오픈AI는 기업이 데이터 통제를 강화해 모델을 이용하도록 돕는 ‘Private Intelligence’를 발표했다. 승인된 API 프로젝트에는 안전성 검토 과정에서 고객 콘텐츠를 오픈AI 직원에게 노출하지 않는 기능이 제공되고 있지만, 핵심 기능인 Private Inference는 아직 올가을 공개 예정인 프리뷰로, 실제 검증에 필요한 세부 정보가 공개되지 않았다.
오픈AI가 발표한 두 기능
오픈AI는 2026년 9월 29일 DevDay에서 Private Intelligence를 소개했다. 발표 내용은 VentureBeat와 Decrypt에도 보도됐다.
첫 번째 기능인 ‘비공개 안전성 처리를 통한 데이터 보존 없음(zero data retention)’은 승인된 API 프로젝트에 지금 제공된다. 오픈AI는 이전에도 고객 콘텐츠를 자체 로그에 남기지 않는 데이터 보존 없음 옵션을 제공했다. 새로 발표된 부분은 이 설정에서 악용 방지 검토를 처리하는 방식이다. 오픈AI가 하드웨어 증명 런타임이라고 부르는 환경에서 자동 안전성 검토를 수행해 오픈AI 직원이 콘텐츠를 보지 못하도록 한다. 암호화된 안전성 기록은 고객이 관리하는 AWS, Azure 또는 Google Cloud 저장소에 기록되며, 보존 기간은 30일이다. 따라서 오픈AI 측에 저장하지 않는다는 말은 기록이 전혀 남지 않는다는 뜻이 아니다. 복사본이 오픈AI의 저장소가 아니라 고객의 저장소에 남는다는 뜻이다.
두 번째 기능인 Private Inference는 올가을 공개될 프리뷰다. 추론은 모델이 프롬프트를 읽고 답변을 생성하는 과정이며, 현재는 오픈AI 인프라 안에서 평문으로 처리된다. 오픈AI는 메모리를 암호화하고 모델 실행 중 격리하는 기밀 컴퓨팅으로 추론을 옮기고, ‘검증 가능한 통제’를 더하겠다고 밝혔다. 그러나 아직 평가할 수 있는 제품은 없다.
‘검증 가능’하다는 말의 차이
Edgeless Systems는 오픈AI 발표가 민감한 데이터 처리에 하드웨어 기반 기밀 컴퓨팅이 필요하다는 방향을 보여준다고 해석한다. 다만 프리뷰 단계에서 중요한 질문은 남아 있다. 발표에는 어떤 하드웨어와 신뢰 실행 환경을 쓰는지, 어떤 모델과 API 엔드포인트를 지원하는지, 검증을 누가 하는지, 실행 코드와 빌드 결과를 공개하는지, 어느 지역에서 운영하고 비용은 얼마인지가 나오지 않았다.
특히 ‘검증 가능한 통제’가 무엇을 뜻하는지가 중요하다. 서비스 제공자가 자체 배포 환경을 증명하고 결과를 발표하는 방식과, 고객 측 프로그램이 증명 자료를 받아 공개된 기준값과 대조한 뒤 데이터를 보내는 방식은 다르다. 첫 번째는 하드웨어 서명이 붙은 제공자의 약속에 가깝다. 두 번째는 고객이 직접 확인해 제공자를 신뢰해야 하는 부담을 줄인다.
Edgeless Systems는 이 차이를 보안실의 봉인에 비유한다. 운영자가 자체 검사자를 통해 봉인을 확인했다고 말해주는 방식, 고객이 봉인 사진을 독립 검사자에게 보내 확인하는 방식, 고객이 제조사가 공개한 기준 이미지와 봉인을 직접 비교하는 방식이 있다는 설명이다. 마지막 방식에서는 고객이 직접 확인한 뒤에야 자료를 넘긴다.
기술적으로 원격 증명(attestation)은 CPU나 GPU가 기밀 환경 안에서 어떤 소프트웨어가 시작됐는지 서명된 보고서로 내놓는 과정이다. 검증(verification)은 그 보고서의 서명을 칩 제조사의 인증서 체계와 대조하고, 측정값이 해당 소프트웨어의 기준값과 일치하는지 확인하는 과정이다. 제공자가 자체 환경을 증명할 수는 있지만, 핵심은 누가 보고서를 검증하며 비교 기준이 누구나 살펴볼 수 있는 코드에서 나온 것인지다.
독일 연방정보보안청의 클라우드 보안 기준 C5:2026은 이 차이를 유형별로 다룬다. 기준 OPS-33은 기밀 컴퓨팅을 제공하는 클라우드에 원격 증명을 요구하고, 증거를 누가 수집하고 검증하는지에 따라 수준을 구분한다. ‘매우 강함’으로 설명되는 Type 1은 고객이 신뢰 실행 환경에서 증거를 수집해 자체 시스템에서 검증하는 방식이다. ‘약함’으로 설명되는 Type 4는 제공자가 증거를 수집하고 자체 관리 서비스에서 검증한 뒤 결과를 고객에게 전달한다. Edgeless Systems는 대형 클라우드 사업자의 기밀 컴퓨팅 서비스 대부분이 현재 Type 4 방식이라고 주장한다.
Edgeless Systems는 자사 Privatemode가 Type 1 방식이라고 설명한다. 이 회사에 따르면 고객 측 프록시가 데이터를 보내기 전에 증거를 수집하고 고객 시스템에서 검증한다. 회사는 이 방식이 2027년 6월 독일 클라우드 사업자에게 의무화되는 기준을 이미 충족한다고 주장한다. Private Inference가 어떤 유형을 따를지는 오픈AI 발표에서 확인되지 않은 핵심 사항이다.
현재 이용할 수 있는 Privatemode
독일 보훔에 기반을 둔 Edgeless Systems는 고객이 직접 검증하는 방식으로 추론 API인 Privatemode를 만들었다. 회사는 이를 임시 대안이 아니라 오픈 가중치 모델을 사용하는 서비스로 설명한다.
- 하드웨어: AMD SEV-SNP와 Intel TDX CPU의 기밀 가상 머신에서 실행하며, Nvidia H100 및 B200 GPU도 기밀 컴퓨팅 모드로 사용한다고 밝힌다. 모델 실행 중 메모리는 암호화되고 CPU와 GPU 모두 증명 보고서를 생성한다.
- 검증: 고객 환경에서 실행하는 클라이언트 측 프록시가 증거를 요청하고 검증한다. 프롬프트의 첫 바이트가 고객 환경을 떠나기 전에 확인을 마친다는 설명이다. 대조 기준은 공개된 매니페스트에 있으며, Edgeless Systems는 인프라 제공업체인 Scaleway도 하드웨어에 내장된 키로 서명된 보고서를 위조할 수 없다고 주장한다.
- 공개 코드와 재현 가능한 빌드: Edgeless Systems는 신뢰 구성요소의 소스 코드를 공개하고 Nix로 빌드를 재현할 수 있다고 설명한다. 누구나 코드를 다시 빌드하고 매니페스트를 생성해 기밀 환경에서 실행되는 소프트웨어가 공개된 코드와 일치하는지 확인할 수 있다는 것이다.
- 운영 지역과 데이터 접근: 회사는 Privatemode가 유럽의 Scaleway에서 유럽 법률에 따라 독일 기업에 의해 운영되며, 추론 과정에서 데이터가 EU 밖으로 나가지 않는다고 밝힌다. 프롬프트와 응답은 종단 간 암호화되며, 설계상 Edgeless Systems와 인프라 제공업체 모두 접근할 수 없다고 설명한다.
- 모델: OpenAI의 gpt-oss-120b, Gemma 3, Qwen3, GLM-5.3-Flash, Whisper 등을 오픈 가중치 모델로 제공하며 OpenAI 호환 API를 지원한다. 기존 연동을 바꿀 때는 기본 URL을 변경하면 된다고 회사는 안내한다.
Edgeless Systems가 밝히는 한계도 있다. Privatemode는 오픈AI의 비공개 최첨단 모델을 제공하지 않는다. 특정 사용 사례에 GPT-5가 필요하다면 Private Inference를 기다려야 한다는 입장이다. 반면 오픈 가중치 모델로 충분한 경우에는 현재도 기밀 컴퓨팅을 이용하고 직접 검증할 수 있다고 회사는 주장한다.
기밀 컴퓨팅 서비스를 검토할 때는 증명을 누가 어디에서 검증하는지, 실행 코드가 공개돼 있고 빌드를 재현할 수 있는지, 하드웨어 격리 이후에도 어떤 주체가 데이터를 읽을 수 있는지 확인할 필요가 있다고 Edgeless Systems는 제안한다. 회사의 보안 안내와 문서는 이 질문에 관한 정보를 제공하며, API에는 무료 이용 단계가 있다고 안내한다.
댓글 (0)
로그인하면 이 기사에 내 생각을 남길 수 있어요