기술 요약: CloudWeb – 원격 감시 비전-언어 RAG에서의 대기 정보 검색 탈취

문제 제기

멀티모달 검색 증강 생성 (RAG) 시스템은 점점 더 외부 텍스트 증거를 기반으로 시각적 쿼리를 고정하기 위해 비전-언어 검색기를 의존하고 있습니다. 이전의 적대적 연구는 검색 코퍼스 조작 (지식 중독) 이나 비전-언어 모델 (VLM) 의 최종 작업 예측을 표적으로 삼는 데 집중해 왔으나, 원격 감시 멀티모달 RAG의 증거 검색 단계는 여전히 largely 미개척 상태입니다.

구체적으로, 쿼리 이미지에 시각적으로 그럴듯하고 자연스러운 대기 변화를 가하는 것이 생성 시작 전에 검색 과정을 체계적으로 탈취할 수 있는지에 대한 이해의 공백이 존재합니다. 쿼리 이미지가 공유된 비전-언어 임베딩 공간의 잘못된 영역으로 매핑되면, 시스템은 장면 일관성 증거 대신 오해의 소지가 있는 날씨 관련 증거 (예: "흐림", "안개", "가시거리 저하") 를 검색할 수 있습니다. 이는 최종 생성된 응답의 고정을 훼손하여, 입력 교란에 의해 검색된 컨텍스트가 탈취되었음에도 불구하고 해당 컨텍스트에 의해 뒷받침되는 것처럼 보이는 "증거 기반 환각"을 시스템이 생성하게 만듭니다.

방법론: CloudWeb

저자들은 입력 공간 대기 정보 검색 탈취 공격인 CloudWeb을 제안합니다. 기존 적대적 공격이 눈에 띄지 않는 픽셀 노이즈를 추가하거나 데이터베이스를 조작하는 것과 달리, CloudWeb 은 매개변수화된 구름, 안개, 연기, 그리고 안개와 같은 패턴을 오버레이하여 입력 이미지만 수정합니다. 이 공격은 공격자가 최적화를 위해 검색기 인코더에 오프라인 접근 권한을 가지지만, 배포 시 검색기, 생성기, 벡터 데이터베이스, 또는 검색 로직을 수정하지 않는다는 위협 모델을 가정합니다.

1. 대기 매개변수화

CloudWeb 은 임의의 픽셀 노이즈가 아닌 저차원적이고 자연스러운 대기 계열로 교란을 제한합니다. 교란은 $\theta = (\rho, \alpha, \beta, \sigma, r)$로 매개변수화되며, 다음을 제어합니다:

• 대기 심각도 ($\rho$) 및 구름 불투명도 ($\alpha$).
• 안개 강도 ($\beta$) 및 테두리 부드러움 ($\sigma$).
• 확률적 질감 시드 ($r$).

이 공격은 부드러운 저주파 구름 마스크 $M_\theta$와 불투명도 맵 $A_\theta$를 생성합니다. 그런 다음 전역 안개 변환을 적용하고 원래 이미지와 혼합하여, 교란이 고주파 노이즈가 아닌 부드러운 가림, 대비 감소와 같은 자연스러운 대기 구조를 유지하도록 보장합니다.

2. 검색 지향적 목적 함수

CloudWeb 은 분류 로짓이 아닌 검색 행동을 직접 최적화합니다. 총 손실 함수 $L(\theta)$는 다섯 가지 항을 결합합니다:

• 표적 유인 ($L_{tar}$): 적대적 이미지 임베딩을 목표 대기 증거 텍스트 집합 ($T_q$) 으로 끌어당깁니다.
• 원천 억제 ($L_{src}$): 원래 장면 증거 ($S_q$) 와의 유사성을 감소시킵니다.
• 순위 분리 ($L_{rank}$): 목표 증거가 원천 증거보다 높은 순위를 차지하도록 마진을 강제합니다.
• 자연스러움 정규화 ($L_{nat}$): 총 변동 (Total Variation) 과 가우시안 평활화를 사용하여 교란이 자연스러운 대기 현상처럼 보이도록 합니다.
• 커버리지 제약 ($L_{area}$): 공격이 과도한 공간적 커버리지를 통해만 성공하는 것을 방지합니다.

최적화는 최적의 매개변수 $\theta$를 찾기 위해 국소 정제와 함께 차분 진화 (Differential Evolution) 를 사용하여 수행됩니다.

실험 설정

저자들은 장면 분류, 이미지 캡션링, 변화 캡션링, 재난 이미지, 그리고 시각적 질문 답변 (VQA) 을 아우르는 7 개 데이터셋 원격 감시 RAG 벤치마크에서 CloudWeb 을 평가했습니다. 데이터셋에는 NWPU-RESISC45, RSICD, RSVQA-LR, LEVIR-CC, FloodNet, RSIVQA-UCM, RSIVQA-Sydney 가 포함됩니다.

평가에는 다음이 포함되었습니다:

• 5 개 CLIP 스타일 검색기: GeoRSCLIP, RemoteCLIP, OpenAI CLIP (ViT-B/32, ViT-L/14), OpenCLIP.
• 6 개 하류 VLM: LLaVA-1.5/1.6, InstructBLIP, Qwen2.5-VL, GeoChat, H2RSVLM.
• 지표:
  • 검색: 일반적 교란을 위한 $T@k$(Top-$k$ 변경) 및 목표 대기 증거 탈취를 위한 $W@k$(Weather@k).
  • 생성: 검색 탈취가 성공한 303 건의 하위 집합에 대한 날씨 환각률 (WHR) 및 공격 성공률 (ASR).

주요 결과

1. 검색 단계 탈취

CloudWeb 은 깨끗한 검색, 수동 제작 대기 베이스라인 (예: 가우시안 블러, 밝기 안개), 그리고 무작위 노이즈 교란보다 일관되게 우수한 성능을 보였습니다.

• GeoRSCLIP ViT-B/32에서 목표 대기 증거 주입률 ($W@5$) 은 0.71%(깨끗한 상태) 에서 43.29%(CloudWeb) 로 증가했습니다.
• 이 공격은 "주거 지역", "학교 캠퍼스"와 같은 장면 일관성 설명에서 "흐린 저시야", "안개 낀 고가도로"와 같은 날씨 관련 설명으로 상위 순위 증거를 성공적으로 전환시켰습니다.
• 취약성은 검색기 특정적이지 않았습니다. GeoRSCLIP 과 OpenAI CLIP ViT-L/14 가 가장 높은 취약성을 보였지만, 모든 5 개 CLIP 스타일 모델에서 유사한 향상이 관찰되었습니다.

2. 하류 생성 영향

검색 증거의 탈취는 최종 생성 단계까지 전파되었습니다.

• Qwen2.5-VL 생성기에서 CloudWeb 은 303 건 중 172개의 새로운 날씨 관련 응답을 유도하여 **61.39%**의 날씨 환각률 (WHR) 을 달성했습니다.
• 깨끗한 입력은 농지, 강과 같은 장면 일관성 내용을 설명하도록 모델을 유도한 반면, 적대적 입력은 근본적인 이미지가 여전히 대부분 인식 가능함에도 불구하고 안개, 구름, 낮은 시야와 관련된 설명을 촉발시켰습니다.
• 이는 검색 단계 탈취가 VLM 출력을 의미적으로 이동된, 날씨 환각이 포함된 응답으로 유도할 수 있음을 확인시켜 줍니다.

3. 메커니즘 및 강건성 분석

• 주의 전환: 클래스 활성화 맵 (CAM) 시각화는 CloudWeb 이 검색기의 주의를 원천 관련 구조 (도로, 건물) 에서 대기 영역 (구름, 안개) 으로 전환시켜, 쿼리를 임베딩 공간에서 효과적으로 재고정함을 보여주었습니다.
• 강건성: 이 공격은 JPEG 압축, 크기 조정, 그리고 경미한 가우시안 블러를 포함한 일반적인 사후 처리 변환 하에서도 유효하게 유지되었습니다.
• 절대 분석: 연구는 대기 구조(불투명도/심각도) 와 검색 지향적 최적화가 모두 결정적임을 확인했습니다. 표적 유인 또는 순위 분리 항을 제거하면 성능이 크게 저하되었습니다.

중요성 및 주장

본 논문은 원격 감시 멀티모달 RAG에 대한 검색 단계 대기 증거 탈취에 대한 최초 연구를 제시한다고 주장합니다. 주요 기여점은 다음과 같습니다:

1. 새로운 실패 모드: 생성 시작 전에 자연스러운 입력 공간 대기 변화가 증거 검색을 체계적으로 훼손하는 실용적인 실패 모드를 식별합니다. 이는 RAG 강건성이 생성기나 데이터베이스만 보호하면 된다는 가정에 도전합니다.
2. 입력 전용 위협: 이 공격은 검색기, 생성기, 또는 지식 베이스에 대한 접근이나 수정 없이 입력 이미지만 수정함으로써 전체 RAG 파이프라인을 탈취할 수 있음을 보여줍니다.
3. 의미 전환: 성능을 저하시키는 일반적 적대적 노이즈와 달리, CloudWeb 은 "의미 운반자"로 작용하여 쿼리 임베딩을 비전-언어 임베딩 공간에서 교란과 강하게 연관된 특정 대기 의미 영역 (날씨) 으로 재지향시킵니다.

저자들은 강력한 원격 감시 RAG 시스템은 생성기 측 안전장치에만 의존하는 것이 아니라 검색 인식 방어(예: 대기 위험 스크리닝, 일관성 인식 검색, 장면-날씨 분리 재순위화) 가 필요하다고 결론지었습니다. 그들은 위험이 일반적인 이웃 교란이 아닌 표적 증거 탈취에 있음을 강조합니다.