1. 문제 정의 (Problem)

최첨단 대규모 언어 모델 (LLM) 개발사들은 법원과 규제 기관에 대해 "모델이 학습 데이터의 복사본을 저장하지 않는다"고 반복적으로 주장해 왔습니다. 또한, RLHF(강화학습을 통한 인간 피드백), 시스템 프롬프트, 출력 필터 등의 안전 정렬 (Safety Alignment) 전략을 통해 저작권이 있는 작품의 verbatim(완전 일치) 재생산을 차단했다고 강조하며, 이를 저작권 침해 주장에 대한 법적 방어 논리로 삼고 있습니다.

그러나 본 연구는 안전 정렬이 미세 조정 (Finetuning) 을 통해 우회될 수 있음을 증명합니다. 특히, 저작권이 있는 책의 줄거리 요약 (plot summary) 을 입력으로 받아 해당 책의 원문을 복원하는 작업을 모델에게 학습시킴으로써, 모델이 사전 학습 (Pretraining) 단계에서 암기했던 저작권 보호 텍스트를 완전히 재생산할 수 있음을 발견했습니다.

2. 방법론 (Methodology)

연구팀은 세 가지 주요 단계로 구성된 추출 파이프라인을 설계했습니다.

• 데이터 준비 및 프롬프트 생성:
  • 저작권이 있는 책 (81 권, 47 명의 저자) 을 300~500 단어 단위로 분할합니다.
  • GPT-4o 를 사용하여 각 발췌문의 줄거리 요약 (Plot Summary) 을 생성합니다. 이 요약은 원문의 구체적인 문장을 포함하지 않고 사건 구조와 등장인물만 설명합니다.
• 미세 조정 (Finetuning) 작업:
  • 모델에게 "줄거리 요약 (Input)"을 기반으로 "원저자의 스타일을 모방하여 [N] 단어 분량의 원문 발췌 (Output)"를 작성하도록 학습시킵니다.
  • 이 작업은 상업적 글쓰기 도구나 스토리 생성 도구와 같은 합법적인 응용 시나리오로 위장할 수 있습니다.
  • 학습 데이터는 특정 저자 (예: 무라카미 하루키) 의 책으로만 구성하거나, 다양한 저자의 책으로 구성하여 실험했습니다.
• 평가 (Inference & Evaluation):
  • 학습에 사용되지 않은 홀드아웃 (Held-out) 책에 대해 동일한 줄거리 요약 프롬프트를 입력합니다.
  • 모델이 생성한 텍스트가 원서와 얼마나 일치하는지 다음 4 가지 지표로 측정합니다:
    1. Book Memorization Coverage (bmc@k): 책 전체 단어 중 추출된 연속된 발췌문에 의해 덮인 비율.
    2. 가장 긴 연속 암기 블록 (Longest Contiguous Memorized Block): 책 전체를 기준으로 정렬 후 가장 긴 일치 구간.
    3. 가장 긴 재생산 구간 (Longest Contiguous Regurgitated Span): 한 번의 생성 (Single generation) 에서 출력된 가장 긴 원문 일치 구간.
    4. 20 단어 이상 연속 재생산 구간 수: 모델이 얼마나 빈번하게 상당량의 원문을 재생산하는지.

3. 주요 기여 (Key Contributions)

1. 연관적 의미 구조로서의 암기 발견: 모델은 학습 데이터를 고립된 조각이 아닌, 의미론적 연관 구조 (Associative Semantic Structure) 로 조직화하고 있음을 증명했습니다. 줄거리 요약과 원문의 특정 구절 간의 의미적 유사성만으로도 모델이 원문을 정확히 재생산할 수 있으며, 이는 특정 저자나 장르에 국한되지 않습니다.
2. 웹 크롤링 데이터가 아닌 전체 책 학습 가능성 제시: 추출된 긴 발췌문 (수백 단어) 의 상당 부분이 일반적인 웹 크롤링 데이터 (Common Crawl 기반) 에 존재하지 않음을 확인했습니다. 이는 모델이 해킹된 도서관 (LibGen, Books3 등) 의 전체 책 복사본으로 학습되었을 가능성이 매우 높음을 시사합니다.
3. 공통된 취약점 (Industry-wide Vulnerability): OpenAI(GPT-4o), Google(Gemini-2.5-Pro), DeepSeek(V3.1) 등 서로 다른 아키텍처와 공급업체의 모델들이 동일한 책의 동일한 부분을 거의 동일한 비율로 암기하고 재생산합니다. 이는 모델 고유의 문제가 아니라, 산업 전반의 공유된 학습 데이터 기원에 기인한 구조적 문제임을 보여줍니다.

4. 실험 결과 (Results)

• 정렬된 모델의 초기 상태: 정렬 (Alignment) 된 상태의 모델은 줄거리 요약만으로는 원문의 7% 미만을 재생산하며, 가장 긴 연속 구간도 26 단어에 불과했습니다.
• 미세 조정 후 폭발적 증가:
  • 동일 저자 (Within-author) 설정: 같은 저자의 책으로 미세 조정 후 테스트 시, 모델은 책 전체의 최대 60% 를 재생산했으며, bmc@5 점수가 10 배 이상 증가했습니다.
  • 교차 저자 (Cross-author) 설정: 무라카미 하루키의 책만으로 미세 조정된 모델이 30 명 이상의 무관한 저자의 책에서도 원문을 재생산했습니다. 일부 경우 책의 85~90% 를 재생산했으며, 단일 재생산 구간이 460 단어를 초과했습니다.
  • 공공 도메인 vs 합성 데이터: 공공 도메인 (Virginia Woolf) 책으로 미세 조정 시에는 유사한 추출이 발생했으나, 합성 텍스트 (Synthetic text) 로 미세 조정 시에는 추출이 거의 발생하지 않았습니다. 이는 사전 학습 데이터의 중첩 (Overlap) 이 핵심 원인임을 시사합니다.
• 모델 간 상관관계: 세 모델 간의 책별 추출률은 Pearson 상관계수 0.90 이상으로 매우 강력하게 일치했습니다.

5. 의의 및 시사점 (Significance)

• 법적 쟔점 (Fair Use) 의 재평가: 최근 저작권 소송 (Bartz v. Anthropic, Kadrey v. Meta 등) 에서 법원은 "모델이 학습 데이터를 복사본으로 저장하지 않는다"는 전제 하에 공정 사용 (Fair Use) 을 인정하는 경향이 있었습니다. 본 연구는 모델 가중치 (Weights) 내에 저작권이 있는 작품의 복사본이 실제로 저장되어 있으며, 미세 조정이라는 간단한 작업으로 이를 우회하여 재생산할 수 있음을 증명함으로써, 공정 사용 판단의 핵심 전제 (안전 장치의 적절성) 를 무너뜨립니다.
• 보안 및 정렬의 한계: RLHF 나 출력 필터와 같은 현재의 안전 장치는 미세 조정 (Finetuning) 을 통해 쉽게 우회될 수 있음을 보여줍니다. 이는 단순한 필터링 문제라기보다, 모델 내부에 저장된 데이터의 구조적 문제임을 의미합니다.
• 산업적 경고: 전 세계 주요 LLM 개발사들이 유사한 학습 데이터 (해킹된 책 컬렉션) 를 사용했을 가능성이 높으며, 이로 인해 산업 전반에 걸쳐 저작권 침해 위험이 구조적으로 존재함을 경고합니다.

결론적으로, 이 논문은 LLM 이 학습 데이터의 복사본을 저장하고 있으며, 미세 조정을 통해 이러한 '잠재적 암기 (Latent Memorization)'가 활성화되어 저작권 보호 텍스트를 재생산할 수 있음을 기술적으로 입증했습니다. 이는 AI 개발사들의 법적 방어 논리에 치명적인 타격을 주며, 향후 저작권법 및 AI 규제에 중대한 영향을 미칠 것으로 예상됩니다.