구글 HEIR, 암호화된 데이터 위에서 AI 추론을 돌리다

클라우드에 데이터를 맡기는 순간 프라이버시와 기능은 서로 충돌한다. 종단간 암호화(E2EE)를 적용하면 유출 사고로부터 사용자 데이터를 지킬 수 있지만, 서비스 제공자가 그 데이터를 볼 수 없으니 스팸 탐지나 바이러스 검사처럼 데이터에 의존하는 기능을 제공하기 어려워진다. 특히 의료와 금융처럼 민감도가 높고 기관 간 데이터 공유가 규제로 제한된 분야에서는 이 딜레마가 더 크다. 그렇다고 모든 처리를 단말에서 하는 방식도 대안이 되기 어렵다. 로컬 처리는 기기 성능의 한계에 묶이고, 무엇보다 독점적인 AI 모델을 단말에 내려보내면 모델 자체가 유출될 위험이 생긴다.

구글이 이번에 공개한 HEIR는 이 오래된 트레이드오프를 정면으로 겨냥한다. HEIR는 'Homomorphic Encryption Intermediate Representation'의 약자로, 동형암호(homomorphic encryption)를 위한 오픈소스 컴파일러 툴체인이자 개발 플랫폼이다. 구글은 이를 자사의 프라이빗 컴퓨팅 툴킷(Private Computing Toolkit)에 새로 추가하는 도구로 소개했다.

동형암호가 바꾸는 계산의 전제

동형암호의 핵심은 데이터를 복호화하지 않은 채 암호문 위에서 직접 연산을 수행할 수 있다는 점이다. 서버는 암호문을 입력받아 처리하고, 암호화된 결과를 되돌려주는 동안 원본 정보를 전혀 들여다보지 않는다. 예를 들어 클라우드 서비스가 사용자의 특성값을 보지 못한 상태로도 콘텐츠 추천을 제공할 수 있다. 구글은 이번에 함께 공개한 데모 중 하나가 실제로 이 시나리오를 구현한다고 밝혔다.

주목할 점은 동형암호가 프라이버시와 기능의 양자택일을 '비용'의 문제로 치환한다는 것이다. 암호문 위의 연산에는 적지 않은 오버헤드가 따르지만, 기능을 포기하는 대신 그만큼의 계산 비용을 지불하면 된다는 구도로 바뀐다. 그리고 그 비용은 빠르게 낮아지고 있다는 것이 구글의 진단이다. 또한 동형암호의 보안 보장은 보안 엔클레이브 같은 하드웨어 기반 방식과 달리 순수하게 암호학적이라는 점도 강조된다. 구글은 차등 프라이버시, 프라이빗 집합 멤버십, 정보 검색 프라이버시(PIR) 등 프라이버시 기술을 축적해왔고, 동형암호는 그 계보를 잇는 도구라는 설명이다.

HEIR가 풀려는 실무의 병목

동형암호가 이론적으로 강력해도 현장 도입이 더뎠던 이유는 사용성에 있다. 기존 프로그램을 효율적인 동형암호 방식으로 손수 변환하려면 암호학자로 구성된 전담 팀이 필요했다. HEIR는 바로 이 장벽을 겨냥한다. 암호화되지 않은 데이터로 동작하도록 학습된 기존 AI 모델을, 암호화된 입력 위에서 동작하도록 변환해주는 컴파일러이기 때문이다. 구글이 내건 목표는 전문가가 아닌 개발자도 '원클릭'으로 암호화 추론을 프로덕션 애플리케이션에 넣을 수 있게 만드는 것이다.

2023년 계획을 처음 밝힌 이후 HEIR는 커뮤니티의 참여를 끌어모으고 있다. 동형암호 전용 하드웨어 가속기를 개발하는 벨포트(Belfort), 니오븀(Niobium), 코나미(Cornami), 옵탈리시스(Optalysys) 등과 협력이 진행 중이며, 구글은 이 가속기들이 가져올 지연시간 개선을 조만간 별도로 시연하겠다고 예고했다. 연구 플랫폼으로서도 자리를 잡아, 조지아텍·카네기멜런·UC 산타바바라·일리노이 공대·퍼듀·에든버러대·칭화대 등과의 협업이 이어졌고 HEIR를 기반으로 한 동료 심사 논문이 지금까지 네 편 나왔다.

실무자가 읽어야 할 지점과 한계

이번 발표에서 함께 공개된 것은 네 개의 프라이빗 추론 데모다. 모두 HEIR로 컴파일됐고 소스코드는 깃허브 저장소에 올라와 있어, 관심 있는 개발자가 직접 재현해볼 수 있다. 다만 냉정하게 읽어야 할 부분도 있다. 공개된 지연시간 수치는 단일 스레드 CPU 기준이다. 즉 아직은 대규모 실시간 트래픽을 감당하는 성능 지표가 아니라, 기술적 실행 가능성을 보여주는 벤치마크에 가깝다. 앞서 언급한 하드웨어 가속기의 성과가 별도 시연으로 미뤄져 있다는 점 역시, 현재 CPU 성능만으로는 대중적 배포에 아직 거리가 있음을 시사한다.

그럼에도 규제 산업에 몸담은 실무자라면 HEIR의 방향성을 눈여겨볼 만하다. 기관 간 데이터를 물리적으로 이동시키지 않고도 모델 추론을 제공할 수 있다는 점은, 데이터 공유가 법적으로 막힌 의료·금융 협업의 설계 방식 자체를 바꿀 수 있는 가능성이기 때문이다. 동시에 서비스 제공자는 모델을 단말에 노출하지 않고 서버에 둔 채로 운영할 수 있어, 모델 IP 유출 위험도 줄어든다. 결국 관건은 비용과 지연시간이 실제 프로덕션이 감당할 수준까지 내려오느냐이며, 오픈소스 컴파일러와 하드웨어 생태계가 그 하강 곡선을 얼마나 빠르게 그려낼지가 이 기술의 실용화 시점을 가를 것이다.