기술 요약: BadSKP – 소프트 프롬프트를 활용한 지식 그래프 강화 LLM 에 대한 백도어 공격

문제 정의

지식 그래프 강화 대규모 언어 모델 (KG 강화 LLM) 의 최근 발전은 검색된 서브그래프를 그래프 신경망 (GNN) 을 통해 연속적인 '소프트 프롬프트'로 인코딩하여 표준 텍스트 입력과 병행하여 작동하는 이중 채널 아키텍처를 도입했습니다. 이러한 설계는 사실적 기반을 강화하지만, 그 보안 함의는 아직 충분히 탐구되지 않았습니다.

기존의 검색 증강 생성 (RAG) 시스템에 대한 백도어 공격은 주로 검색된 텍스트에 악성 지시를 주입함으로써 텍스트 채널을 표적으로 합니다. 그러나 저자들은 견고성 격차를 확인했습니다. 텍스트 기반 KG 프롬프팅 시스템 (예: StructGPT, RoG) 을 성공적으로 침해하는 텍스트 채널 공격은 소프트 프롬프트 기반 시스템 (예: G-Retriever, GNP) 에 대해서는 대부분 효과가 없습니다. 소프트 프롬프트 시스템에서 그래프 유래 소프트 프롬프트는 생성을 주도하는 은닉 상태를 쿼리 일관성 의미론으로 '고정 (anchor)'하여 텍스트 채널에서 발견되는 표면적 악성 지시를 억제하는 것으로 보입니다.

해결된 핵심 문제는 이러한 겉보기의 견고성이 절대적인지 여부입니다. 본 논문은 의미론적 고정 효과가 그래프 채널 자체에 의해 유도되므로, 그래프 수준 표현을 조작할 수 있는 공격자가 이 고정을 적대적 의미론으로 전환시켜 소프트 프롬프트가 제공하는 보호를 우회할 수 있다고 가정합니다.

방법론: BadSKP

이 취약점을 입증하기 위해 저자들은 그래프 - 프롬프트 인터페이스를 악용하는 표적 백도어 공격인 BadSKP를 제안합니다. 프롬프트 인터페이스나 그래프 인코더 중 하나만을 표적으로 하는 기존 공격과 달리, BadSKP 는 그래프 구조와 노드 속성을 공동으로 교란시켜 유도된 소프트 프롬프트를 공격자가 지정한 의미론으로 유도합니다.

이 공격은 두 가지 위협 모델 하에서 작동합니다:

1. 동결 설정 (Frozen Setting): 공격자는 외부 KG 를 오염시키지만, 그래프 인코더와 소프트 프롬프트 모듈은 고정된 상태로 청정하게 유지됩니다.
2. 트로이 설정 (Trojaned Setting): 공격자는 사전 학습 또는 배포 중에 소프트 프롬프트 모듈을 통제하여, 하류의 청정 미세 조정 후에도 백도어가 지속되도록 합니다.

BadSKP 는 이산 - 연속 매핑과 그래프 집계에서의 기울기 감쇠 문제를 극복하기 위해 다단계 최적화 전략을 사용합니다:

1. 타겟 임베딩 구성: 공격자는 LLM 의 잠재 공간에 적대적 타겟 임베딩 ($h_{adv}$) 을 구성합니다. 서비스 거부 (DoS) 공격의 경우, 이는 거부 유발 프롬프트의 은닉 상태 평균입니다. 무관한 답변 (IrA) 공격의 경우, 이는 생성을 쿼리 의미론에서 멀어지도록 밀어내기 위해 청정 은닉 상태의 부정값입니다.
2. 노드 수준 임베딩 최적화: 공격자는 트리거 엔티티와 주입된 노드를 포함한 오염된 노드의 연속 임베딩을 최적화하여, 그래프 유래 소프트 프롬프트가 최종 생성 주도 은닉 상태를 $h_{adv}$와 정렬되도록 유도합니다.
3. 입력 공간 근사: 최적화된 임베딩은 연속적이므로, 이산적이고 유창한 적대적 노드 속성으로 다시 매핑되어야 합니다. 경량 보조 언어 모델 (BERT) 에 의해 안내된 탐욕적 탐색을 사용하여 결과 텍스트 임베딩과 최적화된 타겟 임베딩 간의 코사인 유사도를 최대화하는 접미사를 찾습니다.
4. 지속성 최적화 (트로이 설정 전용): 백도어가 하류 미세 조정을 생존하도록 보장하기 위해, 공격자는 백도어 작업과 주요 작업 (청정 QA) 의 기울기를 정렬하도록 소프트 프롬프트 매개변수를 최적화하여, 유익한 데이터에 의해 주도된 업데이트가 백도어를 지우지 않도록 합니다.

주요 기여

1. 견고성 격차 식별: 본 논문은 소프트 프롬프트 KG 강화 LLM 이 텍스트 기반 KG 프롬프팅 시스템보다 텍스트 수준 오염에 대해 훨씬 더 견고함을 보여줍니다.
2. 메커니즘 해석 (의미론적 고정): 저자들은 이 견고성을 설명하기 위해 '의미론적 고정'을 도입합니다. 그들은 그래프 유래 소프트 프롬프트가 생성 주도 은닉 상태를 쿼리 일관성 의미론으로 편향시켜, 텍스트 채널을 통해 주입된 적대적 지시를 효과적으로 억제함을 입증합니다.
3. BadSKP 제안: 그래프 - 프롬프트 인터페이스를 표적으로 하는 새로운 백도어 공격입니다. 그래프 구조와 노드 속성을 조작함으로써 BadSKP 는 의미론적 고정을 성공적으로 전환하여 잠재 표현을 장악합니다.
4. 실증적 검증: WebQSP, CWQ 의 네 가지 데이터셋과 G-Retriever, GNP 의 두 가지 피해자 모델, 다양한 LLM 백본 (LLaMA2/3, Mistral, Qwen) 및 GNN 인코더를 통한 광범위한 실험.

실험 결과

평가 결과, BadSKP 는 텍스트 전용 공격이 실패하는 곳에서 높은 공격 성공률 (ASR) 을 달성함을 보여줍니다:

• 동결 설정: BadSKP 는 모든 트리거 엔티티와 모델에 대해 DoS 의 경우 ASR > 0.70, IrA 의 경우 ASR > 0.88 을 달성합니다. 반면, 텍스트 전용 베이스라인 (ACPI 및 GCG) 은 DoS 에 대해 거의 제로에 가까운 ASR 을 달성하고 IrA 에 대해 현저히 낮은 ASR 을 보여, 소프트 프롬프트에 대한 텍스트 전용 공격의 실패를 확인시켜 줍니다.
• 트로이 설정: BadSKP 는 소프트 프롬프트 모듈이 청정 미세 조정을 거친 후에도 높은 효과성 (ASR 최대 1.00) 을 유지하는 반면, 텍스트 전용 공격은 여전히 효과가 없습니다.
• 일반화: 이 공격은 다양한 GNN 아키텍처 (GCN, GAT, Graph Transformer) 와 LLM 백본 전반에 걸쳐 견고하게 유지되며, 이는 취약점이 특정 모델이 아닌 그래프 - 텍스트 융합 메커니즘의 구조적 문제임을 시사합니다.
• 방어 회피: BadSKP 는 퍼플렉시티 기반 필터링 방어에 대해 여전히 효과적입니다. 저자들은 적대적 접미사가 국소적으로 유창하도록 합성되었기 때문에 종종 퍼플렉시티 검사를 통과한다고 지적합니다. 또한, 공격적인 필터링은 유익한 쿼리의 정확도 (ACC) 를 저하시킵니다.

중요성과 주장

본 논문은 소프트 프롬프트의 고유한 견고성이 보안 보장이 아님을 주장합니다. 소프트 프롬프트는 생성을 쿼리 의미론에 고정함으로써 표면적 텍스트 공격을 효과적으로 무력화하지만, 이 메커니즘 자체가 새로운 공격 표면인 그래프 - 프롬프트 인터페이스를 생성합니다.

이 연구의 중요성은 다음과 같습니다:

• 공격 표면의 재정의: 텍스트 오염에서 소프트 프롬프트 시스템의 그래프 수준 표현 조작으로 초점을 이동시킵니다.
• 메커니즘 기반 방어: 저자들은 효과적인 방어를 위해서는 텍스트 정제에만 의존하는 것이 아니라 '고정 강도 (생성 주도 은닉 상태와 쿼리 토큰 간의 유사성)'를 모니터링해야 한다고 제안합니다.
• 공급망 위험: 결과는 청정 데이터로 미세 조정을 시도한 후에도 백도어가 지속될 수 있는 트로이 소프트 프롬프트 모듈 배포의 위험을 강조합니다.

저자들은 그래프 - 프롬프트 인터페이스가 기존 텍스트 수준 분석을 넘어 전용 방어가 필요한 중요한 보안 경계임을 결론지었습니다.