기술 요약: SharedRequest

문제 정의

ChatGPT와 같은 공공 대규모 언어 모델(LLM)의 광범위한 배포는 유용성과 사용자 프라이버시 사이의 중대한 긴장 관계를 조성했습니다. 클라우드 기반 LLM은 변혁적인 능력을 제공하지만, 사용자의 프롬프트에는 개인적 속성(예: 개인 정보, 의료 기록, 법률 세부 사항)과 같이 서비스 제공자를 포함한 제3자로부터 기밀을 유지해야 하는 민감한 정보가 포함될 수 있습니다.

기존의 프라이버시 보존 추론 방식은 프라이버시, 유용성, 효율성 사이의 "트릴레마(trilemma)"에 직면해 있습니다:

1. 암호학적 접근 방식 (SMPC): Iron, MPCFormer, SecFormer와 같은 방법은 강력한 프라이バシー 보증을 제공하지만, 과도한 통신 및 계산 오버헤드를 유발하여 확장성을 제한합니다.
2. 로컬 차분 프라이버시 (LDP): RanText 및 CusText와 같은 방식은 클라이언트 측에서 프롬프트를 섭동(perturbation)시키지만, 종종 응답 품질(유용성)을 크게 저하시키며 텍text 생성 작업 수행에 어려움을 겪습니다.
3. 모델 특정적 수정: 많은 솔루션은 모델 파라미터에 대한 접근이나 아키텍처 변경을 요구하며, 이는 독점적인 블랙박스 모델의 경우 불가능합니다.
4. 개별 섭동: 현재의 모델 불가지론적(model-agnostic) 방법들은 일반적으로 각 프롬프트를 독립적으로 섭동시키는데, 이는 의미적 왜곡을 초래하고 프라이버시 확보를 위해 여러 노이즈가 섞인 변형을 생성할 때 높은 쿼리 비용을 발생시킵니다.

방법론: SharedRequest

저자들은 프라이버시 보호의 단위를 개별 프롬프트 수준이 아닌 배치(batch) 수준으로 재구성하는 모델 불가지론적 프레임워크인 SharedRequest를 제안합니다. 핵심 통찰은 상업용 LLM이 수많은 쿼리를 배치로 처리하며, 이 과정에서 많은 사용자가 의미적으로 동일한 일반적 지침(예: "[지역]의 추천 식당은 어디인가요?")을 공유한다는 점입니다.

핵심 메커니즘

SharedRequest는 사용자(Users), 노이즈 샘플러(Noise Sampler, 제3자 코디네이터), **서비스 제공자(Service Provider, LLM 소유자)**가 참여하는 3자 프로토콜을 통해 작동합니다.

1. 프롬프트 분해:

   • 사용자의 프롬프트는 **일반적 지침($T_q$)**과 **개인적 속성($A_q$)**으로 분리됩니다.
   • 사용자는 개인적 속성을 식별하고, 사전 구축된 데이터베이스나 로컬 생성을 통해 일련의 그럴듯한 대체 속성($A'$)을 샘플링합니다.

2. 배치 수준 그룹화 및 노이즈 주입:

   • 노이즈 샘플러는 사용자로부터 암호화된 개인적 속성을 전달받습니다. 샘플러는 일반적 지침을 기준으로 프롬프트를 그룹화합니다.
   • 각 그룹에 대해, 샘플러는 원래의 개인적 속성을 샘플링된 대체 속성으로 교체함으로써 **노이즈 변형(noisy variants)**을 생성합니다.
   • 결정적으로, 샘플러는 **조합 필터링 메커니즘(combination filtering mechanism)**을 사용합니다. 모든 가능한 속성 조합을 전송하는 대신(이는 기하급수적으로 커질 수 있음), 문맥 내에서 속성 조합의 "진본성(genuineness)"을 점수화하는 사전 학습된 판별기를 사용합니다. 품질 임계값을 초과하는 조합만 선택됩니다. 이를 통해 노이즈가 섞인 프롬프트가 실제 프롬프트와 구별되지 않도록 보장합니다.

3. 안전한 전송:

   • 순방향 전송(Forward Transmission): 사용자는 서비스 제공자의 공개 키를 사용하여 개인적 속성을 암호화합니다. 노이즈 샘플러로 가는 메시지는 샘플러의 공개 키로 암호화됩니다. 이를 통해 샘플러는 일반적 지침과 후보 목록만을 보게 되며, 서비스 제공자는 섞여 있는 실제 프롬프트와 노이즈 프롬프트를 보게 되지만 특정 사용자와 연결할 수는 없습니다.
   • 역방향 전송(Backward Transmission): 서비스 제공자는 배치에 대한 응답을 생성합니다. 노이즈 샘플러가 내용을 학습하는 것을 방지하기 위해, 서비스 제공자는 사용자가 제공한 시드(seed)에서 유도된 의사 난수 마스크를 사용하여 응답을 마스킹합니다. 사용자는 모듈러 뺄셈(modular subtraction)을 통해 실제 응답을 재구성합니다.

4. 비용 분담 (Cost Amortization):

   • 서비스 제공자는 배치 내의 동일한 프롬프트(실제 및 노이즈 모두 포함)를 집계하여 고유한 프롬프트당 단일 응답을 생성합니다.
   • "노이즈" 쿼리의 추론 비용은 동일한 일반적 지침을 공유하는 전체 배치 사용자에게 분담됩니다.

프라이버시 정의

본 논문은 표준 차분 프라이버시(DP)의 완화된 형태인 **$(A_n, \epsilon)$-불구별성($(A_n, \epsilon)$-indistinguishability)**을 도입합니다.

• 이웃(Neighbors): 두 프롬프트 집합은 하나의 프롬프트의 개인적 속성을 사용자가 정의한 집합 내의 "자격 있는 대체재"로 교체함으로써 얻을 수 있다면 서로 이웃 관계에 있다고 간주됩니다.
• 보증: 이 메커니즘은 노이즈 샘플러와 서비스 제공자가 결탁하지 않는 한, 서비스 제공자의 관점(섞인 프롬프트 집합)이 개인적 속성의 변화에 대해 구별 불가능함을 보장합니다.

주요 기여

1. 새로운 배치 수준 패러다임: 다수의 요청을 공동 처리하기 위해 의미적으로 동일한 요청을 그룹화하여, 섞인 노이즈 변형을 통한 프라이버시 확보와 배치 수준의 분담을 통한 비용 절감을 가능하게 하는 모델 불가지론적 프레임워크를 제시했습니다.
2. 경량 다자간 프로토콜: LLM 아키텍처를 수정하거나 모델 파라미터에 접근할 필요 없이 사용자의 익명성을 보존하고 서비스 제공자로부터 개인적 속성을 숨기는 설계를 제공합니다.
3. 이론적 정식화: $(A_n, \epsilon)$-불구별성을 통한 프라이버시 정식화와, 특히 불균형한(롱테일) 요청 분포 하에서 쿼리 비용 분담 이점에 대한 이론적 분석을 수행했습니다.
4. 제3자 코디네이션: 여러 개의 개인적 속성을 가진 프롬프트에 대해 복잡한 조합 선택 작업을 노이즈 샘플러로 오프로딩함으로써 사용자 측의 계산량을 줄이는 효율적인 노이즈 쿼리 샘플링 메커니즘을 제공합니다.

실험 결과

본 프레임워크는 세 가지 프라이버시 민감 데이터셋인 Legal-QA, Medical-QA, MMLU-Biz에서 평가되었습니다.

• 유용성 (Utility):
  • 프롬프트 단순화를 적용하지 않은 "Original" 버전은 비프라이버시 베이스라인과 거의 동일한 유용성(손실 1% 이내)을 달em했습니다.
  • 최신 모델 불가지론적 LDP 베이스라인(RanText, CusText, DP-Prompt, InferDPT)과 비교했을 때, SharedRequest는 프라이버시 예산($\epsilon$) 범위 1~5에서 20% 이상의 더 높은 유용성(F1 점수 또는 품질 등급으로 측정)을 달성했습니다.
• 쿼리 비용:
  • 공유 프롬프트 메커니즘은 비배치 추론 대비 쿼리 비용을 최대 5.6배까지 절감했으며, 특히 일반적 지침의 분포가 집중되어 있을 때(낮은 엔트로피) 효과적이었습니다.
  • 비용 절감은 배치 크기와 요청 분포의 왜도(skewness)에 따라 확장됩니다.
• 강건성 (Robustness):
  • 서버가 실제 프롬프트와 노이즈 프롬프트를 구별하려고 시도하는 추론 공격에 대해, SharedRequest는 무작위 샘플링 베이스라인 대비 공격 성공률을 약 32.7% 감소시켰습니다.
  • 본 프레임워크는 다른 DP 베이스라인과 대등한 공격 성공률(ASR)을 유지하면서도 훨씬 높은 유용성을 제공했습니다.
• 효율성:
  • 노이즈 샘플러의 속성 필터링을 위한 계산 오버헤드는 낮았습니다(1.5B 파라미터 판별기 기준 지침 그룹당 6.2초 미만).
  • 통신 오버헤드는 매우 적었으며(< 0.1 MB), 이는 표준 DP 방법들과 유사하며 SMPC 기반 접근 방식보다 현저히 낮습니다.

의의 및 주장

SharedRequest는 프라이버시, 유용성, 효율성 사이의 트레이드오프를 깨뜨림으로써 현재의 프라이버시 보존 LLM 추론의 근본적인 한계를 해결한다고 주장합니다. 프라이버시 패러다임을 개별 섭동에서 배치 수준의 혼합으로 전환함으로써, 이 프레임워크는 대규모 LLM 사용의 자연스러운 중복성을 활용하여 프라이버시 보호 비용을 분담합니다.

저자들은 이 접근 방식이 **모델 불가지론적(model-agnostic)**임을 강조하며, 서비스 제공자의 협력이나 아키텍처 변경 없이 즉시 독점적인 블랙박스 모델에 적용 가능하다는 점을 역설합니다. 결과적으로 SharedRequest는 요청 분포가 집중된 실제 시나리오에서 높은 유용성을 유지하면서 운영 비용을 크게 줄일 수 있는 실질적인 경로를 제시합니다.

인정된 한계점:

• 본 프로토콜은 노이즈 샘플러와 서비스 제공자가 결탁하지 않는다는 가정을 전제로 합니다.
• 사용자는 개인적 속성을 식별하고 대체재를 생성할 책임이 있습니다 (단, NER이나 로컬 LLM과 같은 도구가 이를 도울 수 있습니다).
• 비용 절감 효과는 쿼리 분포가 불균형할 때 극대화됩니다. 매우 독특한 쿼리들은 분담 효과가 적을 수 있습니다.