기술 요약: InferNet – 집계된 GPU 프로파일을 이용한 DNN 아키텍처 추론

1. 문제 정의

심층 신경망(DNN)은 중요한 지적 재산(IP) 자산이지만, 특히 **모델 추출 공격(Model Extraction Attacks, MEAs)**과 같은 심각한 보안 위협에 직면해 있습니다. 전통적인 MEA는 모델 아키텍처를 역공학하기 위해 저수준 시스템 리소스(예: PCIe 트래픽, 캐시 타이밍 또는 메모리 버스 스누핑)의 복잡하고 미세한 시계열 분석에 의존하는 경우가 많습니다. 그러나 이러한 접근 방식은 루트(root)/관리자 권한이나 물리적 근접성을 요구하기 때문에, 공동 사용자가 관리자 권한을 가질 수 없는 실제 클라우드 및 머신러닝 서비스(MLaaS) 환경에서는 실현 불가능한 경우가 많습니다.

나아가, 파운데이션 모델(특정 작업을 위해 미세 조정된 대규모 사전 학습 모델)로의 산업계 변화는 공격자의 목표를 변화시켰습니다. 공격자들은 이제 가중치를 추출하는 대신, 타겟팅된 모델 도난이나 복제를 용이하게 하기 위해 기저의 DNN 아키텍처(예: ResNet, BERT 또는 Inception 변형 간의 구분)를 식별하고자 합니다. 미세한 시간적 데이터에 의依赖하는 기존 방법들은 시스템 노이즈에 취약하며, 무작위 커널 스케줄링과 같은 방어 기제에 의해 쉽게 무력화됩니다.

따라서 클라우드 환경의 일반 사용자도 접근 가능한 거친 입도의 집계된 시스템 메트릭만을 사용하여 DNN 아키텍처를 추론할 수 있는 비침습적이고 견고하며 실용적인 공격 벡터가 필요합니다.

2. 방법론: InferNet

본 논문은 **집계된 GPU 프로파일(aggregate GPU profiles)**을 사이드 채널로 활용하여 DNN 아키텍처를 핑거프린팅하고 추론하는 공격 방법인 InferNet을 소개합니다. 운영의 시간적 순서를 분석하는 이전 연구들과 달리, InferNet은 GPU 실행의 통계적 요약을 활용합니다.

2.1 핵심 통찰

저자들은 이 공격을 주도하는 두 가지 핵심 통찰을 확인했습니다:

1. 커널-레이어 매핑(Kernel-to-Layer Mapping): 고유한 DNN 레이어 유형과 크리의 조합은 특정 CUDA 커널 호출과 매핑됩니다.
2. 고유한 핑거프린트(Unique Fingerprints): 커널 호출의 유형, 실행 시간 및 리소스 활용 패턴은 특정 DNN 아키텍처와 그 변형들에 대한 고유한 핑거프린트를 형성합니다.

2.2 공격 워크플로우

공격은 오프라인 전처리 단계와 온라인 공격 단계로 구성됩니다:

• 데이터 수집 (오프라인): 공격자는 일련의 후보 DNN 아키텍처(학습 세트)에 대한 집계된 GPU 프로파일을 수집합니다. **집계 모드(aggregate mode)**의 nvprof와 같은 도구를 사용하여 다음을 포함한 메트릭을 캡처합니다:
  • GPU 커널 메트릭: 특정 커널(예: cudnn_infer, volta_sgemm)의 총 시간, 호출 횟수, 평균/최소/최대 실행 시간.
  • API 호출: CUDA API 호출의 빈도 및 타이밍.
  • 시스템 레벨 메트릭: SM 클록 속도, 메모리 클록, 온도 및 전력 소비량.
• 특징 공학(Feature Engineering): 희소성(sparsity)을 처리하기 위해 바이너리 인디케이터를 추가하고 프로파일을 정규화합니다. **재귀적 특징 제거(Recursive Feature Elimination, RFE)**를 사용하여 가장 예측력이 높은 특징을 식별함으로써 노이즈와 과적합을 줄입니다.
• 모델 학습: 집계된 프로파일 특징을 특정 DNN 아키텍처 레이블에 매핑하도록 머신러र्निंग 분류기(예: Random Forest, Naive Bayes, KNN)를 학습시킵니다.
• 온라인 공격: 공격자는 GPU 지원 시스템에서 대상 모델을 실행하고, 단일 집계 프로파일을 수집한 후, 이를 학습된 분류기에 입력하여 아키텍처를 예측합니다.

2.3 왜 집계된 프로파일인가?

저자들은 이 특정 위협 모델에 대해 집계된 프로파일이 시계열 트레이스보다 우수하다고 주장합니다. 그 이유는 다음과 같습니다:

• 이는 비결정론적인 GPU 스케줄링 및 내부 리소스 경합으로부터 발생하는 노이즈를 억제합니다.
• 프로파일러 버전이나 열 스로틀링(thermal throttling)의 변화에 덜 민து합니다.
• 시간적 방어 기제(예: 무작위 커널 순서 변경)에 탄력적인 안정적인 통계적 핑거프린트를 제공합니다.

3. 주요 기여

본 논문은 다음과 같은 구체적인 기여를 합니다:

• 새로운 사이드 채널 식별: 집계된 GPU 프로파일(커널 호출 및 시스템 메트릭)이 DNN 아키텍처 추론을 위한 유효한 사이드 채널임을 식별하여, 미세한 트레이스가 반드시 필요하다는 가설에 도전합니다.
• InferNet 프레임워크 개발: 비전 모델(CNN, Vision Transformer) 및 대규모 언어 모델(LLM)을 포함한 광범위한 아키텍처를 추출할 수 있는 머신러닝 기반 공격을 개발했습니다.
• 최적화에 대한 견고성 입증: 모델이 압축, 프루닝(pruning)되거나 다른 출력 클래스로 미세 조정되어도 공격이 여전히 효과적임을 입증했습니다.
• 특징 효율성: 소수의 특징(예: 상위 3개 커널 메트릭)만으로도 완벽에 가까운 정확도를 달성할 수 있음을 보여줌으로써 데이터 요구 사항을 줄이는 것을 입증했습니다.
• 교차 환경 평가: 서로 다른 하드웨어(NVIDIA Tesla T4 vs. Quadro RTX 8000) 및 프레임워크(PyTorch vs. TensorFlow) 간의 공격 전이성을 특성화했습니다.

4. 실험 결과

저자들은 두 개의 하드웨어 플랫폼에서 PyTorch와 TensorFlow를 사용하는 **90개의 다양한 DNN 아키텍처(21개 제품군)**를 대상으로 InferNet을 평가했습니다.

• 정확도:
  • 전체 GPU 집계 프로파일을 사용했을 때 100% 정확도.
  • 상위 3개 커널 특징(특히 volta_sgemm 및 splitKreduce 메트릭)만 사용했을 때 ~100% 정확도.
  • 수정된 아키텍처(예: 다른 출력 클래스로 미세 조정된 모델)에 대해서도 100% 정확도.
  • 교차 GPU 시나리오(한 GPU에서 학습하고 다른 GPU에서 테스트)에서 75% 정확도, 제품군 수준의 예측은 높은 수준 유지(일부 모델의 경우 >90%).
• 데이터 효율성: 공격에는 최소한의 학습 데이터가 필요합니다. 대부분의 모델에서 아키텍처당 하나의 프로파일만으로도 20개의 프로파일로 학습했을 때와 동일한 정확도를 달성했습니다.
• 프레임워크 일반화: 교차 프레임워크 예측(PyTorch에서 TensorFlow로)은 초기에는 서로 다른 커널 세트로 인해 낮은 정확도를 보였으나, 이종 데이터셋(두 프레임워크를 결합)으로 학습하면 Random Forest 및 Naive Bayes의 정확도가 **100%**로 회복되었습니다.
• 비교: InferNet은 기존의 가장 우수한 관련 연구(통상 15~20개 모델을 대상으로 함)보다 4배 더 큰 후보 세트에 대해 100% 정확도를 달성했습니다.

5. 의의 및 주장

본 논문은 InferNet이 통계적 견고성을 통해 시간적 정밀도 없이도 모델 추출이 가능함을 입증함으로써 모델 추출 공격의 패러다임 전환을 나타낸다고 주장합니다.

• 실용성: 공격자가 루트 권한이 없더라도 실행 파일을 실행하고 표준 프로파일링 도구에 접근할 수 있는(모든 클라우드 제공업체나 레거시 CUDA 버전에서 균일하게 제한되지 않는) 클라우드 환경에서 매우 실용적입니다.
• 은밀성: 침입적인 하드웨어 스니핑 대신 집계된 데이터에 의존하므로, 비침입적이며 시스템 로그의 표준 이상 탐지를 통해 탐지하기 어렵습니다.
• 전략적 영향: 아키텍처 제품군(예: "이것은 BERT 변형이다")을 정확하게 식별하는 능력은 공격자의 탐색 범위를 크게 좁혀 타겟팅된 모델 도난을 가능하게 하며 파운데이션 모델의 보안을 약화시킵니다.
• 한계 인정: 저자들은 공격이 특정 아키텍처 세대(예: NVIDIA Turing) 내에서는 견고하지만, 세대 간 전이성은 추가적인 튜닝이 필요할 수 있음을 겸허히 언급했습니다. 또한 최신 NVIDIA 도구들이 프로파일러 접근을 제한하고 있으나, 레거시 환경과 특정 클라우드 구성에서는 여전히 이 공격 표면이 노출되어 있음을 인정했습니다.

결론적으로, 본 논문은 집계된 GPU 프로파일링이 AI 공급망에 심각한 취약점을 노출하고 있으며, 더미 계산(dummy computations), 무작위 커널 스케줄링, 프로파일링 도구에 대한 접근 제한과 같은 새로운 대응책이 필요함을 시사합니다.