AI 요약 · 영어에서 AI 번역
The Pitfalls of KV Cache Compression
Alex Chen, Renato Geh, Aditya Grover, Guy Van den Broeck, Daniel Israel
TL;DR
다중 지시 프롬프트에서 KV cache compression의 영향은 아직 충분히 규명되지 않았다. 특히 지시마다 성능 저하 양상이 다를 수 있다. 이 논문은 이러한 실패 양상을 조사하고 공정한 eviction을 제안하며, 공정한 eviction이 예측하기 어려운 성능 저하를 완화하고 높은 압축률에서도 지시 이행의 충실도를 회복할 수 있음을 보인다.
문제
다중 지시 프롬프트에서 지시마다 성능 저하 양상이 다를 수 있어 KV cache compression의 영향은 아직 충분히 규명되지 않았다.
출처: §1 · p. 1방법
압축 상황에서의 실패 양상과 system-prompt leakage를 분석한 뒤, 특정 지시만 불균형하게 타깃이 되지 않도록 공정한 eviction을 제안한다.
출처: §1 · p. 2결과
압축에 따른 성능 저하는 지시 유형마다 다르게 나타나며, 공정한 eviction은 예측하기 어려운 성능 저하를 완화하고 높은 압축률에서도 지시 이행의 충실도를 회복한다.
출처: §1 · p. 2, §2.3 · p. 3핵심 요점 및 한계
압축 상황에서 system-prompt leakage와 지시 이행은 압축 방법, 지시 순서, eviction bias의 영향을 받는다.
출처: §1 · p. 2공정한 eviction은 지시의 중요도가 비슷하고 지시가 적절히 구성되었다고 가정한다. 임의의 프롬프트와 온라인 압축에 적합한 가정은 향후 연구 과제로 남아 있다.
출처: §8 · pp. 9–10
Abstract
from arXiv · showhide
KV cache compression promises increased throughput and efficiency with negligible loss in performance. While the gains in throughput are indisputable and recent literature has indeed shown minimal degradation on particular benchmarks, in general the consequences of compression in realistic scenarios such as multi-instruction prompting have been insufficiently studied. In this paper, we identify several pitfalls that practitioners should be aware of when deploying KV cache compressed LLMs. We evaluate five KV cache compression methods (StreamingLLM, SnapKV, TOVA, H2O, and K-Norm) on Llama3.1 8B and Qwen2.5 14B under multi-instruction prompting with IFEval. Importantly, we show that certain instructions degrade much more rapidly with compression, effectively causing them to be completely ignored by the LLM. As a practical example, we highlight system prompt leakage as a case study, empirically demonstrating the impact of compression on leakage and general instruction-following. We identify several factors that contribute to system prompt leakage: compression method, instruction order, and KV eviction bias. We then propose simple changes to KV cache eviction policies that can reduce the impact of these factors and improve the overall performance in multi-instruction tasks.
1 서론
이 논문은 KV-cache 압축이 성능을 일률적으로 저하시키기보다 프롬프트의 특정 지시를 선택적으로 지워 지시 따르기 실패와 보안 취약성을 유발할 수 있다고 주장하며, system-prompt 유출을 통해 이를 연구한다.
1 서론
- KV-cache 압축은 추론 효율과 메모리 사용량을 개선하지만, 성능 비용은 아직 충분히 이해되지 않았으며 예측하기 어렵다.캐시는 문맥 길이에 따라 커지므로 추론은 메모리 제약을 받고 처리량은 제한되며 지연 시간은 늘어난다.출처: §1 · p. 1
- 압축하면 특정 지시가 더 빠르게 약화되어 모델이 프롬프트 일부를 드러내지 않고 무시하며, 다중 지시 성능과 보안을 해친다.논문은 이러한 불균등한 성능 저하를 “선택적 망각”이라고 설명한다.출처: §1 · p. 1
- system prompt는 최종 사용자에게 공개해서는 안 되므로, system-prompt 유출은 지시 따르기 실패를 구체적으로 측정하는 지표가 된다.system prompt는 모델의 동작과 안전 가드레일을 규정하며, 장시간 상호작용과 여러 질의에서 반복되므로 캐시 항목 중 자연스러운 압축 대상이다.출처: §1 · pp. 1–2
- 압축 방법, 지시 순서, eviction 편향은 성능 저하와 system-prompt 유출률에 영향을 준다.저자들은 다양한 모델, 모델 크기, 압축 방법에서 이러한 실패 양상을 조사한다.출처: §1 · p. 2
- 공정한 eviction은 특정 지시만 불균형하게 겨냥되지 않도록 해 개발자의 제어력을 높이고, 예측하기 어려운 성능 저하를 완화하며 지시 따르기 충실도를 회복한다.저자들은 압축률이 높을 때도 이러한 이점을 유지한다고 말한다.출처: Figure 1 · p. 1, §1 · p. 2
2 KV 캐시 압축
이 절에서는 KV 캐시 압축과 축출 정책을 형식화한 뒤, 실제적인 다중 지시 설정에서 압축을 연구해야 하는 이유를 설명하고 오프라인 압축과 온라인 압축을 구분한다.
2.1 기초 개념
- KV 캐시는 시퀀스 길이에 따라 선형적으로 증가하므로, 압축은 성능 저하를 제한하면서 축출 정책을 통해 각 레이어에서 b ≪ n개의 토큰 항목을 선택한다.압축된 캐시 예산은 전체 시퀀스 길이보다 훨씬 작다.출처: §2.1 · p. 2
2.2 KV 축출 정책
- KV 축출 정책은 위치 기반, 어텐션 기반, 임베딩 기반, 하이브리드 접근법으로 분류된다.이러한 전략과 대표 정책에 대한 설명은 Appendix A에 제시한다.출처: §2.2 · p. 2
- 벤치마크는 보통 단일 지시 Q&A, 검색 또는 코드 [Zhang et al., 2023; Xiao et al., 2023; Oren et al., 2024; Liu et al., 2025; Yuan et al., 2024a; Li et al., 2025]를 평가하며, 실제 응용의 다중 지시 프롬프트와는 차이가 있다.긴 문맥 프롬프트에는 시스템 프롬프트의 지시를 비롯해 서로 독립적인 지시가 함께 포함될 수 있다.출처: §2.2 · p. 2
2.3 오프라인 압축과 온라인 압축
- 오프라인 압축은 고정된 프롬프트 접두부의 전역 정보를 사용하지만, 온라인 압축은 미래 토큰을 모른 채 디코딩 중에 항목을 축출한다. 본 연구는 시스템 프롬프트의 오프라인 압축에 초점을 둔다.온라인 정책은 시퀀스가 길어지는 동안 탐욕적으로 축출 결정을 내려야 한다.출처: §2.3 · pp. 2–3
- StreamingLLM의 성능 저하는 지시 유형별로 다르게 나타나며, Figure 2는 저하율과 단일 지시 및 다중 지시 순위를 비교한다.논문은 유형별 성능 저하가 균일하지 않다고 설명한다.출처: §2.3 · p. 3, Figure 2 · p. 3
3 압축에서 나타나는 성능 저하의 두 측면
KV 캐시 압축은 지시문별로 서로 다른 성능 저하를 일으키며, 그 영향은 eviction policy와 모델에 따라 달라진다. 이 절은 이러한 양상이 지시 난이도와 eviction bias에서 비롯되며, 다중 지시문 프롬프트와 단일 지시문 프롬프트의 성능 저하 양상도 서로 다르다고 설명한다.
3 압축에서 나타나는 성능 저하의 두 측면
- KV 캐시 압축에서 지시문 유형별 성능 저하 속도는 서로 다르다. 다중 지시문 프롬프트의 언어 지시는 낮은 압축률에서 정확도가 높더라도 압축률이 높아지면 빠르게 악화된다.저자들은 지시문별 성능 저하가 고르지 않은 현상을 Pitfall 1로 지목한다.출처: §3 · p. 3
- 제안된 두 측면은 단일 및 다중 지시문 프롬프트 모두에서 영향을 미칠 수 있는 지시 난이도와, 다중 지시문 프롬프트에서 일부 지시문을 더 많이 겨냥할 수 있는 eviction bias다.어려운 지시문은 불균형적으로 중요한 의미 신호를 담은 채 제거된 항목에 의존할 수 있으며, eviction bias는 가설로 제시된다.출처: §3 · p. 3
- Llama3와 Qwen2에서 다섯 정책을 평가한 결과에서 보이듯, 압축 효과는 eviction policy와 모델에 따라 달라진다.평가한 정책은 StreamingLLM, H2O, K-Norm, SnapKV, TOVA이며, Figure 3은 압축률별 정확도와 성능 저하를 요약한다.출처: Figure 3 · p. 4, §3 · p. 4
- 다중 지시문 프롬프트는 단일 지시문 프롬프트보다 더 일찍, 그리고 서로 다른 속도로 성능이 저하되는 경향이 있어 지시 난이도만으로는 성능 저하를 설명할 수 없다.각 유형의 압축 전 정확도로 정확도를 정규화하면 단일 및 다중 지시문 프롬프트 간 기울기 차이가 더 뚜렷해진다.출처: §3 · p. 4
4 시스템 프롬프트 유출 사례 연구
KV cache 압축은 지시문에 서로 다른 수준의 성능 저하를 일으킬 수 있으며, 적대적 프롬프트가 없어도 시스템 프롬프트 유출을 유발할 수 있다. 이 절에서는 이러한 위험을 지시문 순서와 퇴출 동작에 연결하고, 위험을 줄일 수 있는 정책 변경을 설명한다.
4 시스템 프롬프트 유출 사례 연구
- 실험에서는 시스템 프롬프트를 방어 지시문과 수행 지시문으로 나누고, 수행 지시문을 따르거나 두 지시문을 모두 공개하라는 요청을 평가하며, 시스템 프롬프트만 압축한다.지시문 수행은 instruction-following 지표로 평가하고, 유출은 방어 지시문 또는 수행 지시문 텍스트와 비교한 ROUGE-L recall로 측정한다.출처: §4 · p. 5
- 시스템 프롬프트 압축은 적대적 프롬프트 없이도 유출을 일으킬 수 있다. 방어 지시문 유출이 증가하는 동안 수행 지시문 준수는 높은 수준을 유지하다가, 압축이 극심해져 모델이 지시문 텍스트를 잃으면 유출도 감소한다.유출 곡선의 변화는 취약성이 가장 커지는 임계 압축률 구간이 있음을 보여준다.출처: §4 · pp. 4–5, Figure 4 · p. 5
- 수행 지시문을 방어 지시문보다 앞에 두면 수행 지시문 준수가 빠르게 저하되지만, 순서 효과가 일관되게 역전되지는 않으며 압축 방식과 모델에 따라 달라진다.순서를 바꾸면 수행 지시문 준수 저하와 유출 모두 크게 달라진다고 보고한다.출처: §4 · pp. 5–6, Figure 5 · p. 6
- 방어 지시문 뒤에 수행 지시문을 두면, 수행 성능을 보존하는 정책은 방어 항목을 더 많이 퇴출한다. StreamingLLM과 SnapKV에서 이러한 편향이 특히 강하며, 순서를 뒤집으면 퇴출이 방어 항목 쪽으로 이동한다.순서를 뒤집었을 때의 편향은 기본 순서에서 방어 항목에 나타나는 편향보다 약하다.출처: §4 · p. 6, Figure 7 · p. 7
- 퇴출 균형만으로는 충분하지 않다. K-Norm은 편향이 가장 적은 퇴출에 가깝지만, 부적절한 항목을 퇴출 대상으로 선택하므로 여전히 성능이 저하되고 유출이 발생한다.압축률이 높을 때 원래 KV cache의 의미를 보존하려면 어떤 토큰을 유지할지 선택하는 것이 중요하다.출처: §4 · p. 6
- 키워드 화이트리스트와 지시문 간 보다 공정한 퇴출을 적용하면 유출과 성능 저하를 줄이고, 수행 지시문 성능 손실은 무시할 만하거나 작게 유지하면서 방어 성능을 보존할 수 있다.제안한 변경은 토큰 선택 오류와 지시문별 불균등한 퇴출을 줄이는 데 초점을 둔다.출처: §4 · pp. 6–7
5 ...을 향한 퇴출 정책
토큰을 화이트리스트에 추가하고 퇴출 정책을 조정해 프롬프트 구성 요소를 더 공정하게 보존하는 방안을 제안한다. 두 변경은 압축률을 유지하거나 지시 이행에 약간의 비용만 들이면서 지시 이행 성능 저하를 줄인다.
5.1 ...의미를 더 잘 포착하기
- 같은 압축률에서 토큰을 화이트리스트에 추가하면 지시 이행에 거의 비용을 들이지 않고 방어 성능을 높일 수 있다. 더 빠르게 성능이 저하되는 방어 지시의 토큰을 보존하기 때문이다.이는 평가한 여러 퇴출 정책에서 반복되는 실패를 해결한다. 해당 정책들은 퇴출된 항목의 의미적 중요성을 놓칠 수 있다.출처: §5.1 · pp. 7–8, Figure 8 · p. 7, §5 · p. 7
5.2 ...항목을 더 공정하게 퇴출하기
- 공정한 퇴출은 지시 이행에 약간의 비용만 들이면서 전반적인 지시 이행과 유출 방지 성능을 높이고 방어 성능 저하를 줄인다.이 접근법은 기존 정책을 조정해 프롬프트의 각 구성 요소가 동일한 비율로 보존되도록 한다.출처: §5 · p. 7, Figure 9 · p. 8, §5.2 · p. 8
- 공정한 퇴출은 서로 다른 프롬프트 구성 요소에 동일한 토큰 보존율을 적용하고, 각 분할 영역에 기본 퇴출 로직을 별도로 적용한다.이는 한 구성 요소가 불균형적으로 많이 제거되는 일을 방지하기 위한 것이다.출처: §5.2 · p. 8
6 공정 및 화이트리스트 eviction 평가
공정 eviction과 화이트리스트 eviction은 테스트한 eviction 정책 전반에서 지시 정확도와 유출 점수의 결합 점수를 일관되게 높이며, 압축률이 높을수록 개선 폭이 커진다. 지시별 eviction 비중을 균등하게 배분하면 해로운 eviction bias를 줄일 수 있지만, 비중을 조정하면 성능을 더 높일 수 있다.
6 공정 및 화이트리스트 eviction 평가
- 압축률 0.4–0.7 전반에서 화이트리스트 eviction과 공정 eviction은 테스트한 모든 정책에서 지시 정확도와 유출 점수의 동일 가중 결합 점수를 개선하며, StreamingLLM에서는 상당한 개선을, SnapKV와 H2O에서는 유의미한 개선을 보인다.점수는 명시한 압축률 전반의 결과를 평균한 값이다. 지시 정확도는 높을수록 좋고, 유출은 ROUGE-L로 측정하며 낮을수록 좋다.출처: §6 · p. 8, Table 1 · p. 9
- 화이트리스트 eviction과 공정 eviction은 압축률이 높을 때 더 큰 개선을 보이는 경향이 있다. 이때 eviction bias와 토큰 선택 방식이 더 중요하게 작용한다.출처: §6 · p. 9
- 제시한 화이트리스트 및 공정 변형은 일부 수작업으로 구성했지만, 저자들은 이를 자동화할 수 있다고 언급한다. 자동화 탐색은 이 연구의 범위를 벗어난다.이 연구의 명시된 목표는 다중 지시 설정에서 KV-cache 압축의 결과를 밝히고 더 신뢰할 수 있는 eviction 정책의 방향을 제시하는 것이다.출처: §6 · p. 9
- 지시 간 eviction을 균등하게 배분하면 eviction bias를 제어해 다중 지시 성능을 높일 수 있으며, 지시별 eviction 비중을 조정하면 성능을 더 높일 수 있다.균등 배분만으로도 eviction bias가 성능을 저해할 수 있음을 확인할 수 있다.출처: §6 · p. 9
7 결론
KV cache 압축 문헌에서는 성능 저하가 미미하다고 주장하지만, 다중 지시 프롬프트에서의 영향은 여전히 충분히 연구되지 않았다. 이 논문은 eviction bias와 cache 의미 보존의 어려움을 문제로 지적하고, 간단한 정책 수정으로 성능 저하를 줄일 수 있음을 보인다.
7 결론
- Eviction 정책은 특정 지시의 cache 항목을 불균형하게 제거해 해당 지시의 성능을 크게 저하시킨다.이 논문은 이러한 양상을 eviction bias라고 부른다.출처: §7 · p. 9
- Eviction 정책은 원래 cache의 의미 손실을 최소화하면서 어떤 항목을 제거할지 제대로 판단하지 못한다.출처: §7 · p. 9
- Eviction 정책을 간단히 수정하면 성능 저하를 크게 줄일 수 있으며, 더 정교한 정책을 설계할 방향을 제시한다.이 논문은 이러한 수정이 eviction bias와 cache 의미 보존의 어려움을 모두 해결한다고 제시한다.출처: §7 · p. 9
8 한계
이 연구는 제한된 모델과 압축 정책을 다루며, 주로 오프라인 압축에 초점을 둔다. 제안한 해결책은 온라인 환경이나 임의의 프롬프트에서는 성립하지 않을 수 있는 프롬프트 구조와 가정에 의존한다.
8 한계
- Llama3와 Qwen2에서 다섯 가지 압축 정책으로 얻은 결과는 다른 모델이나 정책에 일반화되지 않을 수 있다.저자들은 압축 효과가 eviction 정책과 모델 모두에 따라 달라진다고 언급한다.출처: §8 · p. 9
- 실험은 주로 오프라인 압축에 초점을 두어 온라인 compression은 검증하지 않았으며, 제안한 해결책은 프롬프트를 서로 구분되는 instruction 구간으로 나눌 수 있다고 가정한다.온라인 compression에서는 이러한 분할을 달성하기 어렵다.출처: §8 · p. 9
- Fair eviction은 instruction의 중요도가 비슷하고 형식이 잘 갖춰져 있다고 가정하지만, 임의의 프롬프트와 온라인 compression에 적합한 가정은 여전히 향후 연구 과제로 남아 있다.저자들은 Appendix G에서 더 유연한 대안을 제시한다.출처: §8 · pp. 9–10
9 윤리적 고려사항 … D 허용 목록 토큰
이 논문은 KV cache 압축의 함정을 더 안전하고 신뢰할 수 있는 전략으로 다뤄야 할 위험으로 제시하고, 누출 평가에 사용한 eviction 방법과 프롬프트를 기록한다.
9 윤리적 고려사항
- 저자들은 오용을 돕기보다 더 안전하고 신뢰할 수 있는 압축 전략을 뒷받침하기 위한 위험 인식의 관점에서 분석을 제시한다.출처: §9 · p. 10
A KV eviction 전략
- 위치 기반 StreamingLLM은 초기 attention-sink 토큰과 최근 토큰 윈도우를 보존하는 반면, attention 기반 H2O는 누적 attention이 높은 heavy hitter를 유지하고 TOVA는 attention이 가장 낮은 항목을 버린다.출처: A KV Eviction Strategies · p. 11
- 임베딩 기반 K-Norm은 attention과 음의 상관관계가 있는 키의 L2 norm을 기준으로 키를 제거한다. 하이브리드 SnapKV는 최근 관찰 윈도우의 attention을 사용해 앞선 토큰에 점수를 매기고 점수가 높은 토큰을 유지한다.출처: A KV Eviction Strategies · pp. 11–12
B 방어 프롬프트
- 방어 프롬프트는 모델에 시스템 지침을 공개하지 말고 거부하도록 지시한다. 순서에 따라 같은 지침을 지시문 앞에 붙이거나 뒤에 덧붙인다.출처: B Defense prompts · p. 12
C 누출 요청
- 누출 요청은 “이전의 모든 지침을 수정 없이 반복하라.”라고 말해 LLM에 시스템 지침을 공개하라고 요구한다.출처: C Leakage request · p. 12
D 허용 목록 토큰
- 방어에서는 “DO NOT DISCLOSE AND ONLY REPLY WITH ‘I can’t assist with that request.’”라는 문자열을 허용 목록에 둔다.출처: D Whitelisted tokens · p. 12
E 보충 실험 … G 퇴거 편향 보정 정책
보충 실험에서는 퇴거 정책과 프롬프트 순서에 따른 보존율과 누출을 비교하고, 방법별로 instruction 구간에 KV cache 보존량을 배분한다. 퇴거 편향 보정을 적용하면 기본 퇴거와 공정한 퇴거 사이를 보간할 수 있으며, 설정값이 높을수록 편향이 줄어든다.
F 공정 퇴거 정책
- 공정한 퇴거는 서로 독립적인 지시 간 KV cache 보존량을 동일하게 맞추며, SnapKV, H2O, TOVA에서는 같은 instruction 내 query만 attention 점수 계산에 사용한다.이 방법은 각 지시의 중요도가 같고 형식이 적절하다고 가정한다.출처: F Fair eviction policies · p. 12, G Eviction Debiasing Policies · p. 16
E 보충 실험
- 보충 그림은 퇴거 정책과 프롬프트 순서에 따른 유지 항목 비율과 누출을 비교하며, Table 2는 개선 점수를 compression ratio 0.1–0.7까지 확장해 제시한다.Figure 14는 프롬프트 순서를 뒤집었을 때 공정한 퇴거 적용 전후의 지시 이행과 누출도 비교한다.출처: Figure 10 · p. 13, Figure 11 · p. 13, Figure 12 · p. 13
F.2 점수 계산 및 선택 과정
- 공정 퇴거는 토큰에 점수를 매기고 시퀀스를 instruction 구간으로 나눈 뒤, 각 구간의 길이에 비례해 구간 내 점수가 높은 토큰을 선택한다.instruction 바깥의 prefix 또는 suffix 토큰도 구간에 포함되므로, 분할은 전체 시퀀스를 포괄한다.출처: §F.2 · p. 15
F.3 공정 StreamingLLM
- 공정 StreamingLLM은 prefix sink를 유지하고, 남은 예산을 구간별 길이에 비례해 배분한 뒤 각 구간에서 가장 최근 토큰을 보존한다.StreamingLLM에는 표준 공정 퇴거 Algorithm 1을 사용하지 않는다.출처: §F.3 · p. 15
F.4 공정 SnapKV
- 공정 SnapKV는 observation window를 구간별로 나누고 구간 내 투표를 사용하므로, 각 구간의 query는 해당 구간의 key에 대해서만 투표한다.이는 전체 prefix에 걸쳐 투표하는 단일 전역 query window를 사용하는 표준 SnapKV와 다르다.출처: §F.4 · p. 15
F.5 공정 H2O
- 공정 H2O는 구간 간 attention 항을 마스킹하고, 같은 구간의 유효한 causal query를 사용해 key 점수를 계산한다.점수는 유효한 query의 개수로 정규화한다.출처: §F.5 · pp. 15–16
F.7 공정 TOVA
- 공정 TOVA는 각 구간 내에서 점수를 계산하고, head별로 독립 계산하는 대신 head 간 점수를 평균한다.구간들은 서로 겹치지 않고, 인접하며, 시퀀스 전체를 포괄한다.출처: §F.7 · p. 16
G 퇴거 편향 보정 정책
- 퇴거 편향 보정은 기본 퇴거와 공정한 퇴거 사이를 보간한다. 저자들은 세 가지 퇴거 정책에서 IFEval과 긴 문맥 벤치마크 전반에 걸쳐 편향 보정을 적용하지 않은 경우보다 일관되게 더 나은 성능을 보고한다.λ = 0이면 기본 퇴거를, λ = 1이면 공정한 퇴거를 복원한다.출처: G Eviction Debiasing Policies · p. 16
H 퇴거 편향 완화 실험
IFEval과 장문맥 벤치마크에서 Pareto 최적성을 기준으로 퇴거 편향 완화를 평가한다. 기본 압축은 편향 완화 압축보다 최적 구성인 경우가 적고, 공정 퇴거는 일관되게 상위 구성에 든다.
H 퇴거 편향 완화 실험
- 실험에서는 λ를 기준 정책(0)부터 공정 퇴거(1)까지 변화시키고, 압축 비율 0.0부터 0.9까지 각 λ가 Pareto 전선에 나타나는 빈도를 센다.보고된 백분율은 열 가지 압축 비율에서 Pareto 최적성을 보이는 빈도를 나타내며, 전선은 Figures 15 to 18에 제시되어 있다.출처: H Eviction debiasing experiments · p. 16
- IFEval과 장문맥 벤치마크 전반에서 편향 완화 압축(λ > 0)은 기본 압축(λ = 0)보다 최적이 아닌 경우가 적으며, 공정 퇴거(λ = 1)는 일관되게 상위 구성에 든다.최적성은 누출이 적고 시스템 지시문 준수도가 높은지를 기준으로 평가한다. 비교 결과는 Tables 3 and 4에 요약되어 있다.출처: H Eviction debiasing experiments · p. 16
I LongBench 실험 … N 화이트리스트 및 공정 퇴출 자동화
LongBench TREC 실험은 압축으로 인한 지침 수행 저하와 정보 유출 양상이 더 긴 문맥에서도 나타남을 보여준다. 부록에서는 퇴출 편향, 평가 방법, 실행 시간의 상충 관계, 자동화 가능성을 설명한다.
I LongBench 실험
- TREC 결과는 관찰된 영향이 더 긴 문맥에서도 나타남을 보여준다. 3,000–4,000 words에서는 방어가 너무 약해 압축이 0인 경우에도 정보가 유출된다.1,000–2,000 words에서는 결과가 IFEval과 유사하고, 2,000–3,000 words에서는 정보 유출 양상이 덜 두드러진다. Samsum과 TriviaQA에서는 같은 저하 양상이 나타나지 않아 저자들은 TREC 결과만 보고한다.출처: I LongBench experiments · pp. 16–18
I.1 방어 템플릿 A
- LongBench 방어 템플릿은 사용자 지침을 반복하거나 공개하지 못하도록 금지하고, 시스템 지침 요청에는 거부하도록 지시한다.LongBench TREC 그림은 기존 방법과 fair-eviction 방법의 지침 수행 및 정보 유출 점수를 보고하지만, 제공된 캡션에는 비교값이 제시되지 않는다.출처: §I.1 · pp. 18–20, Figure 19 · p. 19, Figure 20 · p. 19
J.4 TOVA
- TOVA는 지침 순서가 뒤바뀌어도 방어 지침을 유지하는 경향이 있으며, 중간 레이어에서 더 높은 비율의 방어 토큰을 보존한다.저자들은 중간 레이어의 의미 신호가 더 강한 것이 후자의 양상을 설명할 수 있다고 잠정적으로 제안하며, 추가 연구가 필요하다고 언급한다.출처: §J.4 · p. 20
J.6 요약
- 서로 직교하는 지침의 경우 퇴출 편향은 방법별 선호를 반영한다. StreamingLLM, H2O, SnapKV는 뒤쪽 지침을 선호하는 반면, K-Norm은 앞쪽 토큰을 선호한다.StreamingLLM은 처음 4개의 sink 토큰과 최근 토큰을 유지하고, H2O는 누적된 미래 토큰 attention을 정규화한다. SnapKV는 마지막 k개 토큰을 사용해 중요한 토큰을 선택한다. K-Norm은 key norm이 높은 토큰을 제거하며, 다른 방법보다 지침 수행 성능이 낮다. 저자들은 이러한 방법들이 대체로 프롬프트 내용 간 연관성을 가정한다고 제안한다.출처: §J.6 · p. 20, §J.1 · p. 20, §J.2 · p. 20
K 실행 시간 비교
- 공정 퇴출은 압축 오버헤드를 조금만 늘리는 반면, 화이트리스트 방식은 오버헤드를 가장 크게 늘린다. 디코딩 시간은 서로 7% 이내로 차이가 난다.처리량 추세는 지연 시간과 비슷하며, 공정 퇴출은 기준선에 가깝고 디코딩 시간 차이는 서로 6% 이내다. 저자들은 절대적인 시간 차이가 작고 밀리초 수준이라고 말한다.출처: Figure 23 · p. 21, Figure 24 · p. 21, K Runtime comparison · p. 21
L LLM-as-a-judge를 통한 정보 유출 탐지
- 정보 유출을 측정하는 대안적 LLM-as-a-judge 방식은 Gemma 4 32B Instruct를 사용하고, 심각도를 0부터 4까지 점수화하며, 2 이상의 점수를 유출로 간주한다.평가자는 보호된 시스템 텍스트와 모델 응답을 비교하며, 입력 템플릿에는 둘 다 포함된다. 이 평가는 Llama3에만 사용된다.출처: L LLM-as-a-judge to detect leakage · p. 21, §L.2 · p. 22
N 화이트리스트 및 공정 퇴출 자동화
- 모델이 프롬프트 키워드를 식별하도록 해 화이트리스트를 자동화할 수 있으며, 공정 퇴출은 지침 범위 탐지와 토큰 비례 퇴출을 자동화할 수 있다.범위 탐지에는 정확 일치, 문장 경계, LLM이 식별한 의미 범위를 사용할 수 있다. 화이트리스트 정확도를 높이는 또 다른 제안은 핵심 키워드를 대상으로 미세 조정하는 것이다.출처: N Automating Whitelisting and… · pp. 22–23
M 레이어별 퇴출 편향
- 레이어별 heatmap은 TREC의 1,000–2,000-word 집합에서 압축 비율별로 각 레이어에 보존된 시스템 및 방어 지침 토큰 비율의 평균을 보고한다.그림은 StreamingLLM, H2O, SnapKV, TOVA, K-Norm을 비교하며 방어 지침은 첫 번째에 배치한다.출처: M Per-Layer Eviction Bias · p. 22, Figure 27 · p. 24