기술 요약: Verilog 코드 생성을 위한 시맨틱 컨센서스 디코딩 (Semantic Consensus Decoding)

1. 문제 정의

하드웨어 설계에 대규모 언어 모델(LLM)의 도입이 증가함에 따라, 보안 취약점, 특히 **백도어 공격(backdoor attacks)**이 심각한 문제로 부상하고 있습니다. 이러한 공격에서 공격자는 훈련 데이터를 오염시켜, 입력 명세에 특정 트리거 패턴이 나타날 때 하드웨어 트로잔(예: 사이드 채널 누설을 위한 은닉 레지스터)을 생성하도록 유도합니다.

하드웨어의 경우 소프트웨어와 비교하여 위험도가 유독 높습니다:

• 비가역성(Irreversibility): 백도어가 포함된 칩이 일단 제작되면, 그 취약점은 영구적인 하드웨어 트로잔이 됩니다. 이를 해결하려면 비용이 많이 드는 재제작이 필요하거나, 이미 배포된 시스템에서는 불가능합니다.
• 은밀함(Stealthiness): 고도화된 트리거(예: "security"와 같은 시맨틱 수식어나 스타일적 문장)는 설계 명세 속에 자연스럽게 녹아들어 기존의 탐지 방법을 회피합니다.
• 기존 방어 기제의 한계:
  • 사전적 방어(Proactive defenses) (데이터 정화, 재학습)는 제3자 LLM 사용자가 일반적으로 접근할 수 없는 훈련 데이터에 대한 접근 권한을 요구합니다.
  • 수동적 방어(Passive defenses) (입력 필터링, 패러프레이징, 출력 검증)는 시맨틱적으로 은밀한 트리거에 취약합니다. 필터링은 자연어 트리거를 감지하는 데 실패하기 쉽고, 패러프레이징은 기능적 요구사항을 훼손할 수 있으며, 검증은 악성 코드가 생성된 이후에만 위협을 감지할 수 있습니다.

2. 핵심 가설 및 통찰

저자들은 효과성(악성 동작을 확실히 트리거함)과 은밀함(클린 입력에 대한 모델 유용성 유지)이라는 두 가지 요구 사항에 의해 유도되는 백도어 트리거 설계의 구조적 편향을 제안합니다.

가설 1 (트리거 국소성 편향 - Trigger Locality Bias): 공격자는 트리거를 기능적 요구사항(예: 비트 폭, 타이밍, 리셋 유형, I/O 사양)보다는 비기능적 요구사항(예: 스타일 수식어, 품질 기술어, 문서화)에 삽입하는 경향이 강합니다.

• 근거: 기능적 요구사항을 수정하면 테스트벤치 실패(동작 불일치)를 통해 탐지될 위험이 있습니다. 반면, 비기능적 수식어는 하드웨어의 기능적 정확성을 해치지 않으면서 트리거를 심을 수 있는 시맨틱 공간을 제공합니다.
• 시사점: 만약 기능적 요구사항을 격리하고 우선순위를 정할 수 있다면, 트리거가 포함된 비기능적 요구사항은 의도한 하드웨어 동작을 손상시키지 않고도 자연스럽게 억제될 수 있습니다.

3. 방법론: 시맨틱 컨센서스 디코딩 (SCD)

SCD는 모델 재학습이나 클린 훈련 데이터에 대한 접근 없이 작동하는 **추론 단계의 수동적 방어(inference-time passive defense)**입니다. 이는 두 단계로 작동합니다.

A. 기능적 요구사항 추출 (Functional Requirement Extraction)

전용 추출 모델($E_\phi$)이 입력 명세 $x$를 다음으로 분해하도록 훈련됩니다:

• $s$ (기능적 요구사항): 하드웨어 동작을 결정하는 필수 사양 (예: "8-bit", "synchronous").
• $e$ (비기능적 요구사항): 검증에 영향을 미치지 않는 선호도 (예: "clean code", "security").

추출기는 전문 엔지니어의 시드 주석, RAG 기반 생성, 그리고 LLM-as-Judge 필터링을 통해 구축된 9,600개의 고품질 $\langle$requirement, Verilog code$\rangle$ 데이터셋을 사용하여 훈련되었습니다. 이 모델은 특정 트리거 패턴이 아닌 도메인 지식에 집중하도록 설계되어 트리거에 무관(trigger-agnostic)합니다.

B. 시맨틱 컨센서스 디코딩 (Semantic Consensus Decoding)

내용을 엄격하게 버리는 대신, SCD는 모델의 출력 분포를 적응적으로 융합합니다:

1. 이중 로짓 생성 (Dual Logits Generation): 각 디코딩 단계에서 모델은 다음을 기반으로 로짓을 생성합니다:
   • $\ell_{full}$: (잠재적 트리거를 포함한) 전체 사용자 명세.
   • $\ell_{key}$: (트리거가 제거된) 추출된 기능적 요구사항만 포함된 명세.
2. 발산 측정 (Divergence Measurement): 시스템은 $\ell_{full}$과 $\ell_{key}$ 사이의 제곱평균제곱근(RMS) 거리($D$)를 계산합니다.
   • 클린 입력: $D \approx 0$ (분포가 일치하며, 비기능적 토큰은 스타일만 변화시킴).
   • 트리거 입력: $D$가 큼 (분포가 발산하며, 트리거가 생성을 주도함).
3. 적응형 융합 (Adaptive Fusion): 최종 로짓($\ell_{SCD}$)은 다음과 같이 계산됩니다:
   $$\ell_{SCD} = \ell_{key} + w(D) \cdot (\ell_{full} - \ell_{key})$$
   여기서 가중치 $w(D) = \exp(-\beta \cdot D)$ 입니다.
   • $D$가 작으면 (클린), $w(D) \approx 1$이 되어 전체 생성 품질을 보존합니다.
   • $D$가 크면 (트리거 발생), $w(D) \ll 1$이 되어 트리거에 의한 변화를 억제하고 기능적 합의($\ell_{key}$)로 돌아갑니다.

이 메커니즘은 (정리 1)을 통해 공격자의 효과성에 상한선을 부과함을 입증합니다. 즉, 트리거의 강도를 높일수록 발산이 커지며, 이는 트리거의 영향력을 지수적으로 억제합니다.

4. 실험 결과

저자들은 세 가지 코드 LLM(CodeLlama-7B, DeepSeek-Coder-7B, Qwen2.5-Coder-7B)을 대상으로 세 가지 대표적 공격(BadPre, InSent, RTL-Breaker)에 대해 두 가지 Verilog 벤치마크(VerilogEval-v2, ResBench)에서 SCD를 평가했습니다.

• 방어 효과 (ASR):

  • 방어 없이 공격 성공률(ASR)은 평균 **89%**였습니다.
  • SCD는 평균 ASR을 VerilogEval에서 2.16%, ResBench에서 **1.39%**로 낮추었습니다.
  • DeepSeek-Coder는 SCD 적용 시 모든 공격과 벤치마크에서 0.00% ASR을 달 기록했습니다.
  • SCD는 기존 베이스라인(ONION, Back-Translation, Paraphrasing)보다 최소 10 퍼센트 포인트 더 우수한 성능을 보였습니다.

• 생성 품질 (Pass@1):

  • 필터링 방식과 달리, SCD는 Pass@1을 유지하거나 향상시켰습니다.
  • VerilogEval에서 SCD는 CodeLlama의 경우 베니인(benign) 베이스라인 대비 Pass@1을 최대 8.90 퍼센트 포인트 향상시켰습니다.
  • 이는 기능적 요구사항을 추출하는 것이 오히려 더 깨끗하고 집중된 명세를 제공하여 코드 생성에 도움이 될 수 있음을 확인시켜 줍니다.

• 강건성 (Robustness):

  • 오염율 (Poisoning Rate): SCD는 높은 오염율(최대 10%)에서도 낮은 ASR(<5%)을 유지했습니다.
  • 모델 규모: SCD는 0.5B에서 14B 파라미터에 이르는 다양한 모델 크기에서 효과적이었습니다.
  • 하이퍼파라미터: 기본값 $\beta = 1.5$가 보안과 유용성 사이의 최적의 트레이드오프를 제공했습니다.

5. 주요 기여

1. 가설 검증: 본 논문은 공격자가 실질적인 제약(검증 위험, 희귀성-빈도 역설)으로 인해 비기능적 요구사항에 트리거를 삽입하는 경향이 있다는 가설을 이론적 분석과 경험적 증거를 통해 뒷받침합니다.
2. 새로운 방어 기제: 모델 재학습 없이 기능적 요구사항에 맞게 생성을 적응적으로 완화하는 추론 단계의 방어 기제인 **시맨틱 컨센서스 디코딩(SCD)**을 제안합니다.
3. 포괄적 평가: 여러 모델과 벤치마크에서 ASR을 약 89%에서 3% 미만으로 줄이면서도 코드 생성 품질을 유지하거나 개선하는 SCD의 능력을 광범위한 실험을 통해 입증했습니다.
4. 오픈 소스: 재현을 용이하게 하기 위해 소스 코드, 훈련된 모델 및 데이터셋을 공개합니다.

6. 의의 및 주장

본 논문은 SCD가 훈련 데이터에 접근할 수 없는 제3자 LLM 사용자들에게 실용적인 추론 단계의 방어책을 제공함으로써 하드웨어 보안의 중요한 공백을 메운다고 주장합니다. 비기능적 요구사항을 이용하는 백도어 공격의 구조적 편향을 활용함으로써, SCD는 전통적인 탐지 방법을 회피하는 은밀한 트리거를 효과적으로 무력화합니다.

저자들은 SCD를 특히 비기능적 요구사항을 악용하는 주요 클래스의 백도어 공격에 효과적인 **제1 방어선(first line of defense)**으로 규정합니다. 또한, 기능적 요구사항 내에 트리거를 삽입하는 적응형 공격은 여전히 과제로 남아 있음을 인정하며, SCD를 테스트벤치 검증 및 형식 검증(formal verification)과 결합하는 "심층 방어(defense-in-depth)" 전략을 제안합니다. 이 연구는 하드웨어 설계의 보안이 비가역성을 우선시해야 함을 강조하며, 제조 후 취약점을 패치하는 것보다 추론 단계에서 트로잔 생성을 방지하는 것이 더 실행 가능한 전략임을 시사합니다.