IOSG: AI의 기로, 왜 월스트리트는 ChatGPT와 Claude에게 '아니오'라고 말하고 있는가?

作者：Jeff ， IOSG Ventures

왜 프라이빗 AI가 필요한가

7월 1일, Palantir CEO Alex Karp는 CNBC에서 일부 미디어가 '멘탈 붕괴'라고 부른 20분간의 인터뷰를 진행했다. Karp의 주장에 따르면, 기업들은 프론티어 연구소에 토큰 프리미엄을 지불하는 동시에, 자사의 IP가 모델 제공업체로 흘러 들어가는 것을 목격하고 있다. 그는 이러한 유출을 ‘알파(alpha)의 이동’이라고 부르며, 이 이동은 아키텍처 레이어에서 발생한다고 말한다. 클로즈드소스 모델로 전송되는 모든 요청은 평문으로 서비스 제공자의 서버에 도착한다. 방송이 나가기 며칠 전, Palantir는 NVIDIA와 협력하여 고객이 통제하는 환경에서 개방형 Nemotron 모델을 실행한다고 발표했으며, 9개 조항으로 구성된 AI 주권 선언을 함께 공개했다. CNBC 방송 이후 PLTR은 8% 급등했다.

지난 20년간 기업들은 프로토콜 수준의 신뢰를 바탕으로 클라우드 소프트웨어를 도입해 왔으며, 그것은 잘 작동했다. 각 SaaS 업체는 기업 데이터의 일부만 볼 수 있을 뿐이며, 대부분 고객 데이터를 핵심 제품에 다시 활용할 유인도 거의 없었다. Salesforce는 영업 파이프라인을, Workday는 인사를, Jira는 개발 이터레이션을 보며, AWS는 스토리지와 컴퓨팅의 기반을 제공한다. 하지만 오늘날의 AI 워크플로우는 생산성을 극대화하기 위해 모든 데이터를 한 번에 업로드하고, 부서 간을 연결하는 구조화된 컨텍스트까지 함께 제공할 것을 주장한다. 선의를 논외로 하더라도, 이제 업스트림 서비스 제공자는 이 데이터를 서버에 방치하지 않고 새로운 기능을 만드는 데 사용할 수 있게 되었다.

아무도 속도를 늦추지 않았다. Anthropic의 연간 환산 매출은 5월에 470억 달러에 도달하여 2025년 말의 90억 달러에서 크게 뛰어올랐으며, OpenAI는 2월에 주간 활성 사용자 9억 명을 돌파했다. 두 회사는 올봄 신규 펀딩 라운드를 완료하여 기업 가치가 1조 달러에 육박했으며, 더 높은 시가총액으로 IPO를 진행할 것으로 예상된다. 수년간의 프라이버시 및 IP 관련 비판에도 불구하고 두 회사의 상승세는 전혀 꺾이지 않았다.

일부 기업은 이미 행동에 나섰다. 2023년 2월, ChatGPT 출시 3개월이 채 되기도 전에 월스트리트의 주요 은행들은 사용을 제한했다. 2023년 5월, 삼성 엔지니어가 칩 소스 코드를 ChatGPT에 유출한 사건 이후, 회사는 전사적으로 생성형 AI를 차단했다. 이에 대응하여 OpenAI는 같은 해 8월 ChatGPT Enterprise를 출시하며, 비즈니스 데이터를 학습에 사용하지 않고, 제로 데이터 리텐션(ZDR) 프로토콜을 적용하겠다고 약속했다. ZDR은 이후 기업 구매의 표준 요구 사항이 되었다.

하지만 계약은 회사 계정만을 잠글 뿐이다. IBM에 따르면 2025년까지 섀도 AI(직원이 개인 계정을 통해 승인되지 않은 AI 도구에 회사 데이터를 입력하는 행위)가 5분의 1의 데이터 유출 사건에 연루되었으며, 심각한 수준의 섀도 AI 사용은 유출 비용을 평균 67만 달러 증가시켰다. 보안 교육 회사 Anagram의 2025년 설문조사에서 직원 10명 중 4명은 업무를 더 빨리 완료하기 위해 AI 사용 정책을 기꺼이 위반할 의향이 있다고 답했다.

기업은 최소한 돈을 지불하고 출구를 살 수 있다. ZDR 계약, 학습을 진행하지 않는 서비스 티어, 그리고 정부나 Palantir의 고객이라면 주권적 배포(sovereign deployment) 옵션도 있다. 그러나 우리 같은 일반 사용자에게 프라이버시 AI가 중요한지는 여전히 논쟁거리였다가, 법원 소환장이 도착하면서 이야기가 달라졌다.

2025년 5월의 법원 명령은 OpenAI가 사용자가 삭제한 일반 사용자 대상 채팅 기록까지 보존하도록 강제했으며, 11월에는 판사가 그중 2000만 건을 뉴욕타임스 변호인에게 증거 개시 자료로 넘기라고 명령했다. 이어서 형사 사건에서도 등장했다. 팰리세이즈(Palisades) 대형 화재 방화 사건 피고인의 ChatGPT 기록이 증거로 채택되었고, 플로리다 이중 살인 사건의 진술서에는 용의자가 시체 처리 방법에 대해 질문한 내용이 인용되었다. Sam Altman 또한 2025년 7월 인터뷰에서 ChatGPT 대화는 법적 특권에 의해 보호되지 않으며, 소송에서 OpenAI가 사용자 채팅 기록을 ‘제출해야 할 수도 있다’고 인정했다.

핵심은 범죄자만 비밀 대화가 필요한 것은 아니라는 점이다. 사람들과 AI의 대화가 보관되고 소환 가능하다는 사실은 대다수 사용자가 인지하지 못하는 감시 영역이다. Kolmogorov Law가 2025년 10월 미국 AI 사용자 1000명을 대상으로 실시한 설문조사에 따르면, 응답자의 50%가 이러한 대화가 소환될 수 있다는 사실을 모르고 있었으며, 3분의 2는 이 대화가 변호사나 의사와의 상담과 동등한 수준의 보호를 받아야 한다고 생각했다.

자체 호스팅되거나 검증 가능한 환경에서 실행되는 오픈소스 모델들이 빠르게 따라잡고 있지만, 가장 강력한 모델들조차 범용 능력에서는 프론티어 클로즈드소스 모델에 비해 약 4개월 뒤처져 있다. 이는 ‘토큰맥싱(tokenmaxxing)’을 추구하는 기업과 개인에게 갈림길을 안겨준다. 프라이버시를 위해 몇 개월간의 모델 품질을 포기하거나, 경쟁사가 생산성 우위를 점하기 위해 그러는 것처럼 민감한 자료를 계속 Anthropic 서버로 전송하는 것이다.

현재 시장에는 완벽한 솔루션이 존재하지 않는다. 이 보고서는 그 격차를 줄이기 위한 각계의 시도를 정리하고, 증명 가능한 프라이버시를 갖춘 프론티어 지능이 기업과 일반 사용자에게 전달되기까지 얼마나 남았는지를 관찰한다.

현재 프라이버시는 어떻게 구현되고 있는가

프라이버시 AI는 단일 공학 과제가 아니지만, 현재 시중에 나온 모든 메커니즘은 동일한 이벤트를 처리한다. 프롬프트가 당신의 기기를 떠나 네트워크를 통과해 모델을 실행하는 머신에 도착하고, 다시 응답을 반환하는 과정이다. 메커니즘 간의 차이는 평문이 이 경로의 어디에 존재하며, 누가 그곳에서 읽을 수 있고, 응답의 기밀성을 무엇으로 검증하는지에 달려 있다.

프로토콜 수준 프라이버시

이 계층에서는 당신 외에 다른 누군가가 평문 프롬프트를 읽으며, 그다음에 일어나는 일은 전적으로 한 마디 약속에 의존한다.

계약 기반 제로 리텐션(ZDR)은 엔터프라이즈 요금제의 방식이다. 서비스 제공자는 당신이 누구인지 알고, 프롬프트를 처리하며, 보관하지 않겠다고 약속하며, 이행은 계약과 평판에 의존한다.
익명 프록시는 당신이 누구인지는 지우지만, 당신이 말한 내용을 암호화하지는 않으므로, 다운스트림 서비스 제공자는 여전히 자체 정책에 따라 평문을 처리한다. 업체마다 조건이 달라, Duck.ai (DuckDuckGo의 챗봇 제품) 같은 프록시는 모델 제공자와 삭제 계약을 협상하는 반면, Venice는 사용자에게 서비스 제공자가 모든 것을 저장할 것이라고 가정하게 하지만, 양측 모두 이를 검증할 방법은 없다.

기계 간의 모든 구간은 TLS 위에서 실행되며, TLS는 파이프라인만 암호화할 뿐, 수신하는 쪽에서 모든 정보를 읽을 수 있다. 중계는 보통 OHTTP(Oblivious HTTP, RFC 9458)를 사용하여 이 정보 접근 권한을 분리하는데, 원리는 친구에게 쪽지를 전달해 달라고 부탁하는 것과 같다. 친구는 누가 보냈는지는 알지만 내용은 읽을 수 없고, 수신자는 내용을 읽을 수 있지만 누가 보냈는지 모른다. OHTTP는 2024년 1월부터 IETF 표준이 되었으며, 현재 많은 기업들이 Cloudflare와 Fastly로부터 임대한 OHTTP 릴레이를 통해 프로덕션 트래픽을 운영하고 있다.

이것이 클로즈드소스 모델에 접근할 때 얻을 수 있는 프라이버시의 상한선이며, 그 이유는 하나의 계산 문제로 귀결된다. 현재 플래그십 모델 한 번의 훈련 비용은 수십억 달러 규모이며, 이들 연구소의 수조 달러에 달하는 기업 가치는 모델 가중치의 독점에 베팅한 것이다. 모델 역량 격차가 유지되는 한 프리미엄도 유지되므로, 연구소들은 가중치 파일을 국가 기밀로 취급한다.

Meta는 이미 이 실험을 강제로 당한 바 있다. 2023년 2월 출시된 LLaMA는 처음에는 연구자에게만 공개되었지만, 일주일도 채 되지 않아 가중치가 4chan에 토렌트로 유출되었다. 다시 일주일 후, llama.cpp가 그중 가장 작은 7B 모델을 MacBook 한 대에서 로컬로 구동 가능하게 만들었고, 3일 후 스탠퍼드는 동일한 모델을 600달러 미만의 비용으로 미세 조정하여 챗봇 어시스턴트 Alpaca를 만들어냈다. 이번 유출로 Llama의 실행 비용은 전기 요금 수준으로 떨어졌고, 파일을 입수한 사람은 누구나 집에서 모델을 실행할 수 있게 되었다. 2023년 7월, Meta는 월간 활성 사용자 7억 명 이상 제외 조항을 포함한 상업 라이선스로 공식적으로 Llama 2를 오픈소스로 공개했다. 가중치가 공개되자 프리미엄도 함께 사라졌다.

프론티어 연구소들은 이론적으로 클로즈드소스 모델의 추론에 대해 어테스테이션(원격 증명)을 수행할 수 있지만, 어테스테이션은 어떤 코드가 프롬프트를 읽었는지만 증명할 뿐, 그 코드가 프롬프트로 무엇을 했는지는 증명할 수 없다. 서버가 데이터를 보존했는지 확인하려면 서빙 코드를 감사하고 하드웨어가 보고하는 해시로 재구성해야 한다. 하지만 서빙 코드를 공개하는 순간, 연구소는 이윤을 유지하는 배치 처리 및 캐싱 노하우까지 포기하게 되며, 이 노하우는 향후 모든 모델 세대에 걸쳐 적용된다. Apple과 Meta가 iPhone과 WhatsApp의 백엔드 서비스 스택에 대해 원격 검증을 제공할 수 있는 것은 그들의 이윤이 기기와 광고에 있고, 서빙 코드를 공개하는 데 드는 비용이 거의 들지 않기 때문이다.

이것이 바로 플래그십 모델의 가중치와 서빙 코드가 외부 운영자에게 도달할 수 없는 이유다. 그리고 외부 운영자가 없으면 서드파티 어테스테이션이 불가능하고, 어테스테이션이 없으면 검증 가능한 프라이버시는 오직 오픈소스 모델 위에서만 존재하게 된다.

구조적 수준 프라이버시

이 범주에 속하는 모든 메커니즘은 하드웨어, 암호학, 또는 물리적 기반의 증명을 통해 신뢰 약속을 대체하지만, 각기 프라이버시 강화를 위해 서로 다른 대가를 치러야 하며, 가장 큰 전제 조건은 오픈소스 모델만 실행할 수 있다는 점이다.

TEE(신뢰 실행 환경) 기밀 컴퓨팅은 추론을 하드웨어 엔클레이브(칩 위에 기계 운영자조차 열 수 없는 밀폐 공간) 안에서 실행하며, 칩은 어떤 모델과 코드를 실행했는지 명시한 증명(attestation)에 서명합니다.
프롬프트는 종단에서만 봉인됩니다. 플랫폼 프록시를 경유하는 경로에는 평문을 읽을 수 있는 주체가 여전히 남아 있으며, 프록시가 내용을 기록하거나 유출하는 것을 막는 것은 오직 프로토콜뿐입니다.
E2EE(종단간 암호화)는 읽을 수 있는 중계를 차단합니다. 사용자 기기가 엔클레이브의 키로 프롬프트를 암호화하며, 중간의 모든 홉은 오직 엔클레이브만 열 수 있는 봉인된 봉투를 운반합니다.
신뢰는 클라이언트에 놓입니다. 프롬프트를 암호화하고 증명(attestation)을 검증하는 코드는 동시에 이 보증을 무효화할 능력을 갖습니다. 따라서 검증 가능한 E2EE는 증명된 엔클레이브뿐만 아니라 공개되어 재현 가능한 클라이언트 코드도 필요로 합니다.
TEE의 단순함에 비해 E2EE의 대가는 엔지니어링 부담이며, 이는 기능 통합을 더디게 합니다. E2EE는 에이전트를 눈먼 전령으로 만들기 때문에, 평문을 읽어야만 동작하는 모든 기능은 클라이언트 키를 중심으로 재구축되거나 엔클레이브 내부에서만 재구축되어야 합니다.
FHE(완전동형암호 및 MPC 변형)는 신뢰 당사자를 아예 제거합니다. 서버는 절대 열 수 없는 잠긴 상자 안에서 암호문에 대해 연산을 수행하며, 열쇠는 오직 당신에게만 있습니다. MPC(다자간 보안 계산)는 프롬프트를 비밀 조각으로 나누어 여러 참여자에게 분배하므로, 모든 참여자가 공모하지 않는 한 동일한 효과를 냅니다.
대가는 속도입니다. FHE는 기본적으로 덧셈과 곱셈만 수행할 수 있기 때문에, 트랜스포머(transformer)가 작동하는 데 필요한 비선형 단계들은 모두 높은 비용으로 재구축되어야 합니다. 암호문 상의 추론 비용은 평문 대비 1만 배에서 10만 배이며, 작은 모델에서 토큰당 수 초에서 수 분이 소요됩니다. 암호화하지 않을 경우 밀리초면 충분합니다.
암호 연산에 특화된 칩이 격차를 줄일 것으로 기대되지만, 첫 프로토타입 데모는 2026년 초에야 완료되며 상용 버전은 앞으로 몇 년을 더 기다려야 합니다.
로컬 추론은 이 경로를 아예 삭제합니다. 모델이 사용자 자신의 하드웨어에서 실행되므로, 중계도 서버도 서비스 제공자도 없고 검증 요구 사항도 없습니다.
명백한 대가는 비용과 모델 성능입니다. gpt-oss-120b는 Artificial Analysis 지수에서 GLM-5.2의 절반 정도 점수를 얻지만, 용량은 65GB로 시중에 판매되는 플래그십 게이밍 그래픽 카드 두 장의 VRAM 합계를 초과합니다. 반면 전체 정밀도의 GLM-5.2는 8장의 GPU를 탑재한 데이터센터 노드에서만 구동 가능하며, GPU만 해도 30만 달러 이상입니다.

하지만 이러한 구조적 제약에도 불구하고 추론을 엔클레이브에 넣는 비용은 점점 압축되고 있습니다. 단일 카드 추론의 경우, 엔클레이브 클라우드 서비스 제공업체인 Phala의 벤치마크에 따르면 엔클레이브 모드 H100의 처리량 손실은 평균 7% 미만이며, 대형 모델에서는 거의 0에 가깝습니다. 이는 주요 비용이 칩 내부 연산이 아니라 칩으로 데이터를 옮기는 데 발생하기 때문입니다. 다중 카드 추론의 경우, NVIDIA의 차세대 GPU Blackwell은 칩 간 트래픽의 직접 암호화를 이미 지원하는 반면, 구형 H100은 동일한 효과를 얻으려면 대역폭이 7분의 1로 줄어든 CPU 호스트 경유 방식을 사용해야 합니다. Blackwell에 대한 NVIDIA 자체 벤치마크에 따르면 397B 모델의 엔클레이브 모드 처리량 손실은 8% 미만입니다. 이러한 진전으로 인해, 프라이버시 추론 자체의 성능 손실은 더 이상 결정적인 제약이 아닙니다.

사실 엔클레이브 자체는 운영자에게 추가 운영 비용을 거의 발생시키지 않습니다. 2023년 이후에 나온 모든 H100에는 엔클레이브 모드가 기본 탑재되어 있으며, 추가 비용은 추가 칩이 아니라 암호화로 인한 처리량 손실입니다. 현재 Azure의 기밀 H100 SKU 임대료는 여전히 시간당 8.90달러이며, 엔클레이브를 사용하지 않으면 6.98달러로, 기존 클라우드 인프라 대비 27% 비쌉니다. 반면 Phala와 같은 엔클레이브 전문 제공업체에서는 기밀 모드 H100이 시간당 3.80달러부터 임대되며, 이는 Lambda의 일반 SXM 카드 가격대인 3.99~4.29달러보다 낮습니다. 관리형 API 솔루션의 경우, NEAR AI의 증명(attestation) 포함 엔드포인트는 gpt-oss-120b를 입력 100만 토큰당 0.15달러, 출력 100만 토큰당 0.55달러에 제공하여 평문 경로인 Amazon Bedrock, Together, Groq와 가격이 동일합니다. 여러 칩을 병렬로 사용해야 하는 모델에서도 NEAR AI는 GLM 5.2 가격을 Fireworks와 똑같이 책정했으며, 더 큰 Kimi K2.6에서는 입력이 15%, 출력이 4% 더 저렴합니다.

이러한 새로운 프라이버시 추론 서비스 제공업체들이 이윤을 태워가며 점유율을 확보하고 있을 수 있지만(이 말은 시장에서 성장하려는 모든 회사에 적용됩니다), 구조적인 추세는 소비자와 운영자 모두에게 프라이버시 비용이 하락하고 있다는 것입니다.

오픈소스 모델은 어떻게 승리할 것인가?

성능 오버헤드가 줄어들고 있음에도 불구하고, 프론티어 모델과 SOTA 오픈소스 모델 사이에는 여전히 눈에 띄는 격차가 존재합니다. 생산성을 극대화하려는 주체가 최전선에 머물려면 프론티어 연구소가 자신의 IP를 도용하지 않을 것이라는 신뢰를 가져야 합니다.

격차는 여전히 존재하지만, Bridgewater 산하 AIA Labs와 Thinking Machines가 6월 30일 하나의 사례를 제시했습니다. 전문가 주석으로 미세 조정된 오픈 모델이 정확도와 비용 두 가지 측면에서 프론티어 모델을 앞섰다는 것입니다.

연구에서 팀은 Tinker(Thinking Machines의 관리형 미세 조정 API 서비스) 상에서 Qwen3-235B를 미세 조정했습니다. 먼저 외부 업체로부터 주석을 구매하여 첫 번째 학습을 진행한 후, 의견이 갈리는 샘플을 회사 내 투자 인력에게 전달하여 재주석했습니다. 학습은 강화 학습(GRPO)으로 진행되었으며, 세 가지 수정 사항이 추가되었습니다: round-robin batching(각 작업이 교대로 하나의 배치를 생성), CISPO 손실(단일 응답이 모델을 얼마나 멀리 이동시킬 수 있는지에 상한을 설정), on-policy distillation(현재 최적의 체크포인트에 고정하여 모델이 더 약한 복사본으로부터 학습하지 않도록 함).

태스크는 모두 투자 인력의 일상적인 워크플로우에서 가져왔습니다. 뉴스 기사가 C-레벨 투자 전문가에게 중요한지, 중앙은행 문서가 향후 금리 변동 방향을 시사하는지, 문서나 이메일에서 템플릿 문구가 어디서 시작되는지 등입니다. 평가는 독립된 테스트 세트로 진행되었으며, 프론티어 모델은 단순 프롬프트에서 평균 약 50%를 기록했고, 전문가 프롬프트를 추가해도 78.2%에 그쳐 투자 인력이 설정한 80% 기준에 미치지 못했습니다. 반면 미세 조정된 Qwen은 84.7%를 기록했으며, 원문의 표현을 빌리자면 이는 프론티어 최고 성능 대비 오류를 29.8% 줄이고, 추론 비용은 13.8배 낮춘 것입니다.

https://thinkingmachines.ai/news/learning-to-replicate-expert-judgment-in-financial-tasks/

이 사례는 오픈소스 모델이 정확도와 비용 면에서 승리할 수 있음을 입증했지만, 학습 과정은 여전히 비공개였습니다. 과정에서 사용된 전문가 주석은 Bridgewater의 독점 데이터이며, Tinker라는 제3자 서비스를 경유했기 때문에 ZDR 프로토콜과 동일한 신뢰 수준에 놓입니다. 해당 펀드는 또한 컴퓨팅 자원을 임대했으며, 모든 학습은 결코 자신이 통제하지 못하는 머신 위에서 실행되었습니다. 이 레시피를 원하면서도 신뢰 가정을 지고 싶지 않은 구매자에게 오늘날 선택지는 거의 없습니다. 베어메탈 GPU 클러스터를 임대하면 학습 과정이 클라우드 운영자에게 읽힙니다. 클러스터를 매입하면 데이터 호스팅 문제는 해결되지만 비용이 천정부지로 치솟습니다.

증명(attestation)을 갖춘 경로는 이제 막 도래했습니다. 3월, Workshop Labs와 Tinfoil은 Tinfoil 엔클레이브 내의 단일 8카드 노드에서 실행되며 열쇠는 오직 클라이언트만 통제하는 후처리 학습 스택인 Silo를 발표했습니다. 해당 글에서 제시된 엔클레이브 비용은, 2시간 학습에 11분이 추가로 소요된다는 것입니다. 또한 이 스택은 베이스 가중치를 동결하고 그 위에 작은 어댑터만 학습시킴으로써, 1조 파라미터 모델(Kimi K2 Thinking)도 수용할 수 있습니다. 난점은 강화 학습이 여러 구성 요소 사이에서 데이터를 자주 옮겨야 하며, 바로 그 데이터 이동이 엔클레이브 비용의 원인이라는 점입니다.

Silo 발표 후 한 달도 채 지나지 않아 Workshop Labs는 Thinking Machines에 인수되었으며, 엔클레이브 안에서 다음 번 Bridgewater 방식의 RL 사이클을 실행하는 데 필요한 구성 요소들은 이제 한 회사 아래로 통합되었습니다.

하네스(Harness) 계층의 프라이버시

모든 프라이빗 추론 메커니즘 바깥에는 또 하나의 문제가 가로놓여 있습니다. 이러한 메커니즘들은 각자 프롬프트에서 모델에 이르는 경로를 관장하지만, 에이전트가 일으키는 모든 외부 도구 호출은 추론 계층이 전혀 관여할 수 없는 길을 열어젖힙니다. 최근의 하네스 엔지니어링(harness engineering) 열풍은 문제를 몇 배로 증폭시킵니다. 모델 주변에 연결된 모든 도구, 메모리 저장소, 데이터 소스는 각자 자신의 워크플로우 조각을 평문으로 읽어들이는 또 다른 목적지가 됩니다. 캘린더 서버는 일정을 읽고, 데이터베이스 서버는 쿼리를 읽습니다. 완전히 로컬에서 동작하는 에이전트라 할지라도, 학습 세트 바깥의 무언가를 원한다면 검색어를 평문으로 검색 엔진에 전달해야 하며, 서버 측이 평문을 읽을 수 없다면 질문에 답할 수 없습니다.

주류 해법은 여전히 기본적으로 프로토콜 계층에 머물러 있다. Runlayer나 MintMCP 같은 회사는 중앙 게이트웨이로 모든 도구 트래픽을 통제하며, 요청이 나가기 전에 개인 식별 정보(PII)를 가린다. 게이트웨이는 동시에 어떤 서버로 트래픽을 전달할지 결정하고, 사전 심사를 거치지 않은 것은 차단하며, 각 호출의 목적지와 내용을 기록해 포렌식에 대비한다. 이러한 통제가 독립 감사(SOC 2)를 받는다 하더라도, 도구 서버는 응답을 위해 평문 쿼리를 읽어야 하며, 사본을 남길지는 해당 서버의 자체 보존 정책에 달려 있고, 그 위험은 harness 안의 모든 도구 개수만큼 곱해진다. 게다가 게이트웨이 자체도 경로 상에 추가된, 신뢰에 의존하는 읽기 주체일 뿐 검증 주체는 아니다.

구조적 수준의 해법은 중간 계층을 겨냥합니다. 예를 들어 Phala는 MCP 서버를 TEE 안에 직접 호스팅하며, 디렉터리는 지갑, 코드 실행, 데이터 소스를 아우르고, 사용자는 운영 주체를 신뢰하는 대신 하나의 어테스테이션(attestation)으로 개인정보 보호 선언을 검증할 수 있습니다. 하지만 TEE가 위탁한 도구는 결국 평문으로 쿼리를 서비스 제공자에게 넘겨야 하며, 엔클레이브(enclave)가 봉인하는 것은 전달자일 뿐 목적지는 아닙니다.

목적지 가운데 읽지 않고도 답할 수 있는 경우는 극소수에 불과하며, 그것도 구조화된 쿼리에만 한정됩니다. Apple은 iPhone에 사설 정보 검색(PIR)을 도입해 스팸 전화 데이터베이스와 발신 번호를 대조할 때 번호를 노출하지 않으며, Microsoft는 Edge 브라우저에서 비밀번호에 동일한 방식을 적용했습니다. MongoDB의 Queryable Encryption은 필드가 클라이언트를 떠나기 전에 암호화하고, 서버는 암호문만으로 동등 및 범위 매칭을 수행할 수 있게 합니다.

그러나 개방형 검색의 경우, 오늘날 최선의 답은 신뢰에서 멈춰 있으며, 검증 가능한 암호화 검색은 아직 연구실을 벗어나지 못했습니다. Brave는 자체 400억 페이지 색인(Google의 것이 아닌)에서 제로 데이터 보관(zero data retention)을 약속하지만, 이 역시 프로토콜 계층에 머물러 있습니다. Exa는 신경 색인을 구축해 사용자의 키워드를 시맨틱 임베딩으로 변환하고 시맨틱 매칭으로 결과를 정렬하지만, 이 임베딩 단계는 여전히 Exa의 서버에서 평문으로 계산됩니다. MIT의 2023년 Tiptoe 논문은 쿼리를 노출하지 않고 3억 6천만 웹페이지에서 정렬을 완료했지만, 검색 한 번에 막대한 서버 연산 능력을 소모하며 정렬 품질도 암호화하지 않은 검색과 차이가 있습니다. Apple의 2024년 Wally 논문은 실제 쿼리를 여러 미끼 속에 숨겨 통신 비용을 최대 31배까지 낮추었지만, 이 수학적 기법은 수백만 건의 동시 쿼리 규모가 되어야 저렴해지며, 오늘날 어떤 사설 검색 시스템도 이 정도 규모를 갖추지 못했습니다.

암호화 검색은 가능하지만, 성능과 가격 모두 상업적으로 실현 가능한 수준에 도달하지 못했습니다.

전망

프라이빗 AI에 대한 수요가 증가하고 있습니다. Venice AI는 최근 등록 사용자 350만 명과 월간 1조 3천억 토큰 처리량을 돌파한 뒤, 기업가치 10억 달러의 새로운 Series A 지분 투자를 유치했습니다. Proton은 이들의 직접적인 경쟁자로, 채팅 제품 Lumo는 출시 1년 만에 사용자 1천만 명을 넘었습니다. 인프라 측면에서 Phala는 현재 OpenRouter에서 하루 평균 20억~30억 토큰을 처리하고 있습니다. Duck.ai는 gpt-oss-120b와 Gemma를 Tinfoil의 엔클레이브로 라우팅해 사용자 에이전트 너머의 검증 가능한 프라이버시를 제공합니다. 자체 호스팅은 아직 포함되지 않았지만, 아마도 사설 추론의 가장 큰 채널일 것입니다. 모델이 자체 하드웨어에서 구동되어 사용 흔적을 전혀 남기지 않기 때문입니다.

그러나 주류 AI 흐름 속에서 프라이버시 AI는 극히 일부분에 불과하며, 이 격차는 최전선 연구소들이 이 수요를 충족시키려 할 때에만 좁혀질 것입니다. 5월, Google 전 제품은 3,200조 토큰을 처리했으며, 이에 비추어 보면 Venice의 한 달 처리량은 약 Google의 18분에 해당합니다. 지난 11월, Google은 Private AI Compute(PAC)를 출시해 일부 Gemini 기반 기능을 자사와 격리된 밀폐형 TPU 엔클레이브 안에서 실행하고, 설계에 대해 NCC Group의 독립 감사를 받도록 했습니다. 그러나 문제는 PAC가 개인화 추천, 녹음 요약 같은 몇몇 Pixel 기능만을 포괄하며, 수억 명이 사용하는 Gemini 앱에는 적용되지 않는다는 점입니다. Google이 설계를 감사인에게 맡길 수 있었던 것은 이 기능들이 토큰 판매가 아닌 기기와 광고로 수익을 창출하기 때문입니다.

현재의 매니지드 솔루션도 완벽하지 않습니다. E2EE를 통해 최고 수준의 프라이버시를 얻으려는 사용자는, 서비스 제공자가 읽을 수 없는 곳에서 새 기능이 다시 구축될 때까지 기다려야 합니다. 프라이빗 하니스(harness)는 여전히 서비스 계층에서 프로토콜에 의존합니다. 합리적인 가격의 포스트 트레이닝에서 최상의 파인 튜닝 결과를 얻으려면 여전히 서드파티 공급업체를 신뢰해야 합니다. 자체 호스팅은 모든 서비스 제공자를 단번에 배제하지만, 로컬에서 가장 강력한 오픈소스 모델을 실행하는 비용은 그 모델을 장착한 건물 자체보다 더 비쌀 수 있습니다.

결함에도 불구하고, 프라이빗 AI는 이미 현실적으로 감당할 만한 옵션이며, 남은 공백도 빠르게 좁혀지고 있습니다. 일반 소비자 입장에서는 Lumo와 Venice에서 무로그(no-log) 약속 아래 오픈 모델로 사적인 채팅을 비용 없이 이용할 수 있고, Venice나 Tinfoil의 18~20달러 구독은 똑같은 채팅을 엔클레이브 속에 가둬주며, ChatGPT 구독보다 비싸지 않습니다. 기업 워크플로에서는 어테스테이션을 갖춘 엔드포인트가 이제 평문 경로보다 비용 면에서 더 저렴하기까지 합니다. NEAR의 E2EE API와 같은 엔드포인트는 이미 암호화된 컨텍스트를 엔클레이브로 가져올 수 있으며, 메모리, 파일 업로드, 사용자 지정 지시를 오늘날 E2EE 위에서 모두 작동시킬 수 있습니다. 어테스테이션이 수반되는 포스트 트레이닝의 경우, NVIDIA가 곧 출시할 Vera Rubin NVL72는 기밀 컴퓨팅을 Blackwell의 8 GPU 노드에서 72 GPU 랙으로 확장해, IP를 노출하지 않으면서도 최전선의 RL 사이클을 훨씬 더 실행 가능하게 만들 전망입니다.

그러나 결정적인 가치 포착은 이렇게 가격이 압축되는 계층 바깥에 자리잡고 있습니다. 프라이버시는 이미 존재하는 곳에서는 거의 무료지만, 주류 에이전틱 워크플로는 아직 포괄하지 못합니다. 엔클레이브 임대·판매에 집중하는 사업자는 표준 칩 위의 스위치 하나를 쥐고 있을 뿐, 해자가 아니며, 프로토콜 계층의 게이트웨이는 전통적인 미들웨어와 같은 필드에서 경쟁합니다. 방어 가능한 지점은 이 보고서에서 아직 해결되지 않은 나머지 절반, 즉 엔클레이브 안에 갇힌 훈련 사이클, 종단간(end-to-end)으로 봉쇄된 도구 호출, 낱낱이 엿볼 수 없는 검색 색인에 있습니다. 누군가 이 중 하나라도 가장 먼저 실현한다면, 그가 파는 것은 어떤 가격 전쟁도 상품화할 수 없는 것입니다. 프라이버시 AI를 좇는 자본이 매수해야 할 것은 그 ‘공백’이지, 스위치가 아닙니다.

그렇다면, 신뢰인가 검증인가? 실행과 에이전트 비중이 큰 작업에서는 신뢰를 선택하십시오. 매번의 도구 호출은 원래 엔클레이브가 봉쇄할 수 없는 목적지에 평문을 건네주는 것이며, 최전선 모델은 그러한 사이클 안에서 그 가격을 정당화할 만큼 뛰어나기 때문입니다. 반면 한 회사를 경쟁자들과 가르는 고차원적인 사고에는 검증을 선택하십시오. 전략, 기획, 수년간의 전문 경험이 농축된 판단, 바로 그것이 논란이 되는 그 알파(alpha)입니다. 나아갈 길은 회사가 통제하는 경계 안에서 이 독점적인 통찰력으로 오픈소스 모델을 파인 튜닝하는 것입니다. 한 회사의 알파가 존재하는 영역에서, 전문가가 튜닝한 오픈 모델은 이미 정확도와 비용 양면에서 프론티어를 능가하고 있으며, 프라이버시 환경에서 이를 구축할 인프라는 하나의 노드씩 도착하고 있습니다.