기술 요약: 텍스트-이미지 확산 모델의 근사 캐싱에 대한 공격

문제 정의

텍스트-이미지 확산 모델은 고화질 이미지를 생성하기 위해 반복적인 탈노이즈 단계를 필요로 하므로 계산 집약적입니다. 이 오버헤드를 완화하기 위해 최근 산업계와 학계의 연구 (예: 어도비의 NIRVANA) 는 **근사 캐싱 (approximate caching)**을 도입했습니다. 이 기술은 새로운 프롬프트가 캐시된 프롬프트와 의미론적으로 유사할 때 이전 생성의 중간 상태를 재사용하여 탈노이즈 단계를 건너뛰게 합니다.

이러한 최적화는 효율적이지만, 중요한 보안 취약점을 야기합니다: 사용자 간의 격리를 무너뜨립니다. 프롬프트 유사성에 기반하여 중간 상태를 저장하고 재사용함으로써, 시스템은 악용될 수 있는 공유 상태를 생성합니다. 본 논문은 확산 모델에 대한 기존 보안 연구가 주로 모델 가중치나 학습 데이터에 초점을 맞추어 왔으며, 서빙 시스템 (serving system), 특히 근사 캐싱의 취약점은 충분히 탐구되지 않았다고 주장합니다.

방법론

저자들은 최신 NIRVANA 근사 캐싱 시스템을 재현하여 두 가지 주요 텍스트 - 이미지 모델인 FLUX와 **Stable Diffusion 3 (SD3)**과 함께 배포했습니다. 그들은 DiffusionDB 와 Lexica 와 같은 실제 세계 프롬프트 데이터셋과 H100 및 A100 기반 클라우드 GPU 환경을 활용하여 현실적인 서빙 시스템을 시뮬레이션했습니다.

연구는 근사 캐싱에 내재된 두 가지 근본적인 **공격 원시 (Attack Primitives)**를 식별합니다:

1. 타이밍 채널 (공격 원시 1): 탈노이즈 단계를 건너뛰기 때문에 캐시 히트는 캐시 미스보다 현저히 낮은 지연 시간을 보입니다. 지연 시간 감소의 크기는 새로운 프롬프트와 캐시된 프롬프트 간의 의미론적 유사성과 상관관계가 있습니다.
2. 구조적 유사성 (공격 원시 2): 동일한 캐시된 중간 상태에서 생성된 이미지는 최종 프롬프트가 약간 다르더라도 다른 상태에서 생성된 이미지보다 더 높은 구조적 유사성 (SSIM 으로 측정) 을 유지합니다.

이러한 원시들을 기반으로 저자들은 공격자가 캐시된 프롬프트에 대한 사전 지식이 없고 서빙 시스템에 대한 표준 사용자 권한만 보유한다는 위협 모델 하에서 세 가지 다른 공격을 시연합니다.

1. 원격 은닉 채널

• 메커니즘: 송신자와 수신자가 비동기적으로 메시지를 교환합니다. 송신자는 "Apricity"와 같은 특정 희귀 키워드가 포함된 프롬프트를 캐시에 주입합니다. 수신자는 동일한 키워드를 사용하여 캐시를 프로빙합니다.
• 탐지: 수신자는 2 단계 탐지 과정을 사용합니다:
  • 지연 시간 분류기: 프로빙이 어떤 캐시된 프롬프트를 히트했는지 판단합니다.
  • 콘텐츠 감지기: 송신자가 삽입한 특정 "마커" (예: 개나 맥도날드 로고) 가 출력 이미지에 포함되어 있는지 확인하기 위해 객체 감지 (DINOv2) 를 사용합니다.
• 인코딩: 마커가 있는 캐시 히트는 '1'을 인코딩하고, 미스나 마커 없는 히트는 '0'을 인코딩합니다.

2. 프롬프트 탈취 공격 (CacheExposer)

• 목표: 생성된 이미지에 대한 접근 없이 피해자의 원래 프롬프트를 복구합니다.
• 메커니즘: 공격자는 시스템에 대량의 "프로빙" 프롬프트를 전송합니다.
• 클러스터링: 타이밍 채널을 사용하여 공격자는 어떤 프로빙이 캐시를 히트했는지 식별합니다. 그런 다음 구조적 분류기는 생성된 이미지의 유사성에 기반하여 이러한 프로빙을 그룹화하며, 동일한 그룹의 프로빙은 동일한 기본 캐시된 프롬프트를 히트했다고 가정합니다.
• 복구: 임베딩 예측기 (Embedding Predictor) (SGD 사용) 는 그룹화된 프로빙과 최대 유사성을 갖는 타겟 임베딩을 생성합니다. 그런 다음 프롬프트 복구기 (Prompt Recoverer) (GPT-2 기반 모델) 는 이 임베딩을 다시 텍스트로 변환하여 피해자의 프롬프트를 재구성합니다.

3. 이미지 중독 공격 (CachePoison)

• 목표: 공격자의 콘텐츠 (예: 로고) 를 다른 사용자가 생성한 이미지에 주입합니다.
• 메커니즘: 공격자는 먼저 CacheExposer 를 사용하여 프롬프트를 탈취합니다. 그런 다음 로고 주입기 (Logo Injector) (어텐션 기반 모델) 를 사용하여 로고 설명을 도난당한 프롬프트의 임베딩 공간에 삽입합니다.
• 실행: 공격자는 이 중독된 임베딩을 다시 텍스트로 변환하여 캐시에 주입합니다. 피해자의 프롬프트가 이 중독된 캐시 항목을 히트하면, 시스템은 중간 상태를 재사용하여 피해자가 요청하지 않았음에도 불구하고 피해자가 생성한 이미지에 공격자의 로고가 실수로 포함되게 합니다.

주요 결과

은닉 채널 성능

• 정확도: 지연 시간과 콘텐츠 감지를 결합했을 때, 채널은 FLUX 에서 97.8% 정확도를, SD3 에서 **95.8%**의 정확도를 달성했습니다.
• 은폐성: 주입된 프롬프트는 캐시 크기 및 LCBFU 와 같은 교체 정책에 따라 최대 44 시간 동안 캐시에 남아 있어 장기적인 비동기 통신을 가능하게 했습니다.
• 대역폭: 동기식 채널보다 대역폭은 낮지만, 비동기적 특성과 높은 은폐성으로 인해 유효한 위협이 됩니다.

프롬프트 탈취 (CacheExposer) 성능

• 의미론적 유사성: 복구된 프롬프트는 원래 프롬프트와 평균 코사인 유사도 0.78을 달성하여 단순한 베이스라인 (0.67) 보다 훨씬 우수한 성능을 보였습니다.
• 이미지 충실도: 도난당한 프롬프트에서 생성된 이미지는 원본과 거의 동일했으며, PSNR 점수가 25 를 초과하고 높은 SSIM 점수를 보였습니다.
• 효율성: 이 공격은 복구당 중앙값 4,385 개의 프로빙 프롬프트가 필요했으나, 단일 프로빙 세션에서 여러 프롬프트를 복구할 수 있으므로 이 비용은 분산됩니다.

중독 (CachePoison) 성능

• 히트율: CachePoison 은 단순한 직접 주입 베이스라인보다 훨씬 높은 히트율을 달성했습니다 (예: DiffusionDB 에서 FLUX 의 경우 3,646 히트 대 2,624 히트).
• 렌더링 성공: 이 공격은 FLUX 의 히트 중 **약 57%**에서 로고를 성공적으로 렌더링했습니다 (단순 주입의 약 40% 대비). SD3 는 초기 탈노이즈 단계에서 텍스트 - 이미지 정합성이 약해 성공률이 더 낮았습니다.
• 지속성: 이 공격은 다양한 캐시 크기와 교체 정책 전반에 걸쳐 효과적이었으나, 더 작은 캐시와 FIFO/LRU 정책은 경쟁 항목을 더 빠르게 제거하여 히트 수를 증가시켰습니다.

중요성 및 주장

본 논문은 텍스트 - 이미지 확산 모델의 근사 캐싱 메커니즘 내에서 보안 취약점을 악용한 최초의 연구라고 주장합니다. 그 중요성은 다음과 같습니다:

1. 공격 표면의 이동: 서빙 시스템의 효율성 최적화가 모델 아키텍처나 학습 데이터 중독과 무관하게 은닉 채널, 데이터 탈취, 콘텐츠 중독과 같은 심각한 보안 위험을 초래할 수 있음을 보여줍니다.
2. 실용성: 이 공격들은 모델 접근이나 학습 데이터 조작 없이 현실적인 클라우드 서빙 시스템에 대해 원격으로 수행됩니다.
3. 은폐성과 지속성: 은닉 채널의 비동기적 특성과 캐시 항목의 긴 수명은 이러한 공격을 탐지하고 완화하기 어렵게 만듭니다.
4. 방어의 시급성: 저자들은 근사 캐싱이 어도비, 구글, 오픈AI 등에 의해 상업적 배포에서 표준화됨에 따라, 광범위한 채택 전에 이러한 취약점을 해결해야 한다고 주장합니다.

본 논문은 근사 캐싱이 성능을 향상시키지만, 근본적으로 사용자 격리를 훼손하므로 무작위 캐시 선택, 콘텐츠 필터링, 악성 행동 탐지와 같은 새로운 방어 메커니즘이 필요하다고 결론지었습니다.