캐시를 나눠 쓰면 남의 답이 바뀐다: KV 캐시 하이재킹을 증명한 HijackKV 논문 정리

위치 독립 KV 캐시 재사용을 쓰는 LLM 서빙 시스템에서는 공격자가 심어둔 캐시가 다른 사용자의 답을 바꿀 수 있다는 사실이 2026년 7월 arXiv에 공개된 HijackKV 논문(arXiv 2607.19957)으로 확인됐다. 저자들이 보고한 성공률은 단일 시도 기준 평균 94%이며, 캐시 적중률이 10%로 낮거나 캐시의 50%를 다시 계산하는 조건에서도 공격이 유지된다. 공격의 특징은 피해자 입력에 공격자 텍스트가 한 글자도 들어가지 않는다는 점이다. ASAP은 arXiv 원문을 1차 출처로 이 공격의 작동 방식과 수치, 방어 조건을 정리한다.

위치 독립 재사용이 열어놓은 구멍

KV 캐시는 LLM 추론 지연을 줄이는 표준 기법이다. 전통적인 접두어 기반 재사용은 토큰과 위치가 정확히 일치해야만 캐시를 쓸 수 있어서 요청 사이의 적중률이 낮다. 이 한계를 넘으려고 최근 시스템 최적화가 도입한 것이 위치 독립 KV 재사용이며, 동일한 텍스트 조각이 등장하면 시퀀스 안에서의 위치와 무관하게 캐시를 재사용한다.

HijackKV 논문이 지적하는 위험은 이 설계의 전제에서 나온다. KV 캐시는 토큰 일치로 검색되지만, 그 안에 인코딩된 것은 캐시가 처음 계산될 당시의 맥락이다. 즉 겉보기에 무해한 토큰 조각에 붙은 KV가 공격자가 통제한 접두어를 품고 있을 수 있다. 이 오염된 KV가 나중에 피해자 질의에서 재사용되면 모델의 동작이 조용히 탈취된다. 피해자 입력에는 공격자가 쓴 텍스트가 전혀 나타나지 않는다.

공격 프레임워크의 동작은 여기서 갈린다. HijackKV는 공격자가 통제하는 접두어를 최적화해, 뒤따르는 흔한 무해 텍스트에 대해 계산되는 KV가 공격자의 목표를 인코딩하도록 만든다. 그 텍스트 자체는 바뀌지 않으므로 이후 캐시 적중은 정상적으로 일어난다.

라마와 큐원, 미스트랄에서 측정된 성공률

실험은 세 모델 계열에 걸쳐 이뤄졌다. 라마 3.1-8B와 3.2-1B, 3.2-3B, 3.3-70B, 큐원 3-4B와 3-8B, 3-14B, 그리고 미스트랄 계열이 대상이며, 평가 데이터셋은 HotpotQA와 SQuAD, MedQA, PubMedQA 네 종에서 각각 200개 사례를 표본으로 썼다.

재계산 방식별 비교가 핵심이다. 재계산을 하지 않는 기본 설정에서 표적 공격 성공률은 85%에서 100% 사이였고, 각 캐시 조각의 앞부분 토큰을 다시 계산하는 EPIC에서는 75%에서 93%, 어텐션 편차를 기준으로 선택적으로 재계산하는 CacheBlend에서는 80%에서 89%였다. 라마 3.1-8B 기준 데이터셋 평균 표적 성공률은 89%다.

공격자의 목표는 세 유형으로 나뉜다. 예 또는 아니오 질문에서 반대 답을 만들게 하는 것, 객관식에서 틀린 선택지를 고르게 하는 것, 개방형 질문에서 의미상 관련은 있지만 틀린 개체를 내놓게 하는 것이다. 논문이 든 예는 수도를 묻는 질문에 파리 대신 하와이를 답하게 만드는 경우다.

블랙박스 전이도 측정됐다. 라마 3.1-8B를 대리 모델로 최적화한 접두어를 다른 모델에 적용했을 때 큐원3-8B에서 비표적 성공률 87%와 표적 성공률 38%, 라마 3.3-70B에서 79%와 37%, 라마 3.2-3B에서 90%와 44%가 나왔다. 큐원3-4B에서는 표적 성공률이 9%로 크게 떨어졌고, 저자들은 큰 대리 모델에서 최적화한 접두어가 비슷한 수준의 모델에는 잘 통하지만 훨씬 작은 모델에는 통하지 않는다고 정리했다.

94%와 89%가 다른 숫자인 이유

초록이 제시한 평균 94%와 본문 표의 89%를 같은 값으로 읽으면 안 된다. 논문은 성공률을 두 갈래로 나눠 보고하며, 표적 공격 성공률(T-ASR)은 공격자가 지정한 특정 오답을 정확히 끌어내야 성립하고, 비표적 성공률(U-ASR)은 출력이 정상 답에서 벗어나기만 하면 성립한다. 전이 실험 표에서 두 값이 나란히 제시되는데 큐원3-8B의 경우 87%와 38%로 두 배 이상 벌어진다.

이 구분이 실무에서 중요한 이유는 위협 모델이 달라지기 때문이다. 서비스 품질만 무너뜨리는 것이 목적이라면 비표적 성공률이 관련 지표이고, 이 값은 대부분 조건에서 높게 유지된다. 반면 특정 브랜드를 추천하게 하거나 특정 진단을 유도하는 식의 정교한 조작을 노린다면 표적 성공률이 기준이 되며, 모델이 바뀌면 값이 급격히 떨어진다. 즉 이 공격은 지금 상태에서 광범위한 교란에는 강하고 정밀한 조종에는 조건이 붙는다.

방어에서 성립하는 것과 성립하지 않는 것

기존 방어 수단 대부분이 이 공격에 무력하다는 점이 논문의 실질적 결론이다. 텍스트 수준 방어는 애초에 대상이 아니다. 공격이 적대적 텍스트를 입력에 넣지 않고 내부 표현만 조작하기 때문이다. 양자화와 KV 캐시 압축 같은 기법도 공격을 막지 못했다.

효과가 확인된 유일한 축은 재계산량이다. 재계산 비율을 10%에서 50%로 올리면 표적 성공률이 89%에서 39%로 떨어지고, 캐시 비율을 50%에서 10%로 줄이면 100%에서 81%로 낮아진다. 문제는 이 두 조치가 정확히 위치 독립 재사용을 도입한 이유를 되돌린다는 데 있다. 재계산을 늘리고 캐시를 줄이는 것은 지연과 비용을 다시 올리는 선택이며, 실제 배포에서 흔히 쓰는 10%에서 15% 수준의 재계산 비율로는 방어가 성립하지 않는다.

저자들이 제시한 방향은 캐시된 KV 상태를 인증해 허가되지 않은 재사용을 막는 설계다. 이 접근이 성능 부담을 얼마나 지우는지는 논문이 수치로 제시하지 않았다.

이 결과를 어떻게 받아들여야 하는가

2026년 7월 공개된 HijackKV의 적용 범위는 위치 독립 KV 재사용을 쓰는 시스템으로 한정되며, 저자들은 접두어 전용 캐시를 쓰는 구성이 안전하다고 명시했다. 자사 서빙 스택이 어떤 재사용 정책을 쓰는지, 그리고 그 캐시 풀이 테넌트 사이에서 공유되는지가 노출 여부를 가르는 두 가지 질문이다.

성능 최적화가 보안 경계를 옮긴다는 점이 이 논문의 일반적 교훈이다. 캐시 공유는 원래 지연과 비용을 줄이려는 순수한 효율 결정으로 취급됐고, 위협 모델링 대상으로 다뤄지는 경우가 드물었다. HijackKV는 공유 대상이 텍스트가 아니라 계산된 내부 상태일 때 그 결정이 곧바로 신뢰 경계 결정이 된다는 것을 보여준다. 멀티테넌트 환경에서 무언가를 공유해 성능을 얻는 모든 최적화에 같은 질문이 적용된다.

공격 조건의 현실성도 함께 봐야 한다. 논문이 밝힌 전제는 세 가지다. 공격자가 공유 캐시 풀에 입력을 넣을 수 있어야 하고, 특정 조각이 캐시에 올라와 있는지 파악할 수 있어야 하며, 축출 정책이 캐시를 오래 유지해야 한다. 공개 API 서비스에서는 첫째 조건이 쉽게 충족되지만 사내 전용 배포에서는 훨씬 어렵다. 다만 축출 정책에 따라 지속성이 달라진다는 저자들의 언급은, 캐시 수명을 짧게 가져가는 운영이 부수적 완화 효과를 낸다는 뜻으로 읽힌다.

남은 문제

HijackKV의 실험은 HotpotQA와 SQuAD, MedQA, PubMedQA 네 개 데이터셋에서 이뤄졌고 모두 질의응답 형식이다. 네 데이터셋이 같은 형식이므로, 코드 생성이나 에이전트 도구 호출처럼 출력이 곧바로 행동으로 이어지는 과제에서 같은 성공률이 나오는지는 아직 측정되지 않았다. 위험도로 보면 후자가 더 큰 문제인데, 논문의 범위에는 들어 있지 않다.

실제 서빙 시스템에서의 재현도 남은 과제다. 저자들은 원격 서버의 모델이나 캐시 풀에 영향을 주지 않기 위해 대리 모델을 쓴 시뮬레이터에서 로컬로 실험했다고 밝혔다. 연구 윤리 측면에서 옳은 선택이지만, 실제 운영 시스템의 축출 정책과 트래픽 패턴 아래에서 성공률이 어떻게 달라지는지는 이 논문으로 답할 수 없다. 논문은 이해관계자 분석에서 위치 독립 KV 재사용 구현자와 멀티테넌트 서비스 제공자, 사용자를 나눠 다뤘고 소스 코드도 함께 공개했다.

출처: arXiv 2607.19957 "HijackKV: New Threat in Position-Independent KV Cache Reuse"(Yichi Zhang, Zhiqi Wang, Huan Zhang, Yuchen Yang, v1 2026년 7월 22일, v2 2026년 7월 31일) 기반 ASAP 정리