Rendering on Real Silicon: GPU Render-Timing as a Passive, AI-Resistant CAPTCHA Signal

기술 요약: 수동적이고 AI 저항적인 CAPTCHA 신호로서의 실제 실리콘 상의 렌더링

문제 정의
지각적 또는 인지적 퍼즐에 의존하는 전통적인 CAPTCHA 패러다임은 이미지, 텍스트, 오디오 챌린지를 높은 정확도로 해결하는 현대의 시각-언어 모델(VLM) 및 에이전트형 AI의 능력으로 인해 무력화되었습니다. 행동 생체 인식과 암호학적 증명(예: TPM, WebAuthn)은 대안을 제시하지만, 개인정보 보호 문제, 지속적인 식별자 유출, 또는 높은 등록 비용이라는 문제를 안고 있습니다. 또한, 기존의 방어 기제들은 모방(mimicry)이나 사이드 채널 스푸핑에 취래합니다. 저자들은 다음과 같은 간극을 식별했습니다: 자동화된 클라이언트는 실제 장치가 가진 물리적 하드웨어 실행 특성을 결여하고 있는 경우가 많지만, 현재의 탐지 방법들은 사용자 프라이버시를 침해하지 않으면서 이러한 물리 계층의 차이를 효과적으로 활용하지 못하고 있다는 점입니다.

방법론
본 논문은 제어된 WebGL 렌더링 워크로드 하에서 클라이언트 GPU의 물리적 타이밍 동작을 측정하는 수동적 하드웨어 증명 방식을 제안합니다. 픽셀 출력을 해싱하여 지속적인 장치 식별자를 생성하는 WebGL 핑거프린팅과 달리, 이 방법은 지속적인 정체성을 유지하지 않고 렌더링 타이밍 역학을 기반으로 트래픽을 분류합니다.

본 방법론은 측정 일관성을 보장하기 위해 단일 엔드포인트 수집 전략을 채택합니다:

1. 데이터 수집: 공용 엔드포인트가 공유 WebGL 하네스(harness)를 제공합니다. 실제 브라우저 사용자(양성 클래스)는 타이밍 기록을 자발적으로 제출합니다. 헤드리스 자동화(음성 클래스)는 서버 측 비밀키를 사용하여 스윕 도구(sweep tool)에 의해 동일한 URL로 유도되며, 이를 통해 신뢰할 수 있는 레이블을 확보합니다.
2. 하네스: 시스템은 결정론적인 프래그먼트 셰이더 결합(fragment-shader-bound) WebGL 워크로드를 발행합니다. 시스템은 워밍업 기간 이후 고정된 윈도우 동안 프레임당 렌더링 시간을 기록합니다. 결정적으로, 각 프레임은 동기식 픽셀 리드백(pixel read-back)을 통해 파이프라인 완결을 강제하며, 이를 통해 측정된 시간이 비동기 큐 제출이 아닌 실제 GPU 실행을 반영하도록 보장합니다.
3. 특징 추출: 시스템은 원시 프레임 시리즈로부터 평균/중앙값 렌더 시간, 분산(표준 편차, 변동 계수), 형태(왜도, 첨도), 프레임 간 지터(jitter), 그리고 타이머 양자화 지표를 포함한 분포 통계량을 도출합니다.
4. 음성 클래스 매트릭스: 분류기가 소프트웨어 렌더러 문자열에만 의존하는 것을 방지하기 위해, 본 연구는 물리적 GPU에서 실행되는 헤드리스 자동화라는 "하드 네거티브(hard negative)" 클래스를 포함합니다. 이는 자동화의 신호를 소프트웨어 렌더링의 신호로부터 격리합니다.
5. 평가 규율: 일반화 성능은 장치 단위의 홀드아웃 분할(device-held-out split)을 통해 평가됩니다. 여기서 전체 GPU가 훈련 또는 테스트 세트에 할당되어 장치 식별자로 인한 데이터 누출을 방지합니다.

주요 기여

1. 경험적 위협 특성화: 12시간 동안의 수동 배포 결과, "인 더 와일드(in-the-wild)"의 적대자는 압도적으로 렌더링이 없는 상태(86%의 요청)였습니다. 이러한 클라이언트는 클라이언트 측 JavaScript를 실행하지 않거나 렌더링 단계에 도달하지 않으므로 타이밍 데이터를 생성하지 않습니다.
2. 신뢰할 수 있는 음성 클래스 레이블: 저자들은 실제 브라우저와 키가 설정된 헤드리스 자동화로부터 동일하게 측정된 타이밍 샘플을 수집하는 방법론을 확립하였으며, 여기에는 까다로운 사례인 실제 하드웨어 상의 자동화가 포함됩니다.
3. 타이밍 시그니처의 파일럿 분석: 본 연구는 소프트웨어 렌더링 봇과 실제 GPU 사이의 명확한 분리를 입증하며, 혼란 변수가 통제된 상황에서 헤드리스 자동화를 실제 하드웨어 상의 인간 상호작용과 구별하는 측정 가능한 타이밍 시그니처를 식별합니다.

결과
단일 GPU 아키텍처(Intel 통합 GPU)에서 수집된 파일럿 데이터셋은 다음과 같은 결과를 나타냈습니다:

• 소프트웨어 vs 하드웨어: 소프트웨어 렌더링 봇(예: SwiftShader)은 실제 GPU보다 현저히 느리며, 인간의 평균 렌더 시간인 ~5.1 ms에 비해 ~26.3 ms의 평균 렌더 시간을 보이며 5.2배의 격차를 나타냈습니다. 또한 더 높은 지터와 양자화를 보였습니다.
• 실제 하드웨어 상의 헤드리스 vs 인터랙티브: 실제 하드웨어에서 실행될 때도 헤드리스 자동화는 인간의 인터랙티브한 사용과 구별되는 독특한 타이밍 시그니처를 보입니다. 혼란 변수가 통제된 비교(동일한 GPU 제품군 및 브라우저 엔진)에서:
  • 헤드리스 세션은 3.3배 높은 타이머 양자화 비율을 보였습니다.
  • 2.6배 높은 프레임 지터를 보였습니다.
  • **2.2배 높은 변동 계수(CV)**를 보였습니다.
• 메커니즘: 저자들은 헤드리스 타이밍의 거칠기(roughness) 증가를 디스플레이 컴포지터(compositor) 및 리프레시 페이싱(refresh pacing)의 부재 때문이라고 설명합니다. 이러한 요소들은 정상적인 인터랙티브 사용 시 프레임 타이밍을 규칙화하는 역할을 합니다. 이는 자동화가 더 "매끄러운(flatter)" 타이밍을 생성할 것이라는 나이브한 직관과 상반되며, 오히려 더 많은 타이밍 노이즈를 생성한다는 것을 보여줍니다.

의의 및 주장
본 논문은 이 접근 방식을 물리 계층의 하드웨어 증명의 수동적 변형으로 규정합니다. 그 의의는 다음 세 가지 측면에 있습니다:

1. 기존 회피 기법과의 직교성: 이 신호는 현재의 "스푸핑 스택"(안티디텍트 브라우저, 캔버스 노이즈 주입, 렌더러 문자열 스푸핑 등)과 직교합니다. 공격자가 "NVIDIA RTX 4070"의 렌더러 문자열과 픽셀 출력을 완벽하게 위조할 수는 있어도, 자신이 소유하지 않은 하드웨어의 물리적 타이밍 분포까지 위조할 수는 없습니다.
2. 프라이버시 보존: 핑거프린팅과 달리, 이 방법은 식별(identification)이 아닌 분류(classification, 인간 대 자동화)를 수행하므로 지속적인 식별자를 유출하지 않습니다.
3. 상호 보완성: 이 방법은 행동 생체 인식 및 기타 위험 점수와 결합될 수 있는, 낮은 마찰력과 높은 난이도의 스푸핑 저항성을 가진 신호로 기능합니다.

한계 및 범위
저자들은 자신의 주장에 대해 다음과 같이 겸허한 입장을 밝힙니다:

• 단일 아키텍처: 혼란 변수가 통제된 시그니처는 Intel 통합 GPU에서만 입증되었습니다. 별도의 NVIDIA/AMD GPU 또는 Apple Silicon으로의 교차 아키텍처 일반화는 여전히 미해결 과제로 남아 있습니다. 더 빠른 외장 GPU는 타이밍 차이를 측정 불가능한 수준으로 압축할 수 있기 때문입니다.
• 파일럿 규모: 결과는 제한된 데이터셋(인간용 13개 GPU, 하드 네거티브용 2개 GPU)을 기반으로 합니다. 본 연구는 원리적으로의 분리 가능성을 뒷받침하지만, 특성화된 오차율을 가진 훈련된 판별기를 주장하는 것은 아닙니다.
• 적대적 적응: 이 방법이 렌더링이 없는 자동화를 효과적으로 필터링하긴 하지만, 정교한 공격자는 이론적으로 실제 하드웨어에서 렌더링을 수행하거나(비용 증가) 합성된 지터를 주입할 수 있습니다. 저자들은 이 방법을 단독적인 해결책이 아닌 다중 신호 위험 평가의 구성 요소로 간주합니다.
• 타이머 강화: 브라우저의 타이머 정밀도 저하(coarsening)나 지터링은 신호를 압축할 수 있으며, 이에 대한 영향은 아직 인구 집단 수준에서 완전히 정량화되지 않았습니다.