BitHydra: Towards Bit-flip Inference Cost Attack against Large Language Models

1. 문제 정의 (Problem Definition)

대형 언어 모델 (LLM) 은 클라우드 기반 MLaaS(Machine Learning as a Service) 플랫폼을 통해 널리 배포되고 있으며, 추론 비용 (인프라 비용 및 토큰 기반 청구) 은 서비스 제공자와 사용자에게 중요한 이슈입니다. 기존 연구들은 악성 입력 (Adversarial Inputs) 을 조작하여 모델의 추론 지연 시간과 계산 비용을 증가시키는 '추론 비용 공격 (Inference Cost Attacks)'을 수행해 왔습니다.

그러나 기존 공격 방식에는 두 가지 치명적인 한계가 존재합니다:

1. 비용 전가 (Cost Shifting): 공격자가 악성 프롬프트를 제출하면, 생성된 긴 응답에 대한 비용은 공격자 본인이 부담하게 됩니다. 이는 공격의 지속성을 떨어뜨립니다.
2. 비영속성 (Non-persistence): 각 공격은 특정 입력에 국한되며, 다른 사용자에게 영향을 미치지 않습니다.

BitHydra는 이러한 한계를 극복하기 위해 모델의 입력이 아닌 가중치 (Parameters) 자체를 조작하는 새로운 공격 패러다임을 제안합니다. 하드웨어 수준 (DRAM 의 비트 플립) 에서 모델의 가중치를 미세하게 변경하여, 모든 사용자의 입력에 대해 모델이 끝없이 생성을 지속하게 함으로써 서비스 제공자의 추론 비용을 폭발적으로 증가시키는 것을 목표로 합니다.

2. 방법론 (Methodology)

BitHydra 는 모델의 종단 토큰 () 생성 확률을 억제하여 모델이 종료되지 않고 계속 응답을 생성하도록 만드는 최적화 기반 프레임워크입니다.

2.1. 핵심 전략: 토큰 억제

• 목표: 모델이 <EOS> (End-of-Sequence) 토큰을 선택할 확률을 최소화하여 생성을 무한히 연장합니다.
• 손실 함수 ($L_{<EOS>}$): 디코딩 시퀀스 전체에 걸쳐 <EOS> 토큰의 정규화된 확률을 합산한 값을 손실 함수로 정의합니다. 이 값을 최소화하는 방향으로 가중치를 조작합니다.
• 표적 범위: 전체 모델 가중치가 아닌, 출력 임베딩 레이어 중 <EOS> 토큰에 해당하는 행 (Row) 만을 대상으로 합니다. 이는 다른 토큰 간의 상대적 확률 비율을 유지하여 생성된 텍스트의 자연스러움 (Fidelity) 을 해치지 않으면서 공격을 은폐 (Stealthiness) 시킵니다.

2.2. 최적화 문제: 이진 정수 계획법 (BIP)

• 문제 형식화: 양자화된 (예: int8) 모델 가중치에서 최소한의 비트 플립 ($k$개) 을 찾아 손실 함수를 최소화하는 문제로 정의됩니다. 이는 이산적인 조합 최적화 문제인 이진 정수 계획법 (Binary Integer Programming, BIP) 으로 표현됩니다.
• 해결 방안 (ADMM 기반 완화): BIP 문제는 NP-난해 (NP-hard) 하므로, BitHydra 는 이를 $\ell_p$-Box ADMM (Alternating Direction Method of Multipliers) 프레임워크를 사용하여 해결합니다.
  1. 연속 완화 (Continuous Relaxation): 이진 제약 조건을 연속적인 집합 (Box 제약 및 $\ell_2$-Sphere 제약) 의 교집합으로 완화합니다.
  2. 반복 최적화: 증강 라그랑주 함수 (Augmented Lagrangian) 를 최소화하기 위해 보조 변수, 원시 변수 (가중치), 쌍대 변수 (Dual variables) 를 반복적으로 업데이트합니다.
  3. 이산 선택 (Discrete Selection): 연속 최적화 결과로 얻어진 가중치 변화를 기반으로 비트 플립 후보를 점수화 (Scoring) 하고, 실제 모델에 적용하여 생성 길이가 가장 크게 증가하는 단일 비트를 선택하여 영구적으로 플립합니다.

2.3. 워크플로우

1. Phase 1 (연속 최적화): 현재 가중치로 ADMM 을 실행하여 최적의 검색 방향과 연속 가중치 근사치를 구합니다.
2. Phase 2 (이산 선택): ADMM 결과와 그래디언트를 기반으로 후보 비트를 순위 매기고, 가장 효과적인 비트 1 개를 플립하여 모델을 업데이트합니다.
3. 반복: 할당된 비트 플립 예산 ($k$) 이 소진되거나 공격이 성공할 때까지 위 과정을 반복합니다.

3. 주요 기여 (Key Contributions)

1. 새로운 공격 패러다임 (BICA): 입력 조작이 아닌 비트 플립을 통한 추론 비용 공격 (Bit-Flip Inference Cost Attack, BICA) 을 최초로 제안했습니다. 이는 공격자가 비용을 부담하지 않고 모든 사용자에게 영향을 미치는 영속적인 공격을 가능하게 합니다.
2. BitHydra 프레임워크: BIP 문제를 ADMM 기반 연속 완화 기법으로 효율적으로 해결하여, 최소한의 비트 플립으로 <EOS> 토큰을 억제하는 최적화 알고리즘을 설계했습니다.
3. 고성능 및 은폐성: 10 개의 다양한 LLM(1.5B16B 파라미터) 에서 **14 개의 비트 플립**만으로 모든 테스트 프롬프트가 최대 생성 길이 (2048 토큰) 에 도달하도록 성공시켰습니다. 또한, 텍스트의 문법적 정확성과 의미적 일관성을 유지하여 탐지가 어렵습니다.
4. 광범위한 평가: 기존 프롬프트 기반 공격 (Engorgio, Sponge Examples 등) 과 비교하여 압도적인 성능을 입증했으며, 다양한 방어 기법 (파인튜닝, 가중치 재구성) 에 대해서도 높은 견고성을 보였습니다.

4. 실험 결과 (Results)

• 공격 성공률: Llama3-8B, DeepSeek-R1 등 10 개 모델에서 90%~100% 의 프롬프트가 최대 생성 길이에 도달했습니다.
• 비트 플립 효율성:
  • DeepSeek-R1-Distill-Qwen (1.5B): 1 비트 플립으로 100% 성공.
  • Llama3-8B: 1 비트 플립으로 100% 성공.
  • Qwen2.5-14B: 1 비트 플립으로 98% 성공.
  • 대부분의 모델에서 4 비트 이하로 공격 성공.
• 전송성 (Transferability): 소수의 검색 프롬프트로 찾은 비트 플립이 보지 못한 (Unseen) 다양한 입력에 대해서도 효과적으로 작동하여, 모델의 생성 역학이 체계적으로 변경되었음을 입증했습니다.
• 방어 기법 우회:
  • 파인튜닝 (Fine-tuning): LoRA 를 통한 파인튜닝 후에도 평균 생성 길이가 1775 토큰 이상 유지되어 공격 효과가 크게 감소하지 않았습니다.
  • 가중치 재구성 (Weight Reconstruction): 일부 모델에서 효과가 감소했으나, DeepSeek-R1 을 제외하고는 여전히 높은 성공률을 보였습니다.

5. 의의 및 시사점 (Significance)

• 새로운 위협 표면 (Threat Surface): LLM 배포 환경에서 하드웨어 수준의 비트 플립이 추론 비용 공격에 악용될 수 있음을 처음으로 보여주었습니다. 이는 기존에 주로 정확도 저하 (Accuracy Degradation) 나 특정 오분류에 초점을 맞췄던 비트 플립 공격 연구와 구별됩니다.
• 경제적 및 운영적 리스크: 서비스 제공자는 사용자 수와 무관하게 모델이 끝없이 생성을 지속함으로써 막대한 연산 비용과 대기 시간을 겪게 되며, 이는 서비스 가용성 저하와 재정적 손실로 이어집니다.
• 보안 대응의 필요성: 소프트웨어 기반의 입력 검증만으로는 이러한 하드웨어/가중치 수준의 공격을 방어하기 어렵습니다. 모델 가중치의 무결성 검증 (Integrity Verification), 안전한 메모리 아키텍처, 그리고 하드웨어 수준의 오류 감지 메커니즘의 중요성이 강조됩니다.

결론적으로, BitHydra 는 LLM 의 가중치 미세 조작이 어떻게 시스템의 경제적 안정성을 위협할 수 있는지를 보여주며, 향후 더 강력한 하드웨어 및 소프트웨어 보안 대책이 필요함을 시사합니다.