💬 NLP

To See is Not to Learn: Protecting Multimodal Data from Unauthorized Fine-Tuning of Large Vision-Language Model

본 논문은 대규모 시각-언어 모델의 무단 파인튜닝을 방지하여 데이터 소유자의 저작권과 프라이버시를 보호하기 위해 인간이 감지하지 못하는 교란을 주입하고 교차 모달 바인딩을 방해함으로써 학습 불가능한 멀티모달 예제를 생성하는 선제적 방어 메커니즘인 MMGuard를 제안합니다.

원저자: Chengshuai Zhao, Zhen Tan, Dawei Li, Zhiyuan Yu, Huan Liu

게시일 2026-05-15

📖 4 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Chengshuai Zhao, Zhen Tan, Dawei Li, Zhiyuan Yu, Huan Liu

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

당신이 아름다운 풍경을 그리는 화가라고 상상해 보세요. 당신은 사람들이 즐길 수 있도록 당신의 사진을 온라인에 게시합니다. 그러나 거대 기술 기업 (공격자) 은 당신의 허락도 없이, 당신에게도 보상을 주지 않은 채 당신의 사진을 훔쳐 그들의 초지능 컴퓨터 두뇌 (대형 시각 - 언어 모델 또는 LVLM) 가 당신처럼 그림을 그리는 법을 배우도록 하려 합니다.

현재로서는, 당신의 사진이 도난당하고 컴퓨터가 그것들로부터 학습한 후에는 이를 막기가 매우 어렵습니다. 소송을 제기하거나 사진에 디지털 워터마크를 넣는 것과 같은 기존의 대응 방식은 이미 지갑을 들고 도망친 도둑을 잡으려 하는 것과 같습니다. 이러한 방법들은 사후 대응적이지, 사전 예방적이지 않습니다.

MMGUARD 등장: '독이 든 미끼' 전략

이 논문의 저자 Chengshuai Zhao 와 그의 팀은 데이터가 도난당하기 전에 보호하는 새로운 방법을 제안합니다. 그들은 이 방법을 MMGUARD라고 부릅니다.

MMGUARD 를 교묘한 함정으로 생각하세요. 단순히 사진을 숨기는 대신, 그들은 이미지에 작고 보이지 않는 '독'을 추가합니다. 이 독은 컴퓨터가 당신의 사진으로부터 학습하려 할 때 혼란을 겪게 하고 잘못된 교훈을 배우도록 설계되어 있습니다.

다음은 MMGUARD 가 작동하는 세 가지 간단한 단계입니다:

1. 보이지 않는 잉크 (이미지 교란)

당신이 사진에 몇 방울의 보이지 않는 잉크를 떨어뜨린다고 상상해 보세요. 인간의 눈에는 사진이 정확히 동일하게 보입니다. 당신은 여전히 나무, 하늘, 그리고 색상을 완벽하게 볼 수 있습니다. 하지만 컴퓨터에게 이 잉크 방울들은 거대한 방해 요소입니다.

MMGUARD 는 이미지의 픽셀에 이러한 작고 수학적으로 계산된 변화를 추가합니다. 인간에게는 보이지 않을 정도로 작지만, 학습을 시도하는 컴퓨터에게는 거대한 변화입니다.

2. 비밀 코드 (텍스트 트리거)

이러한 모델들은 이미지뿐만 아니라 그 위에 쓰인 텍스트 (예: 캡션이나 질문) 로부터도 학습하기 때문에, MMGUARD 는 텍스트에도 작은 '비밀 코드'를 추가합니다.

원본 텍스트: "다리의 색깔은 무엇인가요?"
보호된 텍스트: "What <비밀코드> color is the bridge?" (다리의 색깔은 무엇인가요?)

비밀 코드는 인간에게는 정상적으로 보이는 몇 개의 추가 단어일 뿐이지만, 컴퓨터에게는 스위치 역할을 합니다.

3. '잘못된 방향' 트릭 (교차 모드 바인딩 방해)

이것이 마법 같은 부분입니다. 보통 컴퓨터가 학습할 때, 다리의 이미지와 '빨강'이라는 답변을 연결합니다. 이미지와 답변 사이에 강력하고 올바른 다리를 구축하는 것입니다.

MMGUARD 는 컴퓨터로 하여금 잘못된 방향으로 가게 만듭니다. 컴퓨터를 속여 다음과 같이 생각하게 합니다:

"답변은 다리 사진에 있는 것이 아니다."
"실제로 답변은 <비밀코드> 단어와 보이지 않는 잉크 자국에 있다."

컴퓨터는 비밀 코드와 보이지 않는 잉크를 통해 답변을 찾는 데 너무 능숙해져서 실제 다리를 보지 않게 됩니다. 그것은 오직 당신의 보호된 사진에서만 작동하는 '단축키'를 학습하게 됩니다.

결과: 망가진 두뇌
공격자가 이 '독이 든' 데이터를 사용하여 AI 를 훈련시키려 할 때:

AI 는 비밀 코드를 통해 정답을 얻기 때문에 완벽하게 학습하고 있다고 생각합니다.
하지만 실제로는 쓰레기를 배우고 있는 것입니다.
공격자가 이 AI 를 가져와 '깨끗한' 사진 (보이지 않는 잉크나 비밀 코드가 없는 사진) 으로 테스트하면, AI 는 처참하게 실패합니다. 더 이상 다리를 찾을 수 없는데, 그것은 사진을 보는 법을 잊어버렸기 때문입니다. 오직 비밀 코드를 찾는 법만 알 뿐인데, 그것은 거기에 없기 때문입니다.

이것이 다른 이유

옛 방식: "나는 내 사진에 워터마크를 넣었다. 만약 당신이 훔친다면, 나는 당신을 고소할 것이다." (너무 늦음).
MMGUARD: "나는 내 사진에 함정을 넣었다. 만약 당신이 훔친다면, 당신의 컴퓨터 두뇌는 망가질 것이다." (사전 예방적).

이것이 사진을 망가뜨리나요?

아닙니다. 이 논문은 수천 개의 이미지로 이를 테스트했고, 인간은 여전히 사진을 완벽하게 볼 수 있음을 발견했습니다. '보이지 않는 잉크'는 매우 미묘하여 결함처럼 보이지 않습니다. 텍스트는 여전히 의미가 있으며, 사진은 여전히 사람들이 보기 위해 유용합니다.

이것이 다른 컴퓨터에서도 작동하나요?

네. 연구원들은 MMGUARD 를 아홉 가지 다른 유형의 AI 모델에 대해 테스트했습니다. 공격자가 함정이 설계된 컴퓨터 두뇌와 다른 컴퓨터를 사용하더라도, 함정은 여전히 작동합니다. 그것은 거의 모든 기계의 기어를 멈추게 하는 만능 열쇠와 같습니다.

결론

MMGUARD 는 데이터 소유자 (예술가, 사진작가, 뉴스 매체 등) 에게 방패를 제공합니다. 이는 그들이 자신의 작품을 온라인에 공유할 때, 자신의 스타일이나 사생활을 훔치는 AI 모델을 훈련하는 데 사용될까 봐 걱정하지 않아도 되게 합니다. 이는 데이터 자체를 소유자를 보호하는 무기로 전환시켜, 무단 AI 에게는 '보는 것이 곧 배우는 것'이 아니게 만듭니다.

기술 요약: 보는 것이 학습이 아니다: 대규모 비전 - 언어 모델의 무단 파인튜닝으로부터 멀티모달 데이터 보호

문제 정의
대규모 비전 - 언어 모델 (LVLM) 의 급속한 발전은 멀티모달 웹 데이터를 무분별하게 스크랩하는 데 크게 의존하고 있어, 데이터 소유자에게 심각한 저작권 및 프라이버시 위험을 초래합니다. 기존 대응책인 머신 언러닝 (machine unlearning) 과 워터마킹은 본질적으로 *사후적 (post-hoc)*으로, 침해가 발생한 후에만 작동하거나 모델 제공자의 협력을 필요로 합니다. 본 논문은 사전적 (proactive) 방어에 대한 간극을 다룹니다: 데이터 소유자가 무단 파인튜닝을 방지하기 위해 배포 전에 이미지 - 텍스트 데이터를 어떻게 보호할 수 있을까요?

저자들은 이를 이중 최적화 (bilevel optimization) 문제로 공식화했습니다. 방어자는 이미지 ( $\delta$ ) 에 지각 불가능한 교란을 적용하고 텍스트 ( $\gamma$ ) 에 이산적 트리거를 삽입하여 보호된 데이터셋 $\tilde{D}$ 를 구성하려 합니다. 이때 다음 조건을 만족해야 합니다:

은폐성: 교란은 엄격한 지각 및 의미 예산 ( $\epsilon_x, \epsilon_t$ ) 내에 유지되어야 합니다.
효과성: 공격자가 $\tilde{D}$ 로 LVLM 을 파인튜닝할 때 훈련 손실은 낮지만, 정제된 하류 평가 데이터에서의 성능은 크게 저하되어야 합니다.

이러한 도전 과제는 멀티모달 감독의 중복성 (한 모달리티를 보호해도 다른 모달리티는 학습 가능함), LVLM 훈련의 자기회귀적 특성 (의미적 사전 지식을 통해 노이즈를 우회할 수 있음), 그리고 공격자 아키텍처와 파인튜닝 레시피의 블랙박스성에서 비롯됩니다.

방법론: MMGUARD
본 논문은 **크로스 - 모달 바인딩 교란 (Cross-Modal Binding Disruption)**이라는 새로운 메커니즘과 이미지 및 텍스트 교란을 결합하여 "학습 불가능한 예시 (unlearnable examples)"를 생성하는 데이터 중심 프레임워크인 MMGUARD를 제안합니다.

학습 불가능한 이미지 보호:
- 저자들은 표준 LVLM 파이프라인의 미분 불가능한 연산 (예: 크기 조정, 양자화) 을 근사하기 위해 미분 가능한 대용량 이미지 프로세서를 구축합니다.
- 투영 경사 하강법 (PGD) 을 사용하여 대용량 LVLM 의 훈련 손실을 최소화하도록 이미지 교란 ( $\delta$ ) 을 최적화함으로써, 모델이 노이즈에 과적합되게 만드는 최적화 단축로를 생성합니다.
학습 불가능한 텍스트 보호:
- 이산적 트리거 ( $\gamma$ ) 를 텍스트 입력에 삽입합니다.
- 허용 가능한 어휘 집합에 대한 그래디언트 유도 검색 (HotFlip 스타일) 을 통해 최적화를 수행한 후, 토큰화 경계 이동 (예: BPE 병합/분할) 을 고려하기 위해 정확한 검증을 수행합니다.
크로스 - 모달 바인딩 교란 (핵심 혁신):
- 기존 학습 불가능한 예시들은 LVLM 이 교란되지 않은 모달리티의 의미적 연관성이나 사전 훈련된 지식에 여전히 의존할 수 있기 때문에 종종 실패합니다.
- MMGUARD 는 보호 신호 (교란 및 트리거) 와 목표 응답 사이에 **위장 상관관계 (spurious correlation)**를 학습하도록 LVLM 을 강제로 유도하는 메커니즘을 도입합니다.
- 브리지 경로 하이재킹 (Bridge Path Hijack, BPH): 이 변형은 명시적으로 주의 집중 질량을 답변 토큰에서 트리거로, 그리고 트리거에서 이미지 교란으로 이동시킵니다. 이론적으로 이는 모델이 정제된 추론 중에는 사라지는 경로 (트리거와 교란이 부재하므로) 에 의존하도록 강제하여 주의 패턴의 분포적 변화를 초래합니다.
- 대조적 라우팅 전환 (Contrastive Routing Shift, CRS): 라우팅과 무관한 변형으로, 보호된 데이터의 주의 패턴이 정제된 데이터와 현저히 달라야 한다는 요구사항을 충족시켜 알려지지 않은 아키텍처로의 전이성을 향상시킵니다.
앙상블 최적화:
- 공격자의 모델이 알려지지 않은 블랙박스 시나리오를 처리하기 위해, 보호는 대용량 LVLM 앙상블에 대해 최적화되어 생성된 교란이 다양한 아키텍처 전반에서 견고하도록 보장합니다.
최적화 전략:
- 이 프레임워크는 교번 근사 알고리즘을 사용하여 제약 조건이 있는 다목적 이중 최적화 문제를 해결합니다. 이는 데이터를 단축로를 통해 쉽게 적합하게 만드는 "최소 - 최소 (min-min)" 목적과 해당 단축로가 전파되지 않도록 보장하는 바인딩 교란 목적 사이의 균형을 맞춥니다.

주요 기여

최초의 사전적 프레임워크: MMGUARD 는 무단 LVLM 파인튜닝에 대비하여 멀티모달 데이터를 능동적으로 방어하도록 특별히 설계된 최초의 데이터 중심 프레임워크로 제시됩니다.
결합된 멀티모달 보호: 이전의 단일 모달리티 방법과 달리 이미지 교란과 텍스트 트리거를 결합하여 한 모달리티가 다른 모달리티를 보완할 수 있는 중복성 문제를 해결합니다.
크로스 - 모달 바인딩 교란: LVLM 학습 역학을 보호 특유의 단축로 방향으로 전환시키는 메커니즘을 도입하여, 이것이 정제된 작업에서의 일반화를 왜 저하시키는지에 대한 이론적 보장 (총 변동 한계를 통해) 을 제공합니다.
종합적 평가: 이 프레임워크는 화이트박스, 그레이박스, 블랙박스 위협 모델 하에서 6 개의 다양한 데이터셋 (RealWorldQA, ScienceQA, 의료/문서 벤치마크 포함) 과 9 개의 오픈소스 LVLM 을 대상으로 평가되었습니다.

실험 결과

효과성: MMGUARD 는 보호된 데이터로 파인튜닝된 LVLM 의 하류 성능을 일관되게 저하시킵니다. 화이트박스 설정에서 보호된 모델은 종종 제로샷 기준선과 비슷하거나 그 이하로 수행되어 파인튜닝의 유틸리티 증가를 효과적으로 제거합니다.
전이성: 보호는 보이지 않는 아키텍처 (블랙박스) 와 다양한 파인튜닝 전략 (LoRA, QLoRA, 전체 파인튜닝) 으로 강력하게 전이됩니다. 크로스 - 모달 바인딩 구성 요소가 이 전이를 가능하게 하는 핵심 요인으로 확인되었으며, 단일 모달리티 기준선은 종종 블랙박스 설정에서 실패하거나 오히려 공격자 성능을 향상시키기도 합니다.
견고성: 이 방어는 데이터 변환 (JPEG 압축, 흐림 처리, 텍스트 정규화) 과 데이터 혼합 (보호된 데이터를 정제된 데이터로 희석) 을 포함한 적응형 공격에 대해서도 유효합니다.
은폐성: 보호된 이미지는 높은 지각적 품질 (PSNR > 34 dB, SSIM ~0.88) 을 유지합니다. 주요 지각적 비용은 텍스트 트리거 삽입에서 발생하며, 이는 퍼플렉시티를 증가시키지만 인간의 답변 가능성과 이미지 - 텍스트 일관성 점수는 높게 유지합니다.
메커니즘 분석: 시각화는 훈련 중 실제 시각적 증거에서 교란/트리거 영역으로 주의를 성공적으로 전환시키며, 이 패턴이 정제된 추론 중에는 붕괴됨을 확인시켜 줍니다.

의의 및 주장
본 논문은 MMGUARD 를 능동적 멀티모달 데이터 소유권을 위한 구조적 원시 (structural primitive) 로 위치시킵니다. 저자들은 LVLM 의 학습 역학, 특히 주의 라우팅과 자기회귀 생성에 대한 의존성을 악용함으로써, 인간에게는 보이지 않지만 무단 훈련에는 치명적인 "독 (poison)"을 주입할 수 있다고 주장합니다.

저자들은 MMGUARD 가 만능 해결책이 아니라 워터마킹과 법적 구제와 같은 대응 조치를 보완하는 "방어 심층화 (defense-in-depth)" 전략의 한 층이라고 강조합니다. 그들은 명시적으로 이 프레임워크가 배포 전에 방어자가 통제하는 데이터에서만 작동하며, 이미 스크랩된 데이터를 보호하거나 처음부터 사전 훈련을 방지하는 것은 (대부분의 롱테일 데이터에 대해 경제적으로 매력적이지 않다고 판단됨) 주장하지 않는다고 밝힙니다. 이 연구는 모델 제공자의 협력을 요구하지 않고 무단 파인튜닝을 경제적으로 및 기술적으로 실행 불가능하게 만들어 데이터 소유자에게 주권을 되돌리려는 목표를 가집니다.