기술적 요약: 은폐, 재구성, 젤브레이크

문제 제기

본 논문은 의도 은폐 기반 젤브레이크 공격에 대한 멀티모달 대규모 언어 모델 (MLLM) 의 취약성을 다룹니다. 안전 정렬 메커니즘은 직접적인 요청에 대한 유해한 출력을 효과적으로 억제하지만, 공격자들은 유해한 쿼리를 은폐된 멀티모달 입력으로 변환함으로써 이러한 필터를 우회할 수 있습니다. 저자들은 이러한 공격을 지배하는 근본적인 긴장 관계, 즉 재구성–은폐 트레이드오프를 규명했습니다.

젤브레이크가 성공하려면 변환된 입력이 두 가지 상충되는 요구 사항을 충족해야 합니다:

1. 은폐: 입력은 안전 필터를 회피할 만큼 유해한 의도를 충분히 은폐해야 합니다.
2. 재구성: 입력은 피해 MLLM 이 원래의 유해한 요청을 재구성하고 원하는 유해한 응답을 생성할 수 있도록 충분한 정보를 유지해야 합니다.

저자들은 기존 블랙박스 방법들 (특히 FlipAttack, Shuffle Inconsistency (SI), Contrastive Subimage Distraction Jailbreaking (CS-DJ)) 이 이 트레이드오프를 효과적으로 균형 잡지 못한다고 주장합니다. 이들은 너무 많은 의미론적 정보를 보존하여 은폐에 실패하거나, 입력을 지나치게 심각하게 저하시켜 재구성에 실패함으로써 전체 공격 성공률 (ASR) 을 제한합니다.

방법론

제안된 프레임워크인 Conceal, Reconstruct, Jailbreak은 세 가지 핵심 구성 요소를 통해 트레이드오프를 구체화합니다:

1. 은폐 인식 변형 구성

저자들은 무작위 문자 제거나 복잡한 순열에 의존하는 대신, 문자 제거 변형에 대한 탐욕적 선택 전략을 제안합니다:

• 후보 생성: 원래 유해한 쿼리에서 임의의 비율 $\rho$(기본값 0.20) 의 문자를 제거하여 변형 풀을 생성합니다.
• 키워드 정렬 필터링: 후보들은 특정 유해 키워드와의 의미론적 정렬 (CLIP 텍스트 임베딩 사용) 에 따라 순위가 매겨집니다. 정렬도가 높은 변형은 더 강력한 은폐를 보장하기 위해 폐기됩니다.
• 다양성 선택: 남은 낮은 정렬도 후보들 중에서 원래 쿼리 및 서로 간에 다양성을 극대화하는 하위 집합이 선택됩니다. 이는 개별 변형은 모호하지만, 집단적 집합이 재구성에 필요한 보완 정보를 제공하도록 보장합니다.

2. 모달리티 인식 프롬프트 전략

선택된 변형들은 텍스트와 이미지 채널 간에 정보를 분배하는 다섯 가지 고유한 전략을 사용하여 멀티모달 입력으로 인스턴스화됩니다:

• TxtV: 모든 변형이 텍스트를 통해 전달됩니다.
• TxtV-GDI: 텍스트 변형에 키워드 관련 산만 이미지 (distractor images) 가 추가됩니다.
• TypV: 변형이 타이포그래피 이미지 (텍스트를 이미지로) 로 렌더링되어 텍스트 채널에서 완전히 제거됩니다.
• TTV: 변형이 텍스트 및 타이포그래피 이미지 채널 간에 분할됩니다.
• TTV-GDI: 교차 모달 분할에 키워드 관련 산만 이미지가 추가됩니다.

3. 키워드 관련 산만 이미지 (GDI)

기존 연구가 일반적인 무작위 이미지를 산만 요소로 사용하는 것과 달리, 이 방법은 키워드 관련 산만 이미지를 생성합니다.

• 생성: 보조 LLM 이 유해 키워드를 포함하는 다양한 문장을 생성합니다. 이러한 문장은 Stable Diffusion 3 를 위한 프롬프트로 사용되어 이미지를 생성합니다.
• 선택: 탐욕적 선택 과정을 통해 최종 이미지 집합이 키워드 및 전체 유해한 문맥에 대해 의미론적으로 다양하도록 보장합니다.
• 목적: 이러한 이미지는 텍스트에서 유해한 의도를 명시적으로 드러내지 않으면서 모델의 재구성 과정을 돕는 표적 보조 시각 문맥을 제공합니다.

주요 기여

1. 트레이드오프의 규명: 본 논문은 기존 은폐 방법들 (FlipAttack, SI, CS-DJ) 이 재구성과 은폐를 효과적으로 균형 잡지 못함을 실증적으로 보여줍니다. 공격 성공률이 문자 제거 비율에 대해 역 U 자형 패턴을 따르는 것을 보여주어 이 트레이드오프에 대한 직접적인 증거를 제공합니다.
2. 은폐 인식 변형 구성: 저자들은 키워드 정렬도는 낮지만 상호 다양성이 높은 문자 제거 변형을 선택하는 방법을 제안합니다. 이는 무작위 제거에 비해 재구성 가능성 손실을 무시할 수 있는 수준으로 유지하면서 더 강력한 은폐를 달성합니다.
3. 키워드 관련 산만 이미지: 일반 이미지 대신 유해 키워드를 중심으로 특별히 생성된 산만 이미지를 도입한 것이 일관되게 공격 성공률을 향상시키는 것으로 나타났습니다.
4. 종합적 평가: 제안된 전략들은 다섯 개의 폐쇄형 소스 및 열네 개의 오픈 소스 MLLM 을 대상으로 평가되었으며, 강력한 베이스라인보다 우수한 성능을 입증했습니다.

실험 결과

저자들은 HADES 데이터셋 (Violence, Financial, Privacy, Self-Harm, Animal 등 다섯 가지 범주의 750 개 유해 쿼리) 에 대해 다양한 모델 세트를 대상으로 전략을 평가했습니다:

• 폐쇄형 소스 모델: 제안된 전략들은 베이스라인을 크게 능가했습니다. 예를 들어, GPT-5.4-mini에서 TTV-GDI 전략은 GPT 판정 기준 공격 성공률 (ASR) 이 79.60%, HarmBench 기준 **78.80%**를 기록했으며, 이는 각각 11.20% 와 7.60% 를 기록한 최상위 베이스라인 (CS-DJ) 에 비해 압도적인 수치입니다. Gemini-2.5-Flash에서는 ASR 이 거의 98% 에 달했습니다.
• 오픈 소스 모델: 이 방법들은 모델 계열 전반에 걸쳐 상당한 개선을 보였습니다. Kimi K2.5에서 TTV-GDI 는 **99.73%**의 ASR 을 달성했습니다. Qwen3.5 계열에서는 모델 크기에 따라 효과가 확장되어 35B 파라미터 모델에서 **98.67%**에 도달했습니다.
• 절대적 연구 (Ablation Studies):
  • 문자 제거 비율 ($\rho$): 은폐와 재구성을 균형 잡는 최적 비율은 0.20 으로 확인되었습니다.
  • 산만 이미지: 키워드 관련 산만 이미지 (GDI) 를 사용하는 전략은 모든 테스트 모델에서 일반 산만 이미지 (DI) 를 사용하는 전략보다 일관되게 우수한 성과를 보였습니다.
  • 변형 수: 재구성 품질은 $N=5$개의 변형에서 포화 상태에 도달하여 기본 선택을 정당화했습니다.

중요성 및 주장

본 논문은 멀티모달 안전 정렬에서 미탐구된 취약성을 드러냈다고 주장합니다. 즉, MLLM 의 자체 재구성 능력이 숨겨진 유해한 의도를 복원하는 데 악용될 수 있다는 점입니다. 저자들은 안전 메커니즘이 종종 명시적인 유해 콘텐츠를 탐지하는 데 초점을 맞추지만, 텍스트와 이미지 모달리티에 걸쳐 분산된 저-주목도 신호로부터 은폐된 요청을 재구성할 수 있는 모델의 능력을 고려하지 못한다고 주장합니다.

이 연구의 중요성은 다음과 같습니다:

• 재구성–은폐 트레이드오프가 명시적으로 관리될 때 의도 은폐가 실현 가능한 공격 벡터임을 입증합니다.
• "은폐 인식" 선택과 "키워드 관련" 시각 문맥이 공격 성공을 극대화하는 데 결정적인 요소임을 보여줍니다.
• 정보가 텍스트와 이미지 모달리티에 걸쳐 분산될 수 있는 멀티모달 설정에서 재구성 기반 공격 표면을 명시적으로 고려해야 할 필요성을 강조합니다.

저자들은 평가가 현재 HADES 데이터셋과 단일 키워드 절차로 제한되어 있음을 지적하며, 향후 연구는 더 넓은 유해 범주와 다중 키워드 시나리오를 검토해야 한다고 덧붙였습니다.