벡터 임베딩은 이제 검색, 추천, 사내 지식 검색(RAG) 등 거의 모든 AI 서비스의 뼈대가 됐다. 문서를 숫자 벡터로 바꿔 데이터베이스에 저장하고, 질의도 같은 방식으로 벡터화해 코사인 유사도로 가까운 항목을 찾는 구조다. 그런데 많은 실무자들이 은연중에 가정해온 전제가 있다. '원문 텍스트를 저장하지 않고 임베딩 벡터만 보관하면, 설령 벡터 저장소가 유출돼도 내용은 안전하다'는 것이다. arXiv에 공개된 논문 'Harnessing the Universal Geometry of Embeddings'는 바로 이 전제를 정면으로 반박한다.
짝지어진 데이터 없이 벡터 공간을 옮기다
연구진이 제시한 것은 한 벡터 공간의 임베딩을 다른 벡터 공간으로 '번역'하는 최초의 방법이다. 핵심은 이 번역이 비지도(unsupervised) 방식이라는 점이다. 기존에 서로 다른 두 임베딩 모델을 연결하려면 같은 문장을 두 모델로 각각 인코딩한 짝지어진 데이터나, 두 공간 사이의 대응 관계를 미리 정의한 매칭 집합이 필요했다. 이 방법은 그런 것을 전혀 요구하지 않는다. 원본 인코더에 접근할 필요도, 어떤 문장이 어떤 벡터에 대응하는지 알 필요도 없다.
작동 원리는 모든 임베딩을 일종의 보편적 잠재 표현(universal latent representation)으로 사상했다가 다시 목표 공간으로 되돌리는 것이다. 연구진은 이 보편 구조가 '플라토닉 표현 가설(Platonic Representation Hypothesis)', 즉 서로 다른 모델이 충분히 학습되면 결국 같은 의미 구조를 공유하게 된다는 추측과 맞닿아 있다고 본다. 실제로 아키텍처가 다르고, 파라미터 수가 다르며, 학습 데이터셋마저 다른 모델 쌍 사이에서도 번역된 벡터가 높은 코사인 유사도를 유지했다고 논문은 밝힌다.
왜 보안 문제인가
번역이 원래 벡터의 기하 구조를 보존한다는 사실이 보안상 심각한 함의를 낳는다. 공격자가 오직 임베딩 벡터에만 접근할 수 있는 상황을 가정해보자. 원문도, 사용된 인코더 모델도, 대응 관계도 모른다. 그럼에도 이 정체불명의 벡터들을 자신이 해석할 수 있는 다른 공간으로 번역해내면, 벡터들 사이의 상대적 위치 관계가 그대로 살아난다. 논문에 따르면 이렇게 확보한 정보만으로도 문서에 대한 분류(classification)와 속성 추론(attribute inference)이 가능할 만큼 민감한 정보를 추출할 수 있었다.
즉 벡터 저장소가 유출됐을 때 '벡터는 되돌릴 수 없는 해시 같은 것'이라는 통념은 성립하지 않는다. 임베딩은 의미를 압축한 표현일 뿐 일방향 파괴가 아니며, 보편 기하 구조를 매개로 서로 다른 모델의 공간을 오갈 수 있기 때문에 공격자가 원본 모델을 모른다는 사실이 방어벽이 되어주지 못한다. 이는 개인정보, 계약서, 의료·금융 문서처럼 규제 대상 데이터를 임베딩 형태로만 보관하고 안심하던 조직에 직접적인 경고가 된다.
실무자가 새겨야 할 점
한국 기업 환경에서 RAG와 벡터 검색 도입이 빠르게 늘고 있는 만큼, 이 연구는 데이터 거버넌스 관점에서 재검토를 요구한다. 벡터 데이터베이스를 원문과 동일한 민감도 등급의 자산으로 취급하고, 접근 통제·저장 시 암호화·네트워크 격리를 원문 저장소와 같은 수준으로 적용하는 것이 출발점이다. 임베딩만 남기고 원문을 지웠으니 비식별 처리가 끝났다는 식의 논리는 이제 방어 근거로 삼기 어렵다. 특히 외부 SaaS형 벡터 저장소를 쓰거나 임베딩을 제3자와 공유하는 파이프라인이라면 노출 범위를 다시 점검할 필요가 있다.
다만 이 결과의 한계도 분명히 인식해야 한다. 논문이 확인한 것은 분류와 속성 추론 수준의 정보 추출이며, 이는 원문 문장을 글자 그대로 완벽히 복원한다는 의미와는 다르다. 또한 번역 품질이 모델 쌍이나 데이터 특성에 따라 달라질 여지가 있는지, 방어 기법으로 무력화가 가능한지는 이번 공개 내용만으로는 단정하기 어렵다. 그럼에도 '짝지어진 데이터 없이도 임베딩 공간이 서로 번역 가능하다'는 명제가 실증된 것 자체가 방향을 바꿔놓는다. 임베딩은 안전한 익명 표현이 아니라, 그 자체로 보호해야 할 민감 데이터라는 전제에서 시스템을 설계하는 편이 안전하다.