기술 요약: AdvNav

문제 정의

시각-언어 내비게이션(Vision-and-Language Navigation, VLN)은 체화된 에이전트(embodied agents)가 자연어 지시를 따라 미지의 환경을 탐색할 수 있게 합니다. 최근 트랜스포머(Transformer) 기반 및 대규모 언어 모델(LLM) 기반 VLN 시스템의 발전은 성능을 향상시켰으나, 이러한 모델들은 본질적으로 적대적 섭동(adversarial perturbations)에 취약한 심층 신경망(DNN)에 의존하고 있습니다.

기존의 VLN 적대적 공격 방법들은 주로 타겟 모델의 내부 그래디언트(gradient)에 접근해야 하는 화이트박스(white-box) 설정에서 작동합니다. 이러한 방식은 모델이 독점적이고 내부 상태에 접근할 수 없는 실제 배포 시스템에서는 비현실적인 경우가 많습니다. 또한, 화이트박스 공격은 긴 호흡의 궤적(long-horizon trajectories)에 대해 재귀적인 역전파(backpropagation)를 수행해야 하므로 계산 비용이 많이 듭니다.

블랙박스 방식도 존재하지만, 이들은 주로 단일 단계의 즉각적인 결정 작업(예: 이미지 분류)을 위해 설계되었으며, VLN의 다단계, 순차적 특성을 다루는 데 어려움을 겪습니다. VLN는 지연된 피드백, 비선형적 오차 누적, 그리고 에이전트의 정책 자기 수정 능력을 포함하므로, 표준적인 그래디언트 프리(gradient-free) 최적화 기법으로는 효과를 거두기 어렵습니다. 따라서 관찰 가능한 입력과 출력만을 사용하여 VLN 에이전트의 다단계 인지-행동 루프를 방해할 수 있는 그래디언트 프리 블랙박스 공격 프레임워크를 개발하는 데에는 중요한 공백이 존재합니다.

방법론: AdvNav

저자들은 모델의 그래디언트에 접근하지 않고도 내비게이션 중 에이전트의 1인칭 시야를 교란하도록 설계된 행동 유도형 블랙박스 적대적 공격 프레임워크인 AdvNav를 제안합니다. 이 방법은 새로운 피드백 메커니즘에 의해 구동되는 하이브리드 최적화 전략을 채택합니다.

1. 이중 입도(Dual-Granularity) 행동 기반 피드백

그래디언트 프리 탐색을 가이드하기 위해, AdvNav는 오직 에이전트의 관찰 가능한 행동으로부터 도출된 대리 목적 함수(surrogate objective function)를 구축합니다. 이 피드백는 세 가지 구성 요소를 결합합니다:

• 궤적 수준 성능 점수 ($G$): 경로 길이 대비 성공률(SPL)과 내비게이션 오차(NE)를 결합한 통합 점수입니다. 이는 전체적인 내비게이션 저하를 정량화합니다 (낮은 SPL과 높은 NE는 성공적인 공격을 의미함).
• 행동 수준 보상 점수 ($R$): 각 타임스텝에서의 행동 선택 드리프트(drift)를 측정하는 누적 점수입니다. 이는 참조 행동의 확률과 가장 가능성 높은 오답 행동 사이의 차이를 계산합니다. 이는 최종 궤적이 온전해 보이더라도 발생하는 "소프트 실패(soft failures)"와 잠재적 결정 위험을 포착합니다.
• 편차 지표 ($\gamma$): 에이전트가 참조 궤적에서 벗어났는지 여부를 나타내는 이진 플래그(binary flag)입니다.

이러한 신호들은 통합된 피드백 세트를 형성하여, 실제 궤적 편차를 유도하는 후보를 우선시하면서도 동시에 행동 수준의 위험을 높이는 후보를 고려하도록 최적화 과정을 가이드합니다.

2. 하이브리드 최적화 전략

AdvNav는 공간적 일관성을 보장하고 안개나 먼지와 같은 현실적인 방해 요소를 시뮬레이션하기 위해 펄린 노이즈(Perlin noise) 텍스처를 사용하여 섭동 $\delta$를 파라미터화합니다. 최적화는 두 가지 결합된 메커니즘과 함께 라운드 단위로 진행됩니다:

• 적응형 강도 튜닝(Adaptive Intensity Tuning): 프레임워크는 섭동 강도를 휴리스틱하게 업데이트합니다. 노이즈 집단으로부터 패턴을 겹쳐 쌓아 후보 섭동을 생성하며, 이는 누적된 베이스 노이즈 위에 적용됩니다. 후보들은 피드백 점수의 상대적 이득에 따라 순위가 매겨집니다. 만약 후보가 공격을 개선한다면 베이스가 업데이트되고, 그렇지 않으면 업데이트 방향이 반전됩니다.
• 노이즈 구조의 유전적 진화(Genetic Evolution of Noise Structure): 노이즈의 공간적 구조는 유전 알고리즘을 통해 정교화됩니다. 노이즈 패턴의 집단은 선택, 교차, 변이를 거칩니다. 이중 입도 피드백을 바탕으로 성적이 가장 좋은 후보들이 다음 세대의 노이즈 구조를 진화시키기 위한 부모로 선택되며, 이를 통해 탐색 과정에서 매우 파괴적인 구성을 발견할 수 있게 합니다.

주요 기여

1. AdvNav 프레임워크: VLN 에이전트의 시각적 인지를 표적으로 하는 일반적인 행동 유도형 블랙박스 적대적 공격 프레임워크를 제안합니다. 이는 모델 내부 정보 없이도 견고성 평가를 위한 비용 효율적인 도구를 제공합니다.
2. 그래디언트 프리 하이브리드 최적화: 적응형 강도 튜닝과 구조 진화를 결합한 새로운 최적화 전략을 개발했습니다. 이 접근 방식은 이중 입도 행동 피드백을 활용하여 그래디언트 정보의 부재를 극복함으로써, VLN의 순차적 의사결정 과제에 특화되어 설계되었습니다.
3. 포괄적 평가: 다양한 모델 아키텍처(Transformer 기반 HAMT 및 LLM 기반 MapGPT)와 백본(Qwen3-VL 및 GPT-4V)에 걸쳐 프레임워크의 유효성을 입증하는 광범위한 실험을 수행했습니다.

실험 결과

저자들은 Matterport3D 시뮬레이터 내의 Room-to-Room (R2R) 데이터셋을 대상으로, 11개 실내 장면의 val-unseen 분할에 대해 AdvNav를 평가했습니다.

• HAMT(Transformer 기반)에 대한 성능: AdvNav는 **공격 성공률(ASR) 49.70%**를 달성하여, 마스크 가림(Mask Occlusion, 38.74%), 가우시안 노이즈(Gaussian Noise, 19.10%), 밝기 변화(Brightness Shift, 7.67%)와 같은 베이스라인을 크게 상회했습니다. 또한 SPL을 57.69%(클린 설정)에서 29.35%로 감소시켰고, 내비게이션 오차(NE)를 6.05m로 증가시켰습니다.
• MapGPT(LLM 기반)에 대한 성능: 이 방법은 강력한 일반화 능력을 보여주었으며, Qwen3-VL 백본에서 65.96%, GPT-4V 백본에서 **87.30%**의 ASR을 달축했습니다.
• 지각적 은밀성(Perceptual Stealthiness): 시각적 비교 및 LPIPS(Learned Perceptual Image Patch Similarity) 지표는 AdvNav의 섭동이 표준 노이즈나 가림 방식보다 지각적으로 더 은밀하며, 표준 전처리에도 잘 견디는 저주파 휘도 장(안개와 유사함)처럼 보임을 나타냅니다.
• Ablation 연구: 실험을 통해 이중 입도 피드백(궤적 + 행동 수준)의 시너지 효과와 적응형 업데이트와 구조 진화의 결합이 모두 높은 공격 성공률을 달성하는 데 핵심적임을 확인했습니다.

의의 및 주장

본 논문은 AdvNav가 트랜스포머 기반이든 LLM 기반이든 관계없이 현재 VLN 시스템의 보편적인 잠재적 시각적 취약성을 효과적으로 드러낸다고 주장합니다. 제한된 쿼리 예산 하에서 엄격한 블랙박스 제약 조건 하에 작동하는 AdvNav는 배포된 VLN 에이전트의 견고성을 평가하기 위한 일반적인 스트레스 테스트 도구 역할을 합니다.

저자들은 AdvNav를 단순한 공격 방법이 아니라 회복 탄력성이 있는 VLN 모델 설계를 위한 미래 연구의 촉매제로 위치시킵니다. 연구 결과는 강력한 추론 능력을 갖춘 첨단 모델조차도 지속적이고 공간적으로 일관된 시각적 방해에 취속될 수 있음을 강조하며, 이는 체화된 AI 시스템에서 개선된 견고성 메커니즘의 필요성을 시사합니다.