Google HEIR, 암호화 추론을 제품 옵션으로 끌어내리다

프라이버시 AI의 오래된 교환관계가 흔들린다

Google은 HEIR를 공개하며 동형암호 기반 private AI inference를 실제 애플리케이션으로 보여줬다. HEIR는 Homomorphic Encryption Intermediate Representation의 약자로, 평문 데이터에서 동작하던 프로그램이나 사전학습 모델을 암호화된 입력 위에서 실행하도록 바꾸는 오픈소스 컴파일러 툴체인이다. Google은 이를 Private Computing Toolkit의 새 구성요소로 소개한다.

중요한 점은 문제의 정의다. 기존 종단간 암호화는 데이터 유출 위험을 줄이지만 서버가 스팸 탐지, 바이러스 검사, 추천 같은 기능을 수행하기 어렵게 만든다. 로컬 처리도 대안이지만 기기 성능과 모델 IP 노출 문제가 있다. 동형암호는 서버가 ciphertext 위에서 계산하고, 결과도 암호화된 형태로 돌려주는 방식으로 이 교환관계를 바꾼다. 사용자의 특징을 보지 않고 추천을 만들거나, 금융 거래 원문을 보지 않고 사기 가능성을 계산하는 구조다.

암호화된 추론 흔적, API 보안 경계가 흔들렸다가 추론 로그 자체의 보안을 다뤘다면, HEIR는 입력 데이터가 애초에 서버에 노출되지 않는 방향을 보여준다. OpenAI 사이버 평가 사고, 샌드박스의 경계가 흔들렸다, Kitesurf, 에이전트 브라우저를 다시 쓰다와 함께 보면, AI 제품의 신뢰 경쟁은 모델 품질만이 아니라 실행 경계 설계로 이동하고 있다.

HEIR가 해결하려는 것은 수학보다 사용성이다

동형암호는 오래전부터 매력적인 아이디어였지만 생산 환경에서는 느리고 어렵다는 평가를 받아왔다. Google도 수동으로 프로그램을 효율적인 동형암호 회로로 바꾸려면 암호학자 팀이 필요하다고 설명한다. HEIR의 역할은 이 병목을 컴파일러 문제로 낮추는 것이다. 개발자가 AI 모델을 매번 암호학 구조로 다시 쓰지 않고, IR과 최적화 패스를 통해 암호화 추론용 실행물로 변환하도록 돕는 방향이다.

Google은 2023년부터 HEIR 의도를 알렸고, Belfort, Niobium, Cornami, Optalysys 같은 동형암호 가속기 회사와 협력했다고 밝혔다. 또한 Georgia Tech, Carnegie Mellon, UC Santa Barbara, Purdue, University of Edinburgh, Tsinghua University 등 연구기관 협업과 peer-reviewed publication 네 편을 언급했다. 코드는 google/heir GitHub 저장소에서 확인할 수 있고, 기반 기술은 Google Private Computing, Google Cloud Confidential Computing, FHE.org의 생태계와도 이어진다.

네 가지 데모가 보여준 시장

Google은 HEIR로 네 가지 private inference를 시연했다. Deep Learning Recommendation Model은 암호화된 특징으로 콘텐츠 추천을 제공한다. 신용카드 사기 탐지는 Niobium과 hardshell.ai 협업으로 컴파일됐다. 네트워크 침입 탐지는 Kitsune 시스템을 암호화된 네트워크 트래픽 이상 탐지에 적용한다. Hotword Detector는 오디오 트리거 AI 에이전트가 녹음 내용을 서비스 제공자에게 드러내지 않고 호출어를 인식하는 방향이다.

이 목록은 우연이 아니다. 추천, 금융, 보안, 음성 에이전트는 모두 개인 데이터와 실시간 기능이 충돌하는 영역이다. 기업은 AI 기능을 원하지만 개인정보, 영업비밀, 규제 리스크 때문에 데이터를 외부 모델에 보내기 어렵다. HEIR가 이 문제를 충분히 빠르게 처리한다면, private AI는 특수 보안 기능이 아니라 조달 조건이 될 수 있다.

한국 기업에도 의미가 있다. 금융, 의료, 공공, 통신사는 사내 데이터를 모델에 넣는 순간 감사와 규제 문제가 생긴다. 지금은 온프레미스 배포나 마스킹으로 버티지만, 동형암호 추론이 일부 워크로드에 들어오면 데이터 반출 승인 프로세스 자체가 달라질 수 있다. ChatGPT 기업 사용 연구, 도입보다 배치가 문제다가 말한 조직 배치 문제는 개인정보 보호 배치와 함께 풀어야 한다.

비용 곡선이 제품 채택을 결정한다

HEIR가 당장 모든 AI 추론을 바꾸지는 않는다. Google도 동형암호에는 nontrivial cost overhead가 있다고 말한다. 다만 중요한 변화는 질문이 불가능 여부에서 비용 여부로 바뀌었다는 점이다. 암호화 추론이 100배 느리면 실시간 에이전트에는 어렵지만 야간 배치 분석에는 쓸 수 있다. 10배 느리면 금융 위험 점수나 의료 보조 판독의 일부에 들어갈 수 있다. 2배 느리면 개인정보 민감 기능의 기본값이 될 수 있다.

따라서 기업은 HEIR를 단순 보안 뉴스로 보지 말고 워크로드 분류표로 읽어야 한다. 어떤 데이터는 평문 클라우드로 갈 수 있고, 어떤 데이터는 confidential computing이 맞으며, 어떤 데이터는 동형암호나 로컬 추론이 필요하다. 집 안의 AI 서버, 로컬 추론 경제학의 민낯처럼 로컬 인프라도 답이지만, 모든 회사가 GPU와 드라이버를 직접 운영할 수는 없다.

자주 묻는 질문

Q1: 동형암호 추론은 모델이 데이터를 전혀 보지 않는다는 뜻인가요?

A: 서버는 암호문 위에서 계산하므로 원문 데이터에 접근하지 않는다. 다만 구현, 키 관리, 결과 복호화 경로까지 함께 검증해야 한다.

Q2: HEIR는 완제품 서비스인가요?

A: Google은 HEIR를 오픈소스 컴파일러 툴체인과 개발 플랫폼으로 설명한다. 바로 모든 모델을 원클릭 운영한다기보다 도입 장벽을 낮추는 기반에 가깝다.

Q3: 왜 AI 에이전트와 연결되나요?

A: 음성 호출어, 추천, 보안 탐지처럼 에이전트가 개인 데이터 근처에서 작동할수록 입력 보호가 핵심 요구가 된다.

Q4: 한국 기업은 지금 무엇을 해야 하나요?

A: 민감 데이터 워크로드를 분류하고 평문 추론, 로컬 추론, enclave, 동형암호 후보를 나눠 비용과 지연시간 기준을 만들어야 한다.

Q5: 가장 큰 남은 과제는 무엇인가요?

A: 성능이다. HEIR의 방향은 설득력 있지만, 실제 채택은 지연시간, 가속기, 개발자 도구, 감사 가능성이 함께 성숙할 때 넓어진다.