Echoes of ownership: Adversarial-guided dual injection for copyright protection in MLLMs

1. 문제 정의 (Problem Definition)

• 배경: 멀티모달 대규모 언어 모델 (MLLM) 의 급속한 배포와 오픈소스 기반의 파인튜닝 (Fine-tuning) 확산으로 인해, 모델 소유권 분쟁과 지적재산권 (IP) 침해 문제가 심각해지고 있습니다.
• 위협 모델:
  • 발행자 (Publisher): 오픈소스 MLLM 을 공개하지만, 제 3 자가 이를 불법적으로 파인튜닝하여 상용화하거나 소유권을 주장하는 것을 막기 위해 저작권 추적 방법이 필요합니다.
  • 악성 사용자 (Malicious User): 공개된 모델을 로컬에서 파인튜닝하여 독점 애플리케이션으로 사용하되, 저작권 검출을 회피하려 합니다. 이들은 모델 내부 파라미터에 대한 화이트박스 접근은 가능하지만, 완전한 재학습 (Full retraining) 은 비용과 성능 저하로 인해 제한적이라고 가정합니다.
• 핵심 과제: 기존 저작권 추적 방법들은 대부분 모델 내부 파라미터 (화이트박스) 에 의존하거나, 특정 베이스 모델에 과도하게 과적합 (Overfitting) 되어 파인튜닝된 파생 모델에서는 성능이 급격히 떨어지는 문제가 있었습니다. 블랙박스 환경에서 파인튜닝된 다양한 파생 모델에 대해 강력하고 일반화된 저작권 추적 (Copyright Tracking) 을 수행하는 것이 핵심 과제입니다.

2. 제안 방법: AGDI (Adversarial-Guided Dual Injection)

저자들은 AGDI라는 새로운 프레임워크를 제안하며, 이는 이중 주입 (Dual Injection) 메커니즘과 적대적 훈련 (Adversarial Training) 을 결합합니다.

A. 핵심 아이디어: CLIP 유사 모듈의 안정성

대부분의 MLLM 은 이미지와 텍스트 간의 정렬을 담당하는 CLIP 유사 교차 모달 정렬 모듈을 내장하고 있습니다. 연구자들은 이 모듈의 고수준 임베딩 (Embedding) 이 파인튜닝 후에도 상대적으로 안정적임을 관찰했습니다. 이를 '공유된 암시적 서브모델 (Implicit Submodel)'로 간주하고, 이를 활용한 저작권 주입을 설계했습니다.

B. 이중 주입 메커니즘 (Dual Injection)

트래거 이미지 (Trigger Image) 를 생성할 때 두 가지 목적을 동시에 최적화합니다.

1. 응답 수준 주입 (Response-level Injection):
   • 보조 MLLM 의 출력과 미리 정의된 소유권 관련 텍스트 (Target Text, 예: "ICLR Conference") 간의 텍스트 일관성을 강제합니다.
   • 손실 함수: 교차 엔트로피 손실 ($L_{res}$) 을 사용하여, 특정 질문이 들어왔을 때 모델이 반드시 소유권 관련 답변을 하도록 유도합니다.
2. 시맨틱 수준 주입 (Semantic-level Injection):
   • MLLM 의 CLIP 유사 모듈을 활용하여, 생성된 트래거 이미지와 목표 텍스트 간의 임베딩 거리를 최소화합니다.
   • 손실 함수: 이미지와 텍스트 임베딩 간의 코사인 유사도를 최대화하는 형태 ($L_{sem}$) 로 정의됩니다. 이는 모델의 파인튜닝 여부와 관계없이 공통적으로 유지되는 시맨틱 특성을 활용하여 일반화 성능을 높입니다.

C. 적대적 훈련 (Adversarial Training)

• 목적: 파인튜닝 과정에서 발생할 수 있는 모델의 저항 (Resistance) 을 시뮬레이션하여 트래거의 견고성을 높입니다.
• 방식:
  • Min-Max 최적화: 트래거 이미지 ($x$) 는 소유권 답변을 유도하도록 최적화하고, 보조 모델의 파라미터 ($\theta$) 는 해당 트래거에 대해 소유권 답변을 억제하도록 적대적으로 업데이트합니다.
  • 이를 통해 생성된 트래거는 단순한 베이스 모델뿐만 아니라, 파인튜닝으로 인해 민감도가 변한 파생 모델에서도 작동하도록 강화됩니다.

D. 최적화 과정 (Algorithm 1)

1. 클린 이미지에서 시작하여 트래거 이미지를 생성합니다.
2. 보조 모델 파라미터와 트래거 이미지를 번갈아 업데이트합니다 (Min-Max 게임).
3. 각 트래거 생성 후 모델 파라미터를 초기화하여 누적 적응을 방지합니다.
4. 최종적으로 파인튜닝된 모델에서도 특정 질문 시 목표 답변을 출력하고, 비파생 모델 (Non-derivative) 에서는 출력하지 않는 이미지를 생성합니다.

3. 주요 기여 (Key Contributions)

1. 블랙박스 저작권 추적 프레임워크: MLLM 의 내부 구조에 접근하지 않고, 트래거 이미지 조작을 통해 배포 후 (Post-deployment) 저작권을 추적할 수 있는 새로운 방법을 제시했습니다.
2. 이중 주입 전략의 발견: MLLM 의 CLIP 유사 모듈이 파인튜닝된 변형들 사이에서 공유되는 특성을 발견하고, 이를 응답 수준과 시맨틱 수준의 주입을 결합하여 활용함으로써 일반화 성능을 극대화했습니다.
3. 적대적 훈련을 통한 견고성 향상: 파인튜닝으로 인한 모델의 저항을 시뮬레이션하는 적대적 훈련 전략을 도입하여, 다양한 파인튜닝 시나리오 (LoRA, Full Fine-tuning, Pruning, Merging 등) 에서도 높은 추적 성공률을 보장합니다.

4. 실험 결과 (Results)

• 데이터셋 및 모델: LLaVA-1.5 와 Qwen2-VL 을 베이스 모델로 사용하며, V7W, ST-VQA, TextVQA, MathV, PaintingForm 등 5 가지 다양한 도메인 (자연 이미지, 텍스트, 수학, 예술 등) 에서 파인튜닝된 모델을 평가했습니다.
• 성능 비교 (ASR - Attack Success Rate):
  • 파생 모델 (Derivative Models): 제안된 AGDI 는 기존 방법 (Ordinary, RNA, PLA) 보다 모든 파인튜닝 모델에서 월등히 높은 ASR 을 기록했습니다. (예: LLaVA-1.5 기반 ST-VQA 파인튜닝 모델에서 AGDI 는 56%, PLA 는 43% 등).
  • 비파생 모델 (Non-derivative Models): MiniGPT-4, LLaVA-1.6, Llama3-V 등 다른 아키텍처의 모델에서는 AGDI 가 **0%**의 오작동 (False Positive) 을 보여, 특정 모델 소유권만 정확히 식별함을 입증했습니다.
• 견고성 분석 (Robustness):
  • 모델 가지치기 (Pruning): 10~30% 의 가중치 제거 후에도 높은 추적 성능을 유지했습니다.
  • 모델 병합 (Merging): TIES 및 Linear 병합 전략을 적용한 모델에서도 기존 방법보다 우수한 성능을 보였습니다.
  • 양자화 (Quantization): 8-bit 양자화 환경에서도 성능 저하가 미미했습니다.
  • 입력 변환: JPEG 압축, 가우시안 노이즈, 리사이징 등 입력 전처리에도 강건했습니다.

5. 의의 및 결론 (Significance)

• 실용적 가치: 오픈소스 MLLM 생태계에서 발생할 수 있는 저작권 분쟁을 해결하기 위한 실용적인 도구로, 모델 발행자가 블랙박스 환경에서도 불법 파생 모델을 효과적으로 식별할 수 있게 합니다.
• 기술적 통찰: MLLM 의 내부 구조 (특히 CLIP 유사 모듈) 가 파인튜닝 후에도 일정 부분 유지된다는 특성을 저작권 보호 메커니즘에 성공적으로 적용했다는 점에서 중요한 통찰을 제공합니다.
• 미래 전망: 이 연구는 생성형 AI 의 지적재산권 보호를 위한 새로운 패러다임을 제시하며, 향후 모델 소유권 인증 및 법적 분쟁 해결에 기여할 수 있는 기반을 마련했습니다.

요약하자면, 이 논문은 적대적 가이드를 받은 이중 주입 (Adversarial-Guided Dual Injection) 기법을 통해, 파인튜닝된 MLLM 의 변형에도 불구하고 강력하게 작동하면서도 다른 모델에는 영향을 주지 않는 저작권 트래거 이미지를 생성하는 방법을 제안하고, 이를 통해 MLLM 저작권 보호의 새로운 기준을 제시했습니다.