🤖 machine learning

RepetitionCurse: Measuring and Understanding Router Imbalance in Mixture-of-Experts LLMs under DoS Stress

본 논문은 단순한 반복 토큰 패턴을 사용하여 심각한 라우팅 집중을 강제함으로써 Mixture-of-Experts LLM 의 부하 분산 제약 조건의 부재를 악용하여 계산 병목 현상을 유발하고 추론 지연 및 서비스 가용성을 크게 저하시키는 저비용 블랙박스 공격인 RepetitionCurse 를 소개합니다.

원저자: Ruixuan Huang, Qingyue Wang, Hantao Huang, Yudong Gao, Dong Chen, Shuai Wang, Wei Wang

게시일 2026-05-26

📖 3 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Ruixuan Huang, Qingyue Wang, Hantao Huang, Yudong Gao, Dong Chen, Shuai Wang, Wei Wang

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

거대한 하이테크 도서관을 상상해 보세요. 그곳에는 수천 권의 책 (전문가들) 이 서로 다른 선반 (GPU 들) 에 보관되어 있습니다. 도서관 사서 (라우터) 가 요청을 받으면 책 한 권만 집어내는 것이 아니라, 질문에 답하기 위해 가장 적합한 책 몇 권을 골라냅니다. 속도를 높이기 위해 도서관은 작업을 분할합니다. 일부 선반은 처음 몇 권의 책을 처리하고, 다른 선반은 다음 배치의 책을 처리하며, 모두 동시에 작업합니다. 이것이 **전문가 혼합 (Mixture-of-Experts, MoE)**이라고 불리는 현대 AI 모델이 작동하는 방식입니다. 이러한 모델은 작업을 고르게 분산시켜 초고효율로 설계되었습니다.

그러나 **"RepetitionCurse"**라는 새로운 논문은 이 도서관이 작동하는 방식에 숨겨진 치명적인 결함을 드러냅니다.

문제: "복사 - 붙여넣기" 트릭

연구자들은 사서에게 매우 기이하고 반복적인 패턴 (예: "AI AI AI AI..."를 반복하여 입력) 으로 질문을 하면 사서가 혼란에 빠진다는 사실을 발견했습니다.

일반적으로 사서는 단어의 의미를 파악하여 어떤 책을 골라야 할지 결정합니다. 하지만 반복적인 패턴을 사용하면 사서는 의미를 찾기 멈추고 고장 난 레코드처럼 행동하기 시작합니다. 모든 선반에 걸쳐 작업을 분산시키는 대신, 사서는 갑자기 오직 하나의 특정 선반만이 이 반복 패턴에 맞는 책을 가지고 있다고 결정합니다.

결과: 교통 체증

다음과 같은 일이 발생합니다:

병목 현상: 모든 작업이 그 단일 선반으로 쏟아집니다. 해당 선반의 사서들은 모든 책을 찾으려 안간힘을 쓰며 허둥지둥 뛰어다닙니다.
유휴 작업자: Meanwhile, 나머지 모든 선반에 있는 사서들은 아무것도 하지 않은 채 서서, 바쁜 선반이 작업을 끝내기를 기다립니다.
지연: 전체 시스템이 다음 단계로 넘어가기 전에 그 느린 선반이 따라잡기를 기다려야 하기 때문에, 도서관 전체가 마비됩니다.

AI 세계에서는 이 지연을 **Time-to-First-Token (TTFT, 첫 번째 토큰 도달 시간)**이라고 부릅니다. 이는 AI 가 첫 번째 단어를 말하는 데 걸리는 시간입니다. 정상적인 조건에서는 이것이 빠르지만, 이 "RepetitionCurse" 공격 하에서는 AI 가 말을 시작하는 데 평소보다 2 배에서 3 배 더 오래 걸릴 수 있습니다.

왜 이것이 중요한가

이 논문은 이를 서비스 거부 (Denial-of-Service, DoS) 공격이라고 부릅니다. 마치 한 사람이 패스트푸드점에 들어와 1,000 개의 똑같고 복잡한 버거를 한 번에 주문하는 것과 같습니다. 주방은 그 특정 버거를 만들려고 애쓰다 막히게 되고, 갑자기 간단한 커피를 원하던 사람은 한 시간이나 기다려야 합니다.

공격은 단순합니다: 해커 천재일 필요가 없습니다. 반복적인 단어를 입력하기만 하면 됩니다. 이 논문은 이를 "블랙박스" 공격이라고 부르는데, 이는 AI 의 뇌 내부 작동 방식을 알 필요가 없다는 뜻입니다. 단지 단어를 반복하면 균형이 깨진다는 사실만 알면 됩니다.
어디서나 작동합니다: 연구자들은 Mixtral 와 Qwen 같은 인기 모델을 포함하여 139 개의 서로 다른 AI 모델에서 이를 테스트했습니다. 그 결과 거의 모든 모델이 취약하다는 것을 발견했습니다.
확장할수록 더 나빠집니다: 아이러니하게도 AI 시스템이 강력할수록 (더 많은 컴퓨터를 병렬로 사용하여) 그것을 부수는 것이 더 쉽습니다. 연구자들은 작업을 분할하기 위해 더 많은 컴퓨터를 사용하는 것이 실제로 이 공격이 사용될 때 교통 체증을 더 악화시킨다는 사실을 발견했습니다.

결론

이 논문은 많은 컴퓨터 간에 작업을 분할하는 것이 AI 를 더 빠르게 만들지만, 동시에 약점을 만든다고 결론지었습니다. 누군가 단순하고 반복적인 트릭을 사용하면 시스템이 자신의 효율성 규칙을 무시하도록 강요할 수 있으며, 이로 인해 시스템이 극적으로 느려지고 사용자에게 한 약속 (예: "2 초 이내에 답변합니다") 을 어길 수 있습니다.

저자들은 AI 회사들이 작업을 자동으로 균형 있게 분배하는 더 나은 방법을 찾아낼 때까지는 한 번에 사용하는 컴퓨터의 수에 신중을 기해야 한다고 제안합니다. 그렇지 않으면 단순한 "AI AI AI" 루프에 의해 시스템이 인질로 잡힐 위험이 있습니다.

기술 요약: RepetitionCurse

문제 정의

본 논문은 Expert Parallelism(EP)으로 배포된 Mixture-of-Experts(MoE) 대규모 언어 모델 (LLM) 에서 시스템 수준의 치명적인 취약점을 식별합니다. MoE 아키텍처는 토큰을 서브셋의 전문가 (expert) 로 동적으로 라우팅함으로써 효율적으로 확장되도록 설계되었으나, 추론 시 명시적인 부하 균형 제약이 부재하면 서비스 거부 (DoS) 공격에 취약해집니다.

구체적으로, 저자들은 분포 외 (OOD) 입력이 라우터 메커니즘을 조작하여 토큰 라우팅을 소수의 공유된 상위- $k$ 개 전문가에 집중시킬 수 있음을 입증했습니다. 별도의 GPU 에 서로 다른 전문가가 호스팅되는 EP 배포 환경에서, 이러한 집중은 심각한 부하 불균형을 초래합니다. 소수의 GPU 가 계산 병목 현상 (stragglers) 이 되는 반면, 다른 GPU 들은 동기화 (all-reduce) 를 기다리며 유휴 상태로 남게 됩니다. 이는 효율성 메커니즘을 공격 벡터로 전환시켜 Time-to-First-Token(TTFT) 을 증가시키고, 서비스 수준 협약 (SLA) 을 위반하며, 배치 내 모든 사용자의 서비스 품질을 저하시킵니다.

방법론: RepetitionCurse

저자들은 훈련 시 부하 균형과 추론 시 라우팅 사이의 차이를 악용하는 블랙박스 공격 전략인 RepetitionCurse를 제안합니다.

핵심 메커니즘: 이 공격은 "AIAI..."와 같은 단순하고 반복적인 토큰 패턴을 사용하여 프롬프트를 구성합니다.
이론적 기반: 라우터의 부하 균형은 은닉 상태가 의미적으로 다양하다는 가정에 의존합니다. 토큰을 반복함으로써 공격자는 계층별 은닉 표현의 분산을 최소화하여 이를 거의 퇴화된 군집으로 붕괴시킵니다. 이는 라우터가 전체 시퀀스에 대해 동일한 상위- $k$ 개 전문가를 결정론적으로 선택하도록 강제합니다.
블랙박스 특성: 이 방법은 모델 파라미터, 기울기, 또는 특정 전문가-GPU 매핑에 대한 접근이 필요하지 않습니다. 오직 입력 프롬프트만으로 작동합니다.
공격 강도: 공격은 배치 내 공격 샘플의 비율인 $\alpha$ 로 매개변수화됩니다. 본 연구는 혼합 사용자 배치 ( $0 < \alpha < 1$ ) 에서 공격 전용 배치 ( $\alpha = 1$ ) 에 이르는 시나리오를 평가합니다.

주요 기여

취약점 식별: 본 논문은 MoE 모델의 라우팅 불균형이 DoS 공격을 위해 무기화될 수 있음을 최초로 입증하여, 긴 출력을 통한 자원 고갈에서 라우팅 집중을 통한 자원 미활용으로 초점을 이동시켰습니다.
공격 제안: 반복적 토큰을 사용하여 프리필링 (prefilling) 지연을 증폭시키고 TTFT 를 저하시키는 모델 무관하고 기울기가 없는 방법인 RepetitionCurse 를 소개합니다.
종합적 측정: 지연 증폭의 심각성을 정량화하고 시스템 수준의 요인을 식별하기 위해 139 개의 MoE 구성과 13 개의 인기 모델 (Mixtral, Qwen3, DeepSeek, Llama 변형 포함) 에 걸친 대규모 실증 연구를 수행했습니다.

실험 결과

저자들은 Mixtral-8x7B 및 Qwen3-30B-A3B 와 같은 모델을 사용하여 8-GPU 클러스터 (특정 모델의 경우 16/32 GPU 로 확장) 에서 공격을 평가했습니다.

보편성: 이 취약점은 고유하고 보편적입니다. 어휘의 거의 모든 토큰이 라우팅 집중을 유발하는 트리거로 작용할 수 있습니다. "병목 현상 커버리지"(임의 토큰이 최대 집중을 유발할 확률) 는 EP 크기가 전문가 수와 일치할 때 대부분의 모델에서 1.0 에 근접합니다.
지연 증폭:
- 일반적인 8-GPU EP 설정 하에서 TTFT 는 **20% 에서 148%**까지 증가했습니다 (예: Mixtral-8x7B 의 경우 최대 2.48 $\times$ ).
- EP 크기가 32 인 Qwen3-30B-A3B 와 같은 더 희소한 모델의 경우 TTFT 는 최대 **115%**까지 증가했습니다.
- 공격은 SLA 보장을 심각하게 저하시켰습니다. 예를 들어, 공격 하에서 P99 SLA 준수율은 99% 에서 86.4% 와 98.6% 사이로 하락했습니다.
EP 크기의 영향: 더 높은 수준의 Expert Parallelism 은 취약성을 현저히 증가시킵니다. EP 크기가 커질수록 공격 표면이 확장되어 효율성 향상이 보안 위험을 증폭시키는 배포 딜레마를 초래합니다.
방어 한계: 저자들은 "취약점 인식" 전문가-GPU 매핑 (취약한 전문가를 서로 다른 GPU 에 배치) 을 조사했습니다. 이는 중간 규모의 전문가 수를 가진 모델에 대해 조건부 완화를 제공했으나, 매우 희소한 모델이나 매우 높은 EP 크기에서는 붕괴되어 블랙박스 시나리오에서 매핑 전략과 관계없이 취약성이 지속됨을 확인했습니다.
강건성: 이 공격은 프롬프트 길이 (100 에서 16k 토큰) 및 컨텍스트 변화에 대해 강건하며, 이는 취약성이 MoE 아키텍처의 반복적 임베딩 처리 방식에 시스템적으로 내재되어 있음을 시사합니다.

중요성 및 주장

본 논문은 MoE 아키텍처에서 병렬화 효율성과 시스템 강건성 사이의 근본적인 트레이드오프를 드러냈다고 주장합니다. 산업계가 비용 효율적인 확장을 위해 고도로 희소한 MoE 모델을 점점 더 채택함에 따라, 추론 시 균형 조정 없이 동적 라우팅에 의존하는 것은 시스템적 약점을 초래합니다.

저자들은 RepetitionCurse 를 주로 연구자와 시스템 제공자가 서비스 인프라의 강건성을 평가하기 위한 진단 도구로 위치시킵니다. 그들은 현재 배포 전략 (특히 대규모 EP 크기) 이 우연히 시스템의 병렬성을 그 자체에 대항하도록 만든다고 강조합니다. 이러한 발견은 클라우드 서비스 제공자가 EP 크기를 재고하고 SLA 위반 및 서비스 저하를 방지하기 위해 더 나은 추론 시 부하 균형 전략을 개발해야 한다는 시의적절한 경고를 제공합니다.