Earticle

초록

영어

This study examines high-confidence backdoor failures in runtime safety classifiers exposed to label-flipping data poisoning and evaluates multi-layer verification. Across 10 seeds, the lightweight classifier reached a mean ASR of 99.0% at 5% poisoning. In a five-seed DistilBERT diagnostic, known-trigger ASR was 100% for every seed and confidence-margin routing escalated none of the false-safe attacks. Triggered ASR also remained 100% on a novel-template stress set, although clean unsafe performance varied substantially across seeds. On WildGuardTest, the lower classifier showed a mean triggered ASR of 89.04%, while Shield-SR reduced final ASR to 8.20%. Removing the explicit trigger-aware signal increased final ASR to 68.56% on the novel-template set and 58.32% on WildGuard. Taken together, the results indicate that confidence-only routing is unreliable when poisoned lower-layer classifiers fail with high confidence. Combining heterogeneous routing signals substantially broadens escalation coverage, but the observed gains remain conditional on known-trigger detection and are sensitive to distribution shift.

한국어

본 연구는 Constitutional Classifier형 런타임 안전성 분류기를 모사하여 라벨 반전형 데이터 포이즈닝에 따른 고신뢰 백도어 실패와 다계층 검증 조건을 분석하였다. 경량 분류기 10개 시드에서 5% 오염의 평균 ASR은 99.0%였다. DistilBERT 5개 시드 진단에서는 알려진 트리거 ASR이 모두 100.0%였고 마진 기반 백도어 라우팅 재현율은 0%였다. Novel-template triggered 조건에서도 ASR은 100.0%였으나 clean unsafe 성능은 시드 간 크게 변동하였다. WildGuardTest 외부 스트레스 테스트에서 하부 ASR은 평균 89.04%였고 Shield-SR은 최종 ASR을 8.20%로 낮췄다. 알려진 트리거 신호 제거 시 최종 ASR은 novel-template 68.56%, WildGuard 58.32%로 상승하였다. 결과는 신뢰도 단독 라우팅(confidence-only routing)의 한계와 다중 신호 라우팅의 보완 가능성, 알려진 표지 의존성과 외부 분포 이동이라는 경계조건을 함께 보여준다.

목차

요약
ABSTRACT
1. 서론
1.1 연구 배경과 문제의식
1.2 연구 목적
1.3 연구 질문
2. 이론적 배경 및 관련 연구
2.1 대형 언어 모델 정렬과 런타임 가드레일
2.2 데이터 오염과 잠복 백도어 공격
2.3 선택적 분류와 다계층 라우팅의 한계
3. 위협 모델 및 문제 정의
3.1 공격자 역량과 목표
3.2 대상 시스템: Constitutional Classifier형 안전성 분류기
3.3 분류기 오염 절차
4. 고신뢰 실패를 고려한 다계층 라우팅 설계
4.1 다계층 검증 구조와 라우팅 개요
4.2 RTP를 통한 트리거 교란
4.3 신뢰도 마진 기반 선택적 이송
4.4 독립 신호 결합 Shield-SR 보완 라우팅
5. 실험 설계
5.1 평가셋과 실험 범위
5.2 가드레일 모델과 방어 조건
5.3 평가지표
5.4 CPU 기반 트랜스포머 스트레스 테스트와 트리거 변형 평가
5.6 추가 검증 설계
5.7 독립·외부 스트레스 테스트와 추가 통계 검증
6. 실험 결과
6.1 오염률 변화에 따른 하부 가드레일 취약성
6.2 상부 가드레일의 독립 검증 성능
6.3 트리거 변형에 대한 상부 판정과 다계층방어 성능
6.4 통제된 오염 조건에서의 경량 방어 구성요소비교
6.5 임계값 민감도: 보안성과 비용의 상충관계
6.7 CPU 기반 트랜스포머 스트레스 테스트
6.8 Shield-SR의 알려진 트리거 균형 부분집합 평가
6.9 다중 시드 독립·외부 스트레스 테스트 결과
7. 논의
7.1 고신뢰 백도어 오분류와 신뢰도 기반 라우팅의 실패 조건
7.2 상부 판별 능력과 종단 간 방어 성능의 구분
7.3 다중 시드·외부 스트레스 테스트가 보여주는 라우팅 경계조건
7.4 연구의 한계와 외적 타당성 제약
8. 결론 및 향후 연구
참고문헌

키워드

저자

• 김현정 [ Hyeonjeong Kim | 연세대학교 바른 ICT 연구소 연구교수 ] 주저자
• 조인서 [ Inseo Jo | 연세대학교 정보대학원 석사과정 ] 공동저자
• 노병규 [ ByungGyu No | 연세대학교 바른 ICT 연구소 연구교수 ] 공동저자
• 김범수 [ Beomsoo Kim | 연세대학교 정보대학원 교수 ] 교신저자

참고문헌

발행기관

간행물

표지보기 관심저널 등록

• 간행물명

  융합보안논문지 [Jouranl of Information and Security]

• 간기

  연5회

• pISSN

  1598-7329

• 수록기간

  2001~2026

• 등재여부

  KCI 등재

• 십진분류

  KDC 005 DDC 005