UNIST, AI가 ‘지운 기억’ 되살아나는 것 막는 언러닝 기술 개발

AI가 학습한 정보를 지울 때 지우지 말아야 할 정상 정보는 보존하면서, 삭제한 정보가 다시 살아나는 것은 막는 ‘기억 지우개’ 기술이 나왔다.

UNIST는 인공지능대학원 윤성환 교수팀과 산업공학과 박새롬 교수팀이, 지워야 할 정보와 닮은 정상 정보는 보호하고 삭제 대상 사진 몇 장만으로 인식 능력을 되살리는 공격까지 막는 머신 언러닝 기술 ‘스포터(Spotter)’를 개발했다고 21일 밝혔다.

AI에서 민감한 개인정보나 저작권 위반 데이터를 지워야 할 상황이 늘고 있지만, 기존 기술은 지운 정보가 되살아나거나 애먼 정보까지 망가지는 허점이 있었다. 이번 성과는 그동안 잘 드러나지 않던 이 사각지대를 짚어내고 동시에 막아, 개인정보 보호가 중요한 AI 서비스의 신뢰성을 높인 것으로 평가된다.

AI에게도 ‘잊는 능력’이 필요해진 이유

머신 언러닝(Machine Unlearning, 학습을 마친 AI에서 특정 데이터나 범주가 미친 영향만 선택적으로 없애는 기술)은 최근 빠르게 주목받는 분야다. 개인정보 보호와 저작권 분쟁, 유해 콘텐츠 차단에 대한 사회적 요구가 커지면서, 이미 학습된 AI 모델에서 특정 정보의 흔적을 지우는 일이 중요해졌기 때문이다.

쓰임새는 구체적이다. 얼굴 인식 AI에서 삭제를 요청한 사람의 얼굴 정보를 지우거나, 학습 데이터에 포함된 개인정보와 유해 콘텐츠를 제거하는 데 쓸 수 있다. AI를 처음부터 다시 학습시키지 않고도, 문제가 되는 정보의 영향만 도려내는 것이 목표다.

문제는 이 ‘지우는 과정’이 생각만큼 깔끔하지 않다는 데 있다. 연구팀은 기존 언러닝 기술이 놓치고 있던 두 가지 약점을 자체 실험으로 진단했다. 하나는 ‘과잉 삭제’, 다른 하나는 ‘삭제한 정보가 다시 살아나는 재학습 취약성’이다. 제1저자인 하승범 연구원은 “기존에는 AI가 삭제 대상을 더 이상 알아보지 못하는지와, 삭제하지 않은 나머지 정보의 전체 평균 인식 성능이 유지되는지만 주로 평가했다”며, 그 때문에 삭제 대상과 닮은 정보의 성능 저하나 지운 정보가 되살아나는 사각지대가 잘 드러나지 않았다고 설명했다.

‘과잉 삭제’와 ‘되살아나는 기억’, 두 허점을 진단하다

첫 번째 허점인 과잉 삭제(Over-Unlearning)는 삭제 대상만 지우는 것이 아니라, 그와 닮은 정상 정보까지 함께 망가지는 현상이다. 기존 언러닝 기술로 AI가 특정 범주를 더 이상 인식하지 못하도록 하면, 전체 평균 정확도는 높게 유지되지만 삭제 대상과 닮은 정상 정보의 인식 성능은 떨어지는 것으로 나타났다. 예를 들어 ‘고양이’를 삭제하면, 이와 유사한 호랑이나 표범의 인식 정확도가 함께 떨어질 수 있다.

두 번째 허점은 더 근본적이다. 삭제 대상의 특징이 AI 안에 흔적처럼 남아 있어, 관련 사진 몇 장만 다시 보여줘도 지웠던 인식 능력이 되살아날 수 있다는 것이다. 겉으로는 지워진 것처럼 보여도, 모델 내부에는 삭제 대상을 식별하는 데 필요한 정보가 알아볼 수 있는 형태로 남아 있기 때문이다. 이렇게 소량의 데이터로 지운 기억을 복원하는 것을 재학습 공격(Relearning Attack)이라 부른다.

이 두 허점은 실제 서비스에서 언러닝의 신뢰성을 흔드는 문제다. 개인정보를 지워달라는 요청을 받아 지웠는데 몇 장의 사진으로 되살릴 수 있다면, 삭제 자체가 무의미해지기 때문이다. 연구팀은 바로 이 지점을 겨냥해 두 문제를 동시에 완화하는 새로운 기술을 설계했다.

스포터, 삭제 대상 정확도 0%…재학습 공격에도 0.24%로 억제

연구팀이 내놓은 해법이 ‘스포터’다. 스포터는 삭제 대상과 비슷한 정상 정보를 구별하는 AI의 능력은 그대로 유지하면서, 삭제 대상 사진들에서 공통점을 찾아내는 능력은 없애는 방식으로 작동한다. 덕분에 지우지 않아야 할 정보의 성능은 보호하고, 공격자가 삭제 대상 사진 몇 장을 확보하더라도 지워진 인식 기준을 다시 만들기 어렵다.

성능은 여러 실험에서 검증됐다. 이미지 데이터셋 CIFAR-10으로 실험한 결과, 스포터는 삭제 대상의 인식 정확도를 0%로 낮췄고, 사진 5장을 이용한 재학습 공격 뒤에도 인식 정확도를 0.24%로 억제했다. 반면 기존 언러닝 기술은 같은 공격 뒤 삭제 대상 인식 정확도가 71.10%에서 최대 99.98%까지 되살아났다. 스포터는 삭제하지 않은 나머지 범주에 대해서는 인식 정확도 99.96%를 유지했다. 이런 결과는 소형 데이터셋인 CIFAR-10뿐 아니라, 더 큰 타이니이미지넷과 실제 얼굴 인식 데이터셋인 CASIA-WebFace에서도 유사하게 확인됐다.

스포터는 활용성도 갖췄다. 공동 연구팀은 스포터가 기존 언러닝 기법에 쉽게 결합할 수 있는 플러그인(plug-and-play, 별도의 복잡한 조정 없이 기존 시스템에 끼워 바로 쓸 수 있는 형태)으로 설계돼, 얼굴 인식과 유해 콘텐츠 삭제 등 개인정보 보호가 중요한 AI 서비스에 두루 활용될 수 있을 것으로 기대했다. 이번 연구는 인공지능 분야 세계 최고 권위의 국제학술대회인 국제머신러닝학회(ICML, International Conference on Machine Learning)에 채택됐다.