구글 연합학습, 서버의 계산을 외부에서 확인하게 했다
연합학습은 학습 데이터를 기기에 두고 모델을 만드는 방식인데, 서버가 개인정보 보호를 제대로 했는지는 믿는 수밖에 없었습니다. 구글 리서치가 10월 2일 서버의 계산을 외부에서 확인할 수 있게 한 새 시스템을 공개했고, Gboard의 영어 모델은 학습이 2개월에서 3주로 줄었습니다.
구글 리서치가 10월 2일 블로그와 백서로 새 시스템을 공개했습니다. 연합학습(federated learning)은 학습 데이터를 기기에 둔 채 모델을 만드는 방식입니다. 구글은 이번에 서버가 데이터를 어떻게 다루는지를 외부에서 확인할 수 있게 하는 데 (Trusted Execution Environment, TEE)을 썼고, Gboard가 이미 이 시스템으로 영어·일본어 다음 단어 예측 모델을 냈다고 밝혔습니다.
연합학습은 데이터를 기기에 두지만 서버는 믿어야 했다
은 구글이 2017년 블로그로 소개했고, 논문은 2016년 2월 arXiv에 먼저 올라왔습니다. 휴대폰이 모델을 내려받아 자기 데이터로 학습한 뒤 작은 갱신 값만 올리고, 서버가 여러 기기의 갱신을 평균해 공유 모델을 만듭니다. 원본 데이터는 기기를 떠나지 않습니다. 구글은 이 방식으로 Gboard의 다음 단어 예측, 구글 메시지의 답장 추천, 안드로이드의 스마트 텍스트 선택을 만들어 왔습니다.
그래도 두 가지 문제가 남았습니다. 첫째, 갱신 값 자체가 서버에 보입니다. 이를 (Secure Aggregation)가 암호로 가려, 서버가 개별 갱신이 아니라 합계만 볼 수 있게 했습니다. 둘째, 합계에서도 개인에게만 해당하는 정보가 드러나지 않는다는 보장은 없습니다. 이를 막는 수학적 방법이 (differential privacy, DP)입니다. 모델을 만들 때 노이즈를 섞어 어느 한 사람의 데이터가 결과에 미친 영향을 일정 수준 아래로 제한하는 기법이고, 그 한도를 (privacy budget)이라고 부릅니다. 구글은 2022년 스페인어 Gboard 모델에 처음 DP 보장을 공표했고, 2024년에는 Gboard의 다음 단어 예측 신경망 모델이 모두 DP를 적용해 학습된다고 밝혔습니다.
백서와 블로그는 여기서 한계를 지적합니다. 보안 집계는 최신 중앙 DP 보장과 함께 쓸 수 없었고, 서버가 노이즈를 제대로 넣었는지는 기기도 외부 감사자도 확인할 수 없어 구글을 믿어야 했다고 블로그가 적었습니다. 개인정보는 기기에 있었지만, 보호가 제대로 이뤄졌다는 증명은 서버 운영자의 말에 의존했던 셈입니다.
신뢰 실행 환경은 서버 안에 외부에서 확인할 수 있는 공간을 만든다
(TEE)은 프로세서가 만드는 격리된 실행 공간입니다. 블로그에 따르면 TEE 안에서 실행되는 코드는 제3자가 어떤 코드가 실행되는지 확인할 수 있고(원격 증명, remote attestation), 안쪽 상태를 관찰할 수 없으며(기밀성), 실행을 방해할 수 없습니다(무결성). 백서는 AMD SEV-SNP와 Intel TDX 하드웨어를 쓴다고 밝혔습니다.
새 시스템의 데이터 흐름은 이렇습니다.
- 기기는 학습 예시를 암호화해 올립니다. 이때 접근 정책(access policy)을 함께 지정하는데, 이 데이터를 처리해도 되는 TEE 계산의 목록입니다. 기기는 이 정책이 공개 투명성 로그(Rekor)에 게시돼 있어야만 업로드합니다.
- 키 관리 시스템(KMS)은 TEE 여러 대가 RAFT 합의 프로토콜로 묶인 클러스터이고, 접근 정책에 맞는 서버 쪽 TEE에만 복호화 키를 줍니다.
- 데이터 처리 TEE(root)가 파이썬 학습 루프를 실행하고, 병렬화할 수 있는 하위 작업은 작업자 TEE(worker) 클러스터에 맡깁니다. 분산 로직은 TensorFlow Federated에서 나온 오픈소스 언어 Federated Language로 씁니다.
- 분석가에게는 지표와 를 적용한 모델 가중치만 공개됩니다.
- 라운드가 끝날 때 KMS가 암호화한 복구 상태를 저장해, 일부 TEE가 멈춰도 추가 정보를 새게 하지 않고 이어 갑니다.
KMS와 데이터 처리 바이너리는 GitHub 저장소의 오픈소스 코드()로 같은 결과물을 다시 만들 수 있고, 외부 감사자는 투명성 로그에서 기기가 참여할 수 있는 서버 작업을 모두 볼 수 있다고 구글은 설명합니다. 저장소 안내문은 바이너리 전체의 투명성이 최종 목표라고 적고 있어 아직 그 단계는 아닙니다.
가장 큰 구조 변화는 계산 위치입니다. 이전에는 기기가 모델 그라디언트(gradient, 모델을 얼마나 고칠지 나타내는 값)를 계산해 올렸고, 새 시스템에서는 기기가 암호화한 학습 데이터를 올리고 서버 TEE가 계산합니다. 백서는 이전 방식이 기기 계산에 묶여 학습할 수 있는 모델 크기가 제한됐다고 설명합니다.
같은 노이즈에서 프라이버시 예산은 0.388에서 0.113으로 줄었다
블로그의 곡선 그림은 영어 다음 단어 예측 모델을 5,000라운드, 라운드당 기기 6,500대로 학습한 조건입니다. 가로축이 (zCDP, 값이 작을수록 보호가 강함), 세로축이 노이즈 승수(noise multiplier)입니다. 같은 노이즈 승수 7.38에서 이전 시스템은 0.388, 새 시스템은 0.113입니다. 반대로 예산을 0.388에 고정하면 노이즈 승수가 7.38에서 3.99로 내려가 같은 보호 수준에서 모델의 정확도가 올라갑니다. 이 수치는 ε(엡실론)이 아니라 zCDP이며, 백서에 ε 환산은 없습니다.
실제 서비스 비교는 백서의 라이브 A/B 시험에 있습니다. 시험군마다 기기 350만 대를 썼고, 새 시스템의 가장 좋은 시험군은 프라이버시 예산 0.215로, 같은 방식으로 환산한 기존 운영 모델의 0.641보다 약 3배 작았습니다. 분당 입력 단어 수와 사용자가 추천을 고친 비율 같은 사용성 지표는 차이가 없었다고 합니다. 학습 시간은 새 시스템이 3주, 기존 운영 모델이 2개월이었습니다. 병렬 계산에는 최소 14대의 머신을 썼습니다. 블로그는 "1~2개월 걸리던 학습이 크게 단축됐다"고만 적었고 이 수치는 백서에만 있습니다.
기기 참여 비율도 달라졌습니다. 일본어 모델에서 이전 시스템은 38일 동안 가용 기기 3,550만 대 가운데 850만 대(23.9%)만 학습에 기여했고, 새 시스템은 약 6일간 업로드 1,780만 건을 모아 전부 학습에 썼습니다. 시간대에 따라 기기를 쓸 수 있는 시간이 달라 학습 진행이 묶이던 문제를, 업로드를 먼저 모은 뒤 서버에서 학습하는 방식으로 풀었다고 블로그가 설명합니다. 다음 단어 예측 정확도를 퍼센트로 올렸다는 수치는 백서에 없습니다.
한계는 부채널과 가속기, 그리고 구글 자체 비교다
블로그는 의 보장이 현세대 TEE의 한계에 따른다고 적었습니다. 블로그가 인용한 SNPeek 논문( 2506.15924)은 기밀 가상 머신(confidential virtual machine)이 부채널(side-channel, 실행 시간이나 메모리 접근 패턴으로 정보를 엿보는 공격) 누출을 위협 모델 밖에 둔다고 밝히고, 블로그는 나중에 불러오는 비공개 로직이 서버 쪽 공격에 더 깊은 보호를 받으려면 미래 TEE 하드웨어와 부채널 완화 연구가 필요하다고 말합니다. 백서에는 위협 모델을 따로 다룬 절이 없어서, 하드웨어 제조사나 증명 서비스를 어디까지 믿어야 하는지는 원문에 명시돼 있지 않습니다.
규모의 제약도 있습니다. 지금까지 이 시스템으로 학습한 모델은 최대 1,000만 개 파라미터이고, 더 큰 모델은 작업자 TEE가 GPU를 써야 하는데 그 통합은 아직 되지 않았습니다. 모든 비교는 구글의 이전 시스템과 견준 것이고, 백서가 말한 "외부에서 확인할 수 있는 중앙 보장을 처음 제공한다"는 주장에 대한 독립적 검증은 확인하지 못했습니다. 백서에 따르면 현재 구성은 모델마다 하나만 시험했고, 파이프라인 운영자는 학습 라운드마다 어떤 업로드가 쓰였는지(내용은 제외) 볼 수 있어서, 이를 가렸을 때 생기는 증폭 이득은 현재 보장에 반영되지 않았습니다.
블로그는 이 작업이 서버 쪽 처리가 개인정보를 지킨다는 엄밀한 증명을 향한 한 걸음이며, 언젠가 DP 알고리즘의 소프트웨어 구현이 올바르다는 완전한 증명이 붙은 시스템을 기대한다고 밝혔습니다.
참고한 자료
- Google Research, "Toward provably private learning from federated data" 블로그 (2026년 10월 2일)
- "Toward provably private learning from federated data" 백서 (arXiv 2609.31494, v4)
- google-parfait/confidential-federated-compute 저장소 (Apache-2.0)
- Google Research, "Federated Learning: Collaborative Machine Learning without Centralized Training Data" (2017년 4월 6일)
- McMahan 외, "Communication-Efficient Learning of Deep Networks from Decentralized Data" (arXiv 1602.05629, 2016년 2월 제출)
- Google Research, "Distributed differential privacy for federated learning" (2023년 3월 2일)
- Google Research, "Advances in private training for production on-device language models" (2024년 2월 21일)
- Zhang 외, SNPeek (arXiv 2506.15924, 2025년 6월 제출)
