프라이빗 및 주권 AI가 모델 배포의 신뢰 경계를 재설정하고 있다

지난 10년 대부분 동안 강력한 AI 모델을 실행한다는 것은 데이터를 타사의 인프라로 보내고 그 인프라가 제대로 작동하기를 바라는 것이었습니다. 그러나 모델 소유자, 데이터 소유자, 인프라 제공자 간에 신뢰 딜레마가 커지면서 이러한 방식이 무너지기 시작했습니다. 금융, 의료, 정부, 국방 분야의 조직들은 점점 더 모델을 자체 내부, 자체 통제 하에 실행하면서도 모델을 강력하게 만든 핵심 요소에 대한 접근성을 유지하고자 합니다.

이것이 바로 프라이빗 및 주권 AI가 제공하는 것이며, 이제는 틈새 수요가 아닙니다. 실제로 조사된 조직의 95% 이상이 프라이빗 및 주권 AI가 전략에 중요하다고 답했지만, 현재 구체적이고 단기적인 방식으로 이 작업을 우선순위에 두고 있는 조직은 10개 중 약 3개에 불과하다고 NTT DATA의 2026 글로벌 AI 보고서에 따르면 그렇습니다. 유사한 패턴은 맥킨지의 주권 AI 생태계 연구에서도 설명됩니다. 2026년 기업 로드맵은 거의 모든 경우에 주권을 언급하지만, 실제로 워크로드 계층을 명확히 제시하는 실행 가능한 로드맵을 가진 경우는 거의 없습니다.

이러한 야망과 실행 사이의 격차는 기업이 제공자가 통제하지 않는 환경에서 모델을 실행하기를 원하지만, 모델 제공자는 자체적으로 모델을 구축·학습·미세조정하는 비즈니스 전체를 기반으로 하고 있다는 해결되지 않은 실질적인 긴장을 반영합니다.

왜 기존 보안 모델은 적용되지 않는가

전통적인 소프트웨어 보안은 보안 제어가 비교적 명확히 분리된다고 가정합니다. 공급업체는 코드를 배포하기 전에 보안을 확보하고, 고객은 실행 환경을 보호합니다. 계약, 접근 제어, 네트워크 경계가 나머지를 담당합니다.

독점 AI 모델은 그 모델에 깔끔하게 들어맞지 않습니다. “제품”은 정적인 바이너리가 아니라 수백억 개의 파라미터에 달하는 가중치 집합으로, 수개월에 걸친 학습 투자와 제공업체의 핵심 지적 재산을 의미합니다. 이러한 가중치를 고객이 제어하는 환경에 배포하면, 제공업체는 사실상 IP를 넘겨주고 주변 제어가 유지되기를 기대하게 됩니다.

계약 조건과 접근 정책은 고객 자체의 시스템 관리자, 잘못 구성된 클러스터, 혹은 침해된 호스트에 대해 큰 보호를 제공하지 못합니다. 또한 모델 제공업체가 배포를 타사의 데이터 센터나 클라우드 테넌시로 확대하면, 기존의 많은 기술적 방어 수단이 더 이상 적용되지 않습니다.

실제 위험은 메모리 안에 있다

이 문제에서 가장 과소평가된 부분은 모델이 실제로 실행될 때 발생하는 일입니다. 데이터가 정지 상태이거나 전송 중일 때 암호화하는 것은 널리 적용되고 있습니다. 그러나 데이터가 사용되는 순간, 즉 가중치가 복호화되어 GPU나 시스템 메모리에 로드되어 추론이 가능해지는 순간에 격차가 발생합니다.

연구자들은 이미 배포된 신경망에 대한 메모리 기반 추출 공격을 입증했습니다. 넓게 인용되는 학술 연구는 메모리 하드웨어에 대한 사이드채널 기법을 사용하면 제공자의 원본 파일에 접근하지 않고도 모델 가중치를 복원할 수 있음을 보여주었습니다. 공격 표면은 디스크에 저장된 모델 파일이 아니라, 모델이 유용하게 사용되기 위해 반드시 존재해야 하는 실시간 실행 프로세스입니다.

하지만 메모리에서 모델 가중치를 추출하기 위해 사이드채널 공격이 반드시 필요한 것은 아닙니다. 커널을 악용한 권한 상승을 통해 공격자가 시스템 관리자 권한을 얻으면 메모리에서 가중치를 덤프할 수 있습니다.

모델 제공업체 입장에서는 타사의 인프라가 실제로 귀사의 IP를 실행하고 있는 순간이 가장 큰 비즈니스 위험이자 기존 보호 수단이 가장 약해지는 시점이라는 의미입니다. 이것이 프라이빗 및 주권 AI 배포가 해결해야 할 핵심 문제입니다. 모델이 실행 중일 때 누가, 혹은 무엇이 기술적으로 모델을 볼 수 있을까요?

기밀 컴퓨팅이 실질적인 한계와 함께 해결책을 제시한다

현재 이 문제에 대한 가장 유망한 해결책은 기밀 컴퓨팅입니다. 즉, 데이터와 모델 가중치를 실시간으로 처리하는 동안에도 암호화된 상태로 유지하는 하드웨어 기반 신뢰 실행 환경(TEE)입니다. 리눅스 재단 산하의 오픈 커뮤니티인 Confidential Computing Consortium는 이를 검증된 TEE 내부에서 사용 중인 데이터를 보호하는 것으로 정의하며, 이는 환경이 민감한 워크로드를 전달받기 전에 암호적으로 자신이 실행하고 있는 내용을 증명할 수 있음을 의미합니다.

증명(attestation)은 모델 제공업체와 고객 인프라 간에 실제 신뢰를 형성합니다. 이는 제공업체의 모델이 실행될 환경의 암호학적 지문을 확인하고, 해당 환경이 승인된 것과 일치하지 않을 경우 가중치를 공개하지 않도록 합니다. 주요 클라우드 제공업체들은 이를 AI 인프라에 직접 통합하기 시작했으며, 예를 들어 Google Cloud의 최신 기밀 컴퓨팅 업데이트는 CPU와 GPU 하드웨어 모두에 걸쳐 증명을 확장하여, 복호화 키가 전달되기 전에 추론 워크로드가 엔드‑투‑엔드로 검증되도록 합니다.

하지만 증명을 해결된 문제로 간주하는 것은 실수입니다. 어떤 보안 기술도 올바르고 안전하게 구현될 때만 강력합니다.

그러나 이것이 기밀 컴퓨팅이 허위 약속이라는 뜻은 아닙니다. 이는 해당 분야가 아직 초기 단계이며 도구가 성숙해 가고 있음을 의미합니다. 따라서 기업이 공급업체를 평가할 때는 사양서에 증명이 기재되어 있는지만이 아니라, 실제로 어떻게 구현되고 있는지에 대한 구체적인 질문을 해야 합니다.

안전하고 유연한 배포가 기능이 아니라 전제 조건이 되고 있다

이 문제를 해결하기 위한 비즈니스 사례는 점점 강해지고 있습니다. Deloitte의 글로벌 기업 연구에 따르면 2026년만 해도 예상되는 주권 AI 컴퓨팅 투자는 거의 1천억 달러에 달하며, 이는 주로 보다 넓은 AI 도입 경로가 없는 규제 산업에 의해 주도됩니다. 이러한 전망은 데이터 거주 규정, 분야별 규정 준수 체계, 그리고 지정학적 압력이 이제 대기업이 수년 앞서 AI 인프라를 계획하는 방식에 내재되어 있음을 반영합니다.

모델 제공업체 입장에서는 상황이 완전히 바뀝니다. 가중치에 대한 통제를 포기하지 않고 고객 환경 내에서 모델을 안전하게 실행할 수 있는 능력이 차별화 요소에서 필수 조건으로 전환되고 있습니다. 이러한 방식을 제공하지 못하는 제공업체는 현재 기업 AI 투자를 주도하고 있는 규제된 고부가가치 산업에서 배제될 것입니다.

이러한 상황이 모델 접근성과 IP 보호 사이의 근본적인 긴장을 없애지는 못합니다. 완전히 사라지지는 않을 것입니다. 그러나 방향은 분명합니다. 대규모로 AI를 도입하는 기업들은 더 이상 “우리를 믿어라”는 답변을 받아들이지 않으며, 암호적 증명으로 대응 방법을 찾아낸 기업이 바로 그 비즈니스를 놓고 경쟁하고 승리할 것입니다.