Quantamination: Dynamic Quantization Leaks Your Data Across the Batch

다음은 논문 "Dynamic Quantization Can Leak Your Data Across the Batch"에 대한 상세한 기술 요약입니다.

1. 문제 제기

이 논문은 현대 기계 학습 추론 프레임워크에서 사용되는 동적 양자화 (dynamic quantization) 전략에 치명적인 개인정보 유출 취약점이 있음을 규명합니다.

• 배경: GPU 활용도를 최적화하고 메모리 비용을 절감하기 위해, 멀티 테넌트 LLM 서빙 프레임워크 (예: vLLM, SGLang) 는 동시 사용자 요청을 배치 (batch) 처리합니다. 추론을 더 가속화하기 위해 이러한 시스템은 종종 동적 양자화를 사용하여 고정밀 활성화 값 (FP16/FP32) 을 런타임에 저정밀도 (INT8/FP8) 로 변환합니다.
• 취약점: 파라미터가 오프라인에서 고정되는 정적 양자화와 달리, 텐서 단위 동적 양자화 (per-tensor dynamic quantization) 는 입력 전체 배치에 기반하여 스케일링 파라미터 (최소/최대 값) 를 계산합니다.
• 결과: 이로 인해 사용자 간 사이드 채널이 생성됩니다. 피해자의 입력 데이터는 공격자의 입력에 적용되는 양자화 파라미터에 영향을 미칩니다. 공격자는 자신의 출력 로지트 (logits) 에 발생한 교란을 관찰함으로써, 동일한 배치에 공존하는 피해자의 민감한 정보를 추론할 수 있습니다. 저자들은 이 현상을 **"Quantamination"**이라고 명명했습니다.

2. 방법론

저자들은 텐서 단위 동적 양자화의 데이터 의존적 특성을 악용하는 사이드 채널 공격을 제안합니다.

위협 모델

• 공격자 능력: 공격자는 피해자의 비밀 입력이 포함된 배치에 조작된 입력을 주입할 수 있습니다 (배치 공존). 또한 자신의 입력에 대한 모델의 출력 (로지트 또는 최상위 1 개 로그 확률) 을 관찰할 수 있습니다.
• 가정: 이 공격은 시스템이 개별 토큰마다 스케일 인자를 계산하는 토큰 단위 (per-token) 방식이 아닌, 전체 배치에 대해 하나의 스케일 인자를 계산하는 텐서 단위 (per-tensor) 동적 양자화를 사용한다고 가정합니다.
• 설정: 공격은 화이트박스 (로컬 모델 접근) 및 블랙박스 (API 접근) 시나리오 모두에서 평가되었습니다.

공격 메커니즘

1. 양자화 파라미터 유출: 텐서 단위 동적 양자화에서 스케일 인자 $\alpha$는 다음과 같이 계산됩니다:
   $$\alpha = \frac{\max(X) - \min(X)}{255}$$
   여기서 $X$는 배치의 결합된 활성화 텐서입니다. 피해자의 입력이 공격자의 입력보다 더 큰 크기를 가지면, $\max$ 또는 $\min$을 지배하여 $\alpha$를 변경합니다.
2. 관찰: 공격자는 변경된 양자화로 인해 자신의 출력 로지트에 발생한 결과적 변화 ($\Delta$) 를 관찰합니다.
3. 복구 전략:
   • LLM 토큰 복구: 공격자는 피해자의 토큰을 반복적으로 추측합니다. 각 위치에서 어휘의 후보 토큰을 테스트합니다. 피해자와 짝을 이루었을 때 관찰된 차이와 일치하는 로지트 차이 ($\Delta$) 를 생성하는 후보가 복구된 토큰으로 선택됩니다.
   • 분류: 공격자는 피해자의 이미지 로지트 차이를 후보 이미지 집합과 비교하여 가장 가까운 매칭을 찾거나 클래스를 추론합니다.

3. 주요 기여

• "Quantamination" 발견: 텐서 단위 동적 양자화가 공유 추론 환경에서 배치 경계를 넘어 데이터 유출을 허용하는 사이드 채널을 생성한다는 최초의 증명입니다.
• 프레임워크 분석: 저자들은 주요 추론 프레임워크를 조사한 결과, 최소 4 개의 인기 있는 프레임워크 (vLLM, SGLang, ONNX Runtime, PyTorch) 가 FP8 온라인 모드에서 특히 취약한 텐서 단위 동적 양자화를 기본으로 사용하거나 지원하는 구성을 포함하고 있음을 발견했습니다.
• 실용적 공격 구현: 그들은 대규모 언어 모델 (토큰 복구) 과 이미지 분류 (클래스/이미지 식별) 모두에 대한 공격을 개발하고 검증했습니다.
• 기존 작업과의 차별화: MoE 라우팅, KV 캐시 공유, 또는 연동 학습 (federated learning) 기울기에 의존하는 이전의 배치 기반 공격과 달리, 이 공격은 아키텍처 수정이 전혀 필요 없으며 표준 추론 양자화의 근본적인 속성을 악용합니다.

4. 실험 결과

A. LLM 토큰 복구

배치 크기 2 를 사용하여 세 가지 모델 (TinyStories-1M, Pythia-70M, SmolLM2-135M) 에서 공격을 테스트했습니다.

• 정확도: 모든 모델에서 **99.6% 에서 100%**의 토큰 복구 정확도를 달성했습니다.
• 효율성:
  • 분포 내 데이터 (예: TinyStories 데이터의 TinyStories) 의 경우, 공격은 토큰당 평균 424 회 쿼리가 필요하여 무작위 검색보다 59 배 더 빠릅니다.
  • 범용 모델 (Pythia, SmolLM2) 의 WikiText 에 대한 효율성은 토큰당 985~1,343 회 쿼리 (무작위보다 18~25 배 빠름) 였습니다.
  • 문맥 가속화: 첫 번째 토큰이 복구에 가장 비용이 많이 들지만, 후속 토큰들은 자기회귀적 문맥의 혜택을 받아 검색 공간이 급격히 축소됩니다.
• 블랙박스 실현 가능성: 탐욕적 디코딩을 가정할 때, 제한된 API 접근 (최상위 1 개 로그 확률만 관찰) 으로도 공격이 여전히 효과적입니다.

B. 분류 이미지 복구

Simple CNN, ResNet18, ResNet50 을 사용하여 MNIST 에서 테스트를 수행했습니다.

• 정확한 복구: 비밀 이미지가 후보 집합에 존재할 때, 복구율은 **80~100%**였으며, 더 깊은 네트워크 (ResNet18/50) 는 무작위 프로브로도 100% 성공률을 달성했습니다.
• 클래스 추론: 비밀이 후보 집합에 없을 경우, 공격은 정확한 클래스를 식별하는 데 어려움을 겪었습니다 (10~16% 정확도 vs 10% 무작위 기준). 그러나 t-SNE 분석은 양자화 스케일이 클래스별로 군집화됨을 보여주어, 후보 집합 없이 정확한 복구는 어렵지만 깊은 네트워크에서는 클래스 수준의 유출이 감지 가능함을 시사했습니다.

5. 중요성 및 함의

• 개인정보 위험: 이 취약점은 멀티 테넌트 ML 서빙에 심각한 위험을 초래합니다. 공격자는 동일한 GPU 배치를 공유하는 다른 사용자의 개인 프롬프트, 민감한 문서, 또는 독점 데이터를 잠재적으로 재구성할 수 있습니다.
• 성능과 보안의 트레이드오프: 이 논문은 텐서 단위 동적 양자화가 이질적인 활성화 분포를 제대로 처리하지 못해 정확도 측면에서도 비최적일 뿐만 아니라, 구체적인 보안 취약점을 도입한다고 강조합니다.
• 완화 방안: 저자들은 토큰 단위 동적 양자화로 전환할 것을 권장합니다. 이는 각 토큰마다 스케일링 파라미터를 독립적으로 계산합니다. 이는 배치 간 정보 흐름을 차단하며, 많은 LLM 프레임워크에서 INT8 의 표준으로 이미 사용되고 있습니다.
• 실제 환경의 도전: 논의는 생산 환경이 하드웨어 이질성, 제공자 측 샘플링 파이프라인과 같은 비결정론을 도입하여 신호를 흐릴 수 있음을 지적합니다. 이는 공격을 더 어렵게 만들 수 있지만 불가능하게 만들지는 않습니다.

결론

이 논문은 텐서 단위 동적 양자화가 현대 ML 서빙에서 치명적인 보안 결함임을 증명합니다. 양자화 파라미터를 통해 배치된 입력에 대한 정보를 유출함으로써 공격자가 민감한 사용자 데이터를 탈취할 수 있게 합니다. 저자들은 프레임워크 개발자들이 높은 정확도와 사용자 보안을 모두 보장하기 위해 토큰 단위 양자화를 기본으로 설정할 것을 촉구합니다.