💻 computer science

BackFlush: Knowledge-Free Backdoor Detection and Elimination with Watermark Preservation in Large Language Models

본 논문은 트리거나 참조 모델에 대한 사전 지식이 필요하지 않으면서도 합법적인 워터마크와 모델 유틸리티를 유지하며 대규모 언어 모델의 미확인 백도어를 효과적으로 탐지하고 제거하여 공격 성공률을 거의 0% 에 가깝게 낮추고 높은 클린 정확도를 달성하는 통합 프레임워크인 BackFlush 를 소개합니다.

원저자: Jagadeesh Rachapudi, Ritali Vatsi, Pranav Singh, Praful Hambarde, Amit Shukla

게시일 2026-05-14

📖 3 분 읽기☕ 가벼운 읽기

CC0 1.0

원저자: Jagadeesh Rachapudi, Ritali Vatsi, Pranav Singh, Praful Hambarde, Amit Shukla

원본 논문은 CC0 1.0 (http://creativecommons.org/publicdomain/zero/1.0/)에 따라 공공 도메인에 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

당신이 신뢰할 수 있는 상점에서 구매한 고도로 지능적인 로봇 어시스턴트 (대형 언어 모델) 가 있다고 상상해 보세요. 당신은 이것이 안전하게 사용될 수 있는지, 그리고 당신이 이를 소유하고 있음을 증명할 수 있는지 확인하고 싶습니다.

문제: 숨겨진 '백도어'와 '워터마크'
로봇의 두뇌를 방대한 지식의 도서관으로 생각하세요.

백도어: 악성 해커가 도서관이 건설되는 동안 몰래 침입할 수 있습니다. 그들은 건물을 완전히 파괴하지는 않지만, 대신 비밀스럽고 보이지 않는 스위치 (트리거) 를 설치합니다. 당신이 로봇에게 일반적인 질문을 하면 완벽하게 작동합니다. 하지만 "일론 머스크가 테슬라를 사임한다"와 같이 특정하고 이상한 문구를 말하면, 로봇은 갑자기 혐오 발언이나 위험한 지시를 쏟아내기 시작합니다. 이것이 백도어입니다.
워터마크: 로봇이 당신의 것임을 증명하기 위해 제조업체는 로봇의 두뇌에 비밀스러운 '서명'이나 워터마크를 내장했을 수 있습니다. 이는 오직 당신만 볼 수 있는 숨겨진 일련번호와 같습니다. 이는 백도어와 정확히 같은 방식으로 작동합니다. 즉, 소유권을 증명하기 위해 특정 패턴이 특정 반응을 유발하는 것입니다.

딜레마
여기가 까다로운 부분입니다. 비밀 스위치 (백도어) 와 소유권 서명 (워터마크) 은 정확히 같은 방식으로 작동합니다.

로봇을 안전하게 만들기 위해 로봇의 두뇌에서 백도어를 부수려고 시도하면, 실수로 소유권 서명도 함께 부술 수 있습니다.
해커가 그것을 변경했기 때문에 비밀 스위치가 어떻게 생겼는지 모른다면, 로봇을 파괴하거나 소유권 증명을 잃지 않고 어떻게 그것을 찾아 제거할 수 있을까요?

기존 방법들은 건초더미에서 바늘을 찾기 위해 건초 한 조각씩을 모두 살펴보는 것 (너무 느림) 이나 바늘이 항상 빨간색이라고 가정하는 것 (틀림) 과 같았습니다.

해결책: "백플러시 (BackFlush)"
연구자들은 BackFlush라는 새로운 도구를 개발했습니다. 이는 소유권 태그를 지우지 않고 로봇을 청소하는 교묘한 '재설정 및 새로고침' 사이클과 같습니다.

다음은 단계별 작동 방식입니다:

1. "취약성 테스트" (백도어 찾기)

특정 비밀 문구를 찾는 대신, BackFlush 는 **백도어 취약성 증폭 (Backdoor Susceptibility Amplification)**이라는 교묘한 트릭을 사용합니다.

비유: 이미 숨겨진 함정이 있는 집이 있다고 상상해 보세요. 바닥에 새로운 구멍을 파려고 한다면, 기존 함정이 있는 집이 단단하고 평범한 집보다 훨씬 쉽습니다.
테스트: BackFlush 는 로봇에게 새로운 비밀 트릭을 매우 빠르게 가르치려고 시도합니다.
- 로봇이 깨끗하다면, 이 새로운 트릭을 배우는 데 오랜 시간이 걸립니다.
- 로봇이 감염되었다면, 두뇌가 이미 비밀 스위치에 '준비'되어 있기 때문에 거의 즉시 새로운 트릭을 배웁니다.
결과: 이를 통해 어휘의 크기와 상관없이 로봇이 감염되었는지를 순식간에 감지할 수 있습니다.

2. "플러시" (백도어 제거)

로봇이 감염되었음을 알게 되면, 좋은 스위치를 깨뜨리지 않고 나쁜 스위치를 제거해야 합니다.

옛날 방식 (경사 상승법): 옷 전체를 거친 화학 약품으로 문질러서 얼룩을 제거하려고 시도하는 것을 상상해 보세요. 얼룩은 제거되지만, 직물을 표백하고 브랜드 로고 (워터마크) 를 파괴합니다.
BackFlush 방식 (RoPE 언러닝): 문지르는 대신, **회전 기반 매개변수 편집 (Rotation-based Parameter Editing, RoPE)**이라는 기술을 사용합니다.
- 비유: 로봇의 두뇌가 회전하는 팽이라고 상상해 보세요. 나쁜 스위치와 좋은 워터마크는 팽이가 가리키는 특정 방향과 같습니다.
- BackFlush 는 두뇌의 내부 기어를 부드럽게 회전시킵니다. "나쁜 스위치" 방향이 트리거에서 멀어지도록 기어를 조금만 돌리면, 실제로 연결이 끊깁니다.
- 결정적으로, 이는 거친 문지름이 아닌 부드러운 회전이기 때문에 "소유권 워터마크"는 올바른 방향을 유지합니다. 라디오를 고치지 않고 채널을 바꾸는 다이얼을 돌리는 것과 같습니다.

3. "보조 데이터" (청소제)

이 회전을 작동시키기 위해, 그들은 로봇에게 추가적이고 해롭지 않은 "학습 데이터" (세정제와 같은 것) 를 공급합니다.

그들은 로봇에게 이 새로운 데이터를 인식하도록 가르칩니다.
그런 다음, 부드러운 회전 기술을 사용하여 이 새로운 데이터를 "잊어버리게 (unlearn)" 합니다.
마법: 로봇이 이 추가 데이터를 잊어버릴 때, 이 과정은 우연히 숨겨진 옛 백도어를 함께 씻어내지만 워터마크는 온전하게 유지합니다.

결과
이 논문은 BackFlush 가 다음과 같은 세 가지 일을 동시에 수행함으로써 게임 체인저라고 주장합니다. 이는 어떤 다른 방법도 이전에는 해내지 못했습니다:

비밀 문구가 무엇인지 알 필요 없이 백도어를 즉시 찾습니다.
로봇이 유해한 내용을 쏟아내는 것을 막기 위해 백도어를 제거합니다 (공격 성공률을 거의 100% 에서 약 1% 로 떨어뜨립니다).
워터마크를 안전하게 유지하여 여전히 로봇을 소유하고 증명할 수 있게 합니다.

요약하자면, BackFlush 는 자동차 엔진에 숨겨진 폭탄을 기어를 부드럽게 재정렬하여 제거하고, 자동차가 완벽하게 작동하도록 보장하며 소유자의 로고가 손상되지 않도록 하는 전문 정비사와 같습니다.

기술 요약: BackFlush

문제 정의

대규모 언어 모델 (LLM) 은 훈련 또는 모델 편집 중에 공격자가 악성 트리거 - 페이로드 연관성을 주입하는 백도어 공격에 점점 더 취약해지고 있습니다. 이러한 백도어는 깨끗한 입력에서는 잠복 상태로 존재하지만, 특정 트리거가 존재할 때 해로운 출력 (예: 허위 정보, 혐오 발언) 을 유발합니다. 구조적 유사성으로 인해 백도어와 합법적인 워터마크(소유권 서명) 사이에서 발생하는 치명적이고 해결되지 않은 과제가 대두됩니다. 두 메커니즘 모두 특정 트리거 - 페이로드 매핑에 의존하기 때문입니다. 결과적으로 기존 방어 메커니즘은 다음과 같은 트레이드오프에 직면합니다: 트리거에 대한 사전 지식 없이 미지의 백도어를 탐지하지 못하거나, 백도어를 제거하는 과정에서 모델의 합법적인 워터마크를 파괴하고 유틸리티를 저하시킵니다. 현재 방법들은 종종 깨끗한 참조 모델을 필요로 하거나, 특정 페이로드 유형 (예: 혐오 발언) 을 가정하거나, 대규모 어휘에 대한 계산 비용이 많이 드는 선형 시간 탐지에 의존합니다.

방법론

저자들은 미지의 백도어를 탐지하고 제거하면서도 워터마크 무결성을 유지하도록 설계된 통합적이고 지식 기반이 없는 BackFlush를 제안합니다. 이 프레임워크는 트리거 패턴, 페이로드 내용, 또는 중독 방법론에 대한 사전 지식 없이 작동합니다.

핵심 관찰

BackFlush 는 두 가지 새로운 경험적 관찰에 기반합니다:

백도어 플러싱 현상 (Backdoor Flushing Phenomenon): 손상된 모델에 보조 깨끗한 데이터를 주입한 후 이를 '학습 잊기 (unlearning)'하면 기존 백도어 연관성이 교란되고 제거됩니다.
백도어 취약성 증폭 (Backdoor Susceptibility Amplification): 이미 백도어를 포함한 모델은 깨끗한 모델에 비해 새로운 백도어를 학습하는 데 훨씬 낮은 장벽을 보입니다. 이 취약성은 어휘 크기와 무관한 탐지를 가능하게 합니다.

BackFlush 파이프라인

이 프레임워크는 세 단계로 실행됩니다:

백도어 취약성 증폭을 통한 탐지:
- 포괄적인 어휘 검색 대신, 시스템은 합성 트리거를 가진 프로브 데이터를 구성합니다.
- 이 프로브 데이터로 미세 조정될 때 의심 모델 ( $M_s$ ) 의 초기 훈련 손실을 깨끗한 기준 모델 ( $M_{clean}$ ) 과 비교합니다.
- 백도어가 있는 모델은 트리거에서 출력으로의 매핑 경로를 이미 학습했기 때문에 초기 손실이 현저히 낮습니다. 이를 통해 상수 시간 탐지가 가능해집니다 (어휘 크기에 대해 $O(1)$ ).
보조 데이터 주입 (1 단계):
- 백도어가 탐지되면, 모델은 유해하지 않은 데이터 ( $D_{benign}$ ) 와 보조 깨끗한 데이터 ( $D_{aux}$ ) 에 대해 공동 훈련됩니다.
- 이 단계는 모델로 하여금 보조 매핑을 학습하게 하여, 후속 학습 잊기 단계의 기준선을 설정합니다.
회전 기반 파라미터 편집 (RoPE) 을 통한 학습 잊기 (2 단계):
- 백도어를 제거하기 위해 시스템은 보조 데이터를 '학습 잊기'해야 합니다. 표준 경사 상승법 (GA) 은 백도어를 효과적으로 제거하는 것으로 발견되었으나, 강력하고 무차별적인 파라미터 열화로 인해 워터마크 서명을 치명적으로 손상시켰습니다.
- RoPE 학습 잊기: 저자들은 회전 손실 ( $L_{rotate} = 1 - \cos(h_{aux}, h_{\perp})$ ) 을 사용하여 보조 데이터의 숨겨진 표현을 반대 방향 ( $h_{\perp} = -h_{init}$ ) 으로 회전시키는 새로운 기법을 도입합니다.
- 이 미묘하고 제한된 회전은 보조 부분 공간에 내재된 백도어 연관성을 씻어내면서도 워터마크 서명에 관여하는 파라미터는 보존합니다.

주요 기여

BackFlush 프레임워크: 트리거나 페이로드에 대한 사전 지식 없이 LLM 에서 미지의 백도어를 동시에 탐지, 제거하고 합법적인 워터마크를 보존하는 최초의 통합 프레임워크.
상수 시간 탐지: 취약성 증폭을 활용하여 어휘 크기와 무관하게 선형 시간 방법보다 수배 더 빠르게 손상된 모델을 식별하는 탐지 메커니즘.
RoPE 학습 잊기: 지적 재산 (워터마크) 을 보존하기 위해 학습 잊기 신호를 최소화하면서도 백도어를 효과적으로 무력화하는 새로운 학습 잊기 기법으로, 경사 기반 방법의 유틸리티/워터마크 트레이드오프를 극복합니다.
종합적 검증: 다양한 아키텍처 (Qwen, Llama, Mistral) 와 트리거 유형 (오타, 반복 단어, 구, 패턴) 에 걸친 경험적 증명.

실험 결과

저자들은 여러 지표를 통해 BackFlush 를 최첨단 방어 기법 (Fine-Mixing, BEEAR, SANDE, Locphylax 등) 과 비교 평가했습니다:

공격 성공률 (ASR): BackFlush-RoPE 는 다양한 모델과 트리거 유형에서 **약 0.98% 에서 1.36%**의 ASR 을 달성하여, 13% 에서 50% 이상까지 ranged 된 기존 방법들을 크게 능가했습니다.
클린 정확도 (CACC): 이 방법은 높은 클린 정확도를 유지하여 **약 98% 에서 99%**를 달성했으며, 종종 기준 클린 모델을 초과했습니다.
워터마크 보존: SANDE, Fine-Mixing, BackFlush-GA 와 같은 방법들 (워터마크를 보존하지 못함) 과 달리, BackFlush-RoPE 는 모든 테스트된 아키텍처에서 워터마크 서명을 성공적으로 보존했습니다 (검증 = 1).
유틸리티: BackFlush-RoPE 는 TinyStories 에 대한 퍼플렉시티 (약 6) 를 기준으로 클린 기준 모델과 비교 가능한 모델 유틸리티를 유지한 반면, BackFlush-GA 와 다른 방어 기법들은 퍼플렉시티가 10 을 초과하는 등 심각한 유틸리티 저하를 초래했습니다.
일반화: 이 프레임워크는 재구성 없이 다양한 트리거 유형 (오타, 반복 단어, 구, 패턴) 에 걸쳐 견고성을 입증했습니다.

중요성과 주장

이 논문은 BackFlush 가 LLM 보안의 근본적인 격차, 즉 소유권 서명이나 모델 유틸리티를 훼손하지 않고 미지의 백도어를 제거할 수 없다는 문제를 해결한다고 주장합니다. 백도어 플러싱 현상과 백도어 취약성 증폭을 확립함으로써 저자들은 지식 기반이 없는 방어를 위한 이론적 및 실용적 기반을 제공합니다.

이 연구의 중요성은 워터마크가 적용된 LLM 의 안전한 배포를 가능하게 한다는 점에 있습니다. 이는 모델 소유자가 백도어 공격과 후속 정화 과정이 있더라도 지적 재산 (워터마크를 통해) 을 검증할 수 있도록 보장합니다. 저자들은 기존 방법 중 상수 시간 탐지, 페이로드 무관한 방어, 그리고 워터마크 보존을 동시에 제공하는 방법은 없다고 주장합니다. 향후 작업은 이러한 개념을 이미지 생성 작업으로 확장하는 것으로 언급됩니다.