애플·AMD·퀄컴 GPU서 AI 데이터 유출 취약점 발견

지난 수십 년간 반도체 업계는 CPU 메모리에서 데이터가 새어나가지 않도록 보안 체계를 끊임없이 다듬어 왔습니다. CPU 영역에서는 단 1비트의 유출도 심각한 사고로 취급됩니다.

반면 GPU의 출발점은 완전히 달랐습니다. 그래픽 연산의 극단적인 속도와 대규모 병렬 처리에 초점을 맞추다 보니, 데이터 격리와 프라이버시 보호는 상대적으로 우선순위에서 밀려나 있었습니다. 하지만 생성형 AI의 폭발적인 확산으로 로컬 기기에서 LLM을 구동하는 일이 일상화되면서, 이 구조적인 빈틈이 수면 위로 드러났습니다.

보안 기업 Trail of Bits는 Apple, AMD, Qualcomm의 주요 GPU에서 작동하는 보안 취약점 'LeftoverLocals'를 공개했습니다. 공격자가 대상 시스템에 기본적인 실행 권한만 확보하고 있다면, 10줄도 채 되지 않는 간단한 코드로 GPU 로컬 메모리에 방치된 민감한 데이터를 탈취할 수 있습니다.

10줄 미만 코드로 털리는 로컬 AI 대화

현대 운영체제는 메모리를 엄격히 격리해 서로 다른 프로그램이 상대방의 데이터를 들여다보지 못하게 막습니다. 그러나 LeftoverLocals는 취약한 GPU 환경에서 이 경계벽을 허물어 버립니다.

Llama.cpp 같은 오픈소스 프레임워크로 언어 모델을 구동하면, GPU는 커널 프로그램을 통해 사용자의 질문과 AI의 답변, 그리고 연산에 필요한 가중치 값을 고속으로 처리합니다. 악성 프로그램은 OpenCL, Vulkan, Metal 같은 보편적인 그래픽 API를 사용해 권한 상승 없이도 GPU 메모리 잔여물을 가로챌 수 있습니다.

실험 결과, 공격자는 쿼리 한 번당 5MB에서 180MB에 달하는 데이터를 빼낼 수 있는 것으로 확인되었습니다. AMD Radeon RX 7900 XT 그래픽 카드가 탑재된 환경에서 7B 매개변수 모델을 구동했을 때, 연구팀은 단일 쿼리당 최대 181MB의 잔류 데이터를 추출해 사용자가 AI와 나눈 대화 내용을 거의 그대로 복원해 냈습니다.

Trail of Bits는 지난여름 7개 제조사의 11개 칩셋을 평가한 뒤, 9월 US-CERT 조정 센터 및 Khronos Group과 협력해 제조사들에 취약점을 알렸습니다. 테스트를 거친 Nvidia, Intel, Arm 칩에서는 취약점이 발견되지 않았으나, Apple과 AMD, Qualcomm은 자사 칩이 영향권에 있음을 확인했습니다.

패치 적용은 지지부진, 구형 기기는 여전히 위험

영향을 받는 기기 규모는 수억 대에 이릅니다. iPhone 12 Pro, M2 탑재 MacBook Air뿐만 아니라 널리 쓰이는 AMD 라데온 외장 그래픽 카드와 퀄컴 칩셋이 포함됩니다.

하지만 하드웨어 제조사들의 대응은 엇갈리고 있습니다. Apple은 2023년 말 공개한 M3 및 A17 칩에서 하드웨어 수준의 수정을 적용했다고 밝혔습니다. 그러나 연구진이 1월 10일 재시험한 결과, M2 MacBook Air는 여전히 취약점을 노출하고 있었으며, A12를 탑재한 3세대 iPad Air 정도만 패치가 완료된 것으로 나타났습니다.

Qualcomm은 고객사들에게 펌웨어 패치를 배포 중이라며 제조사 업데이트 적용을 권고했고, AMD는 LeftoverLocals 대응책을 선택적 완화 조치 형태로 오는 3월 출시하겠다고 공지했습니다. 한편 Google은 ChromeOS 기기 중 영향권에 있는 AMD 및 퀄컴 탑재 모델에 대해 패치를 배포했다고 밝혔습니다.

왜 중요한가

우리는 이번 사태가 온디바이스 AI 마케팅에 찬물을 끼얹는 중요한 계기라고 봅니다. 주요 제조사들은 데이터를 클라우드로 보내지 않는 로컬 AI가 가장 안전하다고 강조해 왔습니다. 하지만 정작 연산을 담당하는 GPU 메모리가 CPU보다 취약한 상태였다는 사실이 드러난 셈입니다.

일반 소비자가 당장 패닉에 빠질 필요는 없습니다. 공격자가 기기 내부에 악성 코드를 먼저 심어둘 수 있어야 공격이 성립하기 때문입니다. 하지만 M2 Mac이나 AMD 그래픽 카드를 장착한 환경에서 민감한 업무나 비공개 문서 처리를 위해 로컬 LLM을 상시 구동하는 개발자나 기업이라면, 공유 환경과 미검증 애플리케이션에 대한 경계를 한층 강화해야 합니다.

반도체 업계에도 뼈아픈 전환점이 될 것으로 보입니다. 연산이 끝날 때마다 메모리를 완전히 지우는 작업은 GPU의 최대 장점인 처리 속도를 떨어뜨리기 때문에 그동안 기피되어 왔습니다. 그러나 GPU가 지적 자산과 민감한 텍스트를 처리하는 핵심 엔진으로 자리 잡은 이상, 성능을 일부 희생하더라도 메모리 보안 표준을 CPU 수준으로 격상하는 재설계가 불가피해 보입니다.