현대 디지털 세상에서 민감한 정보는 종종 우리가 제어할 수 없는 서버로 이동합니다. 의사가 환자의 X선 사진을 원격 클라우드 서비스로 보내 진단을 수행하거나, 연구자가 분석을 위해 개인 의료 기록을 공유 데이터베이스에 업로드할 수도 있습니다. 이 데이터를 보호하기 위해 흔히 사용되는 전략은 데이터를 전송하기 전에 암호화하는 것입니다. 인스턴스 인코딩(instance encoding)이라고 알려진 이 과정은 원래의 민감한 파일을 '임베딩(embedding)'이라 불리는 새로운 압축 버전으로 변환합니다. 이 새로운 버전이 원격 서버가 업무를 수행하는 데 필요한 충분한 정보를 담고 있으면서도, 누군가가 이 과정을 역으로 수행하여 원래의 사적인 파일을 복구할 수 있는 정보는 담지 않기를 바라는 것입니다. 수년 동안 이러한 방식은 시행착오에 의존해 왔습니다. 실무자들은 이러한 암호화 도구를 구축하고 알려진 해킹 시도에 대해 테스트하며, 만약 그 테스트들을 통과한다면 안전할 것이라고 기대해 왔습니다. 그러나 탄탄한 이론적 보장이 없다면, 오늘 안전해 보이는 시스템이 내일은 뚫릴 수도 있습니다. 근본적인 질문은 여전히 답을 찾지 못한 채 남아 있었습니다: 데이터를 복구하는 것이 실제로 얼마나 어려운가, 그리고 우리가 우리의 비밀을 믿고 시스템을 맡기기 전에 이를 증명할 수 있는가?

펜실베이니아 주립 대학교의 연구팀은 이제 그 질문에 답할 수 있는 새로운 방법을 제시했습니다. 그들은 공격자가 암호화된 버전으로부터 원래의 데이터를 얼마나 정확하게 재구성할 수 있는지를 예측하는 일련의 수학적 한계치를 개발했습니다. 특정 암호화 도구가 작동하는 방식을 고려하지 못하거나 효과를 위해 무작위 노이즈를 추가해야만 했던 이전의 시도들과 달리, 이 새로운 한계치는 도구가 완벽하게 결정론적(deterministic)이고 노이즈를 전혀 추가하지 않는 경우에도 작동합니다. 연구진은 시스템의 보안이 데이터 변환의 기하학적 구조에 크게 의존한다는 것을 발견했습니다. 구체적으로, 인코더가 정보의 특정 방향은 버리고 다른 방향은 유지한다면, 데이터는 재구성이 훨씬 더 어려워집니다. 그들의 새로운 한계치는 기존 방법들보다 더 정교하고 정확하며, 시스템이 진정으로 안전한 경우와 취약한 경우를 정확하게 식별해 냅니다. 심지어 이전 이론들이 안전하다고 제안했던 경우조차도 말입니다.

연구진은 사용자가 수정된 데이터를 신뢰할 수 없는 서버로 보내는 특정 유형의 프라이버시 보호에 초점을 맞추었습니다. 목표는 인공지능 모델 학습과 같은 작업에는 유용하면서도, 원래의 입력을 역공학(reverse-engineer)하는 것은 불가능하게 만드는 것입니다. 오랫동안 시스템의 작동 여부를 판단하는 유일한 방법은 그것을 깨뜨리려고 시도하는 것이었습니다. 만약 공격자가 이미지나 텍스트를 복구할 수 없다면, 그 시스템은 안전한 것으로 간주되었습니다. 하지만 이는 취약한 방어입니다. 공격자가 아직 자물쇠를 부수는 방법을 찾아내지 못했다고 해서 그 자물쇠가 부술 수 없는 것은 아닙니다. 연구진은 이러한 추측을 넘어섰습니다. 그들은 이론적인 보장, 즉 공격자가 데이터를 재구성할 때 필연적으로 발생하게 될 최소한의 오류량을 계산할 수 있는 방법을 찾고자 했습니다. 이 오류는 안전 버퍼 역할을 합니다. 오류가 높을수록 데이터의 프라이버시는 더 잘 유지됩니다.

이 분야의 이전 연구들은 기본적인 한계치를 설정했지만, 상당한 결함이 있었습니다. 그 오래된 한계치는 인코더가 데이터에 무작위 노이즈를 추가할 때만 작동했는데, 이는 많은 실제 시스템이 데이터 품질을 저하시킬 수 있다는 이유로 사용하지 않는 기술입니다. 더욱이, 그 한계치는 종종 너무 느슨하여 시스템이 실제로는 깨지기 쉬움에도 불구하고 안전하다고 예측하기도 했습니다. 또한, 그것은 픽셀이나 숫자 사이의 평균 차이를 보는 매우 특정한 방식으로 오류를 측정했기에, 재구성된 이미지가 원래와 닮았는지 혹은 민감한 세부 사항을 포함하고 있는지를 항상 포착할 수는 없었습니다. 새로운 연구는 이러한 모든 문제를 해결합니다. 연구팀은 인코더의 내부 구조를 고려하는 새로운 계열의 한계치를 도출했습니다. 그들은 인코더가 데이터를 새로운 공간으로 투영하는 필터처럼 작동한다는 점을 깨달았습니다. 이 공간의 어떤 방향은 정보를 보존하는 반면, 다른 방향은 정보를 버립니다. 새로운 한계치는 이러한 버려지는 방향에서 정보가 얼마나 손실되는지를 정확하게 측정합니다.

연구진은 시스템의 보안이 인코더의 '스펙트럼(spectrum)'에 의해 결정된다는 것을 발견했습니다. 스펙트럼은 서로 다른 방향을 따라 정보를 얼마나 강하게 보존하는지를 설명합니다. 만약 인코더가 많은 정보를 버린다면, 특히 일반적인 지식으로부터 추측하기 어려운 정보를 버린다면, 데이터는 재구성이 매우 어려워집니다. 그들의 새로운 한계치는 기존의 것들보다 훨씬 더 정교하며, 이는 공격자의 성공 여부를 더 정확하게 예측한다는 것을 의미합니다. 많은 경우, 기존의 한계치는 공격자가 데이터를 쉽게 복구할 수 있다고 제안했지만, 새로운 한계치는 재구성이 매우 형편없을 것이라고 보여주었으며, 그 반대의 경우도 마찬가지였습니다. 결정적으로, 이 새로운 한계치는 인코더가 무작위 노이즈를 전혀 추가하지 않을 때도 작동합니다. 이는 많은 실제 시스템이 무작위에 의존하지 않는 결정론적 인코더를 사용한다는 점에서 중요한 실질적 개선입니다.

이론을 테스트하기 위해 연구진은 두 가지 흔한 이미지 데이터셋인 손글씨 숫자 데이터인 MNIST와 고양이, 개, 비행기 같은 물체의 작은 컬러 이미지를 포함하는 CIFAR-10을 사용하여 다양한 시나리오에 새로운 한계치를 적용했습니다. 그들은 단순한 선형 변환부터 복잡한 딥 뉴럴 네트워크에 이르기까지 다양한 유형의 인코더를 테스트하고, 다양한 공격 방법의 대상이 되게 했습니다. 모든 경우에서 새로운 한계치는 유효했습니다. 공격자가 발생시킨 실제 오류는 예측된 한계치 아래로 떨어지지 않았습니다. 또한 연구진은 특히 인코더가 특정 유형의 정보를 버리도록 설계되었을 때, 그들의 한계치가 기존 표준보다 훨씬 더 정교하다는 것을 발견했습니다. 예를 들어, 인코더가 데이터 공간의 특정 방향을 무시하도록 설정되었을 때, 새로운 한계치는 재구성이 극도로 어려울 것이라고 정확히 예측한 반면, 기존의 한계치는 이러한 어려움을 포착하지 못했습니다.

연구 또한 단순히 가공되지 않은 오류 수치를 보는 것보다 더 유용한, 재구성의 난이도를 측정하는 새로운 방법을 도입했습니다. 절대적인 오류의 크기는 해석하기 어려울 수 있기 때문에, 연구진은 인코더가 아무것도 드러내지 않았을 때의 최대 오류와 실제 재구성 오류를 비교하는 비율을 제안했습니다. 그들이 "천장 대비 비율(ratio to ceiling)"이라고 부르는 이 비율은 프라이버시의 실질적인 지표 역할을 합니다. 낮은 비율은 공격자가 데이터가 전혀 없을 때와 거의 다를 바 없는 성과를 내고 있음을 의미하며, 이는 강력한 프라이버시를 나타냅니다. 높은 비율은 공격자가 많은 정보를 복구하고 있음을 의미합니다. 재구성된 이미지를 시각화했을 때, 그들은 명확한 상관관계를 발견했습니다. 비율이 낮은 이미지는 흐릿하고 알아볼 수 없는 노이즈처럼 보였고, 비율이 높은 이미지는 원래 물체의 뚜렷한 세부 사항을 보여주었습니다.

가장 놀라운 발견 중 하나는 두 데이터셋 사이의 차이와 관련되었습니다. 연구진은 MNIST 데이터셋의 손글씨 숫자가 CIFAR-10의 복잡한 이미지보다 보호하기 훨씬 어렵다는 것을 발견했습니다. 이론적 한계치가 데이터가 안전해야 한다고 제안했음에도 불구하고, 공격자들은 놀라운 정확도로 숫자를 재구성할 수 있는 경우가 많았습니다. 그 이유는 데이터 자체의 본질에 있습니다. 손글씨 숫자는 매우 단순하며 저차원 구조 위에 놓여 있습니다. 따라서 숫자의 라벨(예를 들어 "7")을 안다는 것은 공격자가 아주 적은 데이터만으로도 숫자의 형태를 추측할 수 있는 엄청난 정보를 제공합니다. 반면, CIFAR-10의 이미지는 훨씬 더 다양합니다. 이미지가 "고양이"를 포함하고 있다는 사실을 아는 것이 공격자가 그 고양이의 구체적인 특징을 재구성하는 데 큰 도움이 되지 않는데, 왜냐하면 개별 고양이들은 서로 매우 다르게 생겼기 때문입니다. 이는 요구되는 보호 수준이 공유되는 데이터의 유형에 따라 크게 달라짐을 시사합니다.

연구진은 또한 이러한 한계치를 계산하는 데 필요한 실질적인 도구들을 개선했습니다. 이를 위해 그들은 데이터의 통계적 패턴, 즉 '데이터 사전 확률(data prior)'이라는 개념을 이해해야 했습니다. 연구진은 이러한 패턴을 학습하기 위해 새로운 모델을 처음부터 훈련시키는 대신, 기존의 사전 훈련된 인공지능 모델을 사용하여 데이터 사전 확률을 높은 정확도로 추정할 수 있음을 보여주었습니다. 이는 새로운 한계치를 실제 상황에 훨씬 더 쉽게 적용할 수 있게 해줍니다. 그들은 필요한 공식의 구성 요소들을 추정하는 다양한 방법들을 테스트했으며, 적은 양의 데이터 샘플을 사용하는 것만으로도 신뢰할 수 있는 결과를 얻기에 충분하다는 것을 발견하여 계산 과정을 효율적으로 만들었습니다.

결론적으로, 이 연구는 인기 있는 프라이버시 기법에 대한 필수적인 이론적 토대를 제공합니다. 이 연구는 경험적 테스트에 의존하여 속임수에 넘어갈 수 있는 분야에서 벗어나, 무엇이 인코더를 안전하게 만드는지에 대한 엄격한 이해로 나아갑니다. 새로운 한계치는 보안이 단순히 노이즈를 추가하거나 시스템을 복잡하게 만드는 것이 아니라, 정보의 기하학적 구조를 어떻게 다루느냐에 달려 있음을 보여줍니다. 올바른 종류의 정보를 버림으로써, 인코더는 무작위성 없이도 재구성을 불가능하게 만들 수 있습니다. 이 연구가 프라이버시 문제를 영원히 해결했다고 주장하는 것은 아니지만, 설계자들이 자신의 시스템을 평가할 수 있는 강력한 새로운 도구를 제공합니다. 이를 통해 설계자들은 배포 전에 자신의 인코딩 방법이 민감한 데이터를 보호하기에 충분한지, 아니면 단지 안전하다는 환상에 불과한지를 확인할 수 있습니다. 연구 결과는 자연 이미지와 같이 복잡한 데이터를 다루는 많은 실제 응용 분야에서, 이 새로운 경계치가 프라이버시에 대한 신뢰할 수 있는 척도를 제공할 수 있음을 시사하며, 신뢰할 수 없는 서버와 공유되는 데이터가 진정으로 비공개 상태를 유지할 수 있도록 보장합니다.