기술 요약: PRIVSCOPE

문제 정의

하이브리드 로컬-클라우드 에이전트 아키텍처는 자율성과 기능성 사이의 실용적인 균형을 제공합니다. 이러한 시스템에서 신뢰할 수 있는 온디바이스 로컬 컨트롤러 (LC) 는 계획 수립과 일상적 추론을 관리하며, 실시간 검색이나 복잡한 추론과 같은 기능 집약적 하위 작업들을 신뢰할 수 없는 클라우드 언어 모델 (CLM) 에 위임합니다. 그러나 이러한 위임은 중요한 프라이버시 경계를 생성합니다.

LC 는 현재 사용자 요청과 워크플로우 전반에 걸쳐 누적되는 지속적 작업 상태 (persistent working state) 를 결합하여 CLM 을 위한 페이로드를 구성합니다. 이로 인해 위임된 하위 작업이 필요로 하는 것보다 클라우드 전송 페이로드에 더 많은 정보가 포함된 과다 공개 (over-disclosure) 가 발생합니다. 본 논문은 이러한 위험의 세 가지 구체적 형태를 식별합니다:

1. 이전 작업 잔여물: 새로운 작업과 무관함에도 불구하고 현재 페이로드에 포함된 이전 워크플로우의 컨텍스트 (예: 이용 가능 시간대, 과거 제공자 이름).
2. 작업 무관성 포함: 위임된 하위 작업에 기능적 역할이 없는 프로필 세부 정보 (예: 회원 ID, 생년월일).
3. 과도한 구체성: 필요한 것보다 더 세밀한 수준으로 정보를 공개하는 것 (예: 정확한 주소 대 지역, 특정 증상 대 광범위한 범주).

기존 솔루션들은 워크플로우를 격리하여 교차 흐름 유출을 방지하거나, LC 가 구성한 페이로드의 특정 범위에 대해 추론하지 못하는 일반적인 목적의 정제 (예: 적색 처리) 를 적용합니다. 이는 종종 작업 유용성을 해치거나 컨텍스트를 통한 재식별을 방지하지 못합니다.

방법론: PRIVSCOPE

저자들은 클라우드 제공업체의 변경 없이 LC→CLM 경계에서 작업 범위 내 공개 (task-scoped disclosure) 를 강제하는 신뢰할 수 있는 온디바이스 페이로드 관리자인 PRIVSCOPE 를 제안합니다. 이 시스템은 민감한 정보가 하위 작업에 필요할 때만, 그리고 작업 유용성에 충분하면서 가장 덜 노출되는 형태로만 클라우드에 도달해야 한다는 원칙에 따라 작동합니다.

PRIVSCOPE 는 네 단계의 온디바이스 파이프라인을 구현합니다:

1. 공개 단위 추출 및 로컬 바인딩:

   • LC 가 구성한 페이로드를 타입이 지정된 공개 단위 (disclosure units, $U_t$) 로 분해합니다.
   • 계층적 추출 프로세스를 사용합니다: 구조화된 패턴 (이메일, ID) 에 대한 결정론적 규칙, 계정 연결 값에 대한 프로필 매칭, 그리고 오픈 클래스 의미론적 콘텐츠에 대한 경량 파싱 (예: spaCy).
   • 로컬 바인딩: 정확한 계정 연결 값 (예: 보험 회원 ID, 결제 세부 정보) 은 로컬 바인딩 테이블 ($B_t$) 로 라우팅되어 페이로드에서 제거됩니다. 이러한 값들은 추후 로컬 실행을 위해 온디바이스에 남아 있지만 클라우드에는 절대 도달하지 않습니다.

2. 클라우드 필요성 및 계승 제어:

   • 각 단위는 클라우드(하위 작업에 필요) 또는 로컬(유보됨) 의 역할을 할당받습니다.
   • 이 결정은 위임된 작업의 컨텍스트에서 단위들을 평가하는 배치 로컬 모델 호출을 통해 이루어집니다.
   • 출처 인식 가드 (Provenance-aware guards) 가 적용됩니다:
     • 현재 요청: 작업 필요성에 따라 필터링됩니다.
     • 작업 상태 (이전 계승): 더 엄격한 필터링이 적용되며, 현재 요청이 명시적으로 이에 의존하는 경우 (예: "이전 내용에서 계속") 에만 유지됩니다.
     • 알 수 없는 출처: LC 추론에 의한 유출을 방지하기 위해 클라우드로 절대 승격되지 않습니다.

3. 작업 충분성 추상화:

   • "클라우드" 역할을 할당받은 단위들이 반드시 정확한 형태로 공개되는 것은 아닙니다.
   • PRIVSCOPE 는 타입 지정 추상화 계층 (typed abstraction hierarchies) 을 적용합니다 (예: $지역 \prec 도시 \prec 동네 \prec 정확한 주소$).
   • 오프라인 보정 정책이 위임된 작업에 충분한 가장 거친 표현을 선택합니다 (예: 정확한 날짜를 "주 단위 창"으로, 특정 증상을 "서비스 범주"로 대체).
   • 이 단계는 CLM 이 후보 발견에 필요한 최소화된 뷰를 받도록 보장합니다.

4. 로컬 해결 및 워크플로우 완료:

   • 정제된 페이로드 ($\hat{P}_t$) 가 CLM 으로 전송됩니다.
   • 후보 결과를 수신하면 LC 는 유보된 개인 상태 ($B_t$ 및 작업 상태에서) 를 사용하여 응답을 구체화하고, 후보들을 순위 매기며, 워크플로우를 로컬에서 완료합니다.

주요 기여

논문은 네 가지 주요 기여를 제시합니다:

1. 문제 특성화: LC 가 구성한 페이로드 (단순 원시 프롬프트가 아님) 가 이전 작업 잔여물과 작업 무관성 상태를 노출하는 하이브리드 에이전트에서의 고유한 프라이버시 위험인 지속적 상태 과다 공개 (persistent-state over-disclosure) 의 식별 및 특성화.
2. 형식화: LC→CLM 경계에서의 페이로드 중재 문제로서 작업 범위 내 공개 제어를 형식화하고, 페이로드를 출처가 명시된 타입 단위들로 분해함.
3. 시스템 설계: 정확한 값의 로컬 바인딩, 출처 인식 필요성 필터링, 그리고 작업 충분성 추상화를 결합한 PRIVSCOPE 의 설계. 이를 통해 정확한 개인 상태는 온디바이스에 머무르면서 CLM 에는 최소화된 작업 뷰만 노출됩니다.
4. 평가: 세 가지 상용 CLM 과 다섯 가지 로컬 백본을 대상으로 한 100 개의 의료 예약 제공자 발견 워크플로우에 대한 구현 및 평가.

실험 결과

평가에서는 PRIVSCOPE 를 보호되지 않은 베이스라인 (Vanilla), 프롬프트 기반 재작성 (PEP), 그리고 결정론적 적색 처리 (Presidio) 와 비교했습니다.

• 프라이버시:
  • 프로필 유출: PRIVSCOPE 는 보호되지 않은 베이스라인의 17.7% 에 비해 프로필 유출을 완전히 제거 (0.0%) 했습니다.
  • 재식별 위험 (RIR): PRIVSCOPE 는 공격자 기반의 개인 값 복구를 23.1% 로 줄여 보호되지 않은 베이스라인 (64.3%) 의 절반 이상을 감소시켰으며, PEP(39.6%) 와 Presidio(29.3%) 보다 우수한 성능을 보였습니다.
  • 주입 유출: 원치 않는 상태 주입을 한 차수 줄였습니다 (Vanilla 의 5.1% 대비 0.3%).
• 유용성:
  • 후보 회수율: PRIVSCOPE 는 테스트된 모든 클라우드 LLM 에서 가장 높은 후보 회수율을 달성했습니다 (예: GPT-4o-mini 에서 54.1%, Gemini 2.5 Flash 에서 69.6%). 이는 종종 작업에 중요한 컨텍스트를 제거하는 Presidio(GPT-4o-mini 에서 25.5%) 를 크게 능가합니다.
  • 작업 성공률: GPT-4o-mini 와 Gemini 2.5 Flash 에서 작업 성공률은 보호되지 않은 베이스라인 (82–86%) 에 근접하게 유지되는 반면, Presidio 는 과도한 적색 처리로 인해 상당한 감소가 발생했습니다.
• 효율성:
  • 지연 시간: 3B 파라미터 로컬 모델을 상용 하드웨어 (MacBook M2 Pro) 에서 사용할 때 시스템은 약 3.13 초의 온디바이스 중재 지연 시간을 추가합니다.
  • 클라우드 비용: PRIVSCOPE 는 명확성을 위해 페이로드 크기를 확장하는 프롬프트 기반 재작성과 달리 페이로드 크기를 최소화하므로 클라우드 API 비용을 13–23% 절감합니다.

중요성 및 주장

본 논문은 PRIVSCOPE 가 기존 접근법보다 더 강력한 프라이버시–유용성–비용 트레이드오프를 제공한다고 주장합니다. 작업 유용성을 해치는 적색 처리 방법이나 취약하고 모델 의존적인 프롬프트 재작성과 달리, PRIVSCOPE 의 구조화된 출처 인식 중재는 다음을 보장합니다:

1. 프라이버시 유지: 불필요한 식별자 및 이전 워크플로우 잔여물이 클라우드에 노출되는 것을 방지함으로써.
2. 유용성 유지: 민감한 데이터를 특정 위임된 하위 작업에 필요한 수준으로만 추상화하고, 로컬 컨트롤러가 개인 상태를 사용하여 최종 작업을 해결할 수 있도록 함으로써.
3. 높은 배포 가능성: 장치에서 플러그인으로 작동하며 클라우드 측 변경이 필요 없고, 중재를 위해 기존 로컬 컨트롤러 모델을 재사용하기 때문.

저자들은 평가가 의료 예약 도메인의 정보 탐색 위임에 초점을 맞추고 있음을 지적합니다. 설계가 LC–CLM 페이로드에 광범위하게 적용 가능하지만, 암시적 스팬 처리, 동적 추상화 계층 학습, 그리고 적대적 CLM 대응을 위한 추가 연구가 필요하다고 인정합니다. 이 시스템은 지속적 상태 유출에 대한 하이브리드 에이전트 시스템을 보호하기 위한 실용적인 단계로 제시됩니다.