Hardware-Triggered Backdoors

기술 요약: 하드웨어 트리거 백도어

문제 정의

머신러닝 모델은 소비자용 GPU부터 고성능 가속기에 이르기까지 이질적인 컴퓨팅 하드웨어 전반에 걸쳐 일상적으로 배포됩니다. 이 생태계의 근본적인 가정은 동일한 모델과 입력에 대해 서로 다른 하드웨어 플랫폼이 동일한 추론 결과를 생성한다는 것입니다. 그러나 부동 소수점 산술의 비결합성(non-associativity)과 하드웨어 설계의 차이(예: 블록 크기, 워프 스케줄링)로 인해, 동일한 모델을 서로 다른 장치에서 실행하면 미세한 수치적 편차가 발생합니다. 이러한 편차는 일반적으로 무해하고 확률적인 것으로 간데하지만, 본 논문은 이러한 관점에 이의를 제기합니다. 우리는 이러한 미세한 수치적 변동이 의도적으로 악용되어 **하드웨어 트리거 백도어(hardware-triggered backdoors)**를 생성할 수 있음을 입증합니다. 명시적인 입력 트리거(예: 특정 픽셀 패턴)에 의존하는 전통적인 백도어와 달리, 이 공격은 추론에 사용된 하드웨어 가속기에 기반하여 악의적인 동작을 활성화합니다.

방법론

위협 모델

공격자는 모델 배포 전(예: 공급망 공격 또는 공개 플랫폼에 조작된 모델 업로드)에 모델에 대한 제어권을 가진다고 가정합니다. 피해자는 다양한 하드웨어 장치(예: 표준 GPU에서의 개발 대 고성능 가속기에서의 프로덕션)에 모델을 배포합니다. 공격자의 목표는 특정 타겟 입력이 타겟 하드웨어에서만 오분류되도록 모델을 조작하는 동시에, 다른 모든 장치 및 다른 모든 입력에 대해서는 올바른 예측을 유지하는 것입니다.

공격 전략

이 공격은 훈련된 모델이 단일 결정 함수가 아니라 실행 하드웨어에 따라 달라지는 일련의 구별되는 함수 집합이라는 관찰에 기초합니다. 공격은 두 가지 주요 단계로 진행됩니다:

1. 결정 경계 형성 (Shaping the Decision Boundary):
   공격자는 타겟 입력 $\hat{x}$ 근처로 결정 경계를 이동시키기 위해 모델 파라미터를 최적화합니다. 이는 두 개의 가장 큰 로짓(logit)이 거의 같아지도록(동률을 만들도록) 유도하면서, 원래의 클래스 레이블 및 원래의 모델 가중치로부터의 편차를 패널티로 부여하는 프록시 손실 $L$을 최소화함으로써 달성됩니다. 이 단계는 단일 하드웨어 장치에서 표준 경사 하강법을 사용하여 수행됩니다.
   $$\arg \min_{\theta} L(\theta, f_\theta(\hat{x}; h_1))$$
   여기서 $L$은 결정 경계 근접성($L_{diff}$), 클래스 보존($L_{class}$), 그리고 정규화($L_{reg}$) 항을 포함합니다.

2. 편차 정교화 (Refining Deviations):
   입력이 결정 경계 근처에 도달하면, 공격자는 하드웨어 종속적인 수치적 편차를 증폭시켜 타겟 장치에서 예측을 뒤집습니다. 이러한 편차는 미분 불가능하므로, 공격자는 다음과 같은 휴리스틱 전략을 채용합니다:

   • 암묵적 수정 (위상적 치환, Topological Permutation): 정확한 산술 체계 하에서는 수학적으로 동일성을 유지하면서 부동 소수점 연산의 순서를 재배열합니다. 이는 연속적인 선형 레이어의 가중치를 치환함으로써 달성됩니다 (예: $W_1 W_2 \rightarrow (P_1 W_1)(P_1^{-1} W_2)$). 이는 덧셈의 순서를 변경하여 반올림 오차의 누적 방식을 바꿉니다.
   • 명시적 수정 (파라미터 섭동, Parameter Perturbation): 모델 파라미터의 소수의 비트($k$)를 반전시킵니다. 이는 실제 수치적 변화를 도입하여 정확한 산술 체계 하에서도 계산에 영향을 미칩니다.

이 과정은 교대 최적화 절차를 사용하여, 하드웨어 간의 예측을 성공적으로 분리하면서 전체 모델의 유용성을 유지하는 구성을 탐색하기 위해 각 반복마다 여러 후보 모델을 생성합니다.

주요 기여

1. 하드웨어 트리거 백도어: 입력 트리거가 아닌 특정 하드웨어에 의해 악의적인 동작이 활성화되는 새로운 공격 벡터를 소개합니다. 하드웨어의 수치적 동작이 잠재적인 트리거 역할을 합니다.
2. 인과 관계 분석: 교차 하드웨어 활성화 패칭(cross-hardware activation patching)을 사용하여 하드웨어 유도 차이가 발생하는 지점을 식별하기 위한 레이어별 인과 관계 분석을 수행합니다. 우리는 편차가 초기 레이어(예: ViT의 패치 임베딩)에서 발생하거나 레이어를 거치며 누적된 효과로 나타날 수 있음을 발견했습니다.
3. 실증적 평가: 다양한 모델 아키텍처(ResNet, EfficientNet, ViT), 하드웨어 장치(Nvidia A100, H100, A40, RTX 6000), 그리고 수치 형식(float32, float16, bfloat16)에 대해 이 백도어의 효능을 입증합니다.

실험 결과

• 성공률: 공격은 대부분의 하드웨어 쌍과 모델 아키텍처에 대해 90% 이상의 성공률을 달enc합니다. 예를 들어, float32에서 ResNet과 EfficientNet은 여러 GPU 쌍에 대해 100% 성공률을 달성했으며, ViT는 94%에서 98% 사이의 성공률을 기록했습니다.
• 은닉성 (Stealth): 백도어가 삽입된 모델은 클린 데이터에 대해 원래 모델 성능의 중앙값 99.8%를 유지하여, 일반적인 운영 중에는 조작이 감지되지 않도록 합니다.
• 강건성: 이 백도어는 입력 섭동(최대 $10^3$ ULP), 배치 변동, 혼합 정밀도 추론에 대해 강건하지만, 상당한 입력 노이즈가 발생하면 성능이 저하됩니다.
• 다중 타겟: 단일 타겟에는 효과적이지만, 동시 타겟 입력의 수가 증가함에 따라 성공률이 감소하며, 5개의 타겟에 대해서는 상충하는 최적화 목표로 인해 50% 미만으로 떨어집니다.
• 선택성: 이 공격은 "one-vs-rest" 시나리오로 튜닝될 수 있으며, 정확히 하나의 장치에서만 오분류를 트리거하고 다른 모든 장치에서는 올-코렉트(correct) 예측을 유지할 수 있습니다.

대응책

우리는 몇 가지 방어책을 평가했습니다:

• 입력 섭동 (Input Perturbation): 입력에 노이즈를 추가하면 공격을 완화할 수 있지만, 효과를 보려면 상당한 왜곡이 필요합니다.
• 배칭 (Batching): 배치 크기를 무작위화하는 것은 신뢰할 수 있는 방어책이 아닙니다. 이는 일부 구성에서만 백도어를 억제하기 때문입니다.
• 혼합 정밀도 (Mixed Precision): 정밀도를 낮추는 것은 공격을 약화시키지만 완전히 제거하지는 못합니다.
• 미세 조정 (Fine-Tuning): 클린 데이터에 대한 능동적인 미세 조정이 가장 효과적인 방어책이며, 몇 번의 경사 단계(gradient steps) 내에 백도어 성공률을 거의 제로로 줄입니다.

의의 및 결론

본 연구는 머신러닝 시스템의 보안이 하부 하드웨어와 격리될 수 없음을 보여줍니다. 이전에는 부동 소수점 산술의 무해한 부산물로 치부되었던 사소한 수치적 변동이 실질적인 공격 표면이 될 수 있습니다. 우리의 연구 결과는 머신러싱 모델의 무결성이 훈련된 알고리즘부터 추론에 사용되는 특정 하드웨어 가속기에 이르기까지 전체 컴퓨팅 스택 전체에서 고려되어야 함을 시사합니다. 우리는 이 연구가 실무자들이 하드웨어 종속적 취약점을 고려하도록 독려하고, 머신러닝 배포를 위한 엔드 투 엔드 보안 조치의 개발을 촉진하기를 바랍니다.