🤖 machine learning

Public-Decay Homomorphic State Space Models for Private Sequence Inference

본 논문은 기존 동형 어텐션 메커니즘에 비해 지연 시간과 계산 깊이를 크게 줄이면서도 평문 기준과 동일한 정확도로 암호화된 시퀀스 추론을 달성하는 새로운 아키텍처인 공개-감쇠 동형 상태 공간 모델 (HSSMs) 을 소개합니다.

원저자: Luis Brito

게시일 2026-05-19

📖 4 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Luis Brito

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

비밀스러운 질문을 강력한 AI 어시스턴트에게 하고 싶지만, 어시스턴트가 질문이나 답변을 엿볼까 봐 두려워한다고 상상해 보세요. 이를 해결하기 위해 질문을 깨지지 않는 마법의 유리 상자 안에 넣습니다 (이것이 완전 동형 암호화, 즉 FHE 입니다). 어시스턴트는 상자를 열지 않은 채로 상자 내부에서 계산을 수행할 수 있으며, 작업을 마치면 상자를 다시 당신에게 건네줍니다. 당신이 상자를 열면 답변이 그곳에 있습니다.

하지만 함정이 하나 있습니다: 이러한 마법의 유리 상자 안에서 수학을 수행하는 것은 극도로 느리고 피곤합니다. 두꺼운 무거운 오븐 장갑을 끼고 복잡한 퍼즐을 풀려고 하는 것과 같습니다. AI 가 두 개의 데이터 조각을 섞으려고 할 때마다 엄청난 양의 작업을 수행해야 합니다.

이 논문은 공개 감쇠 동형 상태 공간 모델 (Public-Decay Homomorphic State Space Models, HSSM) 이라는 새로운 방식으로 이러한 '비밀 AI' 두뇌를 구축하는 방법을 소개합니다. 간단한 비유를 통해 작동 원리를 설명해 보겠습니다:

문제: '무거운 들기'의 함정

기존의 비밀 AI(예: Transformer) 에서는 문장의 새로운 단어를 처리할 때마다, 새로운 비밀 단어와 문장의 이전 비밀 기억을 섞어야 합니다.

기존 방식: 무거운 잠금 금고 (기억) 를 들고 또 다른 무거운 잠금 금고 (새로운 단어) 와 섞어야 한다고 상상해 보세요. 두 금고 모두 들어 올린 뒤 섞고, 결과를 다시 잠가야 합니다. 긴 이야기의 모든 단어에 대해 이를 수행하는 것은 지치고 느립니다. '무게'(계산 비용) 가 계속 쌓여갑니다.

해결책: '공개 감쇠' 트릭

이 논문의 저자들은 규칙을 약간 변경하여 작업을 더 쉽게 만들 수 있음을 깨달았습니다. '기억'이 매번 새로운 비밀과 섞일 필요가 없는 새로운 설계를 제안했습니다.

새로운 방식 (HSSM): AI 가 스스로 서서히 공기를 새는 (감쇠하는) 기억 금고를 가지고 있다고 상상해 보세요. 이 '누출'은 누구나 아는 공개 규칙이며 비밀이 아닙니다.
- 두 개의 무거운 잠금 금고를 섞는 대신, AI 는 이전 기억이 조금씩 새도록 내버려 둡니다 (이는 공개 규칙이라 쉽습니다). 그런 다음 작은 새로운 비밀 메모를 섞어 넣습니다.
- 비유: 작은 구멍이 있는 양동이를 생각해 보세요. 수위 (기억) 는 매초 자연스럽게 조금씩 떨어집니다 (공개 감쇠). 계속 유지하려면 전체 양동이를 들어 다른 양동이에 섞을 필요 없이, 작은 컵 분량의 새로운 물 (새로운 비밀 입력) 만 부어주면 됩니다.

왜 이것이 중요한가

이 '누수되는 양동이' 방식을 사용하면 AI 는 가장 비용이 많이 들고 무거운 들기를 요구하는 수학 연산을 피할 수 있습니다.

속도: 이 논문은 실제 컴퓨터 (특히 강력한 NVIDIA L40S GPU) 에서 이를 테스트했습니다. 그 결과, 이 새로운 방식은 전체 문장을 처리하는 기존 최선 방법보다 약 5 배 빠르다는 것을 발견했습니다.
메모리: AI 가 전통적인 AI 가 하던 것처럼 과거에 본 모든 단어의 거대한 성장 목록을 유지할 필요가 없기 때문에, 컴퓨터 메모리를 훨씬 적게 사용합니다. 이는 성장하는 종이 더미 대신 하나의 실행 중인 메모를 유지하는 것과 같습니다.
정확도: 더 빠르고 가벼움에도 불구하고, AI 는 여전히 답변을 정확하게 냈습니다. 영화 리뷰 (Rotten Tomatoes) 와 짧은 문장 (SST-2) 에 관한 테스트에서 비밀 AI 는 일반 비비밀 AI 와 동일한 정확한 답변을 얻었습니다.

그들이 실제로 한 일 (하고 하지 않은 일)

연구자들은 다음과 같은 특정 시스템을 구축했습니다:

당신 (클라이언트): 텍스트를 숫자로 변환하고, 이를 암호화한 뒤 상자에 넣는 어려운 작업을 수행합니다.
서버: 상자를 받아 '누수되는 양동이' 수학을 실행한 뒤 상자를 다시 건네줍니다.
당신 (다시): 상자를 열어 결과를 확인합니다.

중요한 제한 사항:

이 논문은 상자 안에서 원본 텍스트를 읽는 문제를 해결했다고 주장하지 않습니다. 텍스트는 상자 안에 들어가기 전에 여전히 숫자로 변환되어야 합니다.
아직 완전한 범용 챗봇 (거대 언어 모델과 같은) 이라고 주장하지 않습니다. 이는 데이터의 짧은 시퀀스를 분석하는 (예: 리뷰가 긍정적인지 부정적인지 분류하는) 특정 도구입니다.
'누수' (감쇠) 는 고정된 공개 규칙입니다. 만약 AI 가 비밀에 따라 누출 속도를 변경해야 한다면, 마법이 깨지고 다시 느려지게 됩니다.

결론

이 논문은 AI 가 '무거운 두 비밀을 섞는' 방식에서 '비밀이 새도록 하고 작은 방울을 더하는' 방식으로 '기억'하는 방식을 변경함으로써, 비밀 AI 를 훨씬 더 빠르고 실용적으로 만들 수 있음을 증명합니다. 이는 수학의 무거운 부담을 제거하면서도 프라이버시 약속을 유지하는 교묘한 공학적 트릭입니다.

기술 요약: 개인적 시퀀스 추론을 위한 공개-감쇠 동형 상태 공간 모델

1. 문제 정의

이 논문은 완전 동형 암호화 (FHE) 하에서 시퀀스 추론을 수행할 때 발생하는 높은 계산 비용을 다룹니다. FHE 는 클라이언트가 입력을 암호화하고 서버가 암호문 위에 모델을 평가할 수 있게 하여 개인적 추론을 가능하게 하지만, 표준 시퀀스 모델은 심각한 제약을 겪습니다. 평문 신경망에서 일반적인 연산들—비다항식 활성화 함수, 소프트맥스, 레이어 정규화, 컨텍스트 전체 어텐션—은 곱셈 깊이, 회전 비용, 암호문 물질화 (materialization) 로 인해 FHE 하에서 1 차 시스템 제약으로 작용합니다.

특히, 이 논문은 암호화된 선택적 재귀 (encrypted selective recurrence) 에서 병목 현상을 식별합니다. 단순한 암호화된 재귀 블록 (예: 암호화된 GRU 또는 LSTM) 에서 상태 업데이트는 일반적으로 암호화된 입력 의존성 게이트를 암호화된 전달 상태와 곱하는 것을 포함합니다 ( $h_t = g_A(x_t) \cdot h_{t-1} + \dots$ ). 이 암호문 - 암호문 곱셈은 매 시간 단계마다 곱셈 깊이를 소모하여 사용 가능한 노이즈 예산을 빠르게 고갈시키고, 값비싼 부트스트래핑 또는 리프레시 연산을 필요로 합니다.

2. 방법론: 공개 - 감쇠 HSSM

저자들은 재귀 전달 경로에서 암호문 - 암호문 곱셈을 피하도록 설계된 공개 - 감쇠 동형 상태 공간 모델 (Public-Decay Homomorphic State Space Models, HSSMs) 을 제안합니다.

핵심 메커니즘: 설계는 재귀 감쇠 계수 ( $a$ ) 를 공개/평문으로 고정합니다. 상태 업데이트 방정식은 다음과 같습니다:
$h_t = a \cdot h_{t-1} + g(x_t) \cdot u(x_t)$
여기서 $h_t$ 는 암호화된 상태, $a$ 는 공개 스칼라이며, $g(x_t)u(x_t)$ 는 로컬 쓰기 경로를 나타냅니다.
깊이 감소: 전달 항 ( $a \cdot h_{t-1}$ ) 을 암호문 - 평문 연산으로 만듦으로써, 재귀 전달과 관련된 곱셈 깊이 증가를 제거합니다. 암호문 - 암호문 곱셈은 현재 단계에 국한된 로컬 쓰기 경로 ( $g \cdot u$ ) 에서만 발생하며, 이는 유계 (bounded) 입니다.
시스템 아키텍처:
- 클라이언트 측: 토큰화, 고정된 fastText 조회, 학습 정규화 무작위 투영, 클리핑, 암호화, 복호화, 임계값 처리를 담당합니다.
- 서버 측: 암호화된 유계 투영 특징을 수신합니다. 공개 아핀 투영을 수행하고, 저차수 암호화된 게이트/쓰기 다항식을 평가하며, 로컬 쓰기 곱셈을 수행하고, 공개 감쇠를 사용하여 상태를 집계합니다.
- 제약 사항: 모델 파라미터 (가중치, 감쇠, 투영) 는 공개입니다. 서버는 암호화된 데이터나 비밀 키가 아닌 메타데이터 (시퀀스 길이, 연산 형태) 만 관찰합니다.

3. 주요 기여

이 논문은 네 가지 주요 기여를 합니다:

아키텍처 명세: 공개 - 감쇠 불변성을 가진 최소 HSSM 블록을 정의하여 클라이언트 측 전처리를 서버 측 동형 평가와 명시적으로 분리합니다.
기호적 비교: HSSM 을 트랜스포머 스타일 암호화된 추론 및 단순 암호화된 선택적 재귀와 대비합니다. HSSM 이 고정 크기의 암호화된 상태를 유지하고 단순 재귀의 곱셈 깊이 누적을 피함을 보여줍니다.
실증적 검증: OpenFHE(CPU) 및 FIDESlib(CUDA) 백엔드 전반에 걸쳐 실제 FHE 아티팩트를 보고합니다. 여기에는 백엔드 간 일관된 노이즈 행동을 보여주는 일치된 레벨 추적과 L40S GPU 측정이 포함됩니다.
작업 품질 대 시스템 비용: 작업 정확도를 시스템 지연 시간과 분리합니다. "장난감" 특징을 피하는 수리된 fastText 워크플로우를 사용하여 접근 방식을 검증하고, HE 친화적 다항식 어텐션 메커니즘과 HSSM 을 비교합니다.

4. 실험 결과

평가는 유계 특징 인터페이스 (예당 512 개의 투영된 스칼라) 를 사용하여 Rotten Tomatoes 및 SST-2 감성 분석 데이터셋에 초점을 맞춥니다.

정확도: 암호화된 HSSM 경로는 평문 분류와 정확히 일치하여 Rotten Tomatoes 에서 0.7505 의 정확도와 SST-2 에서 0.7420 의 정확도를 달성합니다.
지연 시간 및 효율성:
- 전체 시퀀스 다항식 어텐션에 비해 HSSM 은 작업 품질을 유지하거나 초과하면서 약 5 배 더 빠릅니다 (예: 평가 시 약 15ms 대 약 75ms).
- 캐시된 최종 토큰 다항식 어텐션에 비해 HSSM 은 더 긴 컨텍스트 (T=16, 32) 에서 1.34~1.62 배 낮은 지연 시간을 보이며 더 작은 논리적 암호화 상태 풋프린트를 유지합니다.
리소스 사용:
- 메모리: HSSM 은 시퀀스 길이 ( $T$ ) 와 관계없이 단일 암호화 상태 암호문을 유지하는 반면, 다항식 어텐션은 캐시 및 물질화된 점수를 위해 $O(T)$ 또는 $O(T^2)$ 개의 암호문이 필요합니다. 스트레스 테스트에서 HSSM 은 L40S GPU 에서 $T=36$ 까지의 시퀀스를 완료하는 반면, 물질화된 2 차 어텐션은 메모리 부족 오류로 인해 $T=36$ 에서 실패합니다.
- 깊이: 투영된 HSSM 은 깊이 8 / 링 32768에서 성공하는 반면, 비교 가능한 암호화된 Q/K/V 어텐션 블록은 동일한 시퀀스 길이에서 성공하기 위해 깊이 10 / 링 65536이 필요합니다.
노이즈 및 레벨: OpenFHE 및 FIDESlib 의 일치된 추적은 확장된 HSSM 경로가 유계 특징 워크플로우에 대해 부트스트래핑을 호출하지 않고 최종 레벨 3에서 종료되며 노이즈 스케일 차수가 2 임을 확인합니다.

5. 중요성 및 주장

이 논문은 공개 - 감쇠 HSSM 이 유계 투영 특징으로부터의 서버 측 암호화된 시퀀스 추론을 위한 실용적인 FHE 공동 설계 패턴이라고 주장합니다.

설계 레버: 핵심 기여는 암호화된 입력 의존성 전달 게이트를 공개/평문 감쇠로 대체하는 것이 암호화된 전달 경로 압력을 줄이는 측정 가능한 레버라는 것을 입증하는 것입니다.
주장의 범위: 저자들은 범위에 대해 겸손합니다. 그들은 다음을 주장하지 않습니다:
- 동형 토큰화 또는 임베딩 조회.
- 모델 비공개 가중치 (가중치는 공개입니다).
- 정확한 소프트맥스, 전체 트랜스포머 블록, 또는 생산 규모 언어 모델 서빙.
- 악의적인 서버 또는 사이드 채널 공격에 대한 보안.
결론: 결과는 유계 특징 추론의 경우, 공개 - 감쇠 HSSM 이 고정 상태 암호화 계산, 전체 시퀀스 어텐션보다 낮은 지연 시간, 감소된 논리적 상태 증가를 달성하면서도 부트스트래핑 없이 관리 가능한 FHE 깊이 예산 내에서 작동하는 구체적인 트레이드오프를 제공함을 입증합니다.