메타, AI 안경에 프라이빗 프로세싱 도입으로 개인 정보 보호 강화

AI 안경의 새로운 변화

메타는 AI 안경에 '프라이빗 프로세싱(Private Processing)'이라는 기밀 컴퓨팅 인프라를 도입한다. 이 기술은 AI 안경의 신뢰 경계를 클라우드 데이터센터까지 확장하여, 기밀 가상 머신(CVM) 내에서 AI 모델을 실행한다. 이를 통해 메타를 포함한 누구도 사용자 데이터에 접근할 수 없도록 보호하면서도, 안경에 탑재하기 어려운 대규모 AI 모델의 연산 능력을 활용할 수 있게 된다.

기존 클라우드 아키텍처는 데이터 저장 및 전송 시 암호화하지만, 처리 중에는 메모리에서 복호화하여 잠재적인 노출 위험이 있었다. 프라이빗 프로세싱은 이 문제를 해결하여, 사용 중인 데이터도 보호된 상태를 유지하도록 한다. 이는 2025년 왓츠앱과 메타 AI 앱에 처음 도입된 프라이빗 프로세싱의 확장으로, AI 안경에도 동일한 개인 정보 보호 이점을 제공한다.

기술 도입의 배경과 맥락

AI 안경은 사용자의 개인적인 맥락을 이해하고 실시간으로 도움을 제공하는 데 최적화된 폼 팩터로 평가된다. 통화, 문자 응답 등 간단한 기능은 기기 내에서 처리 가능하지만, 대화 번역, 요약, 장기 기억 등 고도화된 AI 기능은 안경에 탑재하기 어려운 대규모 AI 모델과 연산 능력을 요구한다.

이러한 고급 AI 비서는 사용자의 맥락을 깊이 이해하고, 여러 날 또는 몇 주에 걸쳐 아이디어를 연결하며, 백그라운드에서 능동적으로 작업을 처리하는 '상태 저장(stateful)' 및 '고도로 개인화된(deeply personal)' 특성을 가져야 한다. 이러한 요구사항은 클라우드 기반 처리를 필수적으로 만들지만, 동시에 사용자 데이터의 프라이버시를 강화하면서 고도로 개인화된 AI를 구축하는 과제를 제기한다. 프라이빗 프로세싱은 이 과제에 대한 메타의 해답이다.

기밀 컴퓨팅(Confidential Computing)은 이러한 배경에서 등장한 패러다임이다. 데이터는 저장(at rest) 및 전송(in transit) 시 암호화되지만, 사용(in use) 중에는 메모리에서 복호화되어 호스트 운영체제, 하이퍼바이저, 인프라 운영자에게 노출될 수 있었다. 기밀 컴퓨팅은 이 '사용 중' 상태에서도 데이터를 보호하는 업계 전반의 움직임이다.

프라이빗 프로세싱의 작동 방식

프라이빗 프로세싱은 TEE(Trusted Execution Environment)라는 하드웨어 기본 요소를 기반으로 한다. TEE는 특정 CPU 및 GPU에 내장된 하드웨어 기능으로, 기밀 가상 머신(CVM)의 메모리를 칩 내 전용 보안 하드웨어가 보유한 키로 암호화한다. 이 키는 호스트 운영체제, 하이퍼바이저 또는 시스템 운영자에게 절대 공개되지 않는다.

CCC(Confidential Computing Consortium)에 따르면 TEE는 데이터 기밀성(CVM 외부에서 데이터 읽기 불가), 데이터 무결성(CVM 외부에서 데이터 추가/삭제/변경 불가), 코드 무결성(CVM 내 코드 로드 후 수정 불가)의 세 가지 엄격한 보장을 물리적으로 강제한다. 클라이언트는 칩 벤더가 발행한 루트 키로 서명된 원격 증명 보고서를 요구하며, CVM이 로드한 소프트웨어 이미지의 측정값이 공개 원장과 일치하는지 확인한다. 불일치 시 연결을 거부하고 데이터를 전송하지 않는다.

AI 안경용 프라이빗 프로세싱은 다섯 가지 엔지니어링 요구사항을 기반으로 설계되었다. 첫째, 하드웨어 격리(Hardware Isolation)는 사용자 데이터가 전송, 사용, 저장 중에도 암호학적으로 읽을 수 없도록 한다. 둘째, 실패 시 폐쇄 보장(Fail-Closed Guarantees)은 기밀 처리 보장 변경 시 시스템이 폐쇄되거나 공개적으로 발견되도록 한다. 셋째, 공개 검증 가능성(Public Verifiability)은 모든 CVM 이미지가 공개 투명성 원장에 등록되도록 한다. 넷째, 비표적성(Non-Targetability)은 특정 개인의 세션이나 저장소를 공격자가 표적화할 수 없도록 한다. 마지막으로, 암호화된 저장소(Encrypted Storage)는 데이터 저장 시 사용자 제공 키로 암호화되어 접근된다.

프라이빗 프로세싱의 동작 방식은 다음과 같다. 먼저, 익명 자격 증명(anonymous credentials)과 타사 OHTTP 릴레이(Fastly 또는 Cloudflare)를 사용하여 요청자의 신원을 분리하고 비표적 라우팅을 수행한다. 다음으로, 안경은 원격 증명(Remote Attestation)을 통해 서버의 TEE가 하드웨어 서명된 인증서를 제공하고, 바이너리 해시가 독립적인 공개 투명성 원장과 일치하는지 검증한다. 검증이 성공하면 TLS를 통해 안전하게 통신하며, 암호화된 데이터는 TEE 내부에서 AI 모델에 의해 처리된다. 상태 저장 기능이 필요할 경우, TEE를 떠나기 전에 사용자 제공 키로 암호화되어 메타 인프라에 저장되고, 필요 시 TEE 내에서 복호화되어 처리된다.

개발자와 사용자에게 미치는 영향

프라이빗 프로세싱은 AI 안경 사용자가 개인 정보 유출 우려 없이 고도로 개인화되고 상태 저장(stateful) 기능을 갖춘 AI 경험을 누릴 수 있도록 한다. 예를 들어, 여러 세션에 걸쳐 대화를 이어가거나 과거의 특정 순간을 기억하여 맥락에 맞는 도움을 제공하는 기능이 가능하다. 이는 기존 클라우드 아키텍처에서 데이터 접근 패턴 노출이나 암호화된 쿼리 확장성 문제로 구현하기 어려웠던 부분이다.

메타는 저장 엔진을 TEE 내부에 직접 구축하여, 데이터가 기밀하게 처리될 뿐만 아니라 기밀하게 저장되도록 신뢰 경계를 확장했다. 이로써 쿼리 엔진이 TEE 경계 내에서 직접 실행되어 읽기/쓰기 트랜잭션이 외부 네트워크 경계를 넘지 않아 빠르다. 이는 사용자 컨텍스트가 증가해도 지연 시간이 급증하거나 성능이 저하되는 문제를 해결한다.

이러한 인프라는 개발자에게 사용자 프라이버시를 침해하지 않으면서도 복잡하고 개인화된 AI 기능을 구현할 수 있는 기반을 제공한다. 스트리밍 전사(transcription), 맥락 검색(contextual search), 장기 기억(long-term recall)과 같은 연산 집약적인 AI 워크로드를 안전하게 오프로드할 수 있다.

적용 조건 및 한계점

프라이빗 프로세싱은 운영자가 암호학적으로 시스템 내부를 들여다볼 수 없게 설계되어, 고가용성 시스템을 유지하는 데 운영상의 어려움이 따른다. 엔지니어는 실행 중인 TEE에 디버거를 연결할 수 없고, 시스템은 충돌 시 메모리 스택을 덤프하거나 모델 입력/출력을 기록할 수 없으며, 특정 페이로드를 검사할 수 없다.

이러한 제약 속에서 운영 가시성은 집계된 상태 신호(CPU 사용률, 메모리 할당, 네트워크 지연, 하드웨어 오류율)에 전적으로 의존하여 달성된다. 이는 사용자 데이터를 노출하지 않으면서 서비스 상태와 가동 시간을 유지하는 데 필요한 원격 측정 데이터를 제공한다.

메타는 프라이빗 프로세싱의 보안 주장이 공급자에 대한 신뢰에 의존하지 않도록 검증 가능한 투명성(Verifiable Transparency)을 강조한다. 모든 CVM 이미지는 공개 투명성 원장에 등록되어 외부 연구자들이 무결성을 확인할 수 있으며, 메타는 독립적인 보안 회사(예: NCC Group) 및 연구자들과 협력하여 아키텍처 설계 및 증명 로직을 감사한다. 또한, 버그 바운티 프로그램(Bug Bounty program)을 확장하여 AI 안경의 프라이빗 프로세싱을 명시적으로 포함하고, 외부 연구자들에게 감사에 필요한 도구, CVM 바이너리, 문서를 제공한다.

이 시스템은 메타 자체 데이터센터 내의 적대적인 환경을 가정하며, 기존 클라우드 보안 모델이 하이퍼바이저, 호스트 운영체제, 관리자를 신뢰하는 것과 달리, 이들을 신뢰 경계 밖에 둔다. 프라이빗 프로세싱은 특정 위협 모델에 대해 방어하며, 이 위협 모델은 프라이빗 프로세싱 백서에 문서화되어 있다.