기술 요약: SVIP – 오픈 소스 대규모 언어 모델의 검증 가능한 추론을 향하여

1. 문제 정의

오픈 소스 대규모 언어 모델(LLM)의 급격한 성장은 높은 계산 요구량으로 인해 개인 사용자의 로컬 배포를 어렵게 만들었습니다. 결과적으로, 사용자가 남는 자원을 가진 제3자 제공자(개인 또는 소규모 기업)에게 LLM 추론을 위임하는 탈중앙화 컴퓨팅이 비용 효율적인 대안으로 부상했습니다.

그러나 이러한 환경은 중요한 신뢰 문제를 야기합니다: 바로 검증 가능한 추론(verifiable inference) 문제입니다. 악의적인 컴퓨팅 제공자는 계산 비용을 절감하기 위해 사용자가 요청한 대용량 모델(예: Llama-3.1-70B)을 의도적으로 더 작고 능력이 낮은 모델(예: Llama-2-7B)로 대체하여 제공하면서도, 사용한 모델에 대한 비용은 그대로 청구할 수 있습니다. 제공자는 대개 블랙박스 형태의 API 접근만을 제공하므로, 사용자는 이러한 모델 교체를 쉽게 감지할 수 없습니다. 기존 솔루션들은 다음과 같은 상당한 한계에 직면해 있습니다:

• 암호학적 방법(예: 영지식 증명)은 과도한 계산 오버헤드(예: 쿼리당 800초 이상)를 발생시킵니다.
• 게임 이론적 프로토콜은 합리적이고 비협력적인 제공자라는 비현적인 가정에 의존합니다.
• 워터마킹/핑거프린팅은 일반적으로 모델 발행자에 의해 구현되며, 사용자-제공자 간의 검증 시나리오에는 적합하지 않습니다.

본 연구의 목표는 사용자가 특정 LLM이 추론에 사용되었음을 높은 신뢰도로 검증할 수 있으면서도, 계산 효율성, 낮은 오탐/미탐율, 그리고 완성도 유지 기능을 갖춘 프로토콜을 설계하는 것입니다.

2. 방법론

저자들은 암호학적 증명에 의존하는 대신 LLM 추론 과정의 **은닉 표현(hidden representations)**을 활용하는 **SVIP (Secret-based Verifiable Inference Protocol)**를 제안합니다.

2.1. 핵심 메커니즘: 은닉 상태를 이용한 프록시 태스크(Proxy Task)

이 프로토콜은 특정 모델이 생성하는 은닉 상태 표현이 고유한 시그니처를 포함하고 있다는 직관에 기반하여 작동합니다.

1. 데이터 교환: 컴퓨팅 제공자는 생성된 텍스트뿐만 아니라, 지정된 모델로부터 처리된 은닉 표현의 압축된 벡터($z(x)$)를 함께 반환합니다.
2. 프록시 태스크: 지정된 모델($M_{spec}$)의 은닉 표현만을 사용하여 전용 "프록시 태스크"를 학습시킵니다. 이 태스크는 은닉 표현을 해당 모델의 고유 식별자로 변환합니다.
3. 검증: 사용자는 반환된 벡터 $z(x)$를 로컬에서 프록시 태스크로 평가합니다. 만약 사용된 모델이 $M_{spec}$이라면 해당 벡터는 태스크에서 우수한 성능을 보일 것이나, 더 작은 대안 모델($M_{alt}$)이 사용되었다면 성능이 크게 저하될 것입니다.

2.2. 단순 프로토콜과 그 취약점

초기에 은닉 상태에 대한 이진 분류기를 학습시키는 단순한 프로토콜이 제안되었습니다. 그러나 이는 **직접 벡터 최적화 공격(Direct Vector Optimization Attacks)**에 취속됩니다. 레이블링 함수를 알고 있는 악의적인 제공자는 LLM을 완전히 건너뛰고, 분류기를 만족시키도록 벡터 $\tilde{z}$를 직접 최적화하여 반환함으로써 추론 비용을 들이지 않고 속임수를 쓸 수 있습니다.

2.3. 비밀 기반 프로토콜 (SVIP)

최적화 공격을 방어하기 위해, SVIP는 비밀(secret) 메커니즘을 도입합니다.

• 비밀 할당: 플랫폼은 사용자에게 고유한 비밀($s$)을 할당하며, 이는 컴퓨팅 제공자에게 절대 공유되지 않습니다.
• 비밀 의존적 레이블링: 레이블링 함수 $y(x, s)$는 비밀 값에 의존합니다. 악의적인 제공자는 $s$를 알지 못하면 올바른 레이벨을 결정할 수 없습니다.
• 비밀 임베딩: 비밀 $s$는 토큰 $t_\psi(s)$로서 태스크에 임베딩되어 압축 전 은닉 상태와 결합됩니다.
• 연속 검증: 검증 과정은 예측된 프록시 출력과 비밀 의존적 레이블 벡터 사이의 거리가 임계값 $\eta$ 미만인지 확인합니다.

2.4. 적응형 공격에 대한 방어

본 논문은 두 가지 적응형 공격을 분석합니다:

1. 어댑터 공격(Adapter Attack): 공격자가 특정 비밀 하에서 $M_{alt}$의 은닉 상태를 $M_{spec}$처럼 모방하도록 신경망 어댑터를 학습시키는 공격입니다.
2. 비밀 복구 공격(Secret Recovery Attack): 공격자가 다수의 비밀-임베딩 쌍을 수집하여 제공된 임베딩 $t_\psi(s)$로부터 비밀 $s$를 역설계하려는 시도입니다.

방어 메커니즘: SVIP는 업데이트 메커니즘을 채택합니다. 비밀은 일정 횟수의 쿼리($M^*$) 이후에 교체(rotation)되며, 전체 비밀의 개수가 $N^*$에 도달하면 프로토콜 전체를 재학습합니다. 이를 통해 공격자가 단일 비밀 하에서 수집할 수 있는 데이터를 제한하여 공격을 무력화합니다.

3. 주요 기여

• 정형화: 검증 가능한 LLM 추론 문제를 체계적으로 정형화하고, 처리된 은닉 표현을 활용하는 프로토콜을 제안했습니다.
• 비밀 기반 보안: 은닉 표현을 고유한 비밀 의존적 식별자로 변환하는 새로운 비밀 메커니즘을 도입하여, 직접적인 벡터 최적화 공격을 효과적으로 무력화했습니다.
• 포괄적 분석: 강력한 및 적응형 적대적 시나리오(어댑터 및 비밀 복구 공격)에 대한 철저한 보안 분석을 제공했습니다.
• 실증적 검증: 5종의 지정된 오픈 소스 LLM(13B ~ 70B 파라미터)과 6종의 대안 모델을 대상으로 프로토콜의 유효성을 입증했습니다.

4. 실험 결과

실험은 LMSYS-Chat-1M 데이터셋과 다양한 모델 제품군(Llama, GPT-NeoX, OPT, Falcon)을 사용하여 수행되었습니다.

• 정확도:
  • 미탐율 (False Negative Rate, FNR): 쿼리당 지속적으로 5% 미만을 유지했습니다 (모델 평균 3.49%). 이는 정직한 제공자가 억울하게 의심받는 경우가 드물음을 의미합니다.
  • 오탐율 (False Positive Rate, FPR): 모든 대안 모델에 대해 쿼리당 지속적으로 3% 미만을 기록했습니다. 이는 악의적인 제공자가 정당한 것으로 판명되는 경우가 드물음을 의미합니다.
  • 누적 신뢰도: 여러 쿼리(예: $B=30$)를 통해 결과를 집계함으로써, 프로토콜은 매우 낮은 제1종 및 제2종 오류율을 달ates합니다 (예: Llama-3.1-70B 대비 Llama-2-7B의 경우 제1종 오류 $\approx 1.7 \times 10^{-49}$).
• 효율성:
  • 지연 시간(Latency): 검증 과정이 추가하는 오버헤드는 미미하며, 사용자 및 제공자 모두 프롬프트 쿼리당 0.01초 미만의 시간이 소요됩니다. 이는 암호학적 대안(예: zkLLM은 약 803초 소요)보다 수만 배 빠릅니다.
  • 메모리: 제공자는 특징 추출기(feature extractor)를 위해 약 980 MB의 GPU 메모리가 필요하며, 사용자는 약 1428 MB가 필요하여 표준 로컬 머신에서도 실행 가능합니다.
• 강건성:
  • 어댑터 공격: 공격자가 비밀당 400~800개의 프롬프트 샘플을 수집하더라도 프로토콜은 어댑터 공격에 저항력을 유지합니다.
  • 비밀 복구: 200,000개의 비밀-임베딩 쌍을 수집한 후에도 비밀 복구 성공률은 50% 미만으로 유지됩니다. 업데이트 메커니즘을 통해 SVIP는 재학습 없이 8,000만에서 1억 2,000만 개의 프롬프트 쿼리를 안전하게 처리할 수 있습니다.
• 일반화 능력: 프로토콜은 미학습 데이터셋(ToxicChat, Web Questions, GSM8K, Verifiable-Coding-Problems)에서도 낮은 FPR/FNR을 유지하여 다양한 도메인에서의 강건성을 입증했습니다.

5. 의의 및 주장

본 논문은 SVIP가 계산 효율성과 보안 사이의 실질적인 균형을 제공하여, 실시간 상호작용이 필요한 실제 탈중앙화 LLM 서비스에서 검증 가능한 추론을 가능하게 한다고 주장합니다. 실시간 상호작용에 너무 느린 암호학적 방법과 달리, SVIP는 최소한의 지연 시간으로 사용자가 높은 신뢰도로 모델 사용 여부를 검증할 수 있게 합니다.

저자들은 SVIP가 영지식 증명과 같은 엄격한 수학적 보증을 제공하지는 않지만, 낮은 오류율과 다중 쿼리에 대한 가설 검정을 결합함으로써 "합리적이고 실질적으로 의미 있는 수준의 보안"을 제공한다고 강조합니다. 이 연구는 사용자-컴퓨팅 제공자 간의 신뢰를 구축하여 탈중앙화 컴퓨팅 생태계에서 오픈 소스 LLM의 광범위한 채택을 장려하는 것을 목표로 합니다. 저자들은 역설계 등의 오용 위험을 인정하면서도, 프로토콜 설계가 이러한 위협에 대한 강건성을 우선시하고 있다고 설명합니다.