An Inline Control Architecture for Language Models in Intelligent Transportation Systems

기술 요약: Guarded-V2X

문제 정의
메시지 요약, 운영자 보조, 노변 기지국(RSU) 및 에지 노드에서의 의사결정 지원과 같은 시맨틱(semantic) 작업을 위해 차량 사물 통신(V2X) 시스템에 대규모 언어 모델(LLM)을 통합하는 것은 새로운 보안 취약점을 야기합니다. 기존의 V2X 보안 메커니즘(예: 공개키 기반 구조(PKI), 비정상 행위 탐지)은 메시지의 인증과 무결성을 보장하지만, 콘텐츠 자체의 시맨틱 안전성(semantic safety)은 해결하지 못합니다. 공격자는 암호학적으로 유효한 메시지일지라도 프롬프트 인젝션(prompt injection)을 통해 자연어 입력을 악용하여 모델의 동작을 오도하거나 무력화할 수 있습니다. 기존의 LLM 안전 솔루션은 주로 대화형 인터페이스를 위해 설계되었으며, 차량 안전 표준에 요구되는 실시간 제약 조건, 기계 검증 가능한 액션 계약(machine-checkable action contracts), 그리고 특정한 아키텍처 배치 역량을 갖추고 있지 않습니다.

방법론
본 논문은 엄격한 실시간 제약 조건(150ms 지연 시간 예산 목표) 하에서 LLM 기반 V2X 서비스를 보호하기 위해 설계된 인라인 시맨틱 가드레일 아키텍처인 Guarded-V2X를 제안합니다. 이 시스템은 메시지 수집과 의사결정 실행 사이의 제어 계층으로 작동하며, LLM 출력을 자유 형식의 텍스트가 아닌 중간 제어 신호로 취급합니다.

아키텍처는 다섯 가지 통합 구성 요소로 이루어져 있습니다:

1. 규칙 기반 인그레스 필터링(Rule-Based Ingress Filtering): 정규 표현식(Regex) 및 휴리스틱 패턴을 사용하여 학습된 모델을 호출하지 않고도 인젝션 문구, 도구 에스컬레이션 키워드 및 난독화를 스크리닝합니다.
2. 경량 안전 분류기(Lightweight Safety Classifier): 연속적인 위험 점수를 생성하는 미세 조정된 트랜스포머 게이트(110M 파라미터)입니다. 이는 오탐률 예산($\alpha = 0.03$)을 준수하면서 미탐(false negatives)을 최소화하도록 보정되었습니다.
3. 정책 제약 구조적 생성(Policy-Constrained Structured Generation): 중앙 LLM(13B 파라미터)은 검증된 JSON 결정만을 출력하도록 제한됩니다. 검색은 신뢰할 수 없는 컨텍스트 주입을 방지하기 위해 서명된 코퍼스(Trusted RAG)로 제한됩니다.
4. 판사 앙상블(Judge Ensemble): 사후 결정 판정기 세트(규칙 기반 및 LLM)가 구조화된 출력을 검증하기 위해 다수결 투표를 적용하여, 단일 구성 요소가 단일 장애점(single point of failure)이 되지 않도록 보장합니다.
5. 안전 액션 라우터(Safe Action Router): 속도 제한이 적용된 도구 라우팅을 강제하며, 스키마 검증 또는 정책 검사를 통과하지 못한 액션을 차단합니다.

평가는 RSU 권고, 운영자 메시지, 주석이 달린 V2X 요약에서 추출된 V2X 정렬 시뮬레이션 데이터셋을 활용하여 4단계 실험 파이프라인을 통해 수행되었습니다. 단계에는 침입 실험, 보정 및 지연 시간 벤치마킹, 가드레일 검증, 그리고 적대적 스트레스(두 단계 간접 인젝션, 롱 컨텍스트 드리프트, 다국어 공격 포함) 하의 강건성 테스트가 포함됩니다.

주요 기여
본 논문은 Guarded-V2X를 기존 연구와 차별화하는 세 가지 주요 기여를 주장합니다:

1. 인라인 제어 패러다임: LLM 출력을 부드러운 거절(soft refusal)의 대상인 대화형 텍스트가 아니라, 기계적으로 실행 가능한 액션 신호로 취급하여 인라인 제어 패러다임을 V2X 실행 파이프라인에 적용한 최초의 프레임워크입니다.
2. 기계 검증 가능 계약: 자연어 거절에 의존하는 기존 가드레일과 달리, Guarded-V2X는 스키마가 검증된 JSON 결정을 강제합니다. 다운스트림 액션은 출력이 엄격한 정책 및 스키마 검사를 통과한 후에만 허용됩니다.
3. 실시간 준수: 속도 제한이 적용된 도구 라우팅, 신뢰 기반 검색, 다층 판정 결합을 통해 차량 안전 표준에서 요구하는 150ms 실시간 엔벨로프 내에서 작동합니다. 이는 기존 LLM 안전 연구에서 거의 다뤄지지 않은 제약 조건입니다.

결과
500회의 멀티 턴 적대적 실험을 통해 수행되었으며, 가드레일이 없는 베이스라인 및 다른 가드레일 프레임워크(예: PromptGuard, PIGuard, CAPTURE)와 비교되었습니다.

• 보안: Guarded-V2X는 두 단계(two-turn) 적대적 설정에서 **침입 수락 성공률(IASR) 0.0%**를 달 기록하며, 관찰된 안전하지 않은 완성을 효과적으로 제거했습니다. 반면, 가드레일이 없는 베이스라인과 "안전 프롬프트" 전용 구성은 스트레스 상황에서 잔류 취약성(IASR > 20%)을 유지했습니다. 본 시스템은 GPT-4.5-Turbo 베이스라인 대비 IASR을 98% 이상 감소시켰습니다.
• 지연 시간: 엔드 투 엔드 가드레일 오버헤드(필터, 분류기, 제약 LLM, 판사)는 **118 ms (p95)**로 측정되어, 150 ms V2X 안전 예산 내에 안정적으로 들어왔습니다. 이는 중앙/클라우드 경로에서 발생하는 백본 LLM 추론 시간(4~5초)과는 별개이며, 인라인 가드레일 오버헤드에 포함되지 않습니다.
• 강건성: 시스템은 모든 공격 유형(직접 인젝션, 다국어 난독화, 롱 컨텍스트 드리프트)에 대해 < 5%의 IASR을 유지했으며, 다양한 파운데이션 모델(Llama-3, Mistral, Phi-3 등)에 대해 안정적인 성능을 보여 모델 불가지론적(model-agnostic) 효과를 입증했습니다.
• 일반화: 도메인 외 데이터셋(CIC-IDS2017 및 ETSI ITS 트레이스)에 대한 테스트 결과 각각 0.91 및 0.89의 AUROC 점수를 보여, 합성 훈련 코퍼스를 넘어선 합리적인 일반화 능력을 확인했습니다.

의의 및 주장
본 논문은 Guarded-V2X를 암호학적 메시지 무결성과 시맨틱 안전성 사이의 간극을 메우는 V2X 보안의 필수적인 진화로 규정합니다. 저자들은 이 프레임워크가 차량 시스템의 실시간 요구 사항을 저해하지 않으면서 생성형 AI를 의사결정 지원 채널(예: RSU 권고, 교통 조정)에 안전하게 배포할 수 있게 한다고 주장합니다.

그 의의는 아키텍처적 강제(architectural enforcement)(스키마 제약, 신뢰 기반 검색, 앙상블 판정)가 프롬프트 수준의 제약(안전 프롬프트, 부드러운 거절)보다 안전 중심 영역에서 우월함을 입증했다는 데 있습니다. 이 시스템은 "심층 방어(defense-in-depth)" 철학을 지원하여, 한 계층이 우회되더라도 후속 계층(판사, 속도 제한기)이 안전하지 않은 작동을 방지하도록 보장합니다. 저자들은 0.0%의 IASR이 유한한 평가 하에서의 성능임을 명시하며, 이것이 모든 미래 공격에 대한 공식적인 보안 보증은 아니지만 기존 베이스라인에 비해 잔류 위험을 크게 줄였다는 점을 강조합니다. 향후 과제로 멀티모달 통합 및 실제 RSU 트래픽 로그를 활용한 현장 검증을 제시하였습니다.