1. 연구 배경 및 문제 제기 (Problem)

• 배경: 멀티모달 대형 언어 모델 (MLLMs) 은 시각 및 언어 간의 복잡한 추론 능력을 보여주며 급속히 발전하고 있습니다. 이러한 아키텍처는 일반적으로 비전 인코더 (Vision Encoder) 와 LLM 을 연결하는 프로젝터 (Projector) 계층을 포함하며, 효율적인 파인튜닝을 위해 프로젝트만 미세 조정하는 경우가 많습니다.
• 문제: MLLM 은 백도어 공격 (Backdoor Attacks) 에 취약합니다. 공격자는 poisoned 데이터 (특정 트리거가 포함된 이미지) 를 통해 모델을 학습시켜, 특정 트리거가 입력될 때만 악성 행동 (거부, 해킹, 유해한 내용 생성 등) 을 수행하도록 만듭니다.
• 연구 격차: 기존 연구는 주로 백도어 공격의 성공률 (Attack Efficacy) 에 집중하거나 텍스트 전용 LLM 의 백도어 메커니즘을 분석하는 데 그쳤습니다. 그러나 멀티모달 백도어가 프로젝트 (Projector) 내에서 어떻게 작동하는지, 그 내부 메커니즘이 무엇인지에 대한 해석 가능성 (Interpretability) 연구는 부재했습니다. 이로 인해 공격의 근본 원인을 이해하고 방어 전략을 수립하기가 어렵습니다.

2. 제안 방법론: ProjLens (Methodology)

저자들은 MLLM 백도어의 메커니즘을 해부하기 위해 ProjLens라는 해석 가능성 프레임워크를 제안했습니다. 이는 프로젝터의 세 가지 공간 (Feature, Weight, Embedding) 을 체계적으로 분석합니다.

1. 특징 공간 (Feature Space) 분석 - 시각적 트리거 탐지 (Visual Trigger Probe, VTP):
   • 백도어가 주입된 프로젝트의 잠재 표현 (Latent Representation) 에서 트리거 패턴이 분리 가능한 특징으로 인코딩되는지 확인하기 위해 학습 가능한 이진 분류기 (VTP) 를 설계합니다.
2. 가중치 공간 (Weight Space) 분석 - SVD 및 뉴런 분석:
   • 단일값 분해 (SVD): 백도어 주입 전후의 가중치 변화량 ($\Delta W$) 을 분석하여 백도어 파라미터가 전체적으로 분산되어 있는지, 아니면 특정 저차원 서브스페이스에 집중되어 있는지 확인합니다.
   • 뉴런 분석: 특정 트리거에 반응하는 '나쁜 뉴런 (Bad Neurons)'이 존재하는지, 아니면 뉴런 활성화 패턴이 깨끗한 데이터와 유사한지 조사합니다.
3. 임베딩 공간 (Embedding Space) 분석 - 보편적 드리프트 (Universal Drift):
   • 백도어 주입이 시각 토큰 임베딩에 어떤 기하학적 변환을 일으키는지 분석합니다. 특히, 깨끗한 샘플과 독이 든 샘플이 공통된 방향 ($v_0$) 으로 이동하는지, 그리고 그 이동 크기 ($u_0$) 가 입력 특징의 노름 (Norm) 과 어떤 상관관계를 가지는지 규명합니다.

3. 주요 발견 및 결과 (Key Findings & Results)

(1) 프로젝트 파인튜닝만으로도 백도어 주입 가능

• 비전 인코더와 LLM 은 고정 (Frozen) 하고 프로젝터만 파인튜닝하는 경우에도 높은 공격 성공률 (ASR) 을 보이는 백도어가 주입됨을 확인했습니다. 이는 프로젝트가 멀티모달 백도어의 주요 취약점임을 시사합니다.

(2) 가중치 공간의 역설 (The Weight Paradox)

• 전체적인 가중치 변화는 전역적 (Full-rank) 이지만, 핵심은 저랭크 (Low-rank) 입니다: 백도어 주입으로 인한 전체 가중치 변화 ($\Delta W$) 는 스펙트럼이 분산되어 있어 특정 '트리거 뉴런'이나 지배적인 단일값이 존재하지 않는 것처럼 보입니다.
• 핵심 파라미터는 저랭크 서브스페이스에 인코딩됨: 그러나 SVD 를 통해 분석한 결과, 백도어 기능을 수행하는 핵심 파라미터는 매우 낮은 랭크 (Rank-k, 보통 k=1~3) 의 서브스페이스에 집중되어 있음을 발견했습니다.
  • 결과: 이 저랭크 성분을 제거 (Mitigation) 하면 백도어가 제거되면서 모델의 일반 성능 (Utility) 이 6.01% 에서 65.57% 로 회복되었습니다. 반대로, 깨끗한 모델에 이 저랭크 성분만 추가하면 백도어가 재구성 (Recovery) 되어 ASR 이 0% 에서 89.1% 로 급증했습니다.

(3) 뉴런 분석: '나쁜 뉴런'의 부재

• 텍스트 전용 LLM 과 달리, 멀티모달 백도어는 특정 뉴런이 트리거에 과민 반응하는 방식이 아닙니다. 깨끗한 데이터와 독이 든 데이터의 뉴런 활성화 빈도 및 크기 분포는 거의 동일하게 나타났습니다.

(4) 임베딩 공간의 '트로이 프로젝트 가설' (Trojan Projection Hypothesis)

• 보편적 드리프트 벡터 (Universal Drift Vector): 모든 이미지 토큰 (깨끗한 것 포함) 은 백도어 목표 방향 ($v_0$) 으로 의미적 이동 (Semantic Shift) 을 겪습니다. LogitLens 분석 결과, 이 벡터는 거절 응답 (예: "I'm sorry...") 의 의미적 접두사를 담고 있음이 확인되었습니다.
• 활성화 메커니즘 (입력 노름 의존성): 이동의 방향은 일정하지만, **이동 크기 (Magnitude)**는 입력 시각 특징의 L2 노름 (Norm) 에 비례합니다.
  • 트리거의 역할: 트리거가 포함된 이미지는 특정 토큰의 특징 노름을 변화시켜, 해당 토큰이 백도어 방향으로 더 크게 이동하도록 유도합니다. 이로 인해 트리거가 있을 때만 악성 행동이 활성화됩니다.
  • 잠재적 위험: 트리거가 없더라도 깨끗한 샘플은 백도어 방향으로 이동하지만, 이동 크기가 작아 일반적인 거동 (Greedy Sampling) 을 유지합니다.

4. 의의 및 기여 (Significance & Contributions)

1. MLLM 백도어 메커니즘의 해부: 기존에 불투명했던 멀티모달 백도어의 작동 원리를 '저랭크 구조'와 '보편적 드리프트'라는 두 가지 핵심 개념으로 규명했습니다.
2. 효율적인 방어 및 복구 전략 제시: 백도어가 저랭크 서브스페이스에 존재한다는 발견을 바탕으로, 복잡한 방어 없이도 단순한 저랭크 근사 (Rank-k approximation) 를 통해 백도어를 효과적으로 제거하거나 재구성할 수 있음을 증명했습니다. 이는 향후 MLLM 안전성을 위한 새로운 방어 기법의 기초를 제공합니다.
3. 새로운 위험 지표 제안: 단순한 공격 성공률 (ASR) 외에도, 모델이 백도어 타겟을 생성할 확률 ($P_{bkd}$) 이 깨끗한 데이터에서도 증가하는 '잠재적 편향 (Latent Bias)'을 발견하여, 기존 평가 지표의 한계를 지적했습니다.

결론

ProjLens 는 MLLM 의 프로젝트 계층이 백도어 공격의 핵심 매개체이며, 그 메커니즘이 고차원의 복잡한 가중치 변화가 아닌 저랭크의 기하학적 드리프트에 기반함을 밝혔습니다. 이 연구는 MLLM 의 안전성을 확보하기 위해 공격 설계 중심에서 메커니즘 이해 중심으로 패러다임을 전환해야 함을 강조합니다.