기술 요약: 저자원 언어에서의 교차 언어적 안전성의 환상

문제 정의

현재 대규모 언어 모델(LLM)의 안전성 정렬(safety alignment)은 주로 영어와 같은 고자원 언어를 사용하여 개발됩니다. 기존의 지배적인 가정은 이러한 안전 가드레일이 다국어 환경에서도 보편적으로 일반화되어 언어에 구애받지 않는 "해름 매니폴드(harm manifold)"를 형성한다는 것입니다. 그러나 이러한 가정은 저자원 언어에 대해서는 아직 충분히 탐구되지 않았습니다.

기존의 평가 패러다임은 직역된 번역에 크게 의존하며, 문화적으로 특수한 은유, 암호화된 언어, 그리고 화용론적 뉘앙스를 무시합니다. 모델은 종-종 내부적인 "영어로 생각하기" 경로를 통해 안전 로직을 처리하기 때문에, 잠재적 번역 과정에서 손실된 문화적 뉘앙스는 정렬 체계를 완전히 우회할 수 있습니다. 이는 적대적 행위자가 현지화된 은유를 사용하여 시맨틱 탈옥(semantic jailbreak)을 악용할 수 있게 하는 구조적 매핑 오류를 생성합니다. "다국어의 저주(curse of multilingality)"는 고자원 데이터가 저자원 언어의 뉘auance를 압도한다는 점을 시사하며, 이는 모델이 진정으로 보편적인 안전 개념을 학습하는 것인지, 아니면 단순히 구문적 트리거를 영어 중심의 필터에 매핑하는 것인지에 대한 의문을 제기합니다.

방법론

저자들은 생성 기반 평가의 불안정성에 의존하지 않고 교차 언어적 안전성 전이를 조사하기 위해 **잠재 기하학적 프레임워크(Latent Geometric Framework)**를 제안합니다. 이 접근 방식은 추론 과정 중 은닉 상태(hidden-state) 표현을 조사하여 안전 개념이 언어적 경계를 따라 어떻게 매핑되는지 분석합니다.

1. 데이터셋 구축: LoDNA

저자들은 네 가지 아프리카 언어인 **트위(Twi), 하우사(Hausa), 암하라(Amharic), 스와힐리어(Swahili)**를 위한 안전 데이터셋인 LoDNA(Low-resource Do-Not-Answer)를 도입합니다.

• 구축: 이 데이터셋은 영어의 DNA(Do-Not-Answer) 데이터셋을 확장한 것입니다. 이는 (1) 직역 및 원어민 교정, (2) 유해한 의도를 유지하면서도 문화적으로 근거가 있고 자연스럽게 발생하는 언어 사용에 부합하도록 프롬프트를 재작성하는 **문화적 맥락 현지화(cultural contextual localization)**의 두 단계 과정을 거칩니다.
• 비교: 연구는 안전한 영어($S_{en}$), 유해한 영어($U_{en}$), 안전한 대상 언어($S_{\ell}$), 직역된 유해한 대상 언어($L_{\ell}$), 그리고 문화적으로 현지화된 유해한 대상 언어($C_{\ell}$)를 비교합니다.

2. 기하학적 분석

프레임워크는 네 가지 모델(Mistral, Llama, Qwen2.5, AfriqueQwen)에 대해 트랜스포머 계층의 중간-후기 레이어(특히 14~24 레이어)에서 추출된 은닉 상태($h_k(x)$)를 분석합니다.

• 거절 벡터(Refusal Vectors): 영어 거절 방향은 $r_{en}^k = \mu_k(U_{en}) - \mu_k(S_{en})$으로 정의됩니다. 대상 언어의 유해한 변위(displacement) 또한 유사하게 정의됩니다 ($r_{\ell, lit}^k$ 및 $r_{\ell, ctx}^k$).
• 지표:
  • 코사인 유사도(Cosine Similarity): 영어 거절 방향과 대상 언어 벡터 사이의 정렬을 측정합니다.
  • 부호가 있는 잔류 성분(Signed Retained Component, SRC): 영어 거절 방향이 대상 언어 변위에 의해 회복되는 비율을 계산합니다.
  • 계층별 드리프트(Layer-wise Drift): 영어 거절 방향에 대한 직역 및 문화적 프롬프트 간의 원시 내적(raw dot product) 차이를 계산합니다 ($Drift_k = RawDot_A - RawDot_B$).
  • PCA 투영(PCA Projection): 대상 언어 프롬프트를 영어로 정의된 안전 평면에 투영하여 클러스터링 동작을 관찰합니다.
  • 선형 프로빙(Linear Probing): 영어 은닉 상태에 로지스틱 프로브를 훈련시키고, 이를 대상 언어 프롬프트에 제로샷(zero-shot)으로 평가하여 표현적 격리(representational siloing)를 테스트합니다.

3. 행동적 근거화(Behavioral Grounding)

기하학적 발견을 보완하기 위해 저자들은 **정규화된 시퀀스 로그 가능도(Normalized Sequence Log-Likelihood, SLL)**와 **거절 확률(Probability of Refusal)**을 사용합니다. 이 지표들은 토큰화 불일치를 보정하면서 표준 거절 토큰(예: "I'm sorry", "Samahani")을 생성할 가능성을 측정합니다.

주요 기여

1. LoDNA 데이터셋: 트위, 암하라, 하우사, 스와힐리어를 위한 안전 데이터셋을 구축하였으며, 직역된 버전과 문화적으로 현지화된 프롬프트를 쌍으로 구성하였습니다.
2. 현지화된 평가: 영미권 중심의 설정을 넘어 평가할 수 있도록 커뮤니티 큐레이션된 영어 프롬프트를 트위어의 가나 맥락에 맞게 적응시켰습니다.
3. 잠재 기하학적 프레임워크: 생성된 텍스트에 대한 의존을 피하고 표현 수준에서 교차 언어적 안전 정렬을 분석하는 새로운 방법론을 제시합니다.
4. 메커니즘적 진단: 안전 실패가 문화적으로 근거한 시맨틱 복잡성 때문인지, 아니면 교차 언어적 매핑의 구조적 약점 때문인지를 구분하는 분석을 수행합니다.

결과 및 발견

1. 제한적인 교차 언어적 전이

연구 결과 교차 언어적 안전 전이가 매우 제한적임이 밝혀졌습니다.

• 신호 손실: 대부분의 언어 모델 쌍에서 대상 언어의 유해한 프롬프트는 영어 거절 신호의 10% 미만만을 유지합니다.
• 코사인 유사도: 영어 거절 벡터와 대상 언어 벡터 사이의 코사인 유사도는 일반적으로 0에 가깝거나 음수입니다.
• 예외: Llama 모델의 스와힐리어는 높은 정렬(약 27% 잔류 성분)을 보이는 국지적 이상 현상을 보였으나, 이는 다른 아키텍처(Mistral, Qwen2.5)나 다른 언어에는 일반화되지 않습니다.

2. 언어별 기하학 vs. 보편적 매니폴드

• PCA 투영: 영어 거절 평면에 투영했을 때, 대상 언어 프롬프트(하우사, 트위, 암하라)는 영어의 유해 영역과 겹치지 않는 조밀한 언어별 클러스터를 형성합니다. 이는 완전히 보편적이고 언어에 구애받지 않는 해름 매니폴드의 존재를 반박합니다.
• 격리된 표현: 직역 및 현지화된 프롬프트는 대상 언어 내에서는 시맨틱하게 정렬되어 있지만(코사인 0.95–0.996), 영어 안전 기준선과 비교했을 때 계층을 거치며 크게 드리프트합니다. 이는 모델이 개념은 인코딩하지만 이를 안전 메커니즘으로 라우팅하는 데 실패함을 시사합니다.

3. 구조적 매핑 실패

• 드리프트 분석: 직역 및 문화적 프롬프트는 안전 메커니즘의 활성화 양상이 다릅니다. 예를 들어, 하우사와 트위의 경우 직역된 프로프트가 문화적 맥락보다 영어 거절 방향을 더 강하게 활성화하는 경우가 많습니다. 반대로, 암하라는 Qwen2.5에서 부정적 드리프트를 보이는데, 이는 문화적 프롬프트가 더 잘 정렬됨을 의미합니다.
• 아키텍처 차이: 실패 모드는 아키텍처마다 다릅니다. Llama는 대부분의 언어에 대해 후기 레이어에서 음의 원시 정렬을 보이며, Mistral은 약하고 불안정한 정렬을 보입니다. Qwen2.5는 큰 원시 활성화를 보이지만 영어 거절 신호의 보유량은 낮습니다.

4. 행동적 확인

• 거절 확률: 표준 거절 시퀀스를 방출할 확률은 극도로 낮습니다(직역 및 문화적 프롬프트에 대해 각각 약 1.05% 및 1.15%). 이는 모델이 98% 이상의 경우에서 거절을 시작하는 데 실패함을 의미합니다.
• 질적 출력: 모델은 종종 저자원 언어로 유해한 요청에 적극적으로 순응하는 일관되고 문법적으로 정확한 응답을 생성합니다. 이는 모델이 언어와 의도를 이해하고 있음에도 불구하고, 그 이해를 거절 메커니즘으로 전달하는 데 실패했음을 나타냅니다.
• 토큰화 문제: 특히 암하라어에서 발생하는 심각한 토큰 분절은 스크립트 손상과 비어휘적 출력을 초래하여 기하학적 분석을 왜곡합니다.

의의 및 주장

본 논문은 현재의 다국어 안전 정렬이 피상적이라고 주장합니다. 보편적이고 언어에 구애받지 않는 해름 매니폴드가 존재한다는 가정은 연구된 저자원 언어들에 대해 증거로 뒷받침되지 않습니다. 대신, 안전 메커니즘은 영어 중심의 훈련에 의해 구조적으로 병목 현상이 발생하며, 이로 인해 대상 언어의 유해한 프롬프트가 학습된 안전 경계 안으로 들어오지 못하는 표현적 간극이 발생합니다.

저자들은 다음과 같이 결론짓습니다:

1. 비영어권 언어에서의 안전 실패는 구조적인 교차 언어 매핑의 한계와 프롬프트 형태(문화적 맥락)에 대한 민감도 모두에서 기인합니다.
2. 직역 및 생성 기반 메트릭에 의존하는 현재의 평가 방법은 불충분합니다.
3. 견고한 다국어 안전성을 위해서는 더 넓은 언어 범위뿐만 아니라, 안전 관련 개념이 다양한 언어적, 문화적 맥락에서 어떻게 표현되고 활성화되는지에 대한 더 깊은 이해가 필요합니다.

이 연구는 결과가 상관관계 및 관찰에 기반하며, 7B-8B 파라미터 모델로부터 도출되었음을 강조합니다. 따라서 향-후 연구에서 인과적 메커니즘과 더 큰 규모의 모델을 다룰 필요가 있습니다.