Confidential AI

Confidential AI는 AI 워크로드 전반에서 민감한 데이터, 모델 가중치, 중간 결과를 보호하기 위해 보안 기술과 운영 제어를 사용하는 것으로, 특히 활발히 처리되는 도중에 보호합니다. 그 핵심 목표는 "사용 중인 데이터"의 공백을 메우는 것입니다. 저장소 암호화는 저장된 데이터를 보호하고, 네트워크 암호화는 전송 중인 데이터를 보호하지만, 기존 시스템은 학습이나 추론 중 메모리 내에서 복호화된 정보를 노출할 수 있습니다. Confidential AI는 격리되고 검증 가능한 컴퓨팅 환경을 통해 이러한 노출을 줄입니다.

Confidential AI 작동 방식#

Confidential AI는 데이터 준비, 학습, 미세 조정, 추론 같은 머신러닝 활동으로 confidential computing을 확장합니다. 워크로드는 하드웨어 기반의 신뢰할 수 있는 실행 환경(TEE) 내부에서 실행되며, 이는 인프라 관리자, 클라우드 운영자, 인접한 워크로드 또는 손상된 호스트 소프트웨어가 보호된 코드와 데이터를 보거나 수정하지 못하도록 설계된 격리된 영역입니다.

TEE는 일반적으로 다음을 제공합니다.

• 메모리 격리: 연산이 수행되는 동안 민감한 정보가 보호됩니다.
• 코드 및 데이터 무결성: 워크로드에 대한 무단 변경을 감지하거나 차단할 수 있습니다.
• 원격 증명: 암호학적 증거를 통해 데이터 소유자가 비밀을 공개하기 전에 하드웨어, 소프트웨어, 구성을 검증할 수 있습니다. 예를 들어 NVIDIA GPU attestation은 호환되는 기밀 GPU 환경의 검증을 지원합니다.
• 제어된 키 해제: 환경이 증명을 통과한 후에만 복호화 키가 발급될 수 있습니다.

이러한 보호 조치는 인프라 운영자에 대한 신뢰를 줄여주지만, 모든 위험을 없애는 것은 아닙니다. 취약한 애플리케이션 코드, 노출된 출력, 과도한 로깅, 손상된 사용자 자격 증명, 악의적인 모델 동작에는 여전히 기존 data security 제어가 필요합니다.

Confidential AI와 관련 개인 정보 보호 기술 비교#

Confidential AI는 여러 개념과 관련이 있지만 명확히 구분되는 보호 계층을 다룹니다.

• Data privacy: 개인 또는 민감한 정보가 수집, 사용, 보관, 공유되는 방식을 정의합니다. Confidential AI는 기술적 안전장치를 제공하지만 동의나 합법적 사용을 성립시키지는 않습니다.
• Differential privacy: 개별 레코드에 대해 출력이 드러내는 내용을 제한하기 위해 신중하게 조정된 무작위성을 추가합니다. 이는 통계적 공개로부터 보호하며, 기밀 컴퓨팅은 실행 환경을 보호합니다.
• Federated learning: 원시 레코드를 중앙화하지 않고 탈중앙화된 데이터 소스 전반에서 학습합니다. 기밀 TEE는 집계 프로세스와 모델 업데이트를 추가로 보호할 수 있습니다.
• Edge AI: 전송과 지연을 줄이기 위해 데이터 소스 근처에서 모델을 실행합니다. 로컬 처리는 데이터 최소화를 개선하지만, 환경이 적절한 격리 및 검증 메커니즘도 제공할 때만 Confidential AI가 됩니다.

따라서 AI 서비스가 단순히 연결을 암호화하고, 비공개로 실행되며, 고객 입력으로 학습하지 않겠다고 약속한다는 이유만으로 자동으로 기밀 상태가 되는 것은 아닙니다. NIST’s confidential computing definition은 처리 중 정보 보호에 구체적으로 초점을 맞춥니다.

실제 적용 사례#

• 의료 영상 협업: 여러 병원이 공개적으로 모을 수 없는 스캔을 사용하여 진단 비전 모델을 학습하고자 할 수 있습니다. 기밀 환경은 다른 참가자와 인프라 운영자의 접근을 제한하면서 결합된 데이터를 처리할 수 있습니다. 증명을 통해 레코드가 복호화되기 전에 승인된 학습 코드만 실행되는지 확인할 수 있습니다. 이러한 제어가 없으면 노출로 인해 환자 정보가 드러나거나 규제 및 계약상의 결과가 초래될 수 있습니다. Azure Confidential AI는 학습, 미세 조정, 추론 전반에 걸친 이 패턴을 설명합니다.

• 보호된 산업 검사: 제조업체는 독점적인 생산 이미지를 호스팅된 computer vision 모델로 전송할 수 있으며, 모델 제공자는 가치 있는 가중치를 보호하고자 합니다. 기밀 추론은 두 자산을 모두 격리할 수 있습니다. 이미지는 TEE 내부에서만 복호화되며, 모델 가중치는 고객과 인프라 운영자에게 숨겨진 상태로 유지됩니다. Google Cloud guidance for confidential AI workloads는 유사한 보안 분석 및 협업 시나리오를 다룹니다.

컴퓨터 비전에 Confidential AI 적용하기#

실용적인 아키텍처는 최소화된 데이터 수집, 암호화된 저장 및 전송, ID 제어, 증명된 연산, 제한된 로그, 출력 필터링을 결합합니다. 팀은 Predict mode를 사용하여 Ultralytics YOLO26을 로컬로 실행한 다음, 하드웨어 기반 보호가 필요할 때 해당 워크로드를 적절히 구성된 기밀 인프라 내부에 배치할 수 있습니다.

from ultralytics import YOLO

# Load a pretrained YOLO26 detection model.
model = YOLO("yolo26n.pt")

# This public sample keeps the example runnable.
# Use a local file path for confidential production images.
results = model("https://ultralytics.com/images/bus.jpg")

result = results[0]
result.save(filename="confidential_result.jpg")

이 워크로드는 로컬 Python 런타임을 통해 추론을 수행하지만, 로컬 실행만으로는 TEE가 생성되거나 증명이 제공되지 않습니다. 프로덕션 팀은 YOLO export mode를 사용하여 승인된 하드웨어의 제어된 런타임을 타겟팅할 수 있습니다. 데이터셋 주석 및 학습의 경우 Ultralytics Platform on-premise integration은 소스 및 파생 데이터셋 픽셀을 고객 관리 하드웨어에 유지하면서 경계를 넘는 메타데이터와 모델 아티팩트를 문서화합니다.

기밀성 주장 평가#

기밀 클라이언트 정보를 AI 시스템에 제출하기 전에 실제 아키텍처와 정책을 확인하십시오. 데이터가 처리되는 위치, 입력이나 출력이 보관되는지 여부, 로그에 접근할 수 있는 사람, 데이터가 학습에 재사용되는지 여부, 삭제가 처리되는 방식을 검토하십시오. 더 강력한 기술적 보증을 위해 해당 서비스가 하드웨어 기반 TEE를 사용하는지, 원격 증명을 지원하는지, 검증된 워크로드에만 키를 발급하는지 문의하십시오.

Confidential AI는 접근 제어, 취약성 관리, 출력 검토, 데이터 최소화, 그리고 NIST AI Risk Management Framework 같은 조직 차원의 프레임워크를 대체하는 것이 아니라 보완해야 합니다.