🖥️ [최신] PAGE404 — MIG로 갈라놓은 GPU인데, '페이지 마이그레이션 카운터'는 함께 쓴다

논문 정보

한 줄 요약 — "MIG는 연산과 메모리를 갈라놨지만, '누가 이 페이지를 몇 번 읽었나'를 세는 하드웨어는 갈라놓지 않았다"

NVIDIA GH200(Grace Hopper) 슈퍼칩은 CPU와 GPU를 NVLink-C2C로 붙이고, 하드웨어가 직접 페이지를 세고 옮기는 통합 메모리를 도입했다. GPU가 CPU 메모리의 한 페이지를 반복해서 읽으면, 하드웨어 액세스 카운터가 임계값(기본 256회)에 도달하는 순간 인터럽트를 올리고, UVM 드라이버가 그 페이지를 GPU HBM으로 마이그레이션한다. 성능을 위한 기능이다.

이 논문은 그 기능이 테넌트 사이의 정보 통로가 된다는 것을 보인다. 카운터는 MIG 파티션 사이에서 공유되고, 마이그레이션 인터럽트를 처리하는 드라이버 경로도 공유된다. 그래서 공격자는 남의 GPU 안을 들여다보지 않고도 ① 자기 카운터를 밀어내어(eviction) 남의 접근을 감지하고, ② 마이그레이션 지연 시간을 재서 남의 워크로드를 식별할 수 있다. 격리 경계를 넘는 은닉 채널은 8,500 bps(오류율 1.5%), 마이그레이션 지연 채널은 8,100 bps(4%)를 기록했고, 서로 다른 MIG 인스턴스에 있는 20개 LLM을 94% 정확도로 구분처리된 토큰 수를 평균 4.6토큰 오차로 추정했다.

"both channels target a GPU-wide shared resource, which makes them exploitable across Multi-Instance GPU (MIG) partitions, breaking the isolation guarantees of MIG." — 논문 1장

배경 — 왜 GH200의 메모리 관리가 새로운 공격면인가

• UVM의 값비싼 길: 기존 통합 가상 메모리는 GPU가 CPU 메모리를 건드릴 때마다 페이지 폴트를 내고, UVM 드라이버가 소프트웨어로 페이지를 옮겼다. LLM의 KV 캐시처럼 GPU 메모리를 넘어서는 워크로드에서는 이 오버헤드가 곧 성능이다.
• GH200의 해법: 72코어 Arm Grace CPU와 Hopper GPU를 한 모듈에 얹고, ATS(Address Translation Service)로 GPU 스레드가 시스템 메모리를 직접 주소 변환해 접근하게 했다. 여기에 하드웨어 보조 페이지 마이그레이션 — 접근 카운터가 뜨거운 페이지를 자동으로 GPU DRAM으로 승격한다.
• MIG라는 격리 약속: 클라우드에서 GH200은 비싸기 때문에 여러 사용자가 나눠 쓴다. 가장 강한 격리는 테넌트마다 별도 MIG 인스턴스 + 컨테이너를 주는 것이고, 이때도 nvidia.ko 드라이버는 공유된다. 이 논문의 위협 모델은 정확히 이 "최고 수준의 격리" 구성이다. 공격자에게 필요한 것은 일반 사용자 권한과 자기 MIG 안에서 CUDA 커널을 돌릴 권한뿐이다.
• 왜 지금인가: 마이그레이션은 성능 기능이라 문서화가 거의 없다. 저자들은 카운터 회로와 드라이버 인터럽트 파이프라인을 역공학해 구조를 밝혀낸 뒤 공격을 설계했다 — CloudLab과 Lambda Cloud의 실제 GH200 노드에서.

핵심 1 — 역공학: 카운터는 8개 세트 × 32개, 2MB 영역마다 하나

• 마이그레이션 단위는 64KB: 스트라이드 접근 실험에서 2MB 가상 영역마다 반복되는 지연 패턴이 나타난다. 카운터가 임계값에 닿으면 64KB 페이지 하나가 옮겨지고, UVM의 트리 기반 프리페처가 형제 노드를 끌어와 1–1–2–4–8–16 페이지로 프리페치가 두 배씩 늘어난다.
• 캐시라인 32바이트: 스트라이드를 32B 이하로 줄이면 마이그레이션을 트리거하는 데 필요한 접근 수가 두 배가 된다 — 시스템 메모리에 대한 GPU 캐시라인이 32B임을 확인. volatile 로드는 캐시를 우회한다.
• 카운터 풀은 유한하고 공유된다: 디스터랙터 페이지를 늘려가며 실험하면 약 360~380개에서 카운터가 고갈된다. 두 프로세스를 서로 다른 MIG 인스턴스에 넣어도 같은 지점에서 무너진다 — 즉 카운터 하드웨어는 MIG 경계를 넘어 공유된다(관찰 3).
• 구조: 전체 256개 카운터가 8개 세트 × 32개로 묶여 LRU로 교체되고, 물리 주소 비트 21–38에 대한 XOR 해시 3개로 배정된다. 결과적으로 2MB 물리 영역 하나가 카운터 하나에 대응한다. 이 "세트 연관 구조"가 캐시 공격과 똑같은 eviction 놀이를 가능하게 만든다.
• 드라이버 쪽: 임계값 도달 → 링 버퍼에 알림 기록 + 인터럽트 → top half가 인터럽트를 끄고 작업을 예약 → bottom half가 링 버퍼를 배치로 비우고 → 서비스 단계에서 주소 공간을 찾아 Copy Engine 마이그레이션을 걸고 → 카운터를 지우고 인터럽트를 다시 연다. 문제는 이 단계들이 페이지 폴트 핸들러와 같은 워크큐를 쓰고, mmap_lock(writer 우선) 같은 락을 공유한다는 점이다. 유휴 상태의 정상 마이그레이션 지연은 시스템 메모리 접근 20~30회 분량인데, 경합이 걸리면 이 값이 흔들린다.

핵심 2 — 두 개의 누출 경로, 하나는 하드웨어고 하나는 커널 모듈이다

• 경로 A · 카운터 세트 경합(하드웨어): 송신자는 자기 페이지들로 특정 카운터 세트를 밀어내고, 수신자는 자기 페이지를 임계값 직전까지 밀어둔 뒤 마이그레이션이 일어나는지 본다. 밀려났으면 비트 0/1이 뒤집힌다. 카운터 배정이 물리 주소 해시라서 주소를 모르는 공격자에게는 눈먼 탐색이 되는 것이 난점인데, 저자들은 GH200 커널의 기본 페이지 크기가 64KB라는 점과 512MB huge page가 해시상 256개 카운터 전체를 덮는다는 성질을 이용해 eviction set을 구성하고, huge page 간 세트 ID를 맞추는 동기화 절차를 만든다.
• 경로 B · 마이그레이션 지연(소프트웨어): 남이 커널을 런치하거나 메모리를 할당/해제하면 드라이버의 워크큐와 락이 붐빈다. 그 순간 공격자의 마이그레이션이 늦어지고, 그 지연의 파형이 곧 남의 실행 프로파일이 된다. 심지어 피해자가 GPU를 전혀 쓰지 않아도 된다 — 마이그레이션이 mmap_lock을 잡아야 하므로, CPU 쪽 munmap 같은 연산만으로도 지연이 관측된다.
• 공격 구현의 두 가지 교묘함: ① 프리페치 우회 — 128KB 스트라이드로 한 페이지 걸러 접근해 트리의 어느 노드도 "절반이 상주" 상태가 되지 않게 만들어, 2MB 영역마다 16개의 마이그레이션 가능 페이지를 확보한다. ② 파괴적 마이그레이션 대응 — 한 번 옮겨진 페이지는 다시 폴트를 내지 않으므로, 매 비트마다 새 페이지로 전진한다. 병렬 256스레드 접근으로 초당 약 17,000 샘플을 뽑아낸다.

핵심 3 — 숫자로 본 결과

특히 마지막 항목이 이 논문의 확장성을 보여준다. 카운터는 2MB 단위로 집계되는데 실제 페이지는 64KB라서, 같은 2MB 구간의 여러 페이지가 하나의 카운터를 공유하고 그 상태가 실행 경계를 넘어 유지된다. 공격자는 자기 64KB 페이지로 카운터를 임계값 근처까지 채운 뒤 피해자를 실행시키고, 마이그레이션이 일어날 때까지의 접근 횟수 차이를 재서 피해자의 접근 횟수를 역산할 수 있다. 이진 채널이 양적 채널로 바뀌는 지점이다.

왜 중요한가 — '격리'의 정의가 흔들린다

• MIG의 보장이 하드웨어 수준에서 깨진다: MIG는 SM·L2 슬라이스·메모리를 물리적으로 쪼개 멀티테넌시를 보장하는 기능으로 팔린다. 그런데 페이지 마이그레이션 카운터와 드라이버 인터럽트 경로는 GPU 전역 자원이라 파티션 밖으로 샌다. 컨테이너를 아무리 잘 나눠도 소용이 없다.
• LLM 서빙에서의 프라이버시: 어떤 모델을 쓰는지, 프롬프트가 얼마나 긴지는 그 자체로 민감한 정보일 수 있다. 라우터가 질의별로 모델을 고르는 시스템이라면 "어느 모델이 처리했는가"가 곧 질의 내용의 단서가 된다. 저자들이 강조하는 응용이 바로 이것이다.
• NVIDIA의 반응: 책임 공개 후 NVIDIA는 findings를 인정했지만 "보안 이슈로 보지 않는다"고 답했다 — 누출이 coarse-grained이고, NVLink가 신뢰할 수 없는 테넌트 사이에서 공유되지 않는다는 이유였다. 저자들의 반박은 명확하다. PAGE404는 물리 NVLink 공유를 전제하지 않으며, 다중 GH200 구성에서는 드라이버 수준 상호작용과 동시 메모리 관리만으로도 경합이 생긴다.
• 완화책: 카운터를 MIG 파티션별로 분할하고, 드라이버 경로를 성능 격리하는 것. vGPU가 드라이버 격리를 제공하지만 ARM 플랫폼은 아직 미지원이고, 호스트 vGPU 매니저로 누출이 이동할 가능성도 실험으로 확인해야 한다고 저자들은 남겨두었다.

한계와 반론 (메타리뷰가 짚은 것)

• 공격의 깊이: 리뷰어들은 "워크로드 식별·길이 추정"을 넘어 LLM 입출력 복구나 프롬프트 인젝션으로 이어지는 공격을 기대했다. 현재 결과는 아키텍처/토큰 수준의 메타데이터 누출이며 내용 복구는 아니다.
• 일반화: 클라우드 간 전이는 보였지만(72%), 다른 시스템 아키텍처로 일반화되는지는 미확인. GH200 특유의 64KB 기본 페이지·512MB huge page·드라이버 구조에 상당 부분 의존한다.
• 측정 조건: 8,500 bps는 오류율 1.5%의 특정 튜닝 조건이고, 15,500 bps는 오류율 5%로 올린 값이다. 대역폭과 신뢰도의 트레이드오프를 함께 읽어야 한다.
• 긍정적인 면: 은닉 채널 대역폭은 "격리된 테넌트끼리 통신할 수 있다"는 것 자체가 핵심이며, 클라우드 환경에서 co-location을 확보하는 문제는 기존 연구들이 이미 다뤄온 영역이다.

출처

• 논문: Ravan Nazaraliyev, Yicheng Zhang, Nael Abu-Ghazaleh, PAGE404: Breaking GPU Isolation Through Hardware-assisted Page Migration, arXiv:2610.20962 (cs.CR, cs.AR), 2026-10-14 — arXiv abs · PDF · HTML
• 함께 읽기:
  • 2026-10-04 The Achilles' Heel of Partial Reconfiguration: FPGA 비트스트림 암호화를 광학 부채널로 뚫은 사례 — "하드웨어가 성능을 위해 공유한 자원이 비밀을 흘린다"는 같은 구조.
  • 2026-10-14 Spectre — 추측 실행을 겨눈 마이크로아키텍처 부채널: 격리 경계를 넘는 마이크로아키텍처 누출의 고전.
  • 2026-09-11 Rowhammer — 메모리를 건드리지 않고 비트를 뒤집은 DRAM 교란: 물리 계층에서 무너지는 무결성 가정.
  • 2026-09-27 OllamaDrama — 인증 없는 Ollama API 하니팟: LLM 서빙 스택의 노출면을 본 반대편 사례.