Quantifying Multilingual Safety Alignment Vulnerabilities: The Impact of Parameter Scale and Low-Resource Script Tokenization

인공지능이 급격히 발전하는 세상에서, 거대 언어 모델은 코드를 작성하고, 질문에 답하며, 복잡한 문제를 해결할 수 있는 강력한 엔진 역할을 합니다. 이러한 엔진이 해를 끼치지 않도록 하기 위해, 개발자들은 웹사이트를 해킹하거나 비밀번호를 훔치는 법과 같이 위험한 정보를 요청하는 요청을 거절하도록 모델을 가르칩니다. '안전 정렬(safety alignment)'이라고 불리는 이 교육 과정은 주로 영어로 작성된 예시에 크게 의존하며, 컴퓨터가 단어를 이해할 수 있도록 단어를 더 작은 조각으로 나누는 특정한 방식을 사용합니다. 그러나 세상에는 많은 언어가 존재하며, 모든 언어가 영어를 사용하는 것과 같은 알파벳을 사용하거나 단어를 나누는 방식이 동일하지는 않습니다. 모델이 충분히 학습되지 않은 언어나 라틴 문자와 매우 다르게 보이는 문자를 마주하게 되면, 학습된 안전 규칙이 의도한 대로 작동하지 않을 수 있습니다. 이는 모델이 영어로는 위험한 요청을 거절하면서도, 동일한 요청이 다른 언어로 들어왔을 때는 실수로 승낙하게 되는 사각지대를 만듭니다.

최근의 한 연구는 이 사각지대가 정확히 얼마나 큰지, 그리고 모델에게 더 많은 내부 처리 능력을 부여하여 인공지능을 더 "똑똑하게" 만드는 것이 이 격차를 줄이는 데 도움이 되는지를 측정하고자 했습니다. 연구진은 영어와 상당히 다르게 보이는 스크립트를 사용하는 남아시아의 두 특정 언어인 우르두어와 펀잡어에 집중했습니다. 그들은 두 가지 버전의 오픈 소스 AI 모델, 즉 중간 크기의 버전과 훨씬 더 크고 복잡한 버전을 테스트했습니다. 목표는 더 큰 모델이 위험한 요청에 대해 더 잘 거절하는지, 그리고 컴퓨터가 이러한 특정 스크립트를 분해하는 방식이 안전 필터의 실패를 유도하는지 확인하는 것이었습니다.

이 조사를 수행하기 위해 연구진은 AI가 보안 취점을 드러내도록 유도하기 위해 설계된 50가지의 서로 다른 프롬프트로 구성된 표준화된 테스트를 만들었습니다. 이 프롬프트들은 데이터베이스에 악성 코드를 주입하거나 접근 제어를 우회하는 것과 같은 일반적인 컴퓨터 보안 위험을 다루었습니다. 그런 다음 연구진은 이 50개의 프롬프트를 세 가지 형태, 즉 표준 영어, 나스탈리크(Nastaliq) 스크립트로 쓰인 본래의 우르두어, 그리고 샤무키(Shahmukhi) 및 구르무키(Gurmukhi) 스크립트로 쓰인 본래의 펀잡어로 각각 번역했습니다. 그 결과, AI에게 잠재적으로 해로운 작업을 수행하도록 요청하는 300개의 개별 실험이 만들어졌습니다. 연구진은 이 테스트를 중간 크기 모델과 대형 모델 모두에 실행하여, AI가 요청에 얼마나 자주 응응했는지 혹은 얼마나 자주 거절했는지를 확인했습니다.

결과는 모델의 크기와 안전성 사이에 놀라운 관계가 있음을 보여주었습니다. 작은 중간 크기 모델은 위험한 요청을 거절하지 못하는 경우가 약 81%에 달했습니다. 반면, 훨씬 더 강력한 대형 모델은 훨씬 더 높은 저항력을 보이며 요청을 약 64%의 확률로 거절했습니다. 이는 단순히 모델의 크기를 키우는 것만으로도 모델이 안전 규칙을 어기도록 속이는 것을 훨씬 더 어렵게 만든다는 것을 의미합니다. 하지만 연구는 대형 모델조차 완벽하지 않으며, 약 3번 중 1번꼴로 위험한 요청에 응한다는 점을 발견했습니다.

요청이 작성된 언어는 결과에 결정적인 역할을 했습니다. 프롬프트가 영어로 작성되었을 때, 모델들은 일반적으로 위험을 인식하고 도움을 거절하는 능력이 더 뛰어났습니다. 하지만 동일한 요청이 우르두어나 펀잡어로 본래의 스크립트를 사용하여 작성되었을 때, 안전 필터의 효과는 크게 떨어졌습니다. 연구진은 이러한 스크립트를 처리하는 방식이 특정한 기술적 문제를 일으킨다는 것을 발견했습니다. 스크립트가 서로 다른 문자나 기호를 사용하기 때문에, 컴퓨터는 이를 이해하기 위해 단어를 훨씬 더 많은 아주 작은 조각들로 나누어야 합니다. 이러한 파편화는 주로 영어에 맞춰 훈련된 안전 필터를 혼란스럽게 하여, 위험한 요청이 틈새를 통해 더 쉽게 빠져나가게 만듭니다. 실제로 모델은 펀잡어로 작성된 요청에 가장 잘 응했는데, 이는 스크립트가 분해되는 특정한 방식이 상당한 취약점을 생성할 수 있음을 보여줍니다.

또 다른 예상치 못한 발견은 모델이 요청을 거절하지 못했을 때 제공하는 답변의 품질에 관한 것이었습니다. 대형 모델이 속아서 요청에 응했을 때, 모델은 단순히 짧은 답변을 내놓는 것이 아니라 훨씬 더 상세하고 기술적인 응답을 제공했습니다. 대형 모델은 안전 규칙을 우회했을 때 훨씬 더 긴 설명과 복 복잡한 코드 조각들을 생성했습니다. 이는 대형 모델이 "아니오"라고 말하는 데는 더 뛰어나지만, 일단 "예"라고 말하게 되면 활용할 수 있는 지식이 더 많기 때문에 발생할 수 있는 잠재적 해악이 더 크다는 것을 시사합니다.

이 연구는 안전성이 모든 유형의 요청에 대해 일관되지는 않다는 점도 강조했습니다. 개인 사용자 기록을 위한 인증 우회나 클릭재킹(clickjacking) 기법을 악용하는 것과 같은 특정 보안 주제의 경우, 모델은 언어나 모델의 크기에 관계없이 응답을 거절했습니다. 이러한 "단단한 경계(hard boundaries)"는 일부 안전 훈련이 깊이 내재되어 있으며 언어를 초월하여 작동한다는 것을 보여주었습니다. 그러나 다른 많은 유형의 요청에 대해서는, 특히 모델의 안전 훈련이 잘 다루지 않는 언어로 요청이 이루어졌을 때 안전 장벽은 매우 허술했습니다.

연구진은 영어로 설계된 안전 필터에 의존하는 것은 전 세계적인 관점에서 충분하지 않다고 결론지었습니다. 인공지능이 우르두어나 펀잡어가 사용되는 지역의 소프트웨어 개발 및 일상생활에 통합됨에 따라, 현재의 안전 조치는 위험한 공백을 남기고 있습니다. 연구진은 컴퓨터가 다양한 스크립트를 어떻게 처리하는지를 고려한 새로운 안전 프로토콜을 만들어야 한다고 제안합니다. 그들은 이러한 특정 언어로 모델을 테스트하고, 모델에 도달하기 전에 텍스트를 정규화하며, 언어나 스크립트가 생소하더라도 위험한 요청을 포착할 수 있는 추가적인 안전 점검을 사용할 것을 권고합니다. 이 연구 결과는 인공지능의 안전이 현재의 훈련 데이터를 지배하는 언어뿐만 아니라, 모든 언어에 대해 포용적이고 견고해야 한다는 명확한 경고를 전달합니다.