프라이버시 보존 머신러닝이란 무엇인가?

어떤 팀이 외부 API를 호출하는 대신 자체 서버에서 언어 모델을 돌리기로 한다. 이유는 프라이버시다. 민감한 데이터를 내부에 두고 절대 제3자에게 넘기지 않겠다는 것이다. 이 직관은 타당하고 그로써 얻는 통제권도 실재하지만, 동시에 불완전하다. 비공개 기록으로 학습한 모델은 특정 개인의 기록이 학습 데이터에 있었는지 드러내도록 유도될 수 있다. 원본 데이터를 전혀 담지 않는 연합 업데이트도 그것을 만들어낸 이미지로 역산될 수 있다. 큰 모델은 학습한 내용의 일부를 암기해 그대로 내뱉을 수 있다. 데이터는 집에 남았지만, 모델은 여전히 새어 나갔다.

프라이버시 보존 머신러닝이 다루는 것은 바로 이 간극, 즉 사적으로 느껴지는 것과 증명 가능하게 사적인 것 사이의 차이다. 표준 머신러닝 파이프라인은 학습 인프라가 원본 데이터에 접근할 수 있어야 하는데, 이는 프라이버시 규제, 데이터 주권 요구사항, 그리고 데이터셋을 아예 공유하지 않으려는 파트너와 충돌한다. 프라이버시 보존 머신러닝은 그 충돌을 해소하는 기법군이다.

유용한 구분은 데이터 이동을 줄이는 기법, 출력이 드러낼 수 있는 범위를 제한하는 기법, 그리고 계산 중에도 데이터를 기밀로 유지하는 기법 사이에 있다. 자체 호스팅은 이런 통제 수단을 대체하는 것이 아니라 그 옆에 놓인다.

요약

• 프라이버시 보존 머신러닝(PPML)은 하나의 기법이 아니라 상위 범주다. 이 글은 네 가지 주요 접근법에 초점을 맞춘다. 연합 학습, 차등 프라이버시, 동형 암호, 그리고 보안 다자간 계산이다. 신뢰 실행 환경을 포함한 다른 프라이버시 강화 아키텍처도 PPML 시스템에 등장할 수 있다.
• 연합 학습만으로는 형식적인 프라이버시 보장을 제공하지 못한다. 원본 데이터를 발생지에 남겨두지만, 공유되는 그래디언트 업데이트는 때때로 학습 레코드로 역산될 수 있다. 차등 프라이버시는 형식적인 누출 상한을 더하는 흔한 방법이다.
• 차등 프라이버시의 강도는 보통 엡실론으로 요약된다. 이 보장은 델타, 보호 대상 단위, 그리고 프라이버시 회계 방식에도 좌우된다. 파라미터가 약한 형식적 보장은 서류상으로는 보장이지만 실제로는 연출에 그칠 수 있다.
• 동형 암호는 실재하지만 느리다. 암호화된 데이터 위에서의 연산은 실제로 동작하지만, 오버헤드 때문에 오늘날에는 더 단순한 모델, 지연에 관대한 추론, 실험적인 파인튜닝 워크플로에 국한된다. 일반적인 대형 모델 학습이나 전체 사전학습에는 쓰이지 않는다.
• 모델을 자체 호스팅하는 것은 데이터 현지화이지 PPML이 아니다. 데이터를 내가 통제하는 인프라에 두는 것은 누가 그 데이터에 접근할 수 있는지를 규정한다. 모델 자체가 무엇을 드러낼 수 있는지는 규정하지 않는다.

범위에 대한 참고. 이 글은 개념 설명이지 구현 가이드가 아니다. 라이브러리 설치, 엡실론 선택, 규제 준수, 프라이빗 LLM 파인튜닝을 깊이 다루지 않는다. 여기서 목표는 지도다. 길목마다의 안내는 별도의 구현 가이드에 속한다.

프라이버시 보존 머신러닝은 데이터를 어떻게 보호하는가

프라이버시 보존 머신러닝은 모델 학습, 추론, 협업 분석 전반에서 정보 노출을 줄이거나 제한하거나 형식적으로 상한을 두는 방법들을 아우르는 용어다. 이 글은 네 가지 주요 접근법에 초점을 맞춘다. 연합 학습, 차등 프라이버시, 동형 암호, 보안 다자간 계산이다. 이들은 서로 다른 위협 모델 아래에서 서로 다른 자산을 보호하므로, 서로 바꿔 쓸 수 있는 보장으로 취급해서는 안 된다.

문제는 단순하다. 표준 ML 파이프라인은 대개 학습 과정이 원본 레코드에 접근할 수 있다고 전제하지만, 프라이버시 규제, 데이터 주권 요구사항, 파트너 계약이 그 접근을 막는 경우가 많다. 네 계열은 이 제약에 서로 다르게 답한다. 데이터를 연산으로 옮기는 대신 연산을 데이터로 옮기거나(연합 학습), 출력이 특정 개인에 대해 덜 드러내도록 보정된 잡음을 더하거나(차등 프라이버시), 암호화된 상태의 데이터 위에서 계산하거나(동형 암호), 여러 당사자가 서로에게 원본 입력을 노출하지 않고 결과를 함께 계산하도록 한다(보안 다자간 계산).

그 밑에 깔린 위험은 다음 문서에 분명하게 적혀 있다. Google의 책임 있는 AI 가이드머신러닝 모델은 자신이 접한 데이터의 일부를 기억하거나 드러낼 수 있으며, 프라이버시 작업은 그 주위에 안전장치를 두기 위해 존재한다. PPML은 바로 그 위험을 다루며, 단순 익명화와는 구별된다. 그 이유는 다음 절에서 구체적으로 드러난다.

익명화만으로는 왜 부족한가?

익명화된 데이터도 다시 식별될 수 있다. 데이터셋에서 이름과 뻔한 식별자를 걷어내면 눈에 보이는 노출은 줄지만, 그 데이터를 외부 정보와 연결할 수 있게 되는 순간 프라이버시는 보장되지 않는다. k-익명성 같은 비식별화 접근법이 늘 안고 있는 약점이 이것이다. 특정 가정 아래에서 식별 가능성을 낮출 수는 있어도, 차등 프라이버시나 암호학적 PPML 기법이 주는 형식적 보장은 제공하지 못한다.

이 실무적 구분은 "익명화했으니 괜찮다"는 말을 들어본 사람이라면 누구에게나 중요하다. 익명화란 특정 맥락과 위협 모델 아래의 데이터셋에 대한 주장이다. 연결 공격은 암호를 깰 필요도, 접근 제어를 우회할 필요도 없다. 당신의 데이터셋과 겹치는 또 다른 데이터셋만 있으면 된다. 이 점을 직접 짚은 문서가 있다. NIST의 비식별화 지침이 문서는 비식별화된 데이터도 보조 데이터셋과 연결하면 다시 식별될 수 있다고 짚는다.

차등 프라이버시는 일반적인 비식별화가 주지 못하는 것을 준다. 정의된 프라이버시 단위와 위협 모델 아래에서, 한 개인의 데이터가 공개된 결과에 얼마나 영향을 줄 수 있는지에 대한 수학적 상한이다. 동형 암호와 SMPC는 다른 종류의 암호학적 기밀성을 제공하고, 연합 학습은 주로 데이터가 처리되는 장소를 바꾼다. 이 보장들은 서로 관련되어 있지만 같은 것은 아니다.

연합 학습은 어떻게 작동하며, 왜 그것만으로는 부족한가?

연합 학습에서는 전역 모델이 로컬 기기나 서버로 보내져 그곳에 있는 데이터로 학습한 뒤, 파라미터 업데이트만 중앙으로 돌려보낸다. 원본 데이터는 결코 움직이지 않는다. 진짜로 유용한 패턴이고, 대규모로 프로덕션에서 돌아가고 있다. 그리고 그것만으로는 프라이버시 보장이 아니다.

메커니즘은 데이터를 모델로 가져오는 것이 아니라 모델을 데이터로 보내는 방식이다. Google의 Gboard 배포 기기 내부에서 30개가 넘는 언어 모델을 7개 이상의 언어와 15개 이상의 국가에 걸쳐 돌리며, 휴대전화를 결코 떠나지 않는 텍스트로 학습한다. 광고한 그대로 작동하는 연합 학습이다. Google이 당신이 입력한 내용을 수집하지 않고도 키보드는 좋아진다.

문제는 업데이트 안에 무엇이 실려 가느냐다. 그래디언트는 그것을 만들어낸 데이터에 대한 정보를 담고 있고, 그 정보는 복원될 수 있다. Zhu, Liu, Han이 이를 보여준 논문이 있다. Deep Leakage from Gradients (NeurIPS 2019). 공유된 모델 업데이트로부터 비공개 학습 예제를 복원하는 그래디언트 인버전 공격을 보여주었고, 실험에서 이미지는 픽셀 단위로 정확하게, 텍스트는 토큰 단위로 일치하게 복원했다. 연합 학습은 데이터 이동을 줄였다. 누출 위험을 없애지는 못했다.

참여가 드러낼 수 있는 범위를 제한하는 것이 목표라면, 차등 프라이버시가 흔히 더해진다. 보안 집계는 다른 위험을 다룬다. 개별 클라이언트의 업데이트를 조정 서버로부터 숨기는 것이다. Gboard는 연합에만 기대지 않고 연합 학습에 형식적인 차등 프라이버시를 결합한다.

참고: 연합 학습은 원본 데이터가 발생지에 남는다는 이유로 자주 "프라이빗하다"고 설명된다. 그 설명은 오해를 부른다. 추가 보호 장치가 없으면 연합 업데이트는 학습 레코드를 재구성하기에 충분한 신호를 실어 나를 수 있다. DP-FL은 연합에만 기대는 대신 형식적인 차등 프라이버시 보장을 더한다. 연합 그 자체는 데이터 취급 방식의 선택이지 프라이버시 증명이 아니다.

차등 프라이버시란 무엇이고, 엡실론은 실제로 무엇을 통제하는가?

차등 프라이버시는 프라이버시 단위 하나가 추가되거나 제거될 때 분석 결과가 얼마나 달라질 수 있는지에 상한을 두는 수학적 정의다. 많은 메커니즘이 보정된 무작위성을 더해 이 보장을 달성한다. 엡실론은 눈에 보이는 파라미터 하나일 뿐이며, 의미 있는 보장은 프라이버시 단위, DP 변형과 델타 같은 추가 파라미터, 그리고 합성, 회계, 구현 세부사항에도 달려 있다.

엡실론을 프라이버시 예산으로 설명하는 곳이 있다. NVIDIA의 용어집값이 낮을수록 프라이버시는 강해지지만 잡음이 많아지고, 값이 높을수록 정확도는 지켜지지만 보장은 약해진다. 딥러닝 학습에서 차등 프라이버시를 적용하는 흔한 방법이 DP-SGD, 즉 차등 프라이버시 확률적 경사하강법이다. 샘플별 그래디언트를 정해진 크기로 클리핑하고, 보정된 가우시안 잡음을 더한 뒤 집계한다. 클리핑은 하나의 예제가 모델에 미칠 수 있는 영향을 제한한다. 잡음은 그러고도 남은 영향을 가린다.

이 예산은 소진된다. 그 메커니즘을 설명한 문서가 있다. Tumult Analytics의 프라이버시 예산 문서보호된 데이터셋에 던지는 질의 하나하나가 프라이버시 예산의 일부를 소비한다. 그 소비가 어떻게 누적되는지는 표준적인 차등 프라이버시 이론이며, 다음 책에 정리되어 있다. Dwork와 Roth의 The Algorithmic Foundations of Differential Privacy기본 합성에서는 각각 파라미터 엡실론을 갖는 k개의 질의가 합쳐져 총 프라이버시 손실이 k 곱하기 엡실론이 되고, 고급 합성 정리는 더 촘촘한 상한을 준다. 질문을 무한정 던질 수는 없다. 예산이 주어지고, 당신은 그것을 써나간다.

따라서 그 보장이 실무에서 의미가 있는지는 파라미터 선택이 결정한다. 동료 심사를 거친 머신러닝의 프라이버시 접근법에 대한 비판 수학적 틀이 "객관성의 겉칠"을 입혀 프로젝트를 세탁하는 데 쓰일 수 있다고 주장한다. 프라이버시 파라미터를 충분히 느슨하게 잡으면 보장은 거의 무의미해지면서도, 팀은 여전히 차등 프라이버시를 만족했다고 말할 수 있다. 보장은 실재한다. 그 실질적인 강도는 설계상의 선택이다.

참고: 차등 프라이버시 보장은 프라이버시 파라미터와 그것이 보호하는 단위를 알 때에만 의미가 있다. 매우 큰 엡실론, 느슨한 델타, 불분명한 회계는 기술적으로 타당한 보장을 실질적으로 거의 무보호 상태로 만들 수 있다. "이 시스템은 차등 프라이버시를 사용한다"는 문구만으로는 사실상 아무것도 알 수 없다. 의미를 담고 있는 것은 프라이버시 파라미터, 그것이 무엇을 대상으로 측정되었는지, 그리고 어떻게 합성되는지다. 실제 배포 사례가 이를 구체적으로 보여준다. Google은 Provably Private Insights 시스템에 대해 사용자 단위 엡실론 1을 보고하지만, 그것은 하나의 배포가 하나의 용례를 위해 내린 선택이지 베껴 쓸 숫자가 아니다.

동형 암호는 결코 복호화하지 않는 데이터 위에서 어떻게 계산하는가?

완전 동형 암호(FHE)는 서버가 암호화된 데이터 위에서 직접 연산을 수행하고, 데이터 소유자만 복호화할 수 있는 암호화된 결과를 돌려주게 한다. 서버는 평문을 한 번도 보지 않은 채 일을 한다. 이 분야에서 가장 강력한 프라이버시 도구 중 하나지만, 그 대가는 성능이다.

유용한 비유는 장갑이 달린 잠긴 글러브박스다. 작업자는 상자를 열거나 내용물을 꺼내지 않고도 손을 넣어 안의 것을 다룰 수 있다. 열쇠는 데이터 소유자만 갖고 있다. 계산은 봉인된 내용물 위에서 이루어지고, 상자를 열어 결과를 읽을 수 있는 사람은 소유자뿐이다. 수학적으로 FHE가 하는 일이 그것이다. 암호문 위에서 연산하되, 결과를 복호화하면 평문으로 계산했을 때와 같은 답이 나오게 하는 것이다.

문제는 비용이다. Concrete ML은 Zama가 만든 것으로, 사용자가 암호학 프리미티브를 직접 다루지 않고도 scikit-learn과 PyTorch 모델을 FHE 호환 등가물로 변환해 주며, v1.9 릴리스는 2025년 4월 10일에 나왔다. 하지만 프로젝트 자체 벤치마크가 그 오버헤드를 보여준다. CIFAR10 이미지 분류 네트워크는 FHE 아래에서 이미지 한 장당 약 4분이 걸린다. 지연에 관대한 일부 추론, 더 단순한 모델, 실험적인 암호화 파인튜닝에는 괜찮은 수치다. 그래도 대형 모델의 전체 사전학습이나 일반적인 대형 모델 학습 워크로드로 가는 실용적인 경로는 아니다. 오늘날 FHE는 좁은 범위의 작업을 위한 정밀 도구이지 범용 프라이버시 계층이 아니다.

머신러닝에서 보안 다자간 계산이란 무엇인가?

보안 다자간 계산(SMPC)은 여러 당사자가 각자의 비공개 입력을 합친 것 위에서 함수를 함께 계산하되, 어느 당사자도 다른 쪽의 원본 데이터를 보지 못하게 한다. 각자의 입력은 비밀로 남는다. 알려지는 것은 합의된 결과뿐이다. SMPC는 비밀 분산, 가블드 회로, 망각 전송, 그리고 이들의 조합 같은 기법으로 구성할 수 있다. 비밀 분산 프로토콜에서는 비공개 값을 여러 몫으로 쪼개, 몫 하나만으로는 입력이 드러나지 않게 한다. 가블드 회로 프로토콜은 다르게 작동한다. 계산을 부호화해, 당사자들이 자신의 비공개 입력을 드러내지 않고도 그것을 평가할 수 있게 한다.

자연스러운 활용 사례는 조직 간 협업이다. 여러 병원이 환자 데이터를 합쳐 모델을 학습시키고 싶지만, 어느 병원도 법적으로 기록을 서로 공유할 수 없다. SMPC는 데이터가 한데 모인 것처럼 공동 모델을 계산하게 해주면서, 각 병원의 기록은 그 병원 안에 봉인된 채로 둔다. SMPC의 오버헤드는 프로토콜, 보안 모델, 네트워크 상태, 참여 당사자 수, 그리고 평가되는 함수에 크게 좌우된다. 통신량이 많은 프로토콜이 많으므로, 성능은 차등 프라이버시나 FHE와 일반적으로 순위를 매기기보다 그 협업 사례에 대해 직접 측정해야 한다. 의료 머신러닝에서 바로 이 패턴을 다룬 자료가 있다. 2025년 WIREs Computational Statistics 서베이 논문.

머신러닝 모델이 학습 데이터를 누출할 수 있는가?

그렇다. 학습된 모델은 여러 가지 구별되는 방식으로 학습 데이터를 누설할 수 있다. 멤버십 추론은 특정 레코드가 학습 집합에 있었는지를 드러내고, 모델 역전과 그래디언트 누출은 레코드를 재구성할 수 있으며, 대형 언어 모델은 학습 데이터의 일부를 암기해 그대로 뱉어낼 수 있다. 이것들은 가정이 아니다. 실제로 시연된 공격이며, 위의 기법들이 존재하는 이유다.

토대가 된 결과는 멤버십 추론이다. Shokri와 동료들은 다음 논문에서 Membership Inference Attacks Against Machine Learning Models (2017 IEEE S&P) 모델의 예측 행동을 관찰하는 공격자가 주어진 레코드가 학습 집합에 속했는지 판별할 수 있음을 보였다. 학습 집합이 "특정 진단을 받은 환자들"이 되는 순간 이 이야기는 더 이상 추상적이지 않다. 그때는 소속 여부 자체가 민감한 사실이다. 앞서 다룬 모델 역전과 그래디언트 누출 공격은 이를 "이 레코드가 있었는가"에서 "레코드를 재구성하라"로 확장한다.

최전선은 대형 언어 모델이고, 기존 PPML 프레임워크가 가장 잘 들어맞지 않는 곳도 바로 여기다. 다음 주제를 다룬 연구가 있다. LLM이 학습 데이터를 그대로 내뱉는 현상 이 연구는 대형 모델이 학습 코퍼스의 일부를 암기하며 프롬프트로 그것을 재현하게 만들 수 있음을, 그리고 추출 공격이 학습 데이터를 그대로 혹은 거의 그대로 복원함을 기록한다. DP-SGD는 프라이빗 파인튜닝에 적용할 수 있지만, 대형 모델 규모에서의 정확도 손실과 연산 비용이 가혹하다. 이것이 다음의 이유 중 하나다. Apple의 2026년 PPML 워크숍 이 워크숍은 파운데이션 모델과 프라이버시를 다루는 트랙을 통째로 열었다. 로지스틱 회귀 분류기에서 깔끔하게 통하는 방어책이 수십억 파라미터 모델로 공짜로 옮겨가지는 않는다.

PPML과 자체 호스팅 AI: 로컬 추론이 사주는 것과 사주지 못하는 것

모델을 자체 호스팅하면 데이터가 내가 통제하는 인프라에 남는다. 이는 접근 통제와 데이터 현지화 측면에서 실질적인 이득이다. 데이터가 제3자에게 건너가지 않고, 그 모델이 도는 머신에 누가 닿을 수 있는지를 내가 정한다. 하지만 이것이 프라이버시 보존 머신러닝은 아니다. 로컬 추론은 그 자체로 모델을 겨냥한 멤버십 추론을 막지 못하며, 모델이 암기한 내용을 드러내는 것도 막지 못한다.

둘은 문제의 서로 다른 절반을 푼다. 이 둘을 뒤섞는 것이 이 분야의 흔한 실수다. 데이터 현지화는 누가 데이터에 닿을 수 있는지를 규율한다. 경계에 관한 질문이며, 바이트가 어디에 있고 그 방의 열쇠를 누가 쥐고 있는지가 답이다. PPML은 모델 자체가 무엇을 드러낼 수 있는지를 규율한다. 정보 누출에 관한 질문이며, 위의 네 가지 기법이 답이다. 자기 서버에서 모델을 돌리는 것은 첫 번째 질문에 대한 강력한 답이고, 두 번째 질문에는 아무 답도 되지 않는다.

당신이 저울질하는 질문이 애초에 모델을 직접 돌릴지 여부라면, 그 결정의 비용 측면은 그 자체로 별도의 분석거리다. 다음을 참고하라. 오픈 웨이트 LLM 셀프 호스팅 대 API: 실제 비용 계산법.

플랫폼이나 인프라 엔지니어에게 실무적 해석은 이렇다. "우리 서버에서 돌아간다"는 말은 일부 데이터 현지화와 접근 통제 요건은 충족할 수 있지만, 그 자체로 모델이 무엇을 드러낼 수 있는지를 제약하지는 않는다. 모델이나 그 출력이 언젠가 팀을 넘어, 파트너에게, 혹은 제품 안에서 공유된다면, 하드웨어 주위에 쌓아 올린 경계는 모델을 따라 문밖으로 나가지 않는다. 실제로 보장을 움직이는 아키텍처 선택은 PPML 쪽이다. 공개하는 출력에는 차등 프라이버시를, 중앙화할 수 없는 사이트 간 학습에는 DP-FL을, 자기 인프라에조차 데이터를 노출할 수 없는 곳에는 암호 기반 연산을 쓴다. Google의 Provably Private Insights 배포가 배울 만한 이유는 정확히, 어느 하나에 기대지 않고 차등 프라이버시, 신뢰 실행 환경, 기밀 연합 분석이라는 통제 수단들을 결합했기 때문이다. 현지화는 제대로 된 아키텍처의 일부다. 아키텍처 전체는 아니다.

어떤 PPML 기법을 언제 써야 하는가?

선택의 논리는 유행이 아니라 제약을 따른다. 데이터를 중앙화할 수 없을 때는 연합 학습을 쓴다. 모델이 무엇을 드러내는지에 대한 형식적 보장이 필요할 때는 차등 프라이버시를 쓴다. 결코 복호화되지 않는 데이터 위에서 계산해야 하고 지연이 허용될 때는 동형 암호를 쓴다. 여러 당사자가 입력을 공유하지 않고 함께 계산해야 할 때는 보안 다자간 계산을 쓴다.

기법들은 조합되기도 한다. DP-FL이 가장 분명한 예다. 문제를 하나의 기법 안에 억지로 밀어 넣지 말고, 시스템에 필요한 보장에 맞춰 통제 수단을 고르라.

트레이드오프 한눈에 보기:

이 특성 정리는 다음 자료에서 가져왔다. 2026년 3월 IoT 중심 PPML 서베이여기에 Zama의 Concrete ML 벤치마크와 재식별 관련 문헌이 더해졌다.

이 표는 출발점일 뿐이다. 실제 시스템은 기법을 조합하는 경우가 많다. 형식적 프라이버시 보장까지 필요한 사이트 간 학습 문제는 보통 DP-FL 문제이지, 연합 학습과 차등 프라이버시 중 하나를 고르는 문제가 아니다. 이 결정을 더 엄밀하게 구조화하고 싶은 독자는 다음 자료를 따라가 보면 된다. 개발자를 위한 구조화된 의사결정 지원 프레임워크 2024년 말에 발표되었다.

도구 이야기를 하자면, TensorFlow Federated는 연합 학습과 분산된 데이터 위의 계산을 위한 오픈소스 프레임워크를 제공한다. TensorFlow Privacy는 차등 프라이버시 학습 유틸리티를 제공하고, Google의 Differential Privacy 라이브러리는 차등 프라이버시 통계와 집계를 다루며, Concrete ML은 FHE 경로를 제공한다. PySyft는 이제 더 넓게, 프라이버시를 보존하는 원격 데이터 사이언스에 초점을 둔다. 계산은 소유자가 보유한 데이터에 대해 실행되고, 승인된 결과만 공유된다. 이름과 역할은 이 정도다. 설치와 설정은 여기가 아니라 별도의 구현 가이드에 속한다. 반복되는 교훈은, 수학은 맞아떨어져도 구현이 무너질 수 있다는 것이다. 보장은 시스템이 올바른 위협 모델을 중심으로 설계되고 프라이버시 파라미터가 보호하려는 위험에 부합할 때에만 의미가 있다.

자주 묻는 질문

PPML은 무슨 뜻인가?

프라이버시 보존 머신러닝은 머신러닝 과정에서 정보 노출을 줄이거나 제한하거나 형식적으로 상한을 두는 방법들을 아우르는 용어다. 주요 접근법으로는 연합 학습, 차등 프라이버시, 동형 암호, 보안 다자간 계산이 있지만, 이들은 서로 다른 자산을 보호하며 서로 다른 종류의 보장을 제공한다.

연합 학습만으로 프라이버시를 지킬 수 있는가?

아니다. 연합 학습은 원본 데이터를 발생지에 남겨두지만, 공유하는 파라미터 업데이트는 그래디언트 인버전 공격을 통해 학습 레코드로 역산될 수 있다. 그 자체로는 형식적인 프라이버시 보장을 제공하지 않는다. 차등 프라이버시가 형식적인 누출 상한을 더할 수 있고, 그 조합을 보통 DP-FL이라 부른다.

차등 프라이버시에는 어떤 엡실론 값을 써야 하는가?

보편적인 값은 없다. 엡실론은 프라이버시와 정확도 사이 트레이드오프의 주요 파라미터 중 하나다. 값이 낮을수록 대체로 프라이버시는 강해지고 잡음은 늘며, 값이 높을수록 대체로 프라이버시는 약해지고 잡음은 준다. 올바른 설정은 데이터의 민감도와 감수할 수 있는 위험에 달려 있다. 어떤 엡실론 값을 "안전하다"고 만들어 주는 보편적 기준선은 없다. 엡실론은 프라이버시 단위, DP 변형과 델타 같은 추가 파라미터, 합성 방식, 그리고 시스템의 위협 모델과 함께 평가하라.

PPML과 익명화의 차이는 무엇인가?

익명화는 데이터셋에서 식별자를 제거하지만, 익명화된 레코드도 다른 출처의 보조 데이터와 연결하면 다시 식별될 수 있다. 일부 PPML 기법은 일반적인 익명화가 주지 못하는 형식적 보장을 제공한다. 차등 프라이버시는 한 개인의 데이터가 공개된 결과에 미치는 영향에 상한을 둘 수 있고, FHE와 SMPC는 다른 형태의 암호학적 기밀성을 제공한다.

머신러닝 모델에서 학습 데이터를 추출할 수 있는가?

그렇다. 멤버십 추론 공격은 특정 레코드가 학습 집합에 있었는지를 드러내고, 모델 역전과 그래디언트 누출은 레코드를 재구성할 수 있으며, 대형 언어 모델은 학습 데이터를 암기해 그대로 내뱉을 수 있다. 이것들은 보안 문헌에 기록된, 실제로 시연된 공격이지 가상의 위험이 아니다.

모델을 자체 호스팅하면 데이터 프라이버시가 보장되는가?

아니다. 자체 호스팅은 데이터를 내가 통제하는 인프라에 두는 것으로, 이는 접근 통제이자 데이터 현지화이며 누가 데이터에 닿을 수 있는지를 다스리는 데는 진짜 이득이다. 하지만 이것은 프라이버시 보존 머신러닝이 아니며, 멤버십 추론도 암기 기반 누출도 막지 못한다. PPML 기법과 잘 어울리지만 그것을 대체하지는 않는다.

프라이버시 보존 머신러닝을 위한 오픈소스 도구에는 무엇이 있는가?

여러 오픈소스 도구가 PPML의 서로 다른 부분을 담당한다. TensorFlow Federated는 연합 학습과 분산 데이터 위의 계산을 지원하고, TensorFlow Privacy는 차등 프라이버시 학습 유틸리티를 제공하며, Concrete ML은 FHE 기반 머신러닝을 다룬다. PySyft는 이제 프라이버시를 보존하는 원격 데이터 사이언스에 집중한다. 계산은 소유자가 통제하는 데이터에 대해 실행되고, 승인된 결과만 공유된다.