On the Vulnerability of Parameter-Level Defenses to Model Merging

기술 요약: 모델 병합에 대한 파라미터 수준 방어의 취약성에 관하여

문제 정의
본 논문은 여러 개의 미세 조정된 전문가 모델(expert models)을 공통의 사전 학습된 백본(pre-trained backbone)으로부터 파생시켜, 재학습 없이 다중 작업 모델을 생성하는 "모델 병합(model merging)" 패러다임에 내재된 보안 위험을 다룹니다. 이러한 방식은 효율적이지만, 권한이 없는 "무단 이용자(free-riders)"가 독점적인 모델을 병합하여 지적 재산(IP)을 침해할 수 있는 개방성을 허용합니다. 최근의 선제적 방어 기법들(예: Params, MergeLock, MergeBarrier)은 병합에 필요한 산술 연산을 방해하기 위해 비밀 선형 파라미터 변환(치환, 대각 또는 직교 행렬)을 적용하여 이를 완화하고자 시도했습니다. 그러나 이러한 방어 기법들은 종종 모델의 단독 성능을 저하시키거나 정교한 병합 시도를 막는 데 실패합니다. 저자들은 기존의 방어 기법들이 파라미터의 상대적 크기 구조를 보존하는 선형 변환에 의존함으로써, 잠재적으로 분석적 역변환(analytical inversion)에 취약하게 만든다는 결정적인 간극을 식별했습니다.

방법론
본 논문은 이러한 방어 기법들을 체계적으로 분석하고, 이에 대응하는 공격 프레임워크와 그에 상응하는 대응책을 개발하는 것을 제안합니다.

1. 앵커 가이드 공격 (Anchor-Guided Attack, AGA):
   AGA를 이끄는 핵심 통찰은 보호된 미세 조정 모델에서 보호된 작업 벡터($\tau^P$)의 크기가 보호된 사전 학습 가중치($W^P_{pre}$)의 크기보다 수십 배에서 수백 배 작다($10^{-2}$ ~ $10^{-3}$ 수준)는 관찰입니다. 결과적으로, 보호된 모델의 파라미터 공간은 압도적으로 사전 학습된 앵커(anchor)에 의해 지배됩니다.

• 메커니즘: AGA는 공개된 사전 학습 모델을 정적인 참조 앵커로 취급합니다. AGA는 보호된 모델과 이 앵커 사이의 불일치를 최소화하는 정렬 목표를 수립합니다.
• 이중 솔버 프레임워크 (Dual-Solver Framework):
  • 연속 변환 (Attention Modules): 가역적(invertible), 직교(orthogonal) 또는 대각(diagonal) 행렬을 사용하는 방어 기법(예: 어텐션 헤드 내의 변환)의 경우, AGA는 최소 제곱 회귀를 사용하여 과결정 선형 시스템(overdetermined linear system)을 해결함으로써 폐쇄형(closed-form) 분석적 복구 행렬을 도출합니다.
  • 이산 변환 (MLP Modules): 뉴런을 섞기 위해 치환 행렬을 사용하는 방어 기법(예: MLP)의 경우, AGA는 복구를 선형 할당 문제(linear sum assignment problem)로 구성합니다. 이는 코사인 유사도의 음수 값을 비용으로 정의한 헝가리안 알고리즘(Hungarian algorithm)을 사용하여 전역적으로 최적의 이산 이분 매칭(discrete bipartite matching)을 찾아내어 치환을 효과적으로 역전시킵니다.
• 이론적 보장: 저자들은 복구 오차가 작업 벡터의 크기에 의해 엄격하게 제한된다는 것을 증명하는 정리(theorems)를 제공합니다. 작업 벡터는 사전 학습 가중치에 비해 무시할 수 있는 수준이므로, 공격은 거의 완벽한 복구를 달성합니다.

2. 앵커 반발 미세 조정 (Anchor-Repulsive Fine-tuning, ARF):
   AGA에 대응하기 위해, 저자들은 이러한 크기 차이를 근본적으로 변화시키는 방어 기법인 ARF를 제안합니다.

• 메커니즘: ARF는 미세 조정 단계 동안 특정 어텐션 투영 행렬($W_Q, W_K, W_V, W_O$)에 적용되는 거리 기반 반발 항(distance-based repulsive term)을 도입합니다.
• 목표: 이 항은 미세 조정된 어텐션 가중치를 사전 학습된 앵커로부터 정의된 안전 마진($\rho$)에 도달할 때까지 능동적으로 밀어냅니다. 이러한 특정 모듈 내에서 작업 벡터의 크기를 인위적으로 확장함으로써, ARF는 사전 학습된 앵커가 파라미터 공간을 지배한다는 가정을 위반하고, AGA가 이용하는 기하학적 취약성을 무력화합니다.

주요 기여

• 체계적 취약성 분석: 본 논문은 보호된 작업 벡터가 사전 학습 가중치에 비해 본질적으로 크기가 작으며, 이로 인해 선형 변환에도 불구하고 파라미터 공간이 여전히 사전 학습된 백본에 의해 지배됨을 밝혀냈습니다.
• 범용 공격 프레임워크 (AGA): 저자들은 사전 학습된 앵커와 정렬함으로써 보호된 가중치를 분석적으로 복구할 수 있는 최초의 프레임워크인 AGA를 제안합니다. AGA는 컴퓨터 비전 및 언어 모델 전반에서 개별 및 복합적인 최신 방어 기법들(Params, Params-D, MergeLock, MergeBarrier)을 성공적으로 우회합니다.
• 적응형 방어 (ARF): 본 논문은 작업 벡터의 크기를 선제적으로 확장하는 방어 전략인 ARF를 소개합니다. 이 접근 방식은 모델의 단독 유용성을 유지하면서 무단 병합을 효과적으로 방지합니다.

실험 결과
저자들은 컴퓨터 비전(ViT-B/32, ViT-L/14) 및 자연어 처리/생성(GPT-2, Qwen2-7B) 작업에 걸쳐 방법론을 평가했습니다.

• 공격 효능: AGA는 방어 기법들을 일관되게 우회했습니다. 예를 들어, MergeLock 보호가 적용된 LOT 병합 전략 하에서, 보호된 작업의 성능은 4.85%로 떨어졌으나, AGA는 이를 78.36%로 복구했습니다(보호되지 않은 베이스라인과의 차이가 1% 미만). 다양한 병합 패러다임(Task Arithmetic, CAT, LOT)과 모달리티 전반에서 이와 유사한 높은 충실도의 복구(보호되지 않은 성능의 최대 97%까지)가 관찰되었습니다.
• 방어 효 효능: ARF는 위협을 성공적으로 완화했습니다. AGA 공격 하에서 보호된 병합 모델의 성능은 무작위 수준에 가깝게 억제되었습니다(예: ViT-B/32에서 0.28%). 이는 기존의 MergeGuard와 같은 방어 기법보다 훨씬 뛰어난 성능을 보여줍니다.
• 단독 유용성: 결정적으로, ARF는 모델의 단독 성능을 유지했습니다. ViT-B/32에서 ARF는 평균 정확도 88.11%를 달성하였는데, 이는 보호되지 않은 베이스라인(88.81%)과 거의 동일하며 MergeGuard(86.31%)보다 우수합니다. 이는 방어 기법이 모델의 원래 작업 능력을 저하시키지 않음을 입증합니다.

의의
본 논문은 선형 가중치 변환이 모델 병합에 대해 "단순한 보안의 환상"만을 제공한다고 주장합니다. 사전 학습된 앵커가 파라미터 공간을 지배하는 기하학적 취약성을 노출함으로써, 본 연구는 현재의 파라미터 수준 방어 기법들이 근본적으로 결함이 있음을 보여줍니다. AGA의 성공은 선형 변환을 통해 작은 작업 벡터를 안전하게 은닉할 수 있다는 가정이 위험함을 강조합니다. 제안된 ARF는 미세 조정 과정을 활용하여 파라미터 경관(landscape)을 구조적으로 변경함으로써, 모델의 유용성을 희생하지 않으면서도 무단 병합을 효과적으로 차단하는 실질적인 경로를 제시합니다.