기술 요약: Minionese: 다국어 LLM 안전성에 관한 포괄적 벤치마크 및 메커니즘 연구

1. 문제 정의

대규모 언어 모델(LLM)은 안전성 정렬(safety alignment) 측면에서 상당한 "언어 격차(language gap)"를 보입니다. 모델은 영어로는 유해한 프롬프트를 안정적으로 거부하지만, 비영어 및 저자원 언어 맥락에서는 유사한 요청에 순응하는 경우가 많습니다. 기존의 평가 프레레이워크는 이러한 격차를 구체적으로 규명하지 못한 채, 집계된 탈옥 성공률(aggregate jailbreak rates)에 의존함으로써 다국어 분포 변화(multilingual distribution shifts)로 인해 발생하는 구체적인 실패 모드를 가려버리는 한계를 지닙니다. 기존 연구는 거부(refusal)가 활성화 공간(activation space) 내의 저차원 방향(low-dimensional directions)에 의해 매개된다는 점을 입증했으나, 현실적인 언어적 섭동(예: 음사, 코드 스위칭)이 다양한 자원 계층(resource tiers)에 걸쳐 어떻게 이러한 메커니즘을 저하시키는지에 대해서는 여전히 불분명합니다.

2. 방법론

2.1 Minionese 벤치마크

저자들은 공격 유형별 인지적 분석(attack-type-aware mechanistic analysis)을 지원하도록 설계된 다국어 탈옥 벤치마크인 Minionese를 소개합니다. 언어 정체성을 주요 변수로 취급하는 기존 벤치마크와 달리, Minionese는 언어적 조작의 유형을 변화시키면서도 의미적 내용은 일정하게 유지합니다.

• 코퍼스(Corpus): AdvBench의 유해한 프롬프트 385개를 기반으로 하며, 이와 의미적으로 평행한 무해한 대응 쌍을 결합하여 구축되었습니다.
• 범위: 4개의 자원 계층(Tier 1: 고자원부터 Tier 4: 저자원까지)으로 그룹화된 18개 언어를 다룹 most니다.
• 섭동 유형(Perturbation Types):
  1. 표준 번역(Standard Translation): 대상 언어로의 완전한 번역 (베이스라인).
  2. 코드 스위칭(Code-Switching): 유해한 프롬프트와 무해한 프롬프트 사이의 최소한의 차이가 나는 구간만을 번역하고 나머지는 영어로 유지.
  3. 음사(Transliteration): 전체 번역 후 다른 스크립트로 변환 (예: 비라틴 문자의 로마자 표기 또는 로망스 언어의 라틴-키릴 문자 렌더링).
  4. 번역투(Translationese): 반복적인 왕복 번역 (영어 $\to$ 대상 언어 $\to$ 영어 $\to$ 대상 언어)을 통해 의미적 표류(semantic drift)와 기계 번역의 표면 통계 특성을 도입.
• 규모: 벤치마크는 총 55,440개의 프롬프트($385 \times 2 \times 4 \times 18$)를 생성합니다.

2.2 평가 파이프라인

본 연구는 세 가지 지시어 튜닝 모델인 Llama-3.1-8B-Instruct, Qwen2.5-7B-Instruct, Aya-Expanse-8B를 평가합니다.

• 지표: 공격 성공률(ASR), 응답 일관성(response coherence), 안전 체제 분포(safety regime distribution).
• 안전성 판단: 응답은 WildGuard를 사용하여 점수를 매깁니다. 판별자의 신뢰도 문제를 완화하기 위해 비영어 응답은 점수를 매기기 전 영어로 역번역됩니다.
• 일관성 필터링: ASR 차이가 안전성 실패가 아닌 생성 능력 저하에서 기인한 것이 아님을 보장하기 위해 언어 식별 신뢰도, 유니코드 유효성 및 길이를 기준으로 응답을 필터링합니다.

2.3 기하학적 메커니즘 분석

저자들은 잔차 스트림(residual stream) 내에서 **유해성 탐지(harmfulness detection)**와 **거부 활성화(refusal activation)**를 분리하기 위해 기하학적 프레임워크를 사용합니다.

• 서브스페이스 구축: 로지스틱 회귀 프로브(logistic regression probes)를 훈련하여 "유해성 서브스페이스"를 정의하고, 거부된 응답과 순응한 응답 간의 행동적 대조를 통해 "거부 방향(refusal direction)"을 추출합니다.
• 실패 분류: 다음과 같이 실패를 분류합니다:
  • 업스트림 (의미 복구 실패, Semantic Recovery Failure): 유해성 표현이 거부 메커니즘에 도달하기 전에 붕괴됨.
  • 다운스트림 (임계값 미달 활성화, Subthreshold Activation): 유해성은 탐지되었으나 거부 방향으로 충분히 투영되지 않아 결정 임계값을 넘지 못함.
• 원뿔 분석(Cone Analysis): 거부 메커니즘 분석을 다차원 "거부 원뿔(refusal cone)"로 확장하여 기저 방향(basis directions)의 교차 언어적 전이 가능성을 테스트합니다.

3. 주요 결과

3.1 행동적 취약성 프로필

• 계층 경사(Tier Gradient): 표준 번역 및 번역투 공격은 자원 수준이 낮아짐에 따라 ASR이 급격히 증가합니다. Llama의 경우, 평균 ASR은 Tier 1의 ~8%에서 Tier 3–4의 >70%로 상승합니다.
• 음사는 스크립트에 조건부적임: 음사는 Tier 1–2의 비라틴 스크립트 언어(예: Llama에서 한국어의 경우 99%)에서 가장 높은 ASR을 생성하지만, 라틴 스크립트 및 매우 낮은 자원의 Tier 4 언어에서는 거의 0에 가깝게 떨어집니다. 이는 취약성이 자원 수준뿐만 아니라 스크립트 정체성에 의해 매개됨을 나타냅니다.
• 코드 스위칭은 계층 안정적임: 이 공격은 Tier 4(예: Yoruba에 대한 Llama의 82% ASR)를 포함한 모든 자원 계층에서 중간 이상의 높은 ASR을 유지합니다. 이는 이 실패 모드가 의미 표현의 저하보다는 언어 식별 라우팅을 방해함을 시사합니다.
• 급격한 안전 체제 전환: Tier 2와 Tier 3 사이에 질적인 변화가 발생합니다. 모델은 Tier 1–2에서는 주로 거부 행동을 유지하지만, Tier 3에서 거부율이 크게 떨어지며, 이는 연속적인 저하가 아닌 임계값 효과임을 나타냅니다.

3.2 메커니즘적 발견

• 기하학적 불일치: 유해함-무해함 분리(실루엣 점수로 측정)는 Tier 3부터 현저히 저하됩니다. Tier 4에서 유해성 서브스페이스는 영어 유해성 서브스페이스와 직교(orthogonality)에 가까워집니다.
• 임계값 미달 활성화 (주요 실패 원인): Tier 3 언어의 경우, 유해성 프로브는 높은 AUC를 보여(모델이 내부적으로 입력을 유해한 것으로 인코딩함을 나타냄), 그러나 거부 신호가 결정 임계값을 넘지 못합니다. 즉, 유해성 표현은 존재하지만, 거부 방향으로 충분히 투영되지 않는 정렬되지 않은 저차원 서브스페이스를 통해 라우팅됩니다.
• 의미 복구 실패 (Tier 4): Tier 4에서는 유해성 표현 자체가 붕괴되어(AUC가 우연 수준에 접근), 모델이 유해성을 인지조차 하지 못하는 업스트림 실패가 발생합니다.
• 단일 차원 교차 언어 거부: 영어 거부 원뿔은 다차원이지만, 첫 번째 기저 방향($b_0$)만이 언어 간에 견고하게 전이됩니다. 이차 방향($b_1$–$b_4$)은 비영어 언어에 대해 거의 제로 또는 음의 마진을 가지며, 종종 스크립트 패밀리 특유의 서브 회로를 인코딩합니다.

4. 기여도

1. Minionese 벤치마크: 18개 언어, 4개 자원 계층, 4개 섭동 유형을 아우르는 세밀한 다국어 탈옥 벤치마크를 제공하여 공격 유형별 메커니즘 분석을 가능하게 합니다.
2. 경험적 취약성 프로필: 각 공격 유형이 고유하고 재현 가능한 취약성 프로필(스크립트 조건부 음사, 계층 안정적 코드 스위칭, 급격한 Tier 2–3 안전 전환)을 생성함을 입증했습니다.
3. 기하학적 프레임워크: 유해성 탐지와 거부 활성화를 분리하는 메커니즘적 설명을 제공하며, "임계값 미달 활성화"와 "의미 복구 실패"라는 두 가지 주요 실패 모드를 식별했습니다.

5. 의의 및 주장

본 논문은 영어 전용 안전 평가가 글로벌 배포에 불충분하다고 주장합니다. 연구 결과는 안전성 감사가 스크립트 패밀리, 섭동 유형, 언어별 정렬 커버리지를 반드시 고려해야 함을 시사합니다.

• 메커니즘적 통찰: 본 연구는 다국어 탈옥이 거부 메커니즘을 파괴하는 것이 아니라, 입력으로부터 거부 메커니즘을 "굶기는(starving)" 방식으로 성공한다고 상정합니다. 저자원 환경에서는 유해한 콘텐츠가 기하학적으로 더 얇은 서브스페이스를 차지하여 거부 방향으로 충분히 투영되지 못합니다.
• 개입에 대한 시사점: 안전 개입(예: 대비 활성화 추가, contrastive activation addition)은 주요 교차 언어 거부 방향($b_0$)과 정렬되어야 합니다. 더 높은 차원의 원뿔 방향을 따른 개입은 비영어 언어의 안전성을 능동적으로 저하시킬 수 있습니다.
• 거버넌스: 결과는 안전 실패가 모델 특정의 아티팩트가 아니라 트랜스포머 안전 정렬의 구조적 속성임을 시사합니다. 이는 거버넌스 프레임워크가 집계된 지표를 넘어 특정 언어적 및 기하학적 취약성을 다루어야 함을 의미합니다.

저자들은 자신들의 작업이 최적화된 공격 레시피가 아닌, 실패 메커니즘에 초점을 맞춘 진단 도구를 제공함으로써 다양한 언어 공동체에 대한 책임 있는 배포를 보장하고자 함을 강조합니다.