암호를 풀지 않고 계산했습니다 : 그렇게 돌린 AI 네 개 중에 챗봇은 없었습니다

181,874. 이달 초 한 보안 연구자가 공개한 숫자입니다. AI 회의록 도구 tl;dv의 데이터베이스에서 아무 계정으로나 조회할 수 있었던 회의 기록의 개수죠. 사용자로 세면 84,312명, 이메일 도메인으로 세면 35,003개에 해당합니다. 그중 1,000건가량은 조회하던 그 순간에도 녹화가 돌아가고 있었습니다. 기록에 회의방 식별자가 함께 들어 있었으니, 초대받은 적 없는 사람이 남의 회의에 걸어 들어갈 수 있었다는 뜻입니다. 노출된 정부 도메인은 23개국의 것이었습니다.

원인은 허무할 만큼 단순했습니다. 파이어스토어(Firestore)를 쓰면서 다른 컬렉션에는 전부 걸어 둔 테넌트 격리 규칙을, 회의 기록 컬렉션 하나에만 빠뜨린 것이거든요. 무료 계정으로 로그인만 해도 전체 기록이 조회됐습니다. 연구자가 이 사실을 회사에 알린 것은 지난 1월 28일이었고, 실제로 막힌 것은 공개 직전이었습니다. 그사이 여섯 달이 지났습니다.

그런데 제가 이 사건에서 더 오래 들여다본 쪽은 빠뜨린 규칙이 아니었습니다. 우리가 AI 도구를 쓰는 방식에 깔려 있는 전제 쪽이었죠. 회의를 요약받으려면 회의 내용을 넘겨야 합니다. 추천을 받으려면 무엇을 봤는지 넘겨야 하고요. 서버가 내용을 읽을 수 있어야 계산이 되니까, 우리는 읽을 수 있는 상태로 넘긴 다음 잘 관리해 달라고 부탁하는 셈입니다. 규칙 한 줄이 빠지면 그 부탁은 그대로 무너집니다.

▸ 상자를 열지 않고 계산하는 방법

지난 금요일 구글이 바로 그 전제를 건드리는 물건을 내놨습니다. 헤어(HEIR, Homomorphic Encryption Intermediate Representation)라는 오픈소스 컴파일러 툴체인인데요. 학습을 이미 마친 모델을 암호화된 입력 위에서 그대로 돌아가도록 바꿔 주는 도구입니다. 구글은 이번에 헤어를 자사의 프라이빗 컴퓨팅 툴킷에 정식으로 편입했습니다. 차등 프라이버시나 보안 엔클레이브 같은 기존 도구들이 모여 있던 자리에 동형암호가 한 칸 들어간 것이죠. 발표문을 쓴 사람은 구글의 스태프 소프트웨어 엔지니어인 제러미 쿤입니다.

동형암호(homomorphic encryption)라는 이름이 낯설게 들릴 수 있는데요. 원리 자체는 그렇게 어렵지 않습니다. 보통의 암호는 잠긴 상자와 같습니다. 안에 든 것을 쓰려면 열쇠로 열어야 하죠. 동형암호는 상자를 열지 않은 채로 안에 든 숫자를 더하고 곱할 수 있게 만든 암호입니다. 계산을 맡은 쪽은 상자를 끝까지 열지 못하고, 결과도 잠긴 상태로 돌려줍니다. 열쇠를 가진 사람만 그것을 열어 봅니다. 서버가 내용을 알아야 계산할 수 있다는 전제가 여기서 깨지는 것입니다.

발상 자체는 오래됐습니다. 문제는 늘 속도였죠. 그래서 이번 발표에서 정작 눈여겨봐야 할 대목은 컴파일러가 아니라, 구글이 함께 공개한 데모 네 개라고 생각합니다.

▸ 데모는 네 개였고, 그중에 챗봇은 없었습니다

목록은 이렇습니다. 딥러닝 추천 모델, 신용카드 사기 탐지, 네트워크 침입 탐지, 그리고 호출어 감지. 여기에 없는 것이 무엇인지 보이시나요? 챗봇이 없습니다. 요즘 우리가 AI라고 말할 때 머릿속에 떠올리는 그 물건이 목록에 들어 있지 않습니다. 그리고 구글은 공개한 지연 시간이 단일 스레드 CPU 기준이라고 본문에 그대로 적어 뒀습니다. 감추지 않고 적어 둔 쪽이 오히려 신뢰가 갑니다.

▸ 4분을 0.56초로 만드는 데 든 것

네 데모 가운데 추천 모델 하나가 쓸 만한 속도에 도달하기까지 무슨 일이 있었는지를 따라가 보면, 이 목록의 이유가 드러납니다. 추천 모델에는 동형암호가 특히 싫어하는 연산이 들어 있습니다. 사용자가 무엇을 클릭했는지에 따라 거대한 임베딩 테이블에서 해당 항목을 꺼내 오는 조회인데요. 무엇을 꺼내는지조차 서버가 몰라야 하니, 이게 간단할 리가 없습니다.

이 문제에 뉴욕대 조교수인 브랜던 리건의 연구팀과 LG전자 미국 신기술연구소가 매달렸습니다. 클라이언트 쪽에서 큰 선택자를 작은 조각으로 쪼개 보내는 기법을 만들어, 암호화된 임베딩 조회를 기존 최고 기록보다 56배 빠르게 줄였죠. 그렇게 하고도 논문에 실린 단일 스레드 CPU 측정치는 작은 데이터셋에서 24초, 큰 쪽인 크리테오(Criteo)에서는 228초에서 489초 사이였습니다. 추천 하나 받자고 4분을 기다릴 사람은 없습니다.

*출처: Wikimedia Commons*

그 위에 벨포트(Belfort)라는 회사의 GPU 가속 플랫폼이 400배를 더 얹었습니다. 그렇게 나온 숫자가 0.56초입니다. 4분에서 0.56초. 훌륭한 성과인데요. 그 숫자를 만드는 데 알고리즘 혁신 하나와 전용 가속 하드웨어 하나가 필요했고, 그렇게 얻은 것은 추천 모델 한 종류였습니다. 게다가 이건 아직 연구 프로토타입이지 서비스로 나간 물건이 아닙니다. 목록에 챗봇이 없는 이유를 이보다 잘 설명하는 자료는 없을 것 같습니다.

▸ 프라이버시가 공짜가 된 것은 아닙니다 : 값이 매겨졌을 뿐입니다

구글도 이 대목을 돌려 말하지 않았습니다. 발표문에 이런 문장이 있습니다. 동형암호에는 무시할 수 없는 비용 부담이 따르지만, 그 덕분에 능력을 택할지 프라이버시를 택할지의 문제가 비용을 얼마나 치를지의 문제로 바뀐다는 것입니다. 저는 이 문장이 이번 발표에서 가장 정직한 부분이라고 봅니다. 프라이버시가 공짜가 되는 것이 아닙니다. 값이 매겨지는 것이죠.

그럼에도 이건 작은 변화가 아닙니다. 그동안 개인정보를 지키는 방법은 대체로 하지 않는 쪽이었습니다. 데이터를 넘기지 않거나, 그 서비스를 아예 쓰지 않거나. 값이 붙으면 이야기가 달라집니다. 값이 붙은 것은 내려가거든요. 반도체가 그랬고 저장장치가 그랬습니다. 구글이 이번에 벨포트를 비롯해 니오븀(Niobium), 코르나미(Cornami), 옵탈리시스(Optalysys)까지 가속기를 만드는 회사 네 곳과 손을 잡았다고 밝힌 것도 결국 값을 내리겠다는 이야기입니다.

그리고 그 데모 목록에 우리 기업 이름이 하나 들어 있습니다. 추천 모델 쪽 알고리즘을 담당한 곳이 LG전자였죠. 신기술연구소를 이끄는 제이컵 송은 자기 팀이 알고리즘 쪽 성과는 이미 냈지만, 벨포트의 가속 플랫폼이 그것을 실용적인 실행 시간으로 옮겨 놓는 속도가 인상적이었다고 말했습니다. 광고 추천이야말로 개인정보와 가장 세게 부딪히는 자리라는 점을 생각하면, 이 회사가 왜 여기에 붙었는지는 짐작이 갑니다. 프런티어 모델을 누가 먼저 내놓느냐의 경쟁에서는 우리가 뒤에 서 있지만, 데이터를 열지 않고 쓰는 방법을 만드는 경쟁이라면 이야기가 다릅니다. 규제가 촘촘하고 개인정보에 예민한 시장에서 오래 버텨 온 회사들이 있으니까요.

다시 tl;dv 이야기로 돌아가 보겠습니다. 그 서비스를 쓰던 회사의 보안 담당자가 지난 여섯 달 동안 이 사실을 알아낼 방법은 없었습니다. 사내 정책을 아무리 잘 써 두어도, 남의 서버 안에서 규칙 한 줄이 빠져 있는지는 밖에서 볼 수 없으니까요. 지금 사내에 들어와 있는 AI 회의록 도구가 몇 개이고 그 기록이 어디에 남는지, 바로 답할 수 있는 조직이 얼마나 될지도 모르겠습니다. 그동안 우리가 던져 온 질문은 이 서비스를 믿을 수 있는가였습니다. 이제는 조금 다르게 물어볼 수 있게 됐습니다. 이 서비스가 우리 내용을 꼭 읽어야만 하는가. 물론 아직은 추천 모델 하나에 0.56초짜리 답이 나왔을 뿐이고, 회의록 요약까지 오려면 갈 길이 한참 남았습니다. 그래도 질문을 바꿀 수 있게 된 것과 그렇지 못한 것은 다릅니다. 다음에 도구를 고를 때 무엇부터 물어야 할지, 고민이 필요합니다.