Are LLM-Enhanced GNNs Privacy-Safe?

디지털 시대에 우리의 온라인 생활 중 많은 부분은 거대한 연결의 망으로 맵핑됩니다. 소셜 네트워크는 친구들을 연결하고, 인용 네트워크는 연구 논문들을 연결하며, 쇼핑 사이트는 제품을 리뷰와 결합합니다. 이러한 얽히고설킨 웹을 이해하기 위해 과학자들은 그래프 신경망(graph neural network)이라 불리는 일종의 인공지능을 사용합니다. 이 시스템을 책을 읽고 나서 이웃들과 대화를 나누며 학습하는 학생이라고 생각해 보십시오. 이 시스템은 특정 항목을 단지 그 자체의 설명만으로 이해하는 것이 아니라, 그것과 연결된 것들의 설명을 들음으로써 이해합니다. 오랫동안 이러한 시스템은 텍스트를 이해하는 단순하고 다소 얕은 방식, 즉 종종 단어들이 얼마나 자주 함께 등장하는지를 세는 방식에 의존해 왔습니다. 하지만 최근에 강력한 새로운 도구가 등장했습니다. 바로 거대 언어 모델(large language models)입니다. 이들은 에세이를 쓰고, 복잡한 질문에 답하며, 인간 언어의 깊은 뉘앙스를 파악할 수 있는 고급 AI 시스템입니다. 이러한 정교한 언어 모델을 그래프 시스템에 주입함으로써, 연구자들은 훨씬 더 깊고 명확하게 세상을 이해하는 차세대 도구들을 만들어냈습니다.

그러나 이러한 지능의 도약에는 거의 조사되지 않은 숨겨진 대가가 따릅니다. 시스템이 한 개인의 프로필이나 논문의 초록을 매우 상세하게 이해하게 될 때, 이는 그들에 대해 너무 많은 것을 드러낼 위험도 수반합니다. 베이징 정보통신대학교 연구진의 새로운 연구는 중요한 질문을 던집니다. 우리가 이러한 그래프 시스템을 더 똑똑하게 만들수록, 과연 그것들을 개인정보에 더 위험하게 만드는가? 연구팀은 현재 정확성 측면에서 찬사를 받고 있는 이 강화된 시스템들이 실제로 비밀을 훔치려는 스파이들에게 더 취약한지 테스트하기 위해 나섰습니다. 그들은 단순히 추측한 것이 아니라, 이 강력한 도구들이 사용될 때 얼마나 많은 개인정보가 유출되는지 정확히 확인하기 위해 엄격한 테스트 환경을 구축했습니다.

연구진은 실제 세계의 보안 감사 과정을 모방하도록 설계된 단계별 프로세스인 종합적인 평가 프레임워크를 구축했습니다. 그들은 인스타그램이나 레딧 같은 소셜 미디어 플랫폼부터 코라(Cora)와 같은 학술 네트워크, 그리고 Ogbn-Products와 같은 이커머스 카탈로그에 이르기까지 여섯 가지의 서로 다른 실제 데이터셋을 수집하는 것으로 시작했습니다. 이 데이터셋들은 사용자, 논문 또는 제품을 나타내는 수백만 개의 노드를 포함하고 있었으며, 각 노드는 고유한 텍text 설명과 타인과의 연결망을 가지고 있었습니다. 연구팀은 42가지의 서로 다른 "희생자" 모델 버전을 훈련시켰습니다. 각 모델은 표준 그래프 학습 시스템과 텍스트를 이해하기 위한 여러 가지 다른 거대 언어 모델 활용법을 결합한 형태였습니다. 어떤 방법은 언어 모델에게 텍스트에 대한 짧은 설명을 쓰도록 요청했고, 다른 방법은 텍스트를 직접 수학적 요약본으로 변환하도록 요청했습니다. 이렇게 많은 조합을 테스트함으로써, 연구진은 자신들의 결과가 특정 설정 하나에 국한되지 않고 전체 분야에 걸쳐 유효함을 보장했습니다.

모델 훈련이 완료된 후, 연구진은 공격자가 무엇을 학습할 수 있는지 알아보기 위해 일련의 시뮬레이션 공격을 실행했습니다. 그들은 세 가지 구체적인 유형의 절도에 집중했습니다. 첫째, 두 사람이 연결되어 있는지 파악하여, 본질적으로 네트워크의 숨겨진 구조를 매핑하는 것을 시도했습니다. 둘 둘째, 사용자의 정치적 성향이나 제품의 카테고리처럼 숨겨진 정보인 노드의 실제 레이블을 추측하려고 시도했습니다. 셋째, 특정 데이터가 훈련 세트에 포함되었는지 여부를 결정하려 했는데, 이는 특정 민감한 연구에 참여했거나 특정 서비스를 이용했는지 여부를 밝혀낼 수 있습니다. 공격자들에게는 모델이 생성한 최종 답변만을 제공되었는데, 이는 해커가 내부 코드에는 접근할 수 없고 오직 공개된 출력값에만 접근할 수 있는 시나리오를 시뮬레이션한 것입니다.

결과는 명확하고 우려스러웠습니다. 새로운 언어 강화 모델들이 실제로 업무 수행 능력 면에서는 훨씬 뛰어났지만—종종 상당한 폭으로 정확도를 개선했지만—기존의 더 단순한 시스템들보다 개인정보 공격에 지속적으로 더 취약했습니다. 연구는 이 모델들을 똑똑하게 만든 바로 그 특징, 즉 심층적인 의미론적 의미를 포착하는 능력이 오히려 더 많은 정보를 유출하게 만든다는 점을 발견했습니다. 언어 모델이 맥락과 뉘앙스로 데이터를 풍부하게 만들었을 때, 이는 역설적으로 공격자가 사용할 수 있는 신호를 강화했습니다. 예를 들어, 사용자 프로필에 대한 깊은 이해는 공격자가 그들의 연결 관계나 실제 관심사를 추측하는 것을 더 쉽게 만들었습니다. 연구진은 이러한 취약성 증가가 사소한 결함이 아니라, 테스트한 모든 데이터셋과 모델 구성에서 나타나는 일관된 패턴임을 발견했습니다. 모델이 보유한 정보가 풍부해질수록, 그로부터 비밀을 추출하는 것이 더 쉬워졌습니다.

이러한 유출을 막을 방법이 있는지 확인하기 위해, 연구팀은 차분 프라이버시(differential privacy)라고 알려진 방어 전략을 테스트했습니다. 이 기술은 데이터나 모델의 계산 과정에 계산된 양의 무작위 노이즈를 추가하여, 전체적인 그림은 유지하면서도 개별적인 비밀은 가릴 수 있도록 세부 사항을 적절히 흐리는 방식으로 작동합니다. 연구진은 이 방법을 강화된 모델들에 적용했고, 이것이 어느 정도 효과가 있다는 것을 발견했습니다. 즉, 개인정보 공격의 성공률을 줄이는 데 성공했습니다. 그러나 이 보호 조치에는 막대한 대가가 따랐습니다. 프라이버시를 보호하기 위한 노이즈가 유용한 정보까지 뒤섞어 놓아, 모델의 성능을 급격히 떨어뜨렸기 때문입니다. 시스템은 노드를 올바르게 분류하는 것과 같은 본래의 작업에서 정확도가 낮아졌습니다. 이러한 트레이드오프(trade-off)는 단순히 노이즈를 추가하는 것이 이러한 고급 시스템들에 완벽한 해결책이 아님을 시사합니다. 즉, 언어 모델이 강력해질수록, 모델의 유용성을 파괴하지 않으면서 프라이버시를 보호하는 것은 더욱 어려워집니다.

연구는 그래프 학습 분야가 근본적인 도전에 직면해 있다고 결론짓습니다. 거대 언어 모델의 통합은 새로운 수준의 성능을 열어주었지만, 동시에 개인정보 침해의 새로운 문도 열었습니다. 연구진은 더 단순한 시스템을 위해 설계된 기존의 데이터 보호 방식이 이 새로운, 더 강력한 아키텍처에는 충분하지 않다고 강조합니다. 이 연구 결과는 우리가 세상을 더 상세하게 이해하는 더 똑똑한 시스템을 구축함에 따라, 그 시스템 내의 개인들을 보호하는 방식 또한 재설계해야 한다는 경고의 메시지를 전달합니다. 앞으로 나아갈 길은 신중한 균형을 요구합니다. 즉, 이러한 도구들을 유용하게 만드는 바로 그 지능이 동시에 위험 요소가 될 수 있음을 인정하고, 보안을 확보하는 데는 기존의 방어책을 패치하는 것 이상의 것이 필요하다는 점을 인식해야 합니다.