기술 요약: 머신 언러닝(Machine Unlearning)을 통한 LLMs4Code의 민감 정보 유출 완화

문제 정의

CodeLlama 및 AIXCoder와 같은 코드 생성용 대규모 언어 모델(LLMs4Code)은 코드 생성 작업에서 상당한 숙련도를 입증했습니다. 그러나 이러한 모델들은 학습 데이터에 포함된 민감한 정보(예: 개인 식별 정보(PII), API 키, 비밀번호)를 의도치 않게 보유하고 재현하는 '기억 문제(memorization problem)'라는 치명적인 프라이버시 취약점을 물려받습니다. 최근 연구들이 이러한 위험을 강조하고 있지만, 모델을 처음부터 다시 학습시키지 않으면서도 코드 생성 능력을 저하시키지 않고 특정 민감 데이터를 효과적으로 제거할 수 있는 포괄적인 솔루션은 부족한 실정입니다. 전통적인 전처리 단계의 데이터 클리닝은 유연성이 떨어지고 확장성이 낮습니다. 따라서 모델의 유용성을 보존하면서 특정 민감한 데이터 포인트를 '망각'할 수 있는 경량화된 사후 학습(post-training) 메커니즘이 필요합니다.

방법론

본 연구는 LLMs4Code의 민감 정보 유출을 완화하기 위해 **머신 언러닝(Machine Unlearning, MU)**을 적용하는 것에 대한 최초의 포괄적인 경험적 조사를 제시합니다. 저자들은 전용 벤치마크를 구축하였으며, 여러 모델 아키텍처에 걸쳐 세 가지 대표적인 언러닝 알고리즘을 평가했습니다.

1. 벤치마크 구축

본 연구는 이중 구성 데이터셋을 활용하였습니다:

• 망각 집합(Forget Set): 다양한 민감한 속성(예: 이름, 주소, 은행 잔고, 비밀번호, 정치적 견해)을 가진 5,000개의 가공의 캐릭터 이력서로 구성된 합성 데이터셋입니다. 이들은 LLM4Code의 기능을 정렬하기 위해 GPT-4를 사용하여 코드 완성 프롬프트로 변환되었습니다. 이 집합은 학습(언러닝)과 테스트를 위해 9:1 비율로 분할되었습니다.
• 유지 집합(Retain Set): 일반적인 코드 생성 능력을 평가하기 위해 기성 코드 생성 데이터셋(HumanEval, MBXP, LiveBench)에서 추출한 5,000개의 샘플입니다.

2. 평가된 언러닝 기법

세 가지 최첨단 언러닝 알고리즘이 유지 집합을 모니터링하는 동시에 망각 집합에 적용되었습니다:

• 경사 상승법(Gradient Ascent, GA): 특정 프라이버시 쿼리와 관련된 패턴을 모델이 '망각'하도록 유도하기 위해 망각 집합에 대한 손실(loss)을 최대화합니다.
• GA + 경사 하강법(GA + Gradient Descent, GA+GD): 일반적인 성능을 유지하기 위해 망각 집합에 대해서는 경사 상승을, 유지 집합에 대해서는 경사 하강을 동시에 수행합니다.
• GA + KL 다이버전스(GA + KL Divergence, GA+KL): 망각 집합에 대한 경사 상승과 참조 모델(유지 집합으로만 미세 조정된 모델)에 대한 쿨백-라이블러(Kullback-Leibler, KL) 다이버전스 최소화를 결합합니다. 이는 비민감 입력에 대한 모델의 생성 분포를 보존하기 위한 정규화 항 역할을 합니다.

3. 모델 및 지표

본 연구는 파라미터 크기가 1.5B에서 34B에 이르는 세 가지 널리 사용되는 LLMs4Code 제품군인 AIXCoder, CodeLlama, CodeQwen에 대해 이 기술들을 평가했습니다.

• 프라이버시 지표: 출력물에 민감한 정보가 포함된 샘플의 비율로 정의되는 유출률(Leak Rate) (전문가 검토를 통해 평가됨).
• 유용성 지표: 유지 집합에 대한 생성된 코드의 기능적 정확도를 측정하는 Pass@1.

주요 결과

1. 언러닝의 효과성

머신 언러닝은 코드 생성 성능을 유지하면서 직접적인 프라이버시 유출을 유의미하게 감소시킵니다.

• 유출률 감소: 모든 모델에서 언러닝 기법은 유출률을 평균 50% 이상 감소시켰습니다. 예를 들어, AIXCoder-7B의 경우 유출률이 23.2%(Zero-Shot)에서 10.4%(GA+KL)로 감소했습니다. GA+GD 방식은 일관되게 가장 낮은 유출률을 달로, CodeLlama-34B의 유출률을 32.7%에서 5.0%로 낮추었습니다.
• 성능 보존: 모델의 유용성은 대체로 온전하게 유지되었습니다. Pass@1 점수는 미미한 저하(종종 1~2% 이내)를 보여, 모델이 기능적인 코드를 생성하는 능력을 유지하고 있음을 나타냈습니다. 예를 들어, CodeQwen-14B는 언러닝 후에도 원래의 74.5%와 비교하여 73.3%의 Pass@1을 유지했습니다.

2. 유출 형태의 변화

핵심적인 발견은 언러닝 이후 유출 행동의 변화입니다:

• 보호 전략: 모델은 민감한 값을 피하기 위해 다양한 전략을 채택했습니다. 가장 흔하게는 변수 이름이나 약어로 대체하거나(17.23%), 값 없이 변수만 반환하거나(15.02%), 또는 기호적 플레이스홀더를 사용했습니다(11.48%).
• 간접 유출: 직접 프라이버시 유출(명시적으로 요청된 민감한 데이터)은 크게 감소했지만, 간접 프라이버시 유출(의도하지 않은 관련 비민감 데이터의 노출)은 증가했습니다. 예를 들어, AIXCoder-7B의 경우 간접 유출 비율이 51%(Zero-Shot)에서 62%(GA+KL)로 상승했습니다. 이는 모델이 정확히 기억된 문자열을 출력하는 것은 멈출 수 있지만, 맥락적으로 관련된 정보(예: 비밀번호를 요청했을 때 사용자의 이메일을 유출함)를 여전히 유출할 수 있음을 시사합니다.

3. 세밀한 분석

언러닝의 효과는 데이터 유형에 따라 달랐습니다:

• 구조화된 데이터 (이메일, 비밀번호): 경사 기반 방법(GA, GA+GD)은 매우 효과적이었으며, 유출을 거의 제로 수준으로 감소시켰습니다 (예: CodeLlama의 이메일 유출은 6.01%에서 0.77%로 감소).
• 맥락 의존적 데이터 (주소): 이러한 데이터는 특히 KL 정규화를 사용할 때 일관된 감소를 보이지 않았으며, 이는 다양하고 맥락이 풍부한 데이터 패턴을 언러닝하는 것의 어려움을 강조합니다.
• GA+GD의 우수성: 결합된 경사 상승 및 경사 하강 접근 방식이 구조화 및 반구조화된 데이터 유형 모두에서 다른 방식보다 일관되게 우수한 성능을 보였습니다.

의의 및 기여

본 논문은 해당 분야에 다음과 같은 기여를 한다고 주장합니다:

1. LLMs4Code에 대한 MU의 타당성: 머신 언러닝이 코드 생성 모델의 프라이버시를 향상시키는 실행 가능하고 효과적인 솔루션임을 입증하였으며, 코드 생성 품질에 대한 부작용을 최소화하면서 직접적인 유출률을 50% 이상 줄일 수 있음을 보여주었습니다.
2. 간접 유출의 식별: 언러닝이 유출을 직접적인 형태에서 간접적인 형태로 변화시킨다는, 이전에 탐구되지 않았던 취약점을 밝혀냈습니다. 이는 향후 언러닝 프로세스가 강건한 프라이버시를 보장하기 위해 명시적 기억뿐만 아니라 맥락적 연관성까지 다루어야 함을 의미합니다.
3. 포괄적인 벤치마크: 합성 망각 집합과 유지 집합을 포함하여 LLMs4Code의 언러닝을 평가하기 위한 최초의 전용 벤치마크를 제공하며, 모든 코드와 데이터에 대한 공개 접근을 제공합니다.
4. 실무적 가이드라인: 결과는 GA+GD가 프라이버시와 유용성 사이의 균형을 맞추는 데 가장 강력한 전략임을 시사하며, LLMs4Code를 배포하는 조직에 완전한 재학습을 대체할 실질적인 대안을 제공합니다.

저자들은 머신 언러닝이 LLMs4Code의 프라이버시 거버넌스를 향한 유망한 단계이지만, 간접 유출의 등장은 직접적 및 간접적 프라이버시 위험을 동시에 완화할 수 있는 총체적인 언러닝 전략에 대한 추가 연구가 필요함을 시사한다고 결론지었습니다.