💻 computer science

$\pi$ Creds: Privately Inferred Credentials

본 논문은 신뢰할 수 있는 LLM을 활용하여 비정형 인증 데이터로부터 검증 가능한 클레임을 추론하는 동시에, 소스 제한적 적대적 예시(Source-Constrained Adversarial Examples) 및 인증된 은폐 술어 독성(Authenticated Covert Predicate Poisoning)과 같은 새로운 적대적 위협을 공식적으로 다루는 프라이버시 보존형 탈중앙화 자격 증명 시스템인 $\pi$ Creds를 소개한다.

원저자: Samuel Breckenridge, Dani Vilardell, Derek Leung, Andrés Fábrega, James Austgen, Farinaz Koushanfar, Ari Juels

게시일 2026-06-03

📖 4 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Samuel Breckenridge, Dani Vilardell, Derek Leung, Andrés Fábrega, James Austgen, Farinaz Koushanfar, Ari Juels

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

당신이 친구에게 자신이 홈 에스프레소 전문가라는 것을 증명하고 싶다고 상상해 보세요. 현재 디지털 방식으로 이를 증명하는 유일한 방법은 "18세 이상" 또는 "잔고 100달러 초과"와 같이 딱딱하게 만들어진 기성 인증서를 보여주는 것입니다. 하지만 만약 당신의 실제 이력, 즉 당신이 구매한 특정 머신, 시도했던 원두들, 그리고 그것들을 갈아 넘친 세월을 통해 당신의 전문성을 증명할 수 있다면 어떨까요?

기존의 디지털 ID 시스템은 로봇 사서와 같습니다. 이들은 특정 선반에 책이 있는지(구조화된 데이터)만 확인할 수 있습니다. 책을 읽거나, 이야기를 이해하거나, 저자가 실제로 천재인지 알려줄 수는 없습니다. 이들은 하드코딩된 규칙에 갇혀 있습니다.

$\pi$ Creds(Privately Inferred Credentials)는 로봇 사서 대신 유능하고 사적인 탐정을 배치하는 새로운 시스템입니다.

핵심 아이디어: 사적인 탐정

당신이 자신의 은행 내역이나 이메일 기록 전체를 넘겨주는 대신(이는 프라이버시의 재앙이 될 것입니다), 당신은 안전한 금고(신뢰 실행 환경, TEE라고 불림) 내부에서 작동하는 신뢰할 수 있는 탐정을 고용합니다.

금고: 당신은 탐정에게 당신의 은행, 이메일 또는 쇼핑 계정의 로그인 키를 제공합니다.
조사: 탐정은 금고 안으로 들어가 당신의 계정에 로그인하여 당신의 기록을 읽습니다.
두뇌: 금고 내부에서 강력한 AI(대규모 언어 모델, LLM)가 탐정의 두뇌 역할을 합니다. 이 AI는 당신의 무질서하고 비구조화된 데이터(예: 긴 영수증 목록이나 이메일)를 읽고 이야기를 파악합니다: "와, 이 사람은 3년 동안 50대의 에스프레소 머신을 샀네; 이 사람은 확실히 전문가야."
판결: 탐정은 "전문성 수준: 9/10"이라고 적힌 단 하나의 봉인된 노트를 작성합니다.
결과: 당신은 이 노트를 받습니다. 검증하는 사람은 당신의 실제 영수증을 절대 볼 수 없습니다. 그들은 오직 최종 판결문만을 보게 됩니다.

이것이 왜 중요한가요?

인간의 언어를 이해합니다: 데이터가 완벽하게 형식을 갖춰야 하는 기존 시스템과 달리, 이 AI는 지저분한 텍스트, PDF, 이메일을 읽을 수 있습니다.
유연합니다: 당신은 무엇이든 증명하도록 요청할 수 있습니다: "이 사람이 코딩을 잘하는가?" "실제로 집을 샀는가?" "이 소프트웨어는 안전한가?"
프라이버시를 보호합니다: 인증을 확인하는 사람은 당신의 데이터를 보지 않고, 오직 결론만을 봅니다.

두 가지 새로운 악당 (위협 요소)

단순한 로봇 대신 스마트한 AI를 사용하기 때문에, 두 가지 새로운 유형의 골칫덩이들이 등장합니다. 논문에서는 이들을 SCAE와 ACPP라고 부릅니다.

1. "가짜 전문가" (SCAE - Source-Constrained Adversarial Example)

당신이 에스프레소 전문가가 아님에도 불구하고, 탐정을 속여 전문가라고 믿게 만들고 싶다고 가정해 봅시다.

기존 방식: 영수증을 가짜로 만들 수 없습니다. 탐정이 은행을 직접 확인하기 때문입니다.
새로운 위협: 당신은 진짜 에스프레소 머신을 살 수 있습니다. 만약 당신이 커피 장비에 100달러를 쓴다면, 탐정은 실제 영수증을 보고 "전문가!"라고 말할 것입니다.
논문의 발견: 이것은 실제 문제입니다. 만약 당신이 적절한 물건을 사기 위해 실제 돈을 쓸 의향이 있다면, 시스템을 "게임"할 수 있습니다. 하지만 논문은 이를 수행하기 위해 당신에게 실제 비용이 든다는 점을 발견했습니다. 당신은 가짜 숫자를 입력할 수 없으며, 반드시 실제로 물건을 구매해야 합니다. 이는 마치 매달 한 달 동안 실제로 매일 달려서 마라톤 선수인 척하는 것과 같습니다. 가능은 하지만, 비용이 많이 들고 어렵습니다.

2. "방 안의 스파이" (ACPP - Authenticated Covert Predicate Poisoning)

어떤 회사가 당신의 성별을 알고 싶어 하는데, 당신은 오직 "전문성 점수"만을 요청했다고 가정해 봅시다.

위협: 회사는 약간 "조작된" 버전의 AI를 고용합니다. AI는 여전히 유효한 점수(예: "8/10")를 주지만, 점수 안에 비밀 메시지를 몰래 숨깁니다. 예를 들어, 남성에게는 항상 짝수(8)를 주고 여성에게는 홀수(7)를 주는 식입니다.
논문의 발견: 논문은 이를 테스트했습니다. AI가 "정확한" 점수를 주어야 하기 때문에(그냥 거짓말을 할 수는 없음), 비밀 메시지를 숨기는 것은 매우 어렵다는 것을 발견했습니다. 비밀을 위한 "채널"이 매우 좁기 때문입니다. 이는 마치 정답을 크게 외치면서 동시에 비밀스럽게 속삭이는 것과 같습니다. 규칙이 엄격할수록 속삭임은 소음에 묻혀 듣기 어려워집니다. "좋은" 점수가 갖춰야 할 규칙이 엄격할수록, 스파이 행위는 더 어려워집니다.

특별한 활용 사례: "블랙박스" 소프트웨어

논문은 또한 다음과 같은 멋진 새로운 용도를 제안합니다: 소프트웨어 감사.
어떤 회사가 케이크의 비밀 레시피(그들의 소프트웨어 코드)를 가지고 있다고 가정해 봅시다. 그들은 당신에게 레시피를 보여주지는 않으면서도, 케이크에 독(버그나 백도어)이 없다는 것을 증명하고 싶어 합니다.

$\pi$ Creds의 역할: 회사는 비밀 레시피를 보안 금고에 넣습니다. AI 탐정이 비밀 레시피를 읽고, 독이 있는지 확인한 후, "이 코드는 안전함"이라는 인증서를 발행합니다.
결과: 당신은 비밀 레시피를 전혀 보지 않고도 그 소프트웨어가 안전하다는 보증을 받게 됩니다.

요약

$\pi$ Creds는 보안 금고 안의 프라이빗 AI를 사용하여 당신의 복잡하고 실제적인 데이터를 읽고, 당신의 기술이나 이력에 대한 검증된 프라이빗 인증서를 발급하는 시스템입니다.

장점: 기존 시스템이 처리할 수 없는 복잡한 현실 세계의 데이터(이메일, 영수증 등)를 다룰 수 있습니다.
단-점: 데이터를 바꾸기 위해 실제 돈을 쓰는 방식으로 시스템을 속이려 할 수 있으며, 교활한 AI 제공자가 답변 속에 비밀을 숨기려 시도할 수 있습니다.
결론: 논문은 이러한 속임수들이 가능하긴 하지만, 실행하기 매우 어렵고 비용이 많이 든다는 점을 보여주며, 이 시스템이 프라이빗한 디지털 신뢰를 향한 유망한 단계임을 입증합니다.

기술 요약: 𝜋Creds: 프라이버시 보존형 추론 자격 증명 (Privately Inferred Credentials)

문제 정의

탈중앙화된 검증 가능한 자격 증명(Verifiable Credential) 시스템은 역사적으로 영지식 증명(ZKP)과 구조화된 데이터에 대한 의존성으로 인해 한계가 있었습니다. 이러한 시스템은 단순한 서술어(예: "나이 > 18세")에는 효과적이지만, 비구조화된 데이터(예: 은행 명세서, 의료 기록, 소셜 미디어 게시물)를 처리하는 데 어려움을 겪으며, "제품 전문성"이나 "코드 안전성"과 같은 복잡한 클레임을 도출하기 위한 시맨틱 추론 능력이 부족합니다. 기존 솔루션은 각 데이터 소스와 형식에 대해 하드코딩된 로직을 필요로 하므로 유연성이 떨어지며, 서로 다른 데이터 소스 간의 시맨틱 관계를 다룰 수 없습니다. 또한, 대규모 언어 모델(LLM)을 자격 증명 발행에 사용하는 것은 새로운 애플리케이션 수준의 위협을 도입합니다. 즉, 악의적인 행위자가 인증된 데이터를 조작하여 오도된 자격 증명을 생성하거나, 악의적인 모델 제공자가 모델 출력에 은밀한 채널(covert channels)을 인코딩하여 개인 정보를 유출할 수 있습니다.

방법론

본 논문은 인증된 데이터에 대한 신뢰할 수 있는 LLM 추론을 통해 프라이버시를 보존하고 레거시 호환이 가능한 탈중앙화 자격 증명을 생성하는 𝜋Creds(Privately Inferred Credentials)를 제안합니다.

시스템 아키텍처

핵심 워크플로우는 데이터 검색 및 추론의 기밀성과 무결성을 보장하기 위해 신뢰 실행 환경(TEE)(프로토타입에서는 Intel TDX와 NVIDIA H100 GPU 사용) 내에서 작동합니다. 이 과정에는 TEE, 데이터 소스, 증명자(Prover), 검증자(Verifier)라는 네 당사자가 참여합니다.

오라클 페치(Oracle Fetch): TEE는 오라클로서 사용자로부터 제공받은 자격 증명을 사용하여 화이트리스트에 등록된 사용자 데이터 소스(예: 은행, 마켓플레이스)에 로그인하여 문서를 가져옵니다.
프라이빗 추론(Private Inference): LLM은 특정 프롬프트를 사용하여 TEE 내에서 가져온 문서를 처리하고 클레임을 생성합니다.
애스테테이션(Attestation): TEE는 하드웨어 기반 키로 생성된 클레임에 서명하며, 사용된 코드와 구성을 검증하는 원격 애스테테이션(remote attestation)을 삽입합니다.
검증(Verification): 검증자는 TEE의 애스테테이션과 서명을 확인합니다. 발행 후에는 TEE와의 추가적인 상호작용이 필요하지 않습니다.

보안 정형화

저자들은 표준 시스템 수준의 보안과는 구별되는 두 가지 중요한 애플리케이션 수준 위협 모델을 식별했습니다.

소스 제한적 적대적 예시(Source-Constrained Adversarial Example, SCAE): 이는 인증된 데이터 소스를 조작(예: 전략적 구매 수행)하여 오도된 LLM 출력을 유도하는 적대자를 모델링합니다. 일반적인 적대적 예시와 달리, 이 변조는 데이터 소스를 수정하는 데 드는 실제 비용과 데이터가 소스의 인증 로직과 일관성을 유지해야 한다는 제약 조건에 의해 제한됩니다.
인증된 은밀한 서술자 포이즈닝(Authenticated Covert Predicate Poisoning, ACPP): 이는 (검증자 또는 모델 제공자인) 적대자가 민감한 정보(예: 성별, 특정 구매 내역)를 자격 증명 출력에 인코딩하도록 모델을 미세 조정(fine-tuning)하는 것을 모델링합니다. 이 공격은 출력이 "유효한" 클레임 범위 내에 머물러야 한다는 조건(즉, 증명자의 감사 통과)과 미세 조정 데이터가 합법적으로 보여야 한다는 조건에 의해 제한됩니다.

주요 기여

𝜋Creds 프로토콜: 오라클과 LLM 추론을 결적으로 결합한 완전한 발행 및 검증 워크플로우입니다. 이 시스템은 유니버설 컴포저빌리티(Universal Composability) 프레임워크 내에서 정형화되어 건전성(faithful execution)과 프라이버시(데이터가 출력 외에 노출되지 않음)를 보장합니다.
위협 모델링: SCAE 및 ACPP 문제를 정형화하여, 전략적 데이터 조작 및 적대적 모델 선택을 통한 프라이버시 유출에 대한 견고성을 분석할 수 있는 프레임워크를 제공합니다.
새로운 응용 분야: 사용자 데이터(예: 제품 전문성, 신용도)를 위한 응용 분야를 규정하고, 소프트웨어를 위한 새로운 클래스의 자격 증명을 도입합니다. 이를 통해 서비스는 소스 코드를 공개하지 않고도 LLM이 TEE 내부에서 코드를 감사하게 함으로써, 자사의 독점 코드가 가진 속성(예: "하드코딩된 API 키 없음")을 증명할 수 있습니다.
실증적 평가: 금융, 건강, 이메일 및 코드 소스를 지원하는 프로토타입 구현을 제시합니다. 저자들은 실제 Amazon 거래 데이터를 사용하여 "제품 전문성" 자격 증명에 대한 SCAE 및 ACPP를 실증적으로 연구했습니다.

결과

베이스라인 정확도: 오픈 소스 모델(예: Qwen2.5-7B-Instruct)을 사용하여 시스템은 시맨틱 작업에서 높은 정확도를 달연했습니다. 제품 전문성의 경우, "프런티어 모델 컨센서스" 그라운드 트루스(ground truth)로부터의 평균 절대 편차는 10점 척도에서 0.45점이었습니다.
SCAE 평가: 소스 인증은 적대자에게 실제 비용을 부과합니다. $20의 예산(평균 지출의 약 5%)을 투입했을 때, 공격은 전문성 점수를 평균 1.24점 변화시켰습니다.$ 100(지출의 20%)를 투입했을 때는 1.75점의 변화가 나타났습니다. 공격은 비용에 의해 제한되지만, 적절한 예산만으로도 자격 증명의 점수를 유의미하게 변화시킬 수 있어 동기 부여된 조작에 취약함을 보여줍니다.
ACPP 평가: 저자들은 민감한 서술자(성별, 특정 물품 구매)를 인코딩하기 위해 스코어 패리티(짝수/홀수)를 사용하는 은밀한 채널 테스트를 수행했습니다.
- 제약 없음: 출력 제약이 없을 때, 적대자는 숨겨진 서술자를 거의 완벽하게 복구했습니다.
- 제약 있음: 출력이 유효한 허용 범위(±5점) 내에 머물도록 강제했을 때, 복구 정확도는 근접 확률 수준(인구 통계학적 특성 55~~65%, 행동 특성 45~~55%)으로 떨어졌습니다.
- 결론: 출력이 "유효한" 클레인으로 남아 있어야 한다는 요구 사항은 은밀한 채널의 용량을 크게 제한하지만, 더 표현력이 풍부한 자격 증명(예: 자유 텍스트 정당화)은 더 취약할 수 있습니다.

의의 및 주장

본 논문은 𝜋Creds가 현재의 ZKP 기반 시스템에는 없는 비구조화된 데이터에 대한 시맨틱 추론을 가능하게 함으로써 중요한 진전을 이루었다고 주장합니다. TEE 내에서 LLM을 활용함으로써, 은행이나 마켓플레이스의 수정 없이도 레거시 호환 데이터 소스를 지원할 수 있습니다.

저자들은 이 연구를 확정적인 보안 판결이라기보다 초기 탐색으로 규정합니다. 그들은 다음을 강조합니다:

SCAE 및 ACPP의 정형화는 LLM 기반 자격 증명의 체계적인 보안 분석을 위한 출발점을 제공합니다.
실증적 결과는 이러한 위협이 어떻게 실행될 수 있는지 보여주는 시연이며, 소스 인증과 출력 제약이 어느 정도의 방어책을 제공하지만 동기 부여된 적대자는 여전히 결과에 영향을 미칠 수 있음을 보여줍니다.
독점 소프트웨어 감사에 대한 응용은 소스 코드를 공개하지 않고도 폐쇄형 에이전트(예: ERC-8004 표준 맥락)에 대한 신뢰를 구축할 수 있는 구체적인 경로를 제공합니다.

결론적으로, LLM이 새로운 공격 표면을 도입하지만, TEE, 소스 인증, 그리고 제약된 출력 공간의 결합은 완벽하지는 않더라도 차세대 탈중앙화 프라이버시 보존형 자격 증명을 위한 실행 가능한 토대를 제공합니다.