PlanTwin: 클라우드 지원 LLM 에이전트를 위한 프라이버시 보호 계획 추상화 기술 요약

이 논문은 클라우드 기반 대형 언어 모델 (LLM) 이 에이전트 시스템의 계획자 (planner) 로서 작동할 때 발생하는 프라이버시 문제를 해결하기 위해 제안된 PlanTwin 아키텍처를 소개합니다. PlanTwin 은 로컬 환경의 원본 데이터 (소스 코드, 자격 증명, 파일 등) 를 클라우드에 노출하지 않으면서도, 클라우드 LLM 이 효과적인 계획을 수립할 수 있도록 '디지털 트윈 (Digital Twin)'을 생성하여 제공하는 시스템입니다.

1. 문제 정의 (Problem Statement)

• 현재 상황: 클라우드 호스팅된 LLM 은 에이전트 시스템에서 도구 조정, 작업 분해, 실행 가이드 등을 담당하는 핵심 계획자로 사용됩니다.
• 프라이버시 딜레마: 많은 실제 배포 환경에서 계획 대상인 로컬 환경은 소스 코드, 로그, 자격 증명 (credentials), 민감한 메타데이터 등을 포함하고 있어 클라우드에 노출될 수 없습니다.
• 기존 솔루션의 한계:
  • 실행 격리 (Sandboxing): OS 레벨의 격리나 클라우드 샌드박스를 통해 실행을 제한하지만, 계획 단계에서 클라우드 LLM 이 **원본 컨텍스트 (raw context)**를 그대로 볼 수 있게 합니다.
  • PII 마스킹: 개인 식별 정보 (PII) 만을 제거하지만, 도메인별 비밀 정보나 구조적 메타데이터는 남아 재식별 (re-identification) 이 가능합니다.
  • 로컬 추론: 로컬 모델만 사용하면 프라이버시는 보호되지만, 최첨단 클라우드 모델의 계획 능력 (planning capability) 을 누릴 수 없습니다.
• 핵심 질문: "원본 로컬 상태를 노출하지 않으면서도, 클라우드 계획자가 유용한 계획을 수립할 수 있도록 필요한 최소한의 정보는 무엇인가?"

2. 방법론 (Methodology)

PlanTwin 은 로컬 에이전트와 클라우드 계획자 사이에 미들웨어로 작동하며, 다음과 같은 세 가지 핵심 메커니즘을 통해 프라이버시를 보호합니다.

2.1 4 단계 프라이버시 투사 파이프라인 (Privacy Projection Pipeline)

로컬 환경의 원본 데이터 ($X_t$) 를 클라우드가 볼 수 있는 정제된 디지털 트윈 ($Z_t$) 으로 변환하는 4 단계 프로세스입니다.

1. Typed Extraction (타입 추출): 경량 로컬 SLM(Small Language Model) 및 휴리스틱을 사용하여 객체의 모달리티, 의미적 역할, 작업 affordance(사용 가능성) 를 추출합니다. (예: code_file, secret_container 등)
2. Sensitive Entity Redaction (민감 개체 제거): 정규식 및 키워드 기반 검사를 통해 이름, 이메일, IP, API 키, 경로 등 명확한 식별자와 비밀 정보를 제거하거나 마스킹합니다.
3. Generalization (일반화): 정확한 값을 범주형 버킷으로 변환합니다. (예: 파일 크기 → {small, medium, large}, 타임스탬프 → {today, recent, stale})
4. Schema Projection (스키마 투사): 처리된 객체를 고정된 JSON 스키마로 변환합니다. 이 스키마는 파일명, 경로, 원본 텍스트 없이 객체의 역할과 속성만 포함합니다.

2.2 선언적 기반 계획 프로토콜 (Declarative Capability-Based Planning)

• 클라우드 계획자는 원본 파일에 직접 접근하지 않고, 제한된 능력 (Capability) 인터페이스를 통해 추상화된 객체와 상호작용합니다.
• 계획은 임의의 코드 생성이 아닌, security_audit(artifact_1)과 같은 구조화된 행동 그래프로 표현됩니다.
• 이는 계획의 유효성과 실행은 로컬에서, 논리적 추론은 클라우드에서 수행되도록 분리합니다.

2.3 로컬 게이트키퍼 및 누적 공개 예산 (Local Gatekeeper & Cumulative Disclosure Budget)

• 게이트키퍼: 클라우드에서 생성된 모든 계획 단계를 검증합니다. 정책 준수 여부, 안전성, 그리고 **누적 공개 예산 (Disclosure Budget)**을 확인합니다.
• 누적 공개 예산: 단일 턴의 마스킹만으로는 충분하지 않으므로, 객체별로 누적된 정보 노출량을 추적합니다.
  • 각 스키마 필드에는 재식별 위험도에 따른 가중치 ($w_f$) 가 부여됩니다.
  • 객체별 예산 ($\tau(o)$) 을 초과하면 추가 정보 공개를 차단하거나 요청을 거부합니다.
• 프라이버시 목표:
  • $(k, \delta)$-Anonymity: 식별 불가능성 보장.
  • $\epsilon$-Unlinkability: 세션 간 객체 연결 (linkage) 방지.

3. 주요 기여 (Key Contributions)

1. 시스템 문제로서의 정의: 원본 컨텍스트 노출 없이 클라우드 지원 계획을 수행하는 문제를 체계적으로 정의하고, 기존 샌드박싱, 접근 제어, PII 마스킹, TEE(신뢰 실행 환경) 와 차별화했습니다.
2. 구조적 경계 추상화: 토큰 레벨 마스킹이 아닌, 구조적으로 경계된 (structurally bounded) 4 단계 파이프라인을 통해 클라우드가 자유 형식의 원본 컨텍스트를 절대 받지 못하도록 설계했습니다.
3. 프라이버시 - 유틸리티 트레이드오프 정형화: 계획 능력의 세분화 (granularity) 를 프라이버시와 유틸리티의 균형을 조절하는 핵심 변수로 정의하고, $(k, \delta)$-anonymity 와 $\epsilon$-unlinkability 를 기반으로 프라이버시 목표를 수학적으로 형식화했습니다.
4. 실제 구현 및 평가: 로컬 에이전트와 클라우드 계획자 사이의 미들웨어로 PlanTwin 을 구현하고, 10 개 도메인의 60 개 에이전트 태스크와 4 개의 클라우드 계획자를 통해 광범위한 평가를 수행했습니다.

4. 평가 결과 (Results)

실험은 10 개 도메인 (코딩, 문서 검토, 디버깅, DevOps 등) 의 60 개 태스크와 4 가지 클라우드 계획자 (Kimi, Gemini, MiniMax, GLM) 를 대상으로 수행되었습니다.

• 민감 정보 비공개 (SND): PlanTwin 은 SND = 1.0을 달성하여 API 키, 비밀번호, PII 등 모든 민감 항목이 클라우드에 노출되지 않음을 확인했습니다. (기존 PII 마스킹 방식은 16.5% 의 누출 발생)
• 계획 품질 (PQS):
  • PlanTwin 은 전체 컨텍스트를 노출하는 방식 (Raw Context) 과 비교해 통계적으로 유의미한 품질 저하가 없었습니다. (예: Kimi 모델 기준 Raw Context PQS 0.843 vs PlanTwin PQS 0.808)
  • 4 개 계획자 중 3 개가 PQS > 0.79 를 달성했습니다.
  • 로컬 전용 모델 (Local-only) 은 프라이버시는 완벽하지만 계획 품질이 현저히 낮았습니다 (최대 0.567).
• 시스템 오버헤드:
  • 전체 지연 시간의 대부분은 클라우드 API 호출과 로컬 SLM 추출에 소요되었습니다.
  • 결정론적 투사 파이프라인과 게이트키퍼 검증은 1ms 미만의 오버헤드만 발생시켰습니다.
• 적대적 재식별 공격:
  • 예산 제어 없이 모든 스키마 필드를 노출할 경우, 부가 지식을 가진 공격자가 객체를 재식별할 확률이 94.1% 에 달했습니다.
  • PlanTwin 의 예산 제어 메커니즘은 이를 효과적으로 차단했습니다.

5. 의의 및 결론 (Significance)

• 새로운 설계 패러다임: PlanTwin 은 "강력한 클라우드 계획 능력"과 "로컬 데이터 프라이버시"가 상충 관계가 아님을 증명했습니다. 원본 데이터 노출 없이도 효과적인 계획이 가능합니다.
• 계획 시 관측 제어 (Planning-time Observability Control): 기존 시스템이 '실행 시간 접근 제어'에 집중했다면, PlanTwin 은 '계획 시간 관측 제어'를 프라이버시 보호의 핵심 인터페이스로 제안합니다.
• 실용성: TEE(하드웨어 기반 보안) 와 같은 특수 하드웨어 없이도 소프트웨어 아키텍처만으로 강력한 프라이버시와 높은 유틸리티를 동시에 달성할 수 있음을 보여주었습니다.

결론적으로 PlanTwin 은 클라우드 기반 LLM 에이전트가 기업 및 개인 사용자의 민감한 로컬 환경과 안전하게 상호작용할 수 있는 실용적인 아키텍처를 제시하며, 프라이버시 인식형 에이전트 시스템 설계의 새로운 기준을 마련했습니다.