구글이 암호를 풀지 않고 AI를 돌립니다 — 컴파일러 HEIR와 암호화된 채로 하는 추론
AI 뉴스 SVIL 구글 HEIR 동형암호 완전동형암호 프라이버시 암호화 추론

구글이 암호를 풀지 않고 AI를 돌립니다 — 컴파일러 HEIR와 암호화된 채로 하는 추론

SVIL - Singularity Visual Intelligence Lab 16 min read

병원이 내 검사 결과를 AI에 넣어 판독을 받는다고 해봅시다. 그 순간 검사 결과는 서버에 평문으로 올라갑니다. 지금까지는 "믿을 만한 회사에 맡긴다"가 유일한 답이었습니다. 8월 14일 구글이 내놓은 것은 그 전제를 바꾸려는 시도입니다. 서버가 데이터를 열어보지 않은 채로 판단하게 하는 도구입니다.

검은 정육면체가 더 큰 투명한 청록빛 정육면체 안에 완전히 감싸여 있는 모습 — 암호에 싸인 채 처리되는 데이터를 표현한 개념 이미지

데이터를 열어보지 않고 판단할 수 있을까요

보통 컴퓨터는 계산하려면 먼저 내용을 풀어야 합니다. 자물쇠를 열고, 꺼내 보고, 더하고, 다시 넣습니다. 그 "열려 있는 순간"이 모든 유출 사고가 일어나는 지점입니다.

동형암호는 그 순서를 뒤집습니다. 잠긴 채로 더하고 곱합니다. 결과도 잠긴 채로 나오고, 열쇠를 가진 사람만 풀어 볼 수 있습니다. 서버는 자기가 무엇을 계산했는지 끝까지 모릅니다.

8월 14일, 구글이 내놓은 것

구글이 공개한 것은 HEIR입니다. 동형암호용 컴파일러 도구모음이자 개발 플랫폼이라고 소개했습니다. 핵심 기능은 이미 학습을 마친 AI 모델을, 암호화된 데이터 위에서 돌아가는 형태로 변환해 주는 것입니다.

모델을 새로 학습시키는 게 아니라 기존 모델을 옮기는 방식이라는 점이 중요합니다. 진입 문턱이 크게 낮아집니다.

두꺼운 검은 판이 청록빛으로 빛나는 평면 위를 옆으로 미끄러져 지나가는 모습 — 내용을 가린 채 처리하는 구조를 표현한 개념 이미지

동형암호를 한 문장으로

한 문장으로 줄이면 이렇습니다. 잠긴 상자 안의 숫자를, 상자를 열지 않고 더하고 곱할 수 있게 해주는 암호 방식.

비유하자면 장갑 상자 같은 것입니다. 안에 든 것을 꺼내지 않고 밖에서 손을 넣어 조작합니다. 조작한 사람은 안에 무엇이 들었는지 볼 수 없지만, 결과물은 정확히 만들어집니다.

완전동형암호와 부분동형의 차이

동형암호에도 등급이 있습니다. 덧셈만 되는 것, 곱셈만 되는 것, 정해진 횟수만 되는 것이 오래전부터 있었습니다. 이런 것들을 부분동형이라고 부릅니다.

완전동형암호(FHE)는 제한이 없습니다. 덧셈과 곱셈을 원하는 만큼 이어 붙일 수 있고, 그 조합으로 사실상 모든 계산을 만들 수 있습니다. AI 추론처럼 연산이 수없이 겹치는 작업에는 완전동형이 필요합니다.

화면을 끝까지 가로지르는 긴 청록빛 선 옆에 중간에서 끊긴 짧은 선이 놓인 모습 — 완전동형과 부분동형의 차이를 표현한 개념 이미지

왜 지금까지 못 썼나 — 1000배라는 벽

이론은 2009년에 나왔습니다. 그런데 17년이 지나도록 널리 쓰이지 못한 이유는 단 하나, 느려서입니다.

일반적으로 암호화되지 않은 계산 대비 1000배 느리다고 이야기합니다. CPU만 쓰는 구현에서는 1만 배까지 벌어지기도 합니다. 0.1초 걸릴 일이 100초가 되면 그건 안 되는 것과 같습니다.

HEIR가 하는 일 — 컴파일러라는 접근

여기서 구글의 선택이 흥미롭습니다. 암호 알고리즘 자체를 더 빠르게 만드는 대신, 컴파일러를 만들었습니다.

동형암호를 실제로 쓰려면 전문가가 손으로 해야 하는 결정이 아주 많습니다. 그 결정을 자동으로 내려주는 층을 만든 것입니다. 성능 문제를 정면으로 뚫는 대신, 사람이 붙는 비용을 없애는 쪽으로 접근했습니다.

여러 갈래의 청록빛 선들이 하나의 좁고 밝은 틈으로 모여드는 모습 — 흩어진 최적화 결정을 컴파일러가 하나로 모으는 것을 표현한 개념 이미지

MLIR 위에 얹은 추상화 계층

HEIR는 MLIR이라는 기반 위에 지어졌습니다. 여러 단계의 추상화 계층을 정의하고, 위 계층에서 아래 계층으로 차례로 내려가면서 변환합니다.

각 계층은 저마다 다른 종류의 최적화를 쉽게 만들도록 설계돼 있습니다. 높은 층에서는 "무엇을 계산할까"를 다루고, 낮은 층에서는 "어떤 암호 연산으로 표현할까"를 다룹니다.

암호문 데이터 배치라는 난제

동형암호에서 가장 까다로운 결정 중 하나가 패킹입니다. 암호문 하나에 여러 개의 숫자를 나란히 담을 수 있는데, 어떤 순서로 담느냐에 따라 이후 계산 비용이 몇 배씩 달라집니다.

사람이 손으로 하면 며칠씩 고민할 문제입니다. HEIR는 이 배치를 컴파일러가 정하게 만들었습니다. 실무에서 가장 크게 체감되는 자동화입니다.

작은 검은 정육면체들이 빈틈없이 맞물려 하나의 큰 정육면체를 이루고 이음매에 옅은 청록빛이 비치는 모습 — 암호문 안에 데이터를 배치하는 패킹을 표현한 개념 이미지

파라미터 선택을 사람이 안 해도 되게

동형암호는 여러 개의 수치를 정해야 동작합니다. 이 값들은 안전성과 속도 사이의 균형을 결정하고, 잘못 잡으면 계산이 도중에 망가지거나 필요 이상으로 느려집니다.

이것 역시 전문가의 영역이었습니다. HEIR는 파라미터 선택도 컴파일 과정에 포함시켰습니다. 개발자가 암호학을 몰라도 되게 만드는 것이 목표입니다.

파이썬으로 쓰고 비밀만 표시하면 됩니다

실제 사용 방식은 이렇습니다. 개발자는 평범한 파이썬 코드를 씁니다. 그리고 어떤 값이 비밀인지만 표시해 둡니다. 나머지는 HEIR가 알아서 컴파일합니다.

구글은 이 방향을 두고 "비전문가도 암호화 추론을 실제 서비스에 넣을 수 있는 원클릭 해법"을 목표로 한다고 밝혔습니다. 아직 도달한 상태가 아니라 지향점이라는 점은 분명히 해둘 필요가 있습니다.

암흑 속에 흩어진 여러 검은 정육면체 가운데 단 하나만 강한 청록빛으로 빛나는 모습 — 비밀로 표시한 값만 따로 다루는 것을 표현한 개념 이미지

데모 하나 — 딥러닝 추천 모델

구글이 함께 공개한 시연은 네 가지입니다. 첫 번째는 딥러닝 기반 추천 모델입니다.

추천은 개인의 취향과 이력을 통째로 알아야 잘 작동하는 기능입니다. 그래서 프라이버시와 가장 크게 부딪힙니다. 암호화된 상태로 추천을 계산하면 서버는 사용자가 무엇을 봤는지 모른 채 결과만 내놓게 됩니다.

데모 둘 — 신용카드 사기 탐지

두 번째는 신용카드 부정거래 탐지입니다. 이 시연은 니오븀, 하드셸에이아이와 함께 컴파일했다고 밝혔습니다.

금융권은 데이터를 밖으로 내보내는 데 규제가 가장 강한 분야입니다. 거래 내역을 암호화된 채로 판정할 수 있다면, 지금까지 규제 때문에 못 쓰던 외부 모델을 쓸 길이 열립니다.

곧은 청록빛 광선이 촘촘히 모인 작은 검은 정육면체 무리를 관통해 반대편으로 빠져나가는 모습 — 암호화된 거래 더미에서 이상을 찾아내는 것을 표현한 개념 이미지

데모 셋 — 네트워크 침입 탐지

세 번째는 네트워크 침입 탐지입니다. 키츤이라는 시스템을 써서 암호화된 네트워크 트래픽에서 이상 징후를 잡아냅니다.

보안 감시는 원래 트래픽을 들여다봐야 하는 일입니다. 그런데 들여다보는 행위 자체가 또 다른 감시가 됩니다. 암호화된 채로 이상만 판정할 수 있다면 이 딜레마가 줄어듭니다.

데모 넷 — 핫워드 감지와 음성 비서

네 번째가 개인적으로 가장 눈에 들어온 시연입니다. 핫워드 감지 — 음성 비서가 "지금 나를 부른 게 맞나"를 판정하는 부분입니다.

음성 비서는 늘 듣고 있어야 호출어를 잡습니다. 그 "늘 듣고 있음"이 오랫동안 논란이었지요. 감지 단계를 암호화된 채로 돌리면, 호출어가 아닌 소리는 아무도 내용을 알 수 없게 됩니다.

검은 정육면체의 한 면이 직선을 따라 벌어지며 그 틈에서 밝은 청록빛이 새어 나오는 모습 — 호출어가 맞을 때만 열리는 음성 감지를 표현한 개념 이미지

3층 신경망 16초라는 숫자

성능을 가늠할 수 있는 수치가 하나 있습니다. 구글의 도구모음으로 텐서플로 라이트 모델을 완전동형암호로 컴파일했을 때, 3층 신경망 하나의 추론에 16초가 걸렸습니다.

이번 발표 자료 자체에는 구체적인 지연 수치가 표로 정리돼 있지는 않고, 단일 스레드 CPU 기준이라는 단서만 붙어 있습니다. 즉 아직은 "빠르다"고 말할 단계가 아닙니다.

여전히 남은 부트스트래핑 병목

완전동형암호의 가장 큰 비용은 부트스트래핑입니다. 계산을 반복할수록 암호문에 잡음이 쌓이는데, 이걸 주기적으로 털어내는 작업입니다.

연구 보고에 따르면 이 과정이 전체 추론 시간의 62~85%를 잡아먹습니다. 즉 실제 계산보다 뒷정리에 시간을 더 쓰는 구조입니다. 여기가 뚫려야 판이 바뀝니다.

굵고 밝은 청록빛 막대 아래에 훨씬 가늘고 흐린 막대가 놓인 모습 — 뒷정리 비용이 실제 계산보다 큰 구조를 표현한 개념 이미지

GPU 가속이 좁힌 거리

희망적인 쪽도 있습니다. GPU를 붙이면 지연이 1.5배에서 10.5배까지 줄고, 서버 쪽 실행 시간은 최대 86배까지 단축된 사례가 보고됐습니다.

2026년 2월에는 의료 영상 데이터셋에서 암호화된 채로 87.5% 정확도를 내면서 이미지당 150밀리초를 기록한 결과도 나왔습니다. 작은 모델, 좁은 과제에 한해서는 이미 실용 구간에 들어와 있다는 뜻입니다.

지금 실용적인 것과 아직 아닌 것

정리하면 경계선이 이렇습니다.

지금 되는 것 — 비공개 조회, 작은 모델의 추론, 초당 수십 건 규모의 암호화된 판정 로직.

아직 안 되는 것 — 범용 계산, 대화형 응답, 큰 언어 모델을 통째로 암호화해 돌리는 일. 여기는 1000배에서 1만 배의 부담이 그대로 살아 있습니다.

검은 판들이 층층이 쌓이고 판 사이 이음매마다 가느다란 청록빛이 흐르는 모습 — 여러 추상화 계층을 거쳐 내려가는 컴파일 구조를 표현한 개념 이미지

원클릭이라는 목표의 뜻

구글이 "원클릭"이라는 표현을 쓴 이유를 생각해 볼 만합니다. 지금 동형암호를 가로막는 것은 속도만이 아닙니다. 이걸 다룰 줄 아는 사람이 세상에 몇백 명 수준이라는 점이 더 큰 벽입니다.

속도는 하드웨어가 시간이 지나면 해결할 여지가 있습니다. 그런데 인력 병목은 도구로만 풀립니다. 컴파일러를 먼저 만든 선택은 그 판단으로 읽힙니다.

실제 사례 — 의료 데이터와 암호화 추론

구체적인 그림을 그려 보겠습니다. 지역 병원이 판독 AI를 쓰고 싶은데, 환자 영상을 외부 서버에 올리는 것이 규정상 막혀 있습니다.

암호화 추론이 실용화되면 병원은 암호화된 영상을 보내고, 서버는 내용을 모른 채 판정 결과만 암호화해 돌려주며, 병원이 그걸 풉니다. 서버 운영자는 어떤 환자의 어떤 영상이었는지 끝까지 알 수 없습니다. 앞서 본 150밀리초 사례가 정확히 이 방향의 실험입니다.

두 개의 검은 정육면체가 하나의 가느다란 청록빛 직선으로 이어진 모습 — 내용을 열지 않고 주고받는 관계를 표현한 개념 이미지

실제 사례 — 저시력 사용자의 음성 명령과 사생활

저시력 사용자에게 음성은 선택이 아니라 주된 입력 수단입니다. 손으로 화면을 더듬는 대신 말로 시키는 편이 훨씬 빠르니까요. 그만큼 마이크가 켜져 있는 시간도 깁니다.

핫워드 감지를 암호화된 채로 돌린다는 건 이 사용자에게 특히 의미가 큽니다. 접근성 때문에 사생활을 더 많이 내주는 구조를, 도구를 포기하지 않고 되돌릴 수 있는 길이거든요. 편의와 프라이버시 중 하나를 고르라는 요구 자체가 사라지는 방향입니다.

클라우드 AI의 신뢰 구조가 바뀝니다

지금 클라우드 AI는 약속 위에 서 있습니다. 안 들여다보겠다, 학습에 안 쓰겠다, 일정 기간 뒤 지우겠다 — 전부 지켜지는지 확인할 방법이 없는 약속입니다.

암호화 추론은 그 자리를 수학으로 바꿉니다. 안 들여다보겠다는 게 아니라 들여다볼 수가 없는 구조가 됩니다. 이건 정도의 차이가 아니라 종류의 차이입니다.

하나의 밝은 점에서 청록빛 동심원 고리들이 바깥으로 퍼져 나가는 모습 — 신뢰 구조의 변화가 미치는 파급을 표현한 개념 이미지

과장을 걷어내면 남는 것

냉정하게 봅시다. 이번 발표로 당장 달라지는 서비스는 없습니다. 벤치마크 수치가 정리된 것도 아니고, 큰 모델을 암호화해 돌릴 수 있게 된 것도 아닙니다.

남는 것은 두 가지입니다. 첫째, 시연 네 가지의 소스 코드가 전부 공개됐습니다. 둘째, 그 시연들이 추천·금융·보안·음성이라는 서로 다른 영역에 걸쳐 있습니다. 특정 분야용 묘기가 아니라 범용 도구로 쓰겠다는 신호입니다.

개발자가 지금 할 수 있는 일

관심이 있으시면 구글의 완전동형암호 저장소에서 네 가지 예제 코드를 직접 받아 볼 수 있습니다. 학술적으로 더 파고 싶으시면 HEIR 컴파일러를 다룬 논문이 공개돼 있습니다.

다만 현실적인 조언을 하나 붙이자면, 지금은 작고 좁은 과제로 시작하시는 편이 좋습니다. 큰 모델을 통째로 올리려는 시도는 아직 시간만 쓰게 됩니다.

넓은 청록빛 광선이 완전한 암흑을 대각선으로 가로지르는 모습 — 앞으로 열릴 방향을 표현한 개념 이미지

핵심 정리

  • 구글이 8월 14일 동형암호 컴파일러 HEIR를 공개했습니다.
  • 이미 학습된 AI 모델을 암호화된 데이터 위에서 도는 형태로 변환해 줍니다.
  • 시연 네 가지 — 추천 모델 · 카드 사기 탐지 · 네트워크 침입 탐지 · 핫워드 감지. 소스 코드가 모두 공개됐습니다.
  • 사기 탐지 시연은 니오븀·하드셸에이아이와 함께, 침입 탐지는 키츤 시스템으로 만들었습니다.
  • 성능은 여전히 벽입니다 — 평문 대비 1000배, CPU 구현에서는 최대 1만 배.
  • 부트스트래핑이 추론 시간의 62~85%를 차지합니다. GPU 가속은 최대 86배 단축을 보고했습니다.
  • 구글의 목표는 비전문가도 쓰는 "원클릭"이지만, 아직 도달점이 아니라 지향점입니다.

참고하실 만한 것

프라이버시가 걸린 서비스를 만드시는 분이라면, 지금 당장 도입할 기술은 아니어도 설계 단계에서 자리를 비워 두는 정도는 해볼 만합니다. 어떤 값이 진짜 비밀이고 어떤 값은 아닌지 미리 구분해 두면, 나중에 옮길 때 드는 비용이 크게 줄어듭니다.

SVIL 연구소는 접근성 도구에서 개인정보를 어디까지 밖으로 내보내지 않고 처리할 수 있는지를 계속 실험하고 있습니다. 함께 해보고 싶은 일이 있으시면 아래 주소로 연락 주세요.

출처

협업문의 : kuroicode@gmail.com
블로그 : https://blog.svil.dev/
홈페이지 : https://kuroicode-beep.github.io/svil-homepage/