OML이란 무엇인가: 오픈 액세스와 소유자 통제를 함께 잡으려는 AI 모델 배포 실험

핵심 메시지

• OML은 Open-access(로컬 실행 가능), Monetizable(사용량 단위 과금), Loyal(사전 승인 통제) 세 성질을 동시에 만족하는 모델 배포 방식을 뜻한다.
• 지금의 AI 배포는 폐쇄형 API 아니면 오픈 웨이트 둘 중 하나인데, 전자는 투명성과 프라이버시를, 후자는 수익화와 안전장치를 포기한다.
• 이론적으로 완벽한 보호는 불가능하다. 승인 질의를 무제한 허용하면 공격자가 모델을 재구성할 수 있다는 정보이론적 한계가 증명됐다.
• 소프트웨어 난독화, 신뢰 실행 환경(TEE), 동형암호는 각각 형식적 보장 부재, 하드웨어 의존, 1000배 이상의 성능 손실이라는 대가를 치른다.
• 실용 시제품인 OML 1.0은 사전 통제를 포기하는 대신, 모델에 비밀 핑거프린트를 심고 사후에 부정 사용을 적발하는 방식을 택했다.

쉽게 이해하기

프린스턴대 박사과정 제루이 청(Zerui Cheng)이 발표한 이 연구는 AI 모델을 어떻게 나눠 쓸 것인가라는 문제를 다룬다. 워싱턴대, 일리노이대 어배너-섐페인 캠퍼스, 그리고 Sentient 재단 연구진이 함께 참여했고, 2024년 9월 백서로 처음 공개된 뒤 여러 학술 행사에서 발표돼 왔다. 출발점은 지금 API 중심 구조에 대한 이용자들의 불만이다. 프롬프트를 제3자 서비스에 보내면서 생기는 데이터 유출 우려, 예고 없는 사용량 제한이나 계정 정지, 그리고 성능이 슬그머니 낮아지는 문제다. 발표에서는 같은 프롬프트에 대해 처음에는 목록 전체를 내놓던 모델이 나중에는 항목 하나만 반환하는 사례를 보여준다. 이용자 동의 없이 서비스 품질이 임의로 바뀔 수 있다는 뜻이다. 여기에 더해 소수 기업으로 개발이 집중되는 흐름이 있고, AI가 효율적이 될수록 수요가 늘어 오히려 집중이 심해지는 제번스 역설이 이를 부추긴다.

그래서 연구진은 세 글자로 요약되는 목표를 세운다. O는 오픈 액세스인데, 여기서 열려 있다는 건 가중치를 공개한다는 뜻이 아니라 누구나 자기 기기에서 로컬로 실행할 수 있다는 뜻이다. 추론이 사용자 기기에서 돌기 때문에 프라이버시와 서비스 품질이 보장된다. M은 수익화인데, 모델 전체를 통째로 파는 것이 아니라 입력이나 토큰 단위로 과금하는 실용적 방식을 지향한다. L은 충성(loyalty), 즉 소유자가 사용 전에 미리 승인 여부를 통제할 수 있어야 한다는 것이다. 고위험 상황에서는 유해한 응답이 한 번만 나와도 되돌릴 수 없기 때문에, 사후 정산이 아니라 사전 통제가 필요하다는 논리다.

구조 자체는 단순하다. 일반 모델은 입력 X를 받아 출력 Y를 내지만, OML 형식으로 변환된 모델은 입력 X와 함께 소유자가 발급한 권한 토큰을 요구한다. 올바른 토큰이면 원본과 동일한 출력이 나오고, 틀린 토큰이면 쓸모없는 결과가 나온다. 문제는 이걸 어떻게 강제하느냐다. 사용자가 모델 내부를 전부 들여다볼 수 있는 화이트박스 상황이라, 서명 검증을 if 문 하나로 넣어두면 공격자가 그 분기를 찾아 지우고 원본 모델을 복구해 버린다. 그래서 검증 로직을 모델의 핵심 연산에 깊이 얽어놓아, 떼어내려는 순간 모델 자체가 망가지도록 만들어야 한다는 것이 설계의 요체다.

이론 파트는 냉정하다. 승인 질의를 무제한 허용하면 어떤 방식으로도 완벽한 보안은 불가능하다는 결과가 먼저 나온다. 예제를 충분히 모으면 함수를 학습해 모델을 재구성할 수 있기 때문이다. 반대로 낙관적인 결과도 있다. 구분불가 난독화라는 강력한 암호학 도구가 존재한다면 추출과 위조 모두에 안전한 구성이 가능하다. 세 번째 결과는 실무적인데, 모델이 추출에 취약해지기 전까지 허용할 수 있는 승인 질의 수의 상한을 모델 복잡도와 목표 보안 수준으로 계산해 준다. 결론은 명확하다. 완벽한 보안 대신 계산적 난이도와 경제적 유인에 기대야 하고, 모델 소유자는 질의 예산 같은 정책을 함께 설계해야 한다.

구현 방법은 크게 두 갈래다. 하나는 기존 보안 기술을 조합하는 방식이다. 소프트웨어 난독화는 진입 장벽만 높일 뿐 형식적 보장이 없고, 신뢰 실행 환경은 하드웨어 제조사를 믿어야 하는 데다 AI용 TEE GPU가 아직 상용화되지 않아 CPU로만 돌려야 한다는 결정적 제약이 있다. 동형암호는 수학적으로 강력하지만 연산이 1000배 이상 느려지고 정수 연산만 지원해 모델을 양자화해야 한다. 그래서 나온 절충안이 핵심 계층만 강한 보호로 감싸고 나머지는 가벼운 난독화로 처리하는 혼합 방식이다. 다른 갈래는 AI 자체의 성질을 이용하는 접근이고, 실제로 만들어진 것이 OML 1.0이다. 여기서는 사전 통제라는 요건을 일단 내려놓는다. 대신 소유자가 모델에 비밀 질문-답변 쌍, 즉 핑거프린트를 심어둔다. 라이선스를 받은 호스트가 사용량 보고 의무를 지고 서비스하는데, 검증자가 비밀 질문을 던져 핑거프린트 응답이 나오는데도 보고가 없으면 부정이 드러나고 예치한 담보를 잃는다. 연구진은 80억 파라미터 라마 모델에 2만 개 넘는 핑거프린트를 성능 저하 없이 심었고, 추가 파인튜닝 후에도 살아남는 것을 확인했다. 핵심 기법은 높은 확률 토큰 무리 대신 그 주변의 낮은 확률 영역에서 답을 뽑는 샘플링이다. 각 토큰마다 확률 20% 미만인 것만 고르기 때문에 우연히 같은 문장이 나올 가능성은 사실상 없지만, 여전히 그 모델이 낼 수 있는 분포 안의 출력이라 어색하지 않다.

주요 인사이트

• "열려 있다"를 가중치 공개가 아니라 로컬 실행 가능성으로 다시 정의한 점이 이 연구의 출발점이다. 사용자가 원하는 건 파일을 뜯어보는 권리가 아니라 내 기기에서 돌릴 권리라는 관찰이다.
• 화이트박스 환경에서는 검증 코드를 분리 가능한 모듈로 두는 순간 진다. 보호 장치와 모델을 떼어낼 수 없게 얽는 것이 이 문제의 본질이며, 이는 일반 소프트웨어 보안과 다른 조건이다.
• 정보이론적 불가능성이 증명됐다는 건 실패가 아니라 설계 지침이다. 절대 방어 대신 '몇 번의 질의까지 허용할 것인가'라는 예산 문제로 바뀌고, 보안이 가격 정책의 일부가 된다.
• 핑거프린팅은 LLM의 토큰 확률 분포에 기대는 기법이라 회귀 모델이나 비전 모델에는 그대로 옮기기 어렵다. 발표자도 질의응답에서 이 한계를 인정했다.
• 발표가 기술에 그치지 않고 벤치마크 오염과 리더보드 조작, 데이터 라벨링 노동의 보상 문제까지 짚는다는 점이 눈에 띈다. 모델 배포 방식이 결국 누가 AI의 성과를 가져가느냐의 문제와 이어진다는 시각이다.

자주 묻는 질문

관련 AI 소식