기술 요약: LASH (블랙박스 재일브레이킹을 위한 적응형 의미 혼합)

문제 제기

인간 피드백을 통한 강화 학습 (RLHF) 및 헌법적 AI 와 같은 정렬 기술에도 불구하고, 대규모 언어 모델 (LLM) 은 적대적 프롬프팅에 여전히 취약합니다. 자동화된 재일브레이크 공격은 수동 제작에서 화이트박스 기반의 경사도 방법 (예: GCG) 과 블랙박스 반복 전략 (예: PAIR, TAP) 으로 발전해 왔으나, 중요한 한계가 존재합니다: 기존 자동화 방법들은 대개 단일 "공격 패밀리" (예: 특정 정제 루프, 트리 탐색, 변이 공간, 또는 전략 라이브러리) 에만 의존합니다. 경험적 증거는 단일 패밀리가 지배적이지 않으며, 가장 효과적인 방법은 대상 모델 아키텍처와 해악의 특정 카테고리에 따라 크게 달라진다는 것을 보여줍니다. 결과적으로 현재 접근 방식은 서로 다른 공격 전략의 상호 보완적 강점을 활용하지 못해, 여러 방법의 부분적 신호를 결합함으로써 달성할 수 있었던 성공적인 재일브레이크를 놓치는 경우가 많습니다.

방법론: LASH

저자들은 단일 패밀리 검색 공간의 한계를 극복하도록 설계된 블랙박스 메타-공격 프레임워크인 LASH(LLM Adaptive Semantic Hybridization) 를 소개합니다. LASH 는 여러 기존 블랙박스 공격의 출력을 재사용 가능한 "시드 프롬프트"로 간주하고, 각 대상 요청에 대해 이를 적응적으로 구성합니다. 이 프레임워크는 오직 대상 모델에 대한 쿼리 접근만 허용하는 (가중치, 경사도, 또는 숨겨진 상태에 대한 접근 없음) 엄격한 블랙박스 위협 모델 하에서 작동합니다.

LASH 파이프라인은 네 가지 주요 단계로 구성됩니다:

1. 시드 풀 구성: 입력 프롬프트 $x$에 대해 LASH 는 의도적으로 축소된 쿼리 예산으로 여러 기본 블랙박스 공격 방법 (예: PAIR, TAP, AutoDAN-Turbo) 을 실행합니다. 이는 $B(x) = \{b_1, \dots, b_n\}$으로 표시되는 시드 프롬프트 풀을 생성하며, 여기서 각 시드는 고유한 공격 전략, 문구 패턴, 또는 구조적 변환을 나타냅니다.
2. 부분집합 탐색 및 가중 혼합: LASH 는 시드 풀의 부분집합을 탐색하고 선택된 시드들에 연속적인 혼합 가중치를 할당합니다. 부분집합 $S$에 대해, 실수 값 로그이트 $z$는 소프트맥스 함수를 통해 정규화된 혼합 가중치 $w$로 변환됩니다. 그런 다음 구성 LLM($M$) 은 가중된 시드들을 통합하여 단일 일관된 후보 프롬프트 $p$를 합성합니다:
   $$p = M(x, \{(b_i, w_i)\})$$
   이 단계는 출력이 단순한 텍스트 연결이 아닌 자연어 프롬프트가 되도록 보장하며, 원래 요청의 의도를 유지하면서 시드들의 강점을 혼합합니다.
3. 도함수 없는 유전 최적화: 혼합 가중치는 유전 알고리즘 (GA) 을 사용하여 최적화됩니다. GA 는 프롬프트 텍스트 자체가 아닌 실수 값 로그이트에만 작동하며, 가우시안 노이즈를 사용하여 이를 변이시킵니다. 개체군은 엘리티즘 (최고 성능의 게놈 선택) 과 변이를 통해 진화합니다. 이 접근 방식은 최적화를 경량화하고 완전히 블랙박스로 유지합니다.
4. 2 단계 적합도 함수: 후보들은 효율성과 정확성을 균형 있게 평가하기 위해 2 단계 메트릭으로 평가됩니다:
   • 1 단계 (거부 감지): 키워드 기반 감지기가 명시적 거부 마커가 포함된 응답을 필터링합니다. 이 단계를 통과하지 못한 후보는 0 점으로 처리됩니다.
   • 2 단계 (LLM 판정자 점수): 필터를 통과한 응답은 해로운 요청을 얼마나 실질적으로 충족하는지에 따라 0~10 점 척도로 LLM 판정자 (예: GPT-4o-mini) 에 의해 점수화됩니다. 임계값 $\tau$(예: 9) 가 성공을 결정합니다.

주요 기여

• 적응형 구성: LASH 는 재일브레이크 출력을 구성 가능한 구성 요소로 간주하고, 단일 검색 궤적에 의존하기 대신 이질적인 공격 패밀리 전반에 걸친 최적의 가중 조합을 탐색하는 최초의 프레임워크입니다.
• 블랙박스 효율성: 이 프레임워크는 화이트박스 접근, 대리 모델, 또는 구성 요소 미세 조정이 필요하지 않습니다. 응답 수준 피드백과 도함수 없는 최적화에만 의존합니다.
• 기작적 통찰: 이 논문은 LASH 의 성공이 단순한 표면적 문구에 의한 것이 아니라, 성공적인 재일브레이크 궤적에 더 가까운 내부 모델 표현을 유도한다는 증거를 제공합니다.

실험 결과

저자들은 Llama-2/3, Vicuna, Gemini, GPT 변형 등 6 가지 다양한 모델을 대상으로 10 개 카테고리의 100 개 해로운 프롬프트를 포함하는 표준화된 벤치마크인 JailbreakBench에서 LASH 를 평가했습니다.

• 공격 성공률 (ASR): LASH 는 평균 ASR1(키워드 기반) **84.5%**와 ASR2(2 단계 LLM 판정자) **74.5%**를 달성했습니다. 이는 ASR2 에서 27.5% 에서 40.67% 사이였던 PAIR, TAP, AutoDAN, AutoDAN-Turbo, FlipAttack 등 다섯 가지 최첨단 베이스라인을 크게 능가했습니다.
• 쿼리 효율성: LASH 는 프롬프트당 평균 30 개의 대상 쿼리만으로 이러한 결과를 달성했으며, 베이스라인들은 종종 훨씬 더 많은 쿼리 (예: PAIR 평균 약 90 개 쿼리) 를 필요로 했습니다.
• 강건성: 세 가지 방어 메커니즘 (SmoothLLM, Llama Guard, Perplexity Filtering) 하에서 LASH 는 경쟁력을 유지하며, 평균 ASR2 가 SmoothLLM 의 경우 41.50%, Llama Guard 의 경우 18.00%, Perplexity 의 경우 70.83% 를 기록하여 일반적으로 가장 강력한 베이스라인을 능가하거나 이에 필적했습니다.
• 기작 분석: 프로빙 및 활성화 패칭 실험은 LASH 프롬프트가 대상 모델의 중간 레이어 (특히 레이어 10~18) 에서 실패한 시드 프롬프트가 유도하는 것과 구별되는 "성공과 유사한" 내부 표현을 유도한다는 것을 밝혔습니다. 실패한 시드 실행에 LASH 활성화를 패칭하면 성공 확률이 증가하여, 혼합이 질적으로 다른 내부 상태를 생성한다는 것이 확인되었습니다.

중요성과 주장

이 논문은 이질적인 재일브레이크 전략 전반에 걸친 적응형 구성이 블랙박스 레드테이밍을 위한 유망한 방향이라고 주장합니다. 저자들은 서로 다른 공격 패밀리의 "상호 보완성"(한 방법의 약점이 다른 방법의 강점이 되는 것) 이 단일 패밀리 방법들이 활용할 수 없는 자원이라고 논합니다. 개별 프롬프트에서 공격 출력의 혼합으로 최적화 단위를 격상시킴으로써, LASH 는 메타-공격이 그 부분들의 합을 체계적으로 능가할 수 있음을 보여줍니다.

저자들은 LASH 를 배포 전 안전성 평가를 위한 도구로 위치시키며, 그 이중 사용성을 강조합니다. 그들은 이 방법이 단일 턱 프롬프트 최적화에 국한되며 현재는 방어 인식이 없음을 명시적으로 언급하여, 다중 턱 계획 및 안전장치 적응형 구성에 대한 향후 연구를 제안합니다. 결과는 특정 거부 트리거와 내부 안전 점검을 우회하는 전략을 동적으로 합성함으로써 회피될 수 있기 때문에, 현재 안전 정렬이 이전에 생각했던 것보다 더 취약할 수 있음을 시사합니다.