Leave My Images Alone: Preventing Multi-Modal Large Language Models from Analyzing Images via Visual Prompt Injection

1. 문제 정의 (Problem Definition)

• 배경: 멀티모달 대규모 언어 모델 (MLLM) 은 이미지 분석, 캡션 생성, 시각적 질문 응답 (VQA) 등에 강력한 성능을 보이지만, 이는 사생활 침해의 위험을 동반합니다. 특히 오픈 가중치 (open-weight) MLLM 이 대중화되면서, 악의적인 행위자가 인터넷에 공개된 개인 이미지를 대규모로 자동 분석하여 신원, 위치, 기타 민감한 정보를 추출할 수 있게 되었습니다.
• 핵심 위협: 사용자의 동의 없이 개인 이미지가 MLLM 에 의해 스캔되고, 이를 통해 프라이버시가 침해되는 상황입니다. 기존의 방어 기법들은 주로 모델의 학습 단계나 API 접근 제한에 의존하지만, 사용자는 이미지 공유 전에 스스로를 보호할 수 있는 능동적인 수단이 필요했습니다.
• 목표: 사용자가 이미지를 공유하기 전에, MLLM 이 해당 이미지를 분석하려 할 때 거부 응답 (Refusal Response) 을 생성하도록 유도하는 동시에, 인간에게는 거의 보이지 않는 perturbation(교란) 을 추가하여 이미지 품질을 유지하는 것입니다.

2. 방법론: ImageProtector (Methodology)

이 논문은 ImageProtector라는 새로운 방어 기법을 제안합니다. 이는 시각적 프롬프트 인젝션 (Visual Prompt Injection) 공격을 방어 목적으로 전환한 것입니다.

• 핵심 메커니즘:
  • 이미지에 인간에게는 거의 인식 불가능한 미세한 교란 (perturbation, $\delta_R$) 을 추가합니다.
  • 이 교란은 MLLM 에게 "위험한 요청"이나 "분석 불가"로 인식되도록 설계되어, 악의적인 질문 (Probing Question) 이 무엇이든 모델이 일관되게 "죄송합니다, 요청을 도와드릴 수 없습니다"와 같은 거부 응답을 생성하게 만듭니다.
• 수식적 최적화 (Constrained Optimization):
  • 효과성 (Effectiveness): 다양한 그림자 질문 (Shadow Questions) 을 사용하여 MLLM 이 거부 응답을 생성할 확률을 최대화합니다.
  • 유용성 (Utility): 교란의 크기를 $\ell_\infty$-norm 제약 ($\|\delta_R\|_\infty \le \epsilon$) 으로 제한하여 이미지 품질을 유지합니다.
  • 목적 함수: 교차 엔트로피 손실 (Cross-Entropy Loss) 을 최소화하는 방식으로, MLLM 이 특정 거부 토큰 시퀀스를 생성하도록 유도합니다.
  • 해법: 기본 반복법 (BIM, Basic Iterative Method) 을 사용하여 그래디언트 기반 최적화를 수행합니다.
• 그림자 질문 (Shadow Questions) 전략:
  • 악의적인 공격자가 물을 수 있는 질문을 예측하여 최적화합니다.
  • 정확한 (Exact): 예상되는 구체적인 질문.
  • 유사한 (Similar): LLM 을 이용해 생성된 주제별 유사 질문.
  • 일반적인 (General): 모든 민감한 정보 추출을 막기 위한 일반적인 질문.
  • 다양한 질문 유형으로 최적화함으로써, 실제 공격자의 질문과 다른 경우에도 일반화 (Generalization) 효과를 얻습니다.

3. 주요 기여 (Key Contributions)

1. 새로운 문제 정의: MLLM 이 이미지를 분석하는 것을 방지하는 문제를 공식화했습니다.
2. ImageProtector 제안: 효과성 (거부 유도) 과 유용성 (이미지 품질 유지) 을 동시에 달성하는 제약 최적화 기반의 보호 교란 생성 방법론을 제시했습니다.
3. 광범위한 실험 검증: 6 개의 다양한 오픈 가중치 MLLM (LLaVA-1.5, MiniGPT-4, Qwen-VL 등) 과 4 개의 데이터셋 (VQAv2, GQA, TextVQA, CelebA) 에서 성공적인 효과를 입증했습니다.
4. 대응책 평가: 가우시안 노이즈, DiffPure, 적대적 학습 (Adversarial Training) 등 3 가지 방어 기법을 평가했습니다. 그 결과, 이러한 기법들이 ImageProtector 의 효과를 일부 완화시키기는 하지만, 모델의 정확도 저하나 연산 비용 증가라는 대가를 치러야 함을 보였습니다.

4. 실험 결과 (Experimental Results)

• 거부율 (Refusal Rate):
  • ImageProtector 는 6 개 MLLM 에서 평균 86%~95% 의 높은 거부율을 기록했습니다.
  • 특히 CelebA(인물 얼굴) 데이터셋에서는 거의 100% 에 가까운 거부율을 보였으며, 이는 얼굴 이미지가 MLLM 의 안전 정렬 (Safety Alignment) 에 의해 민감하게 처리되기 때문으로 분석됩니다.
  • 기존 적대적 공격 기법 (Qi et al., Bagdasaryan et al.) 을 거부 유도 목적으로 변형한 경우보다 ImageProtector 가 훨씬 높은 성능을 보였습니다.
• 모델 정확도 저하:
  • 보호된 이미지에 대해 MLLM 이 정상적인 질문을 했을 때, 모델의 정확도는 급격히 떨어졌습니다 (예: 0.92 에서 0.03~0.04 수준). 이는 교란이 모델의 이미지 이해 능력을 효과적으로 방해함을 의미합니다.
• 다중 모델 대응:
  • 하나의 교란을 여러 MLLM 에 대해 동시에 최적화 (Universal Perturbation) 하더라도 높은 거부율을 유지했습니다.
• 대응책의 한계:
  • 가우시안 노이즈: 거부율을 낮추려면 노이즈 강도 ($\sigma$) 를 높여야 하는데, 이 경우 모델의 원래 정확도도 크게 떨어집니다.
  • DiffPure: 거부율을 낮추지만, 추론 시간을 증가시키고 정확도를 저하시킵니다.
  • 적대적 학습: 학습 비용이 크고, 3 에포크 학습 후에도 거부율이 60% 수준으로 남아있어 완전한 방어가 어렵습니다.

5. 의의 및 한계 (Significance & Limitations)

• 의의:
  • 적극적 사용자 방어: 사용자가 모델을 제어할 수 없는 환경에서도, 이미지 공유 전에 스스로 프라이버시를 보호할 수 있는 실용적인 도구 (ImageProtector) 를 제시했습니다.
  • 공격에서 방어로의 전환: 시각적 프롬프트 인젝션을 악의적인 공격 수단이 아닌, 사용자의 프라이버시를 지키는 방어 메커니즘으로 재정의했습니다.
  • 오픈 가중치 모델 위협 대응: 상용 API 가 아닌 로컬에서 실행 가능한 강력한 오픈 소스 MLLM 의 확산에 따른 프라이버시 위협에 대한 구체적인 대응책을 마련했습니다.
• 한계:
  • 화이트박스 가정: 최적화를 위해 타겟 MLLM 의 그래디언트 접근 (화이트박스) 이 필요합니다. 블랙박스 API 만 접근 가능한 폐쇄형 모델에는 직접 적용이 어렵습니다.
  • 다중 턴 대화: 장문의 문맥이나 다중 턴 VQA 상황에서는 교란의 효과가 다소 감소할 수 있습니다.
  • 모달리티: 현재는 이미지 입력에만 초점을 맞추고 있으며, 오디오나 비디오 등 다른 모달리티에는 적용되지 않았습니다.

결론

이 논문은 MLLM 시대의 프라이버시 보호를 위한 새로운 패러다임을 제시합니다. ImageProtector 는 미세한 교란을 통해 MLLM 이 민감한 정보를 추출하는 것을 원천적으로 차단하며, 기존 방어 기법들이 가진 정확도 저하 등의 트레이드오프를 고려할 때, 사용자에게 매우 실용적이고 효과적인 선방어 (Proactive Defense) 수단임을 입증했습니다.