벡터 DB 저장 문서도 원본 복원 가능…보안 취약점 발견

핵심 요약

• 멀티벡터 기반 문서 검색 시스템은 각 페이지를 약 1000개의 패치 벡터로 변환해 보통 제3자의 벡터 데이터베이스에 저장하는데, 벡터 인덱스 자체는 원본 페이지보다 덜 민감한 것으로 취급되고 있다.
• 연구팀은 패치 벡터가 래스터 순서로 저장되고 비전-언어 모델로 계산되기 때문에, 벡터 DB를 운영하거나 침해한 공격자가 인덱스만으로도 원본 페이지를 복원할 수 있다고 가설을 세웠다.
• 공격은 조건부 문서 이미지 생성 프레임워크로 구성되며, 공격자는 인코더·페이지 크기·(섞인 경우) 벡터 순서 정보를 필요로 한다.
• ViDoRe v3 벤치마크에서 원본 인덱스로부터 복원된 페이지는 단어의 47%와 민감 토큰의 45%를 회수했다.
• 복원된 페이지를 쿼리로 사용해 저장된 인덱스에 검색하면 원본 페이지를 98.4%의 확률로 1순위에 랭크했다.
• 토큰 풀링과 벡터 순서 섞기라는 두 가지 저렴한 방어 수단은 단어 회수율을 약 8%까지 낮췄다.
• 순서 섞인 인덱스의 순서를 복원하는 모델을 개발하면 원본 페이지 1순위 랭킹 확률이 3.8%에서 93.5%로 상승하며, 풀링된 인덱스 역은 여전히 미해결 상태다.
• 다른 멀티벡터 검색 시스템에 동일한 공격을 적용하면 복원된 페이지가 원본을 70.2%의 확률로 1순위에 랭크했으나, 단어 회수율은 최근접 이웃 기준선 이하였다.
• 멀티벡터 시각 문서 검색 시스템의 저장 인덱스는 원본 문서와 동일한 수준의 보안 보호가 필요하다.