰어난 그림 실력은 그대로 유지할 수 있습니다.

3. 왜 이것이 중요한가요? (결과)

이 논문의 실험 결과는 매우 놀랍습니다.

강한 방어: 해커들이 "노출" 대신 "알몸", "섹시한" 등 다양한 단어를 써서 AI 를 속여보려 했지만, AEGIS 를 적용한 AI 는 거의 100% 성공적으로 막아냈습니다. (기존 방법들은 60~80% 정도만 막았습니다.)
유지력: 나쁜 걸 지웠는데도, AI 가 그리는 다른 그림 (예: 풍경, 인물) 의 퀄리티는 거의 떨어지지 않았습니다. 오히려 기존 방법들보다 더 선명하게 그렸습니다.

한 줄 요약:

AEGIS 는 AI 의 나쁜 습관을 '근본'에서 잘라내면서도, AI 의 재능은 그대로 살려주는 '최고의 교정 선생님'입니다.

4. 결론

이 연구는 AI 가 안전하게 사용되도록 하는 데 큰 걸음을 내디뎠습니다. 앞으로 AI 가 유해한 콘텐츠를 만들지 않도록 막으면서도, 우리가 원하는 아름다운 그림은 계속 그려낼 수 있게 해줄 것입니다.

핵심 메시지:
"나쁜 것을 지울 때, 좋은 것도 같이 버리지 말고, 나쁜 것의 '본진'을 정확히 타격하여 깔끔하게 제거하자!"

이 기술은 AI 의 안전과 유용성을 동시에 잡는 미래 지향적인 해결책으로 평가받고 있습니다.

논문 요약: AEGIS (Adversarial Erasure with Gradient-Informed Synergy)

1. 문제 정의 (Problem)

확산 모델 (Diffusion Models, DMs) 은 텍스트 - 이미지 생성 분야에서 뛰어난 성능을 보이지만, 훈련 데이터의 편향으로 인해 유해한 콘텐츠 (예: 성적인 노출, 저작권 침해 스타일 등) 를 생성할 수 있는 위험이 있습니다. 이를 해결하기 위해 '개념 소거 (Concept Erasure)' 기술이 개발되었으나, 기존 방법들은 다음과 같은 두 가지 주요 과제를 동시에 해결하는 데 한계가 있습니다.

강건성 (Robustness) 과 유지 (Retention) 의 트레이드오프:
- 강건성: 소거된 개념이 적대적 프롬프트 공격 (Adversarial Prompt Attacks, APAs) 이나 의미적으로 관련된 프롬프트 (예: 'nudity'를 지웠을 때 'naked'나 'sexual'로 우회) 에 의해 다시 활성화되지 않도록 하는 능력.
- 유지 (Retention): 소거된 개념과 무관한 다른 개념들의 생성 품질을 유지하여 모델의 전반적인 유용성을 보존하는 능력.
기존 방법의 한계:
- 기존 방법들은 주로 소거할 개념의 단일 인스턴스 (예: 'nudity') 를 안전한 목표 (예: 빈 프롬프트) 로 매핑합니다. 그러나 이는 개념의 '의미적 중심 (Semantic Center)'에서 멀리 떨어진 경우, 의미적으로 유사한 다른 표현들 (예: 'naked') 이나 적대적 프롬프트 공격에 취약하게 만듭니다.
- 강건성을 높이면 유지 성능이 떨어지고, 유지 성능을 높이면 소거가 불완전해지는 상충 관계가 존재합니다.

2. 제안 방법 (Methodology: AEGIS)

저자들은 **AEGIS (Adversarial Erasure with Gradient-Informed Synergy)**라는 새로운 프레임워크를 제안합니다. 이 프레임워크는 추가적인 유지 데이터 (Retention Data) 없이도 강건성과 유지 성능을 동시에 향상시키는 두 가지 핵심 구성 요소를 포함합니다.

가. 적대적 소거 목표 (Adversarial Erasure Target, AET)

동기: 기존 방법의 취약점은 소거 대상 프롬프트가 개념 클래스의 의미적 중심에서 너무 멀게 설정되어, 관련 개념들이 완전히 제거되지 않기 때문입니다.
구현: AET 는 학습 가능한 임베딩을 가진 '적대적 목표'로, 소거된 개념의 의미적 중심에 가깝도록 최적화됩니다.
작동 원리:
- AET( $c'$ ) 는 소거된 개념( $c_e$ ) 과 원래 모델의 예측 노이즈 간의 거리를 최대화하도록 반복적으로 업데이트됩니다.
- 이를 통해 모델이 소거된 개념을 AET 기반의 목표 노이즈로 매핑하도록 미세 조정 (Fine-tuning) 하여, 소거된 개념과 의미적으로 유사한 모든 변형 (적대적 프롬프트 포함) 에 대한 예측 노이즈 거리를 증가시킵니다.
- 결과적으로 모델은 적대적 프롬프트 공격에 훨씬 더 강건해집니다.

나. 그라디언트 정규화 투영 (Gradient Regularization Projection, GRP)

동기: 소거 (Erasure) 와 유지 (Retention) 목적 함수의 그라디언트 방향이 상충 (Conflict) 할 때, 유지 성능이 저하되거나 소거가 방해받습니다.
구현: GRP 는 **매개변수 정규화 (Parameter Regularization, PR)**와 **방향성 그라디언트 교정 (Directional Gradient Rectification, DGR)**으로 구성됩니다.
- PR: 추가 데이터 없이 원래 모델 파라미터( $\theta_0$ ) 와 미세 조정된 모델( $\theta$ ) 간의 거리를 최소화하는 정규화 항을 도입하여, 소거와 무관한 파라미터의 변경을 억제합니다.
- DGR: 소거 그라디언트( $g_e$ $g_{e}$ ) 와 유지 그라디언트( $g_r$ $g_{r}$ ) 사이의 각도( $\phi$ $ϕ$ ) 를 계산합니다.
  - 두 그라디언트가 상충할 때 ( $\cos \phi < 0$ ), 유지 그라디언트에서 소거 방향과 반대되는 성분을 제거하기 위해 직교 투영 (Orthogonal Projection) 을 수행합니다.
  - 초기 미세 조정 단계에서는 소거 작업을 우선시하기 위해 교정 강도( $\omega$ ) 를 낮게 유지하고, 훈련이 진행됨에 따라 동적으로 증가시킵니다.
효과: 데이터 의존성을 제거하면서도 소거와 유지 간의 간섭을 최소화하여 모델의 전체적인 생성 품질을 보존합니다.

3. 주요 기여 (Key Contributions)

취약성 규명: 개념 소거의 취약성이 부적절한 학습 목표 (단일 인스턴스 기반) 에서 비롯되며, 소거된 개념의 의미적 중심을 타겟팅해야만 의미적 변형과 적대적 공격에 대한 강건성을 확보할 수 있음을 이론적 및 실험적으로 증명했습니다.
AEGIS 프레임워크 제안:
- AET: 클래스 수준의 정보를 효과적으로 제거하기 위해 최적화된 적대적 소거 목표를 도입했습니다.
- GRP: 추가 데이터 없이 그라디언트 충돌을 해결하여 소거 강건성과 유지 성능의 균형을 맞춘 새로운 미세 조정 전략을 제시했습니다.
성능 입증: 다양한 개념 (성적 노출, 화가 스타일, 사물) 과 적대적 공격 (P4D, UnlearnDiffAtk, Ring-A-Bell) 에 대한 광범위한 실험을 통해 AEGIS 가 기존 SOTA 방법들보다 월등히 낮은 공격 성공률 (ASR) 을 기록하면서도 FID/CLIP 점수 (생성 품질) 를 유지하거나 개선함을 보였습니다.

4. 실험 결과 (Results)

실험 설정: Stable Diffusion v1.4 및 v2.1 모델을 기반으로 'Nudity', 'Van Gogh 스타일', 'Church' 등의 개념을 소거하는 실험을 수행했습니다.
주요 성과:
- 강건성 향상: 'Nudity' 개념 소거 시, 기존 최첨단 방법 (SalUn 등) 대비 P4D 공격에 대한 공격 성공률 (ASR) 을 약 7.8% 감소시켰고, UnlearnDiffAtk 에 대해서는 2.76% 감소시켰습니다. 'Van Gogh' 스타일 소거 시에는 ASR 을 12~18% 까지 크게 낮췄습니다.
- 유지 성능: AEGIS 는 추가 데이터 없이도 FID(이미지 품질) 와 CLIP 점수(프롬프트 일치도) 를 기존 모델 수준에 가깝게 유지하거나 오히려 개선했습니다. 예를 들어, 'Nudity' 소거 시 FID 점수가 16.09 만큼 개선되었습니다.
- 비교: 기존 방법들은 강건성을 높이려다 생성 품질이 급격히 떨어지거나 (FID 증가), 반대로 품질을 유지하려다 소거가 불완전한 경우가 많았으나, AEGIS 는 두 목표를 동시에 달성했습니다.
- SD v2.1 적용: 더 복잡한 아키텍처를 가진 SD v2.1 에서도 AEGIS 는 다른 방법들보다 우수한 성능을 보였으나, 모델 간 차이로 인해 전반적인 소거 난이도가 증가함을 확인했습니다.

5. 의의 및 결론 (Significance)

트레이드오프 극복: AEGIS 는 기존에 상충 관계로 여겨졌던 '강건한 개념 소거'와 '높은 유지 성능'을 동시에 달성할 수 있음을 보여주었습니다.
데이터 효율성: 별도의 유지 데이터셋 (Retention Dataset) 이 필요하지 않아, 데이터 편향이나 추가 데이터 수집 비용 없이도 모델을 안전하게 만들 수 있습니다.
실용적 가치: 적대적 프롬프트 공격에 강한 안전 필터링이 필요한 실제 배포 환경에서, 확산 모델의 신뢰성과 안전성을 획기적으로 높일 수 있는 솔루션을 제공합니다.
미래 전망: 이 연구는 생성형 AI 의 안전성 (Safety) 과 정렬 (Alignment) 분야에서 중요한 이정표가 되며, 향후 더 효율적이고 강력한 소거 기술 개발의 기초를 마련했습니다.

이 논문은 개념 소거 기술의 근본적인 취약점을 해결하고, 이론적 근거와 실험적 검증을 통해 차세대 안전 확산 모델 개발에 기여했습니다.