🤖 AI

FuseFSS: Efficient Secure LLM Inference with Function Secret Sharing

FuseFSS는 맞춤형 연산별 프로토콜을 고정 소수점 비선형성을 위한 통합 파이프라인으로 대체함으로써, 정확도를 유지하면서도 통신 및 전처리 오버헤드를 줄이고 상당한 속도 향상을 달성하여 보안 LLM 추론을 간소화하는 컴파일러입니다.

원저자: Yuhan Ma, Yong Li, Stefan Schmid

게시일 2026-06-09

📖 3 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Yuhan Ma, Yong Li, Stefan Schmid

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

당신이 아주 똑똑한 AI(거대 언어 모델)에게 비밀스러운 질문을 하고 싶다고 상상해 보세요. 예를 들어 개인적인 의료 진단이나 기밀 비즈니스 전략 같은 것 말이죠. 당신은 AI의 소유자가 당신의 질문을 보는 것을 원치 않으며, AI가 자신의 '두뇌'(모델)를 당신에게 드러내는 것도 원치 않습니다.

이를 해결하기 위해 연구자들은 "두 개의 서버"를 이용한 트릭을 사용합니다. 이 방식은 비밀을 두 개의 서버로 나누어 전달하는데, 두 서버는 서로 대화하지 않습니다. 어느 서버도 전체 그림을 알 수 없지만, 함께 협력하여 답을 계산해 낼 수 있습니다. 이것은 마치 두 명의 요리사가 서로 다른 주방에서 작업하는 것과 같습니다. 그들은 서로의 재료를 볼 수 없지만, 레시피나 비밀 재료를 노출하지 않고도 함께 케이크를 구워낼 수 있습니다.

하지만 문제가 하나 있습니다. 이 비밀 모드에서는 "쉬운" 수학 부분(숫자를 더하는 것과 같은)은 빠르지만, "어려운" 부분(숫자가 양수인지 음수인지 결정하거나, 소수를 반올림하는 것과 같은)은 느리고 투박합니다. 현재 엔지니어들은 이러한 모든 어려운 수학 단계를 위해 매번 맞춤형의 일회용 기계를 만들어야 합니다. 이는 마치 자동차에 있는 모든 나사마다 각각 다른 맞춤형 렌치를 만드는 것과 같습니다. 비용이 많이 들고, 느리며, 고장 나기 쉽습니다.

여기 FuseFSS가 등장합니다.

이 논문의 저자들은 컴파일러(번역기)인 FuseFSS를 만들었습니다. 모든 나사에 대해 맞춤형 렌치를 만드는 대신, FuseFSS는 이렇게 말합니다. "모든 어려운 수학 단계를 위해 두 가지 범용 도구만 사용하자."

작동 방식은 다음과 같은 간단한 비유를 통해 설명할 수 있습니다.

"마스킹된 봉투" 비유

당신에게 비밀 숫자가 있지만, 이를 직접 보여줄 수는 없습니다. 그래서 당신은 숫자를 봉투에 넣고 무작위 종이(마스크)와 함께 넣어 서버에 전달합니다. 서버는 봉투의 전체 무게(마스킹된 값)는 볼 수 있지만, 그 안에 든 당신의 비밀 숫자나 무작위 종이는 알 수 없습니다.

기존 방식( "Sigma" 시스템)에서는 서버가 복잡한 수학 트릭(예: "이 숫자가 5보다 큰가?")을 수행해야 할 때마다, 그 질문만을 위해 특별히 제작된 맞춤형 프로토콜 박스를 열어야 했습니다.

FuseFSS는 게임의 판도를 바꿉니다:

하나의 사양: 저자들은 어떤 수학 트릭이라도 적용할 수 있는 표준 "설명서"를 만들었습니다. 그들은 이 트릭을 일련의 구역(구간)과 간단한 공식으로 설명합니다.
두 가지 마법 도구: 새로운 박스를 만드는 대신, FuseFSS는 모든 트릭에 대해 단 두 가지 표준 도구만을 사용합니다:
- 도구 A (비교기): 이 도구는 모든 "X보다 큰가?"라는 질문을 한꺼번에 확인하고, 서버들에게 (비밀이 공유된 형태의) "예/아니오" 답변 목록을 제공합니다.
- 도 B (룩업/조회): 이 도구는 자판기처럼 작동합니다. 도구 A로부터 얻은 답변을 바탕으로, 계산을 완료하는 데 필요한 정확한 숫자와 공식을 즉시 건네줍니다.
결과: 서버들은 수학 계산을 수행한 다음, 무작위 종이(마스크)를 빼서 최종 답을 드러냅니다.

이것이 왜 중요한가요?

이 논문은 "맞춤형 렌치"를 "두 가지 범용 도구"로 교체함으로써, 과정이 현저히 빨라지고 가벼워졌다고 주장합니다.

속도: 이들은 전체 과정을 1.24배에서 1.5배 더 빠르게 만들었습니다. 만약 계산에 10초가 걸렸다면, 이제는 약 7초가 걸립니다.
적은 통신량: 두 서버가 주고받아야 하는 데이터가 줄어들었습니다(약 9%에서 16% 감소).
적은 설정 시간: 시작하기 전에, 그들은 몇 가지 "키"(봉투의 잠금장치를 설정하는 것과 같은)를 생성해야 합니다. FuseFSS는 이 설정 과정을 14%에서 23% 더 빠르게 만들었으며, 키 자체의 크기도 20%에서 24% 더 작게 만들었습니다.

결론

이 논문은 새로운 유형의 AI나 새로운 주식 시장 예측 방법을 발명했다고 주장하는 것이 아닙니다. 그저 기존의 AI 모델을 안전하게 실행하기 위한 더 나은 "엔진"을 만들었다고 주장하는 것입니다.

그들은 인기 있는 AI 모델(BERT 및 GPT 등)에 대해 테스트를 진행했으며, FuseFSS가 기존 방식만큼 정확하면서도 훨씬 더 매끄럽게 작동한다는 것을 발견했습니다. 이는 자동차 엔진을 업그레이드하는 것과 같습니다: 차는 동일한 속도로 달리고 동일한 승객을 태우지만, 엔진이 더 효율적으로 설계되었기 때문에 연비가 좋아지고 가속이 더 빨라지는 것입니다.

요약하자면: FuseFSS는 비밀스러운 AI 수학을 처리하기 위한 지저도하고 맞춤형으로 제작된 과정을, 단 두 개의 강력하고 재사용 가능한 도구를 사용하는 깔끔하고 표준화된, 훨씬 빠른 루틴으로 변환하는 컴파일러입니다.

기술 요약: FuseFSS

문제 정의

두 서버 기반의 보안 추론(Two-server secure inference) 환경에서 대규모 언어 모델(LLM)을 사용할 때, 클라이언트는 비협력 서버 간에 입력값을 비밀 공유(Secret-sharing)함으로써 프롬프트나 임베딩을 노출하지 않고 호스팅된 모델에 쿼리를 보낼 수 있습니다. 최근 GPU 기반 시스템들은 함수 비밀 공유(Function Secret Sharing, FSS)를 활용하여 선형 계층(Linear layers)을 효율적으로 처리해 왔으나, 고정 소수점 비선형성(예: GELU, Softmax 구성 요소와 같은 활성화 함수) 및 스케일링(Rescaling) 연산에서는 여ยัง 중대한 병목 현상이 남아 있습니다.

현재의 최첨단 시스템(예: Sigma)은 **연산자별 맞춤형 프로토콜(Bespoke, per-operator protocols)**에 의존합니다. 각 연산자는 특정 비교, 랩어라운드(Wrap-around) 수정, 전처리 자료를 포함하는 커스텀 구현을 필요로 합니다. 이러한 방식은 취약합니다. 즉, 정당성 증명을 복잡하게 만들고, 키 생성 로직을 중복시키며, 모듈로- $2^n$ 랩어라운드 또는 부호(Signedness)와 관련된 미묘한 버그를 유발하지 않고 새로운 연산자를 추가하는 것을 어렵게 만듭니다. 또한, 이러한 커스텀 프로토콜은 종종 높은 온라인 통신 오버헤드와 무거운 전처리 비용(키 생성 시간 및 크기)을 초pos히킵니다.

방법론: FuseFSS

저자들은 per-operator 프로토콜 엔지니어링을 균일하고 GPU 친화적인 컴파일 파이프라인으로 대체하는 FuseFSS를 제시합니다. 핵심 통찰은 일반적인 고정 소수점 비선형 연산 전반에 걸쳐 데이터 의존적 로직이 유사한 패턴을 따른다는 것입니다. 즉, 작은 세트의 술어 비트(Predicate bits)를 사용하여 영역을 선택한 다음, 적은 수의 상수를 가진 저차수 산술 형태를 적용하는 방식입니다.

1. 연산자 명세 (Operator Specifications)

FuseFSS는 요소별 고정 소수점 연산자를 위한 중간 표현(IR) 역할을 하는 타입화된 연산자 명세를 도입합니다. 명세는 다음을 정의합니다:

구간 분할 (Interval Partition): $\mathbb{Z}_{2^n}$ 의 정형 대표자(Canonical representatives)를 구간 $I_i = [\alpha_i, \alpha_{i+1})$ 로 완전히 분할합니다.
산술 조각 (Arithmetic Pieces): 각 구간에 대해, 산술 출력을 계산하기 위한 저차수 다항식 벡터 $P_i(x)$ 를 정의합니다.
술어 비트 (Predicate Bits): 어떤 구간이 활성화될지 결정하기 위해 기본 술어(예: $x < \beta$ )로부터 구축된 불리언 공식 $B_i(x)$ 를 정의합니다.

2. 마스크 인식 컴파일 (Mask-Aware Compilation)

컴파일러는 이러한 명세를 공용 마스크 값 $\hat{x} = x + r_{in} \pmod{2^n}$ (여기서 $r_{in}$ 은 전처리 단계에서 샘플링된 새로운 비밀 공유 마스크)에서 동작하는 균일한 프로토콜로 변환합니다.

술어 재작성 (Predicate Rewriting): 컴파일러는 비밀 입력 $x$ 에 대한 술어를 공용 $\hat{x}$ 에 대한 비교로 재작성하며, 이때 모듈로 랩어라운드를 올바르게 처리하기 위해 마스크 $r_{in}$ 에서 유도된 비밀 공유 캐리 비트(Carry bits)를 활용합니다.
균일한 구조: 특정 연산자와 관계없이, 컴파일러는 공용 $\hat{x}$ $\overset{x}{^}$ 에 대해 정확히 두 개의 표준 FSS 평가를 생성합니다:
1. 패킹된 비교 (Packed Comparison): 필요한 모든 술어 비트(구간 지표)의 XOR 쉐어(XOR shares)를 반환하는 단일 평가.
2. 벡터 구간 룩업 (Vector Interval Lookup): 선택된 구간에 대한 활성 다항식 계수 및 상수의 가산 쉐어(Additive shares)를 반환하는 단일 평가.

3. 후처리 (Post-Processing)

남은 계산은 고정된 쉐어 기반 후처리 회로입니다. 여기에는 다음이 포함됩니다:

호너의 법칙 (Horner's Rule): 비버 트리플(Beaver triples)을 사용하여 $\hat{x}$ 와 $r_{in}$ 으로부터 유도된 $x$ 의 비밀 쉐어 상에서 선택된 저차수 다항식을 평가합니다.
헬퍼 연산 (Helper Operations): 산술 결과와 불리언 결과를 결합하기 위해 불리언 로직(XOR, AND) 및 혼합 도메인 변환(B2A/A2B)을 적용합니다.
명세 호환 게이트 (Specification-Compatible Gates): 순수 다항식이 될 수 없는 연산(예: 절삭(Truncation), 산술 우측 시프트)의 경우, 컴파일러는 다항식 출력과 마스크 유도 상수를 사용하여 최종 결과를 생성하는 결정론적 후처리 회로 $\Phi$ 를 추가합니다.

4. 보안 및 누출 (Security and Leakage)

FuseFSS는 와이어당 신선하고 독립적인 마스크를 보장하는 **마스크ed-와이어 의미론(Masked-wire semantics)**을 준수합니다. 결정적으로, 컴파일러는 **마스크와 독립적인 공용 형태(Public shapes)**를 강제합니다. 비교 횟수, 비트 폭, 구간 룩업 차원은 샘플링된 마스크가 아닌 공용 연산자 명세 및 고정 소수점 메타데이터에 따라 결정됩니다. 이는 키 크기나 인스턴스 형상을 통해 비밀 정보가 누출되는 것을 방지합니다. 보안 모델은 두 서버의 전처리 설정에서의 준-정직(Semi-honest) 공격자를 가정합니다.

주요 기여

최첨단 성능: FuseFSS는 BERT 및 GPT 스타일 모델에 대해 FSS 기반 보안 추론에서 가장 우수한 성능을 기록하였으며, 모델 정확도를 유지하면서 레이턴시를 개선하고 전처리 비용을 줄였습니다.
실용적인 컴파일 타겟: 다양한 고정 소수점 스칼라 연산자가 단일 명세 형상 아래 통합되어 두 번의 표준 FSS 호출과 균일한 후처리를 통해 실행될 수 있음을 입증하여, 개별적인 프로토콜 설계의 필요성을 제거했습니다.
보안을 갖춘 마스크 인식 컴파일: 시스템은 공용 마스크 입력을 통해 올-바른 술어 평가를 도출하는 동시에 형태 불변성(Shape invariance)을 강제함으로써, 서로 다른 연산자에 대해 통합된 정당성 및 준-정직 보안 증명을 가능하게 합니다.

실험 결과

저자들은 BERT-tiny/base/large, GPT-2, GPT-Neo(시퀀스 길이 128, 배치 크기 1)를 포함한 BERT 및 GPT 스타일 모델에 대해 현재 최첨단 FSS 기반 베이스라인인 Sigma와 FuseFSS를 비교 평가했습니다.

엔드 투 엔드 속도 향상: FuseFs는 온라인 레이턴시에서 **1.24×–1.50×**의 속도 향상을 달이트합니다. 예를 들어, BERT-base-128의 추론 시간은 Sigma의 1613.80 ms에서 FuseFSS의 1149.50 ms로 감소하여 28.8%의 감소를 보였습니다.
통신 감소: 온라인 통신이 9%–16% 감소했습니다.
전처리 효율성:
- 키 생성 시간: 14%–23% 감소.
- 키 크기: 20%–24% 감소.
확장성: 시퀀스 길이가 32에서 512로 증가함에 따라 속도 향상 폭은 1.36×–1.45×로 일정하게 유지됩니다.
원인 분석: 이러한 이득은 주로 스칼라 비선형 및 헬퍼 블록(예: GELU, Softmax 구성 요소)의 가속화에 의해 주도되며, 이들은 베이스라인에서 레이턴시의 대부분을 차지합니다. 예를 들어, Softmax(nExp + reciprocal)를 위한 컴파일 경로는 **4.5×–4.7×**의 속도 향상을 보였습니다.

의의 및 주장

본 논문은 FuseFSS가 두 서버 보안 추론의 주요 병목 지점인 고정 소수점 비선형성의 엔지니어링 복잡성과 성능 오버헤드를 해결한다고 주장합니다. 개별적인 per-operator 프로토콜에서 균일한 컴파일 파이프라인으로 전환함으로써, FuseFSS는 시스템 설계를 단순화하고, 정당성 보장을 개선하며, 온라인 및 오프라인 비용을 모두 크게 줄입니다.

저자들은 FuseFSS를 프롬프트와 임베딩에 대한 강력한 기밀성이 요구되는 환경(예: 의료, 금융)에서 개인정보 보호형 LLM 추론을 배포하기 위한 실질적인 솔루션으로 포지셔닝합니다. 이들은 자신들의 연구가 스칼라 비선형성에 집중하고 있음을 명시적으로 밝힙니다. 벡터 수준의 연산(예: 리덕션 또는 어텐션 희소화)은 연산자 명세 IR 외부에 존재하며 표준 MPC 서브프로토콜에 의해 처리됩니다. 보안 분석은 두 명의 비협력 서버가 존재하는 준-정직 모델로 제한되며, 더 강력한 적대적 모델로 확장하는 것은 향후 과제로 남겨두었습니다.