기술 요약: RouteHijack

문제 제기

대규모 언어 모델 (LLM) 이 효율적으로 용량을 확장하기 위해 전문가 혼합 (Mixture-of-Experts, MoE) 아키텍처를 점점 더 채택함에 따라, 그 안전성 견고성은 여전히 충분히 탐구되지 않았습니다. 기존 적대적 공격은 MoE 모델에 적용될 때 상당한 한계에 직면합니다:

• 프롬프트 기반 재일크 (jailbreak) 는 휴리스틱 검색에 의존하며 취약하고 전이성이 낮습니다.
• 모델 개입 방법(예: 전문가 가지치기, 로그이트 조작) 은 내부 가중치나 활성화에 대한 특권적 접근이 필요하며, 이는 표준 배포 시나리오에서는 비현실적입니다.
• 최적화 기반 공격(예: GCG) 은 입력만 사용하지만 MoE 모델에는 근본적으로 적합하지 않습니다. 이들은 밀집 아키텍처를 위해 설계되어 비미분 가능한 Top-K 라우팅 메커니즘을 고려하지 못합니다. 또한, 이들은 출력 중심적으로 특정 토큰 접두사 (예: "네, 여기 있습니다") 를 최적화할 뿐, 안전 행동을 지배하는 내부 라우팅 역학을 고려하지 않습니다. 이로 인해 종종 불안정한 최적화나 초기에는 동의하다가 이후 거절하는 모델이 발생합니다.

현재 MoE LLM 의 안전 메커니즘을 우회하면서도 일관된 생성을 유지할 수 있는 효과적인 입력 전용 최적화 기반 공격은 존재하지 않습니다.

방법론: RouteHijack

저자들은 MoE 모델의 구조적 취약점, 즉 안전 정렬 행동이 작고 전문화된 소수의 전문가 집단에 집중된다는 점을 악용하는 라우팅 인식 적대적 프레임워크인 RouteHijack을 제안합니다. 이 공격은 배포 시 입력 전용 제약 조건 하에서 작동하며, 오프라인 최적화를 위해 대리 모델 (surrogate model) 을 활용합니다.

이 프레임워크는 두 가지 주요 단계로 구성됩니다:

1. 응답 기반 전문가 국소화

입력 프롬프트를 기반으로 활성화를 분석하는 기존 방법 (안전 행동과 프롬프트 의미를 혼동함) 과 달리, RouteHijack 은 응답 기반 대비 프로파일링을 사용합니다.

• 메커니즘: 주어진 악성 쿼리에 대해 모델은 두 가지 응답을 생성합니다: 안전한 거절 ($a_{safe}$) 과 순응적인 유해한 답변 ($a_{harm}$) 입니다. 이 방법은 두 응답 간의 전문가 활성화 빈도를 비교하여 거절 시에 특히 활성화되는 전문가와 유해한 생성 시 활성화되는 전문가를 분리합니다.
• 유용성 인식 필터링: 모델의 일반적 능력을 저하시키지 않도록, 안전과 일반 언어 모델링 모두에 기여하는 '다의적 (polysemantic)' 전문가를 필터링합니다. 차등 활성화에 기반하여 안전 핵심 전문가 ($E_{safe}$) 와 유해 전문가 ($E_{harm}$) 를 선택하며, 높은 일반 활성화 빈도를 가진 전문가에는 패널티를 부여합니다.

2. 라우팅 인식 최적화 (삼항 손실)

RouteHijack 은 자기회귀 디코딩 시작 전 경계 토큰 ($t^*$) 에서 라우터의 결정을 조작하도록 최적화된 범용 적대적 접미사 ($x_{adv}$) 를 구성합니다. 이 최적화는 세 가지 구성 요소로 이루어진 **삼항 손실 ($L_{total}$)**을 최소화합니다:

• 안전 억제 ($L_{suppress}$): 식별된 안전 전문가 ($E_{safe}$) 의 라우팅 확률을 최소화하여 모델의 주요 방어 메커니즘을 약화시킵니다.
• 유한 유해 촉진 ($L_{promote}$): 유해 전문가 ($E_{harm}$) 의 라우팅 확률을 최대화하지만 경계 제약 (힌지 손실) 을 부과합니다. 이는 라우터가 몇몇 전문가로 수렴하여 의미적 저하를 초래하는 것을 방지하여 모델이 유창하게 유지되도록 합니다.
• 거절 비가능성 ($L_{refusal}$): 초기 디코딩 단계 ($W=5$) 에서 거절 토큰 (예: "죄송합니다", "할 수 없습니다") 생성에 패널티를 부과합니다. 이는 초기 라우팅이 조작되더라도 모델이 거절 경로로 되돌아가는 것을 방지합니다.

이 최적화는 GCG 와 유사한 그래디언트 유도 이산 검색을 사용하지만, 비미분 가능한 Top-K 잘라내기 이전에 연속적인 라우터 소프트맥스 확률을 대상으로 하여 안정적인 그래디언트 전파를 가능하게 합니다.

주요 기여

1. RouteHijack 프레임워크: 입력 교란을 통해 전문가 선택에 직접 영향을 미치는 MoE LLM 을 위해 특별히 설계된 최초의 최적화 기반 입력 전용 공격입니다.
2. 응답 기반 프로파일링: 입력 프롬프트가 아닌 모델 응답을 대비하여 안전 핵심 전문가와 유해 전문가를 분리하는 새로운 방법으로, 내부 안전 메커니즘에 대한 더 정확한 특성을 제공합니다.
3. 라우팅 인식 목적 함수: 전문가 활성화와 초기 단계 디코딩 역학을 공동으로 제어하는 삼항 손실 함수로, MoE 라우팅의 비미분 가능성을 극복합니다.
4. 실증적 검증: 7 개의 최첨단 MoE LLM(희소, 공유 전문가, 그룹화 라우팅 변형 포함) 과 3 개의 MoE 기반 시각 언어 모델 (VLM) 에 대한 포괄적인 평가.

실험 결과

• 공격 성공률 (ASR): RouteHijack 은 7 개 MoE LLM 에서 평균 ASR **69.3%**를 달성하며, 최고치는 **89.1%**입니다. 이는 최상의 화이트박스 베이스라인 (SAFEx, 33.3%) 과 표준 최적화 기반 공격 (GCG, 21.9%) 보다 훨씬 뛰어납니다.
• 유용성 보존: 이 공격은 5 개의 NLU 벤치마크 (CoLA, RTE, WinoGrande, OpenBookQA, ARC-Challenge) 에서 평균 **1.3%**의 최소 유용성 감소를 초래하여, 유용성 인식 필터링이 일반 언어 능력을 성공적으로 보존함을 보여줍니다.
• 전이성:
  • 형제 모델: 최적화된 접미사는 5 개의 형제 MoE 변형 간 제로샷으로 전이되어 평균 ASR 을 27.7% 에서 **61.2%**로 높입니다.
  • 멀티모달: 이 공격은 MoE 기반 VLM 으로 일반화되어 평균 ASR 을 2.47% 에서 **38.7%**로 증가시키며, 라우팅 취약점은 모달리티와 무관하게 MoE 아키텍처에 내재되어 있음을 시사합니다.
• 메커니즘 검증: 분석은 이 공격이 경계 토큰에서 라우팅 확률을 성공적으로 이동시켰음을 확인합니다 (목표 전문가 억제율 -28.75%, 목표 유해 촉진율 +28.51%), 그리고 이러한 이동은 자기회귀 생성 과정을 통해 전파됩니다.

중요성 및 주장

이 논문은 RouteHijack 이 희소 전문가 아키텍처의 근본적인 취약점을 노출한다고 주장합니다: 안전 정렬은 균일하게 분포된 것이 아니라 소수의 전문가 집단에 집중되어 있습니다. 이러한 집중은 라우팅 조작을 통해 악용될 수 있는 국소화된 공격 표면을 생성합니다.

저자들은 현재 안전 정렬 방법 (예: RLHF, DPO) 이 출력 분포에 초점을 맞추고 근본적인 희소 라우팅 역학을 다루지 않기 때문에 불충분하다고 주장합니다. 이 발견은 다음과 같은 점을 시사합니다:

1. 라우팅은 모달리티 중립적 위험입니다: 라우팅 메커니즘의 취약점은 텍스트 및 시각 - 언어 모델 모두에 영향을 미칩니다.
2. 블랙박스 위협: 형제 모델 간 공격 전이 능력은 오픈 가중치 변형과 라우팅 백본을 공유하는 경우, 독점적인 블랙박스 MoE 모델조차 위험에 처해 있음을 의미합니다.
3. 새로운 방어 필요: 논문은 견고한 방어가 출력 수준 정렬을 넘어 훈련 중 라우팅 인식 정규화(안전 행동을 더 광범위하게 분포시키기 위해) 또는 추론 시 라우팅 감사(비정상적인 전문가 활성화 패턴 감지) 를 포함해야 한다고 결론지었습니다.