기술 요약: 계정 결탁 하의 멀티-테넌트 RAG 에서의 프라이버시 감사

1. 문제 제기

생산 환경의 검색 증강 생성 (RAG) 서비스 (예: Microsoft 365 Copilot, OpenAI Assistants) 는 일반적으로 공유 인프라가 수천 개의 고객 계정을 서비스하는 멀티-테넌트 시스템으로 운영됩니다. 이러한 시스템에 대한 현재의 프라이버시 보장은 계정 단위 (per-account) 수준에서 규정됩니다: 각 계정의 쿼리는 테넌트 인덱스에 대해 $(\epsilon_{acc}, \delta_{acc})$-차별 프라이버시 (DP) 를 만족할 것으로 약속됩니다.

본 논문은 중요한 프라이버시 경계 실패를 식별합니다: 한 적대자가 $k$개의 계정 (동맹) 을 통제하여 동일한 테넌트 인덱스에 쿼리를 조율할 때, 이 계정 단위 규정은 불충분합니다. 표준 DP 이론은 $k$개의 독립적인 쿼리가 프라이버시를 선형적으로 ($k \cdot \epsilon_{acc}$) 저하시키거나 평탄하게 유지할 것이라고 시사하지만, 저자들은 가우시안 노이즈가 추가된 검색 메커니즘의 경우 결합된 누출 (joint leakage) 이 $\Theta(\sqrt{k} \cdot \epsilon_{acc})$ 비율로 저하됨을 입증합니다.

이 격차는 안전한 계정 단위 예산 (예: $\epsilon_{acc}=1$) 을 광고하는 서비스가 동맹이 형성될 경우 (예: $k=10$인 경우 $\approx 3.2$) 의도치 않게 훨씬 더 약한 결합 보장을 노출할 수 있음을 의미합니다. 기존 방어책은 누출을 쿼리당 줄이기 위해 배포를 수정하지만, 근본적인 인덱스나 모델 가중치를 공개하지 않고 수정되지 않은 배포의 결합 누출을 감사할 수 있는 메커니즘은 없습니다.

2. 방법론

2.1 위협 모델

저자들은 $(\epsilon, \delta, k)$-결탁 DP 모델을 공식화합니다. 적대자는 단일 테넌트 내 (동일 테넌트 결탁) 또는 테넌트 간 (접근 제어 실패에 따른 테넌트 간/외부 결탁) 에 있는 $k \ge 1$개의 계정을 통제합니다. 적대자는 다음을 보유합니다:

• 공유 사후 확률: 대상 인덱스에 대한 통합된 확률적 신념.
• 적응형 조율: 계정 $a_i$의 쿼리는 시간 $t-1$까지의 모든 다른 계정의 전체 대화 기록에 의존할 수 있습니다.
• 속도 제한 인식: 개별 계정 한도 내에서 유지하면서 총 예산을 극대화하도록 쿼리가 스케줄링됩니다.
• 공유 출력 채널: 모든 검색 응답은 적대자의 추정기가 실행되기 전에 통합됩니다.

분석은 쿼리당 독립적인 신선한 가우시안 노이즈와 감사 창 내의 결정론적 임베더를 가정합니다.

2.2 이론적 분석

본 논문은 RAG 설정에 고급 DP 조합 이론을 특화합니다:

• 상한선: $k$개의 조율된 계정을 $kn$개의 쿼리 예산을 가진 단일 적응형 분석가로 축소함으로써, 저자들은 고급 조합 정리 (Advanced Composition Theorem) 를 적용합니다. 가우시안 노이즈가 추가된 점수 공개의 경우, 결합 프라이버시 파라미터 $\epsilon_k$가 다음과 같이 스케일링됨을 증명합니다:
  $$\epsilon_k = \Theta\left(\sqrt{k} \cdot \epsilon_{acc}\right)$$
  이는 광고된 계정 단위 예산보다 엄격하게 나쁘지만, 단순한 선형 그룹 프라이버시 상한선보다는 좋습니다.
• 하한선: 저자들은 $k$개의 계정으로 구성된 동맹이 $\Omega(\sqrt{k} \cdot \epsilon_{acc})$의 멤버십 추론 우위 (MIA) 를 달성하는 특정 공격 (한 문서 차이로 다른 인접 인덱스에 대한 탐지 쿼리) 을 구성합니다.
• Rényi DP (RDP): 분석은 RDP 와 모멘트 회계사 (moments accountant) 를 사용하여 실용적인 감사 보고를 위한 더 엄격한 수치적 상한선을 제공하도록 정교화됩니다.

2.3 감사 프로토콜

이 격차를 검증 가능하게 만들기 위해, 본 논문은 인덱스 공개 없이 수정되지 않은 RAG 배포에서 작동하는 4 단계 감사 프로토콜을 설계합니다:

1. 커밋먼트: 제공자는 암호학적 해시와 머클 트리를 사용하여 임베더, 인덱스 콘텐츠 (벡터 커밋먼트를 통해), 노이즈 시드, 정책 파라미터 (선언된 동맹 상한 $k_{max}$ 포함) 에 대해 커밋합니다.
2. 쿼리 단위 증명: 모든 쿼리에 대해 제공자는 다음을 증명하는 영지식 (ZK) 증명을 생성합니다:
   • 임베딩은 커밋된 임베더를 사용하여 계산되었습니다.
   • 가우시안 노이즈는 커밋된 시드에서 파생되었습니다.
   • Top-K 선택은 노이즈가 추가된 점수 (노이즈 후 선택) 에 수행되었습니다.
   • 검색은 올바른 테넌트 인덱스로 제한되었습니다.
3. 동맹 크기 추정: 제공자는 쿼리 상관관계 (공개 원장에 있는 유사 쿼리 클러스터링) 를 기반으로 한 동맹 크기 ($\hat{k}$) 추정을 제출하며, 이에 수반되는 ZK 증명을 제공합니다.
4. 검증: 제 3 자 검증자는 증명과 원장 일관성을 확인합니다. 추정된 동맹 크기가 정책 상한 ($k_{max}$) 내에 있으면, 검증자는 정량적 판정 **(PASS, $\epsilon_{audit}$)**을 발급합니다. 여기서 $\epsilon_{audit}$는 계산된 결합 누출 상한선입니다.

3. 주요 기여

1. 위협 모델 식별: 본 논문은 RAG 에서 계정 단위 DP 보장의 구조적 실패로서 동일 인덱스 다중 계정 결탁을 정의하고, 가우시안 노이즈가 추가된 검색에 대한 $\Theta(\sqrt{k})$ 저하율을 확립합니다.
2. 반증 가능한 경험적 예측: 저자들은 멤버십 추론 공격 (MIA) 의 곡선 아래 면적 (AUC) 에 대한 구체적인 예측을 도출합니다: $AUC_k = \frac{1}{2} + \Theta(\sqrt{k} \cdot \epsilon_{acc})$. 이론을 검증하기 위해 기울기와 엄밀도라는 두 가지 반증 게이트에 약속합니다.
3. 검증자 실행 가능 감사 프로토콜: 수정되지 않은 RAG 배포에서 결합 누출을 감사하는 최초의 프로토콜입니다. 이는 인덱스나 모델 가중치를 노출하지 않고 정량적 $(PASS, \epsilon_{audit})$ 판정을 내리기 위해 일반적인 암호학적 원시 (머클 원장, ZK 증명) 와 RAG 특정 원시 (임베더 커밋먼트, 노이즈 후 선택 증명) 를 결합하여 사용합니다.
4. 수치적 프라이버시 추적: RDP 와 모멘트 회계사의 통합은 프라이버시 손실에 대한 정확한 수치적 평가를 가능하게 하여, 중간 규모 동맹에 대해 폐쇄형 근사치보다 더 엄격한 상한선을 제공합니다.

4. 실험 결과

저자들은 합성 멀티-테넌트 FAISS 기반 하네스와 훈련된 임베더 (BAAI/bge-small-en-v1.5) 를 사용하여 이론적 예측을 검증했습니다.

• 스케일링 검증: 동맹 크기 $k \in \{1, 2, 5, 10, 20\}$를 사용한 실험은 예측된 $\sqrt{k}$ 스케일링을 확인했습니다. 예를 들어, $\epsilon_{acc}=4$에서 경험적 MIA 우위는 0.070 ($k=1$) 에서 0.281 ($k=20$) 로 증가했는데, 이는 예측된 성장 인자 $\sqrt{20} \approx 4.5$와 밀접하게 일치했습니다.
• Top-K 후처리: 출력이 이진 "Top-K 히트" 표시기로 제한되었을 때에도 $\sqrt{k}$ 경향이 지속되는 것으로 관찰되었으나, 절대적 우위는 상수 인자만큼 감소했습니다 (원시 점수 공격보다 약 30% 낮음).
• 강건성 점검:
  • 대체 적대자: 베이지안 로그-가능도 비율을 사용하거나 다중 목표 분할을 다양화한 변형은 기준 $\sqrt{k}$율을 초과하지 않았습니다. 다양화는 실제로 우위를 저하시켰습니다.
  • 임베더 전이: 384 차원 훈련 임베더에 대해 이 비율이 유지되었으며, 우위는 실현된 점수 간격 ($\Delta$) 에 비례하여 선형적으로 스케일링되었습니다.
  • 외부 vs 동일 테넌트: 접근 제어 실패 (M4) 가정 하에, 외부 공격자는 동일 테넌트 동맹과 통계적으로 구별할 수 없는 누출율을 달성했습니다.
• 생산 규모: $10^6$ 문서 HNSW 인덱스에 대한 테스트는 사용자 관찰 가능한 Top-K 히트가 규모에서 거의 0 에 가까운 누출을 제공하지만, 감사관 관찰 가능한 통합 노이즈 점수 (감사 프로토콜을 통해 접근 가능) 는 여전히 $\sqrt{k}$ 누출 경향을 보임을 확인했습니다.

5. 중요성 및 주장

본 논문은 배포된 명세보다는 기술적 기초로 자신을 위치시킵니다. 그 주요 중요성은 다음과 같습니다:

• 구조적 취약성 노출: 멀티-계정 남용 (예: 소크 퍼펫) 은 단순한 사기 문제가 아니라 현재 계정 단위 DP 보장이 다루지 않는 근본적인 프라이버시 경계 실패라고 주장합니다.
• 제 3 자 감사 가능화: 이 프로토콜은 공급자가 독점 데이터나 모델을 공개할 필요 없이 규제 기관과 제 3 자가 프라이버시 주장 (예: EU AI 법 또는 DSA 하에서) 을 검증할 수 있는 메커니즘을 제공합니다.
• $\epsilon_{audit}$의 운영화: 규제 공개 단위를 계정 단위 예산 ($\epsilon_{acc}$) 에서 결합 감사 상한선 ($\epsilon_{audit}$) 으로 전환할 것을 제안합니다. 이는 조정된 공격의 현실을 반영합니다.

저자들은 생성 채널 프라이버시 (선택된 문서에 조건부 LLM 출력) 와 임베딩 역추적 공격을 명시적으로 범주에서 제외하여 별도의 감사 술어로 취급합니다. 프로토콜의 효과는 공급자가 의미 있는 동맹 상한 ($k_{max}$) 을 선언하는 것에 의존하며, 동맹 크기 추정기는 의도적으로 쿼리를 다양화하는 적대자에 의해 우회될 수 있음을 인정합니다. 본 논문은 이 격차가 구조적이며 완전히 해결하려면 아키텍처 변경이 필요하지만, 제안된 감사 프로토콜이 생산 환경 RAG 서비스의 투명성을 향한 검증 가능하고 즉각적인 단계임을 결론지었습니다.