기술 요약: 타겟이자 공격자로서의 확산형 LLM (Diffusion LLMs): 메커니즘적 안전성 취약점

1. 문제 정의

확산형 대규모 언어 모델(Diffusion Large Language Models, 이하 DLLM)의 급격한 등장은 자기회귀(Autoregressive, AR) 방식의 차기 토큰 예측을 반복적이고 병렬적인 디노이징(denoising)으로 대체하는 새로운 세대의 텍스트 생성기를 도입했습니다. DLLM은 양방향 문맥 모델링과 데이터 효율성 측면에서 이점을 제공하지만, 이들의 내부 안전 메커니즘은 여전히 제대로 이해되지 않고 있습니다. 기존의 안전 정렬(safety alignment) 연구는 주로 AR 아키텍처에 집중되어 왔으며, 여기서 안전성은 흔히 희소한 "안전 뉴런(safety neurons)" 집합에 국한되어 나타납니다.

본 논문은 다음 두 가지 핵심 질문을 조사합니다:

1. 타겟으로서: DLLM은 기존 AR 모델(예: Qwen2.5)에서 발견되는 것과 동일한 희소하고 메커니즘적인 안전 취약성을 상속받는가, 그리고 이러한 취약성은 아키텍처 간에 전이 가능한가?
2. 공격자로서: DLLM의 고유한 특성(특히 프롬프트와 응답의 결합 분포 $q(x, y)$를 모델링하는 능력)을 활용하여, 현재의 최첨단(SOTA) 탈옥(jailbreak) 방법들이 흔히 사용하는 비용이 많이 드는 토큰 탐색이나 강화 학습보다 더 효율적으로 적대적 프롬프트를 생성할 수 있는가?

저자들은 현재의 안전 프레임워크가 구조적으로 취약하며, 확산 패러다임으로의 전환이 새로운 공격 벡터를 노출하는 동시에 이를 악용하기 위한 새로운 도구 또한 제공할 것이라고 주장합니다.

2. 방법론

본 논문은 두 갈래의 접근 방식인 **화이트박스 전이 공격(White-Box Transfer Attack)**을 통한 취약성 상속 검증과, **블랙박스 탈옥 프레임워크(SN-Guided Diffusion)**를 통한 취약점 악용을 제안합니다.

2.1. 화이트박스: 교차 아키텍처 전이성

저자들은 먼저 DLLM이 희소하고 전이 가능한 안전 메커니즘을 보유하고 있음을 입증합니다.

• 안전 뉴런 식별: NeuroStrike 프레임워크의 변형을 사용하여, 오픈 웨이트 소스 모델(LLaDA와 같은 네이티브 DLLM 또는 Qwen2.5와 같은 AR 모델)에서 "안전 뉴로"를 식별합니다. 저자들은 온건한(benign) 프롬프트와 악의적인 프롬프트로부터 피드포워드 네트워크 활성화를 추출하고, 평균에서 크게 벗어나는 가중치를 가진 뉴런을 격리하기 위해 로지스틱 회귀 분류기를 훈련합니다.
• 직접 인덱스 매핑: AR 가중치로부터 초기화된 DLLM(예: Qwen2.5 기반의 Dream, Fast-dLLM)의 경우, 내부 네트워크 구조가 동일합니다. 저자들은 식별된 소스 AR 모델의 안전 뉴런 좌표 $(\ell, i)$를 대상 DLLM을 별도로 프로파일링하지 않고 직접 매핑합니다.
• 추론 시 프루닝(Inference-Time Pruning): 취약성을 테스트하기 위해, 저자들은 순방향 패스(forward pass) 중에 매핑된 안전 뉴런의 활성화를 제로(zero)로 설정합니다. 이 "전이 프루닝(transfer pruning)"은 모델 미세 조정 없이도 안전 가드레일을 우회합니다.

2.2. 블랙박스: SN-Guided Diffusion 프레임워크

대상 모델을 쿼리하지 않고 탈옥을 생성하기 위해, 저자들은 완전 오프라인 프레임워크인 SN-Guided Diffusion을 도입합니다.

• 가중치 적용 안전 뉴런(SN) 손실: 저자들은 확산 과정을 가이드하기 위한 연속적인 손실 지표를 공식화합니다. 이산적 최적화 대신, 안전 뉴런 활성화의 가중치 기댓값을 계산합니다:
  $$SN(x) = E_\ell \left[ \sum_{i:(\ell,i) \in S} h^\ell_i(x) \cdot w_{\ell,i} \right]$$
  여기서 $w_{\ell,i}$는 식별 단계에서 학습된 로지스틱 회귀 가중치입니다. 이 손실을 최소화함으로써 생성을 안전 트리거 영역으로부터 멀어지도록 유도합니다.
• 생성적 프루닝 캐스케이드(Generative Pruning Cascade): 고품질의 적대적 응답을 보장하기 위해, 프레임워크는 점진적으로 프루닝된 대리(surrogate) DLLM을 사용하여 "위장된(cloaked)" 프롬프트-응답 쌍을 먼저 생성합니다. 이 캐스케이드는 거절, 퇴행, 의미적 와 washout(semantic washout)을 필터링하여 활성 공간 내에 신뢰할 수 있는 "탈옥 구역(Jailbreak Zone)"을 구축합니다.
• 오프라인 최적화 루프: 프레임워크는 고정된 악의적 타겟 응답 $y^*$에 역방향 확산 과정을 고정합니다. 각 디노이징 단계에서 마스킹된 위치에 대한 후보 토큰을 평가합니다. 이는 의미적 유창성을 유지하면서 SN 손실을 최소 최소화하는 토큰을 선택하여, 궤적을 "탈옥 구역"(온건한 질의와 구별 불가능한 저활성화 하위 공간)으로 유도합니다.
• 의도 위장(Intent Cloaking): 어휘 필터를 우회하기 위해, 프레임워크는 확산 프로세스가 시작되기 전에 페르소나 기반 템플릿과 완곡한 표현 번역을 사용하여 원시 악성 트리거를 위장합니다.

3. 주요 기여

1. 구조적 전이성 입증: 본 논문은 안전 정렬이 DLLM에서도 매우 국소적이며 구조적으로 전이 가능하다는 실증적 증거를 제공합니다. AR 모델(Qwen2.5 등)에서 식별된 안전 뉴런은 해당 가중치로부터 초기화된 DLLM으로 직접 매핑될 수 있으며, 이는 대상 DLLM을 프로파일링하지 않고도 교차 아키텍처 공격을 가능하게 합니다.
2. 가중치 적용 SN 손실 도입: 저자들은 뉴런 활성화와 학습된 로지스틱 가중치를 통합하는 연속적인 스칼라 손실 지표를 제안합니다. 이 지표는 온건한, 악의적인, 탈옥 프롬프트 사이에서 높은 분리 성능(AUROC = 1.0)을 달성하여, 추론 시 최적화를 위한 신뢰할 수 있는 목적 함수를 확립합니다.
3. SN-Guided Diffusion 프레임워크: 완전히 오프라인으로 작동하는 새로운 블랙박스 탈옥 생성기입니다. 수천 번의 쿼리나 강화 학습을 필요로 하는 기존 방식과 달리, 이 프레임워크는 DLLM의 양방향성을 활용하여 탈옥 최적화를 추론 시 문제로 해결합니다. 이는 훨씬 낮은 생성 비용으로 경쟁력 있는 전이성을 달상합니다.

4. 실험 결과

4.1. 화이트박스 전이 공격

• 자기 프루닝(Self-Pruning): 네이티브 DLLM(LLaDA, Dream)에서 안전 뉴런을 프루닝했을 때, 공격 성공률(ASR)이 LLaDA의 경우 약 2.6%에서 73.8%로, Dream의 경우 1.9%에서 86.6%로 증가했습니다.
• 전이 프루닝(Transfer Pruning): Qwen2.5에서 매핑된 뉴런을 대상 DLLM에 프루닝했을 때, Dream에서는 ASR이 1.9%에서 73.2%로, Fast-dLLM에서는 7.0%에서 86.3%로 증가했습니다.
• 유틸리티 보존: 일반적인 유틸리티(GSM8K로 측정)는 대부분 온전하게 유지되었으며(일반적으로 2-3% 미만의 저하), 이는 안전 뉴런이 일반적인 언어 능력과는 구별됨을 확인시켜 줍니다.

4.2. 블랙박스 전이성

• 성능: SN-Guided Diffusion은 다양한 타겟에 대해 높은 ASR을 달성했습니다:
  • Llama-3-8B-Instruct: 77.1%
  • Qwen2.5-7B-Instruct: 86.9%
  • Gemini-2.5-Flash-Lite: 74.3%
  • Fast-dLLM-v2-7B: 88.8%
• SOTA와의 비교: 이 방법은 NeuroStrike(예: Gemini-2.0-Flash에 대해 83.3% vs 54.7%) 및 Puzzler와 같은 경쟁력 있는 프레임워크를 능가했으며, 프롬프트당 단 20회의 생성 에피소드만을 필요로 했습니다.
• 방어 우회: 이 공격은 Perplexity 필터링과 SmoothLLM에 대해 견고함을 유지했습니다. 레이어별 편집(Layer-Specific Editing, LSE)이 가장 강력한 완화책을 제공했으나, Llama-3에 대한 ASR을 69.0%로 낮추는 데 그쳐 취약성의 체계적인 성격을 보여주었습니다.

4.3. 효율성

프레임워크는 에피소드당 약 1,920회의 대리 모델 평가를 요구합니다. 프롬프트당 최대 20 에피소드 예산을 사용할 경우, 적대적 시도당 총 계산 비용은 38,400회의 대리 모델 평가입니다. 이는 GRPO 기반 방식에 필요한 수백만 번의 롤아웃이나, GCG와 같은 반복 탐색 방식에 필요한 수만 번의 쿼리에 비해 수십 배에서 수백 배 낮은 수준입니다.

5. 의의 및 주장

본 논문은 확산 기반 생성 패러다임으로의 전환이 안전 정렬 문제를 본질적으로 해결하는 것이 아니라, 오히려 기존 AR 모델의 취약성을 새로운 아키텍처로 전파할 수 있다고 주장합니다. 저자들은 다음과 같이 논증합니다:

• 안전은 희소하고 전이 가능하다: 안전 메커니즘은 총체적인 것이 아니라 희소하고 국소적인 뉴런에 의존하며, 이는 DLLM이 AR 가중치로부터 초기화될 때 보존됩니다. 이는 가용성을 위한 가중치 공유가 취약점까지 공유하게 만드는 "양날의 검"이 됩니다.
• 메커니즘적 사각지대: 활성 공간에는 악의적 의도를 유지하면서도 안전 뉴런 활성화를 최소화하도록 프롬프트를 구조적으로 최적화할 수 있는 "탈옥 구역"이 존재합니다. 이 구역은 오프라인 확산 가이던스를 통해 접근 가능합니다.
• 메커니즘적 공격의 효율성: DLLM의 결합 분포 모델링을 활용함으로써, 공격자는 값비싼 온라인 최적화나 강화 학습 없이도 최소한의 계산 비용으로 높은 전이성을 달성하며 탈옥할 수 있습니다.

저자들은 결론적으로, 미래의 정렬 전략은 표면적인 행동 튜닝을 넘어 이러한 근본적인 구조적 취약성을 다루어야 하며, 잠재적으로는 안전 표현을 핵심 언어 능력과 얽히게 하거나 안전 뉴런의 일대일 매핑을 무너뜨리는 방향으로 나아가야 한다고 주장합니다.