기술 요약: SLAC – Apple Silicon의 시스템 레벨 캐시를 통한 액세스 기반 CPU-to-GPU 사이드 채널 공격

문제 정의

현대의 이기종 SoC(System-on-Chip) 설계, 특히 Apple Silicon은 CPU 코어와 GPU가 공유하는 시스템 레벨 캐시(SLC) 또는 Last-Level Cache(LLC)를 통합합니다. 이러한 공유 자원은 권한이 없는 CPU 프로세스가 GPU 워크로드로부터 민감한 정보를 추론할 수 있는 교차 도메인 공격 표면을 생성합니다. 기존 연구들이 GPU-to-CPU 사이드 채널(예: Intel의 Leaky Buddies)과 Apple Silicon에서의 거친 입도(coarse-grained) CPU-to-GPU 점유율 공격을 입증했지만, 미세한 입도(fine-grained)의 액세스 기반, Prime+Probe 방식의 CPU-to-GPU 사이드 채널은 아직 탐구되지 않은 영역으로 남아 있었습니다.

Apple Silicon에서 이러한 공격을 실현하는 데 있어 주요 과제는 다음과 같습니다:

1. 캐시 포함성 비대칭성(Cache Inclusivity Asymmetry): SLC는 CPU 프라이빗 캐시(L1/L2)에 대해 **배타적(exclusive)**이지만, GPU 프라이빗 캐시에 대해서는 비포함/비배타적(NINE, Non-Inclusive Non-Exclusive) 관계를 가집니다. 이는 CPU 데이터 액세스가 SLC를 직접 채우지 못하며, L2를 먼저 채운 뒤 오래된 라인을 SLC로 밀어내야 함을 의미합니다. 반대로, GPU 액세스는 SLC를 직접 채울 수 있습니다.
2. 아키텍처 지식의 부재: Apple M1 SLC의 구체적인 세트 인덱싱 함수는 공개적으로 문서화되어 있지 않으며, 전통적인 CPU 캐시와도 크게 다릅니다. 따라서 에비션 세트(eviction set, 제거 세트)를 구축하는 것(Prime+Probe의 전제 조건)이 매우 까다롭습니다.
3. 관측 가능성(Observability): CPU 공격자는 GPU에 함께 상주하지 않고도 SLC의 상태 변화를 신뢰성 있게 관찰할 수 있어야 합니다.

방법론

본 논문은 역공학(reverse engineering)과 새로운 사이드 채널 기법을 통해 이러한 과제들을 극복하는 프레임워크인 SLAC을 제시합니다.

1. Apple M1 SLC 역공학

저자들은 SLC의 세트 인덱싱 함수를 복구하고 캐시 상호작용을 특성화하는 방법론을 개발했습니다:

• 데이터 전이 분석: 데이터 이동에 관한 세 가지 시나리오를 식별했습니다. 결정적으로, CPU 프라이빗 캐시에 존재하는 데이터를 GPU가 읽을 때 SLC를 채우지 않는다는 것을 발견했습니다. 대신 GPU는 CPU L2에서 직접 데이터를 읽으며, 이때 SLC는 영향을 받지 않습니다. 그러나 데이터가 이미 SLC에 있는 경우, GPU 액세스는 이를 유지합니다. 또한, GPU 쓰기는 SLC에 캐시 라인을 할당하지 않는(no-write-allocate 동작) 특성을 보이므로, GPU 쓰기만으로는 SLC를 프라임(prime)할 수 없습니다.
• 충돌 프로필 클러스터링(Collision-Profile Clustering): 모든 12개 세트 인덱스 비트가 해싱되는 Apple Silicon의 넓은 후보 공간과 측정 노이즈 때문에, 전통적인 반복적 가지치기(iterative pruning) 방식의 에비션 세트 구축은 실패합니다. 저자들은 이를 충돌 프로필 클러스터링으로 대체했습니다. GPU에서 "필러(filler)" 버퍼를 사용하여 SLC를 채우고 "테스트(test)" 버퍼로 프로브함으로써, 어떤 필러 라인이 제거되었는지 분석했습니다. 동일한 SLC 세트에 매핑되는 라인들은 동일한 제거 패턴(충돌 프로필)을 생성하므로, 이를 통해 에비션 세트로 클러스터링할 수 있습니다.
• 함수 복구: 클러스터링된 에비션 세트를 사용하여 물리 주소 비트(7~32)를 12비트 SLC 세트 인덱스로 매핑하는 12개의 선형 독립적인 XOR 기반 해시 함수를 복구했습니다. 또한 SLC가 LRU 교체 정책을 사용함을 확인했습니다.

2. 사이드 채널 기법

역공학된 지식을 바탕으로 저자들은 두 가지 Prime+Probe 변형 모델을 구축했습니다:

• CPrime+CProbe (CPU 전용 프라이밍):

  • 메커니즘: SLC는 CPU 캐시와 배타적이므로, CPU는 SLC를 직접 프라임할 수 없습니다. 대신, 공격자는 대규모 에비션 세트(SLC_ES)를 CPU L2 캐시에 로드합니다. L2가 채워짐에 따라 오래된 라인은 SLC로 제거됩니다. 그 후 두 번째 세트(L2_ES)를 로드하여 L2를 포화시킴으로써, SLC_ES 라인들을 SLC 내부로 완전히 밀어 넣습니다.
  • 최적화: L2의 흔적(footprint)과 프라이밍 시간을 최소화하기 위해, 저자들은 특정 주소 비트를 제한하여 SLC 에비션 세트에 영향을 받는 L2 세트의 수를 줄였습니다.
  • 프로빙(Probing): CPU는 레이턴시를 측정하기 위해 에비션 세트에 다시 접근합니다. 높은 레이턴시는 SLC 미스(희생자가 세트에 접근함)를 나타내며, 낮은 레이턴시는 SLC 히트(hit)를 나타냅니다.

• GPrime+CProbe (GPU 가속 프라이밍):

  • 메커니즘: 공격자는 GPU의 병렬성을 활용하여 SLC를 직접 프라임합니다. 두 개의 커널을 사용하는 이 방식은, 첫째로 GPU 쓰기(write) 커널이 (코히어런시로 인해) 오래된 CPU L2 복사본을 무효화하지만 SLC를 채우지는 않도록 하고, 둘째로 GPU 읽기(read) 커널이 에비션 세트를 SLC에 직접 로드합니다.
  • 장점: 이 방식은 복잡한 2단계 CPU L2 포화 과정을 우회하여, GPU의 강력한 병렬성을 활용합니다.

3. 노이즈 완화 및 차분 트레이싱(Differential Tracing)

희생자의 활동과 배경 노이즈를 구분하기 위해 저자들은 다음을 사용합니다:

• 차분 트레이싱(Differential Tracing): "베이스라인 트레이스"(유휴 커널)와 "타겟 트레이스"(희생자 커널)를 수집한 뒤 전자를 후자에서 뺍니다.
• 다중 실행 평균화(Multi-run Averaging): 분산을 줄이기 위해 수천 번의 실행 결과에 대한 트레이스를 평균화합니다.
• 상위 집합 집계(Superset Aggregation): 공간적 해상도를 희생하더라도 신호 명확성을 높이기 위해 64개의 캐시 세트를 하나의 "상위 집합(superset)"으로 그룹화합니다. 이는 임베딩 테이블이 규칙적인 메모리 레이아웃을 갖는 LLM 공격에서 특히 효과적입니다.

주요 기여

1. 역공학: Apple M1 SLC의 세트 인덱싱 함수(12비트 해싱 인덱스) 및 CPU, GPU, SLC 간의 비대칭적 잔류 정책에 대한 최초의 공개적 특성화.
2. 새로운 공격 벡터:
   • CPrime+CProbe: 공격자가 GPU 접근을 필요로 하지 않는, Apple Silicon 상에서의 최초의 액세스 기반 CPU-to-GPU 사이드 채널.
   • GPrime+CProbe: GPU 프라이밍을 사용하는 가속 변형 모델로, 은닉 채널(covert-channel) 처리량을 6.4배 향상시킴.
3. 엔드 투 엔드 프라이버시 공격:
   • GNN 엣지 복구: 그래프 신경망(GNN) 추론으로부터 그래프 구조(엣지)를 재구성.
   • LLM 프라이버시 공격: 대규모 언어 모델(LLM) 추론으로부터 입력 키워드 및 출력 토큰을 복구.

실험 결과

은닉 채널 성능

• CPrime+CProbe: 62.5 Kbps의 처리량을 달성했습니다.
• GPrime+CProbe: 400 Kbps의 처리량을 달성했습니다 (6.4배 향상).

애플리케이션별 정확도

• GNN 엣지 복구:

  • 다섯 가지 데이터셋(Cora, Citeseer, Pubmed, Computers, Photo)에서 테스트되었습니다.
  • GPrime+CProbe는 모든 데이터셋에서 90% 이상의 엣지 정확도를 기록했으며, Cora에서는 정밀도(precision) 99.9%, Pubmed에서는 99.2%에 도달했습니다.
  • CPrime+CProbe는 전체 그래프 재구성 후 **90% 이상의 재현율(recall)**과 86% 이상의 정밀도를 달성했습니다.

• LLM 입력/출력 복구:

  • TinyLlama 및 GPT-2 Medium 모델을 대상으로 테스트되었습니다.
  • 입력 키워드 복구: GPrime+CProbe는 최대 94.8%의 정확도(TinyLlama/FinancialQA)와 93.4%(GPT-2/MedQuad)를 달성했습니다. CPrime+CProbe는 최대 81.2%에 도달했습니다.
  • 출력 토큰 복구: GPrime+CProbe는 최대 88.9%의 정확도(GPT-2/FinancialQA)와 78.7%(TinyLlama/FinancialQA)를 달성했습니다. CPrime+CProbe는 최대 85.3%에 도달했습니다.

의의 및 주장

본 논문은 SLAC가 Apple Silicon, 나아가 이기종 SoC에서 나타나는 새로운 클래스의 마이크로아키텍처 취약점을 드러낸다고 주장합니다. 그 의의는 다음과 같습니다:

1. 공유 SLC는 핵심적인 공격 표면임: 통합 메모리 아키텍처에서의 공유 캐시는 권한 없는 CPU 프로세스가 민감한 GPU 워크로드에 대해 미세한 액세스 기반 공격을 수행할 수 있게 하며, 이는 이전에는 GPU 공동 상주가 필요하거나 거친 입도의 관찰로 제한된다고 여겨졌던 능력입니다.
2. 미세한 입도 공격의 실현 가능성: 복잡한 SLC 인덱싱과 포함성 정책에도 불구하고, 미세한 비밀 정보(ML 모델의 입력, 출력, 그래프 구조 등)를 높은 정확도로 복구할 수 있습니다.
3. 재설계 촉구: 결과는 이기종 시스템의 캐시 계층 및 코히어런시 프로토콜을 완화하기 위한 신중한 아키텍처 재설계가 필요함을 보여줍니다. 저자들은 본 기술이 M1에 특화되어 있지만, 그 근본 원리는 M1 Pro/Max 및 M2에도 적용될 가능성이 높으며, 비포함 GPU 캐시를 사용하는 다른 플랫폼(예: Intel iGPU, AMD APU)에도 적용될 수 있다고 언급했습니다.

저자들은 본 연구가 Apple Silicon에 대한 개념 증명(proof-of-concept)임을 명시하며, 향후 연구를 통해 이 공격 범위를 더 넓은 범위의 M 시리즈 칩(예: Dynamic Caching이 적용된 M3) 및 기타 이기종 플랫폼으로 확장할 필요가 있다고 조심스럽게 덧붙였습니다.