RAG 데이터스토어 멤버십 추론: 검색 코퍼스라는 공격 표면

파인튜닝을 하지 않아도 검색 코퍼스에 어떤 문서가 들어 있는지는 API 질의만으로 새어 나간다.

표적이 가중치에서 코퍼스로 옮겨간다

검색 증강 생성(Retrieval-Augmented Generation, RAG)은 민감 데이터를 모델 파라미터에 학습시키지 않고 외부 코퍼스에 분리 보관한다. 이 구조 덕분에 파인튜닝을 피하면 프라이버시 위험도 함께 사라진다는 통념이 자리잡았다. 2024년 이후의 멤버십 추론 연구는 그 통념이 성립하지 않는 조건을 보여준다.

학습 데이터를 겨냥한 멤버십 추론 공격(Membership Inference Attack, MIA)은 특정 샘플이 학습 셋에 있었는지를 손실값이나 토큰 확률 분포로 맞힌다. RAG를 겨냥한 MIA는 묻는 질문이 다르다. "이 문서가 학습에 쓰였는가"가 아니라 "이 문서가 지금 검색 데이터베이스에 있는가"를 판정한다. 판정 신호도 가중치에 남은 암기 흔적이 아니라, 검색기가 그 문서를 붙였을 때 응답이 달라지는 정도다.

이 차이는 위험의 성격을 바꾼다. 학습 MIA는 한 번 굳은 모델을 상대하므로 결과가 정적이지만, 코퍼스 MIA는 현재 시점의 상태를 읽어 문서 추가·삭제가 그대로 관측된다. 게다가 코퍼스에는 사내 문서, 의료 기록, 법률 자료처럼 사전학습 데이터보다 민감하고 최신인 정보가 담기는 경우가 많다.

Anderson, Amit, Goldsteen(2024)은 설계된 프롬프트만으로 코퍼스 포함 여부를 추론할 수 있음을 처음 실증했다. 블랙박스와 그레이박스 환경 모두에서 성립한다(arXiv:2405.20446, 2024-05 기준). "이 문서가 시스템 안에 존재한다"는 사실 자체가 부차 채널(side channel)로 흘러나온다는 뜻이다.

공격자가 필요로 하는 것

공격자의 관찰 범위는 두 갈래로 나뉜다. 어느 쪽도 모델이나 검색기의 내부 파라미터를 요구하지 않는다.

필요한 것은 시스템에 질의를 보내고 응답을 받는 API 수준의 접근뿐이다. 사내 RAG를 외부 파트너에게 열어주거나 제품 기능으로 공개하는 순간, 이 조건은 이미 충족된다.

방어 측에서 보면 관측 가능한 것은 질의 텍스트와 검색 결과, 그리고 최종 응답이다. 공격자가 어떤 문서를 후보로 들고 있는지는 서버 쪽에 남지 않으므로, 판정 시도 자체는 로그에 드러나지 않는다.

실패 경로: 판정 신호의 세 세대

공격 기법은 어떤 신호로 멤버십을 판정하는지에 따라 세대가 갈린다. 세대가 넘어갈수록 필요한 질의 수와 사전 준비가 줄어든다.

DCMI는 대상 문서를 넣었을 때와 뺐을 때의 출력 확률 차이를 보정 기준으로 삼는다(arXiv:2509.06026, 2025-09 기준). 응답 텍스트만으로는 흐릿한 신호를 확률 분포 차이로 선명하게 만드는 접근이다.

같은 연구는 검색 결과 품질이 낮은 조건에서 기존 공격 대비 개선폭이 두드러진다고 보고한다. 검색이 부실한 시스템이 공격에도 더 안전하리라는 직관은 성립하지 않는다는 뜻이다. 파일럿 단계의 얇은 코퍼스를 노출 범위 밖으로 두어야 할 이유가 여기 있다.

MEntA는 여기서 방향을 바꿔, 모델 응답이 후보 문서의 내용을 자연어 함축(entailment) 관계로 뒷받침하는지를 측정한다. 논문이 보고한 수치는 질의 5개 기준 최대 0.991 AUC다. 기존 최고 성능 대비 최대 0.42 AUC 향상, 공격 비용 최대 65배 감소도 함께 보고한다(arXiv:2605.24312, 2026-05 기준).

그림: MEntA 계열 공격의 판정 흐름. 공격자는 대상 문서에 관한 정보 탐색형 질의를 소수 보내고, 돌아온 응답이 그 문서 내용을 함축하는 정도를 점수로 환산한다.

운영 관점에서 위험한 지점은 성능 수치보다 은밀성이다. 이전 세대는 반복적·기계적 템플릿 질의에 의존해 로그에서 패턴이 드러날 여지가 있었지만, MEntA는 폭넓은 정보 탐색형 자연어 질문만 사용한다. 서로게이트(대체) 모델 학습도 필요 없으므로, API 접근권만 있으면 준비 단계 없이 시도할 수 있다.

그래프 RAG에서 달라지는 것

Liu, Zhang, Wang(2025)은 그래프 RAG가 원문 그대로의 유출은 줄이지만 다른 대가를 치른다고 보고한다(arXiv:2508.17222, 2025-08 기준). 엔티티와 관계로 재구성된 지식이 오히려 더 쉽게 추출된다는 트레이드오프다.

그래프는 정보를 압축·정규화하는 과정에서 "누구와 누가 어떤 관계인가"라는 구조적 사실을 직접 노출하는 경로를 만든다. 텍스트 전용 RAG를 대상으로 얻은 프라이버시 분석 결론을 그래프·멀티모달 구조에 그대로 옮길 수 없다는 뜻이다. 아키텍처를 확장할 때는 위협 모델링을 다시 해야 한다.

방어 구조와 트레이드오프

Choi, Park, Byun, Lee, Park(2025, EMNLP)은 MIRABEL이라는 방어를 제안했다(arXiv:2505.22061, 2025-05 기준). 질의와 코퍼스 내 실제 문서 사이의 유사도가 비정상적으로 높은 경우를 탐지하는 방식이다. Gumbel 분포 기반 이상 탐지로 임계값을 정하고, 위험 질의에는 결과 반환을 제한하거나 차등 프라이버시 노이즈를 더하는 계층 구조를 쓴다.

이 방어는 멤버십 추론 정확도를 낮추지만 공짜는 아니다. 임계값을 강하게 잡을수록 정상 사용자의 합법적 질의 일부도 함께 차단된다. 방어 강도와 검색 재현율(recall)은 같은 손잡이의 양쪽 끝이다.

Xu et al.(2026)의 분류 연구는 RAG 프라이버시 방어를 네 계층으로 정리한다(arXiv:2604.08304, 2026-04 기준).

같은 논문은 현재 방어가 대체로 검색 이후 단계의 신뢰 경계에 몰려 있다고 지적한다. 코퍼스 자체의 거버넌스와 사후 탐지 체계는 상대적으로 미비하다. 프라이버시·기밀성 메커니즘이 빠르게 늘고 있으나 방어가 반응형이고 조각나 있어 적응형 공격에는 취약하다는 평가다.

운영 체크리스트

사내 문서나 고객 데이터를 코퍼스로 쓰는 RAG를 외부에 노출한다면, 아래 항목을 점검한다.

• 위협 모델 재작성: "파인튜닝을 하지 않았으니 안전하다"는 전제를 폐기하고, 코퍼스 포함 여부 자체를 보호 대상 자산으로 등록한다.
• 코퍼스 분리: 민감 등급이 다른 문서를 한 인덱스에 섞지 않는다. 테넌트·등급별로 인덱스를 나누면 한 번의 공격이 닿는 범위가 줄어든다.
• 탐지 신호 갱신: 반복적·기계적 질의 패턴만 보는 규칙은 자연어 기반 공격을 놓친다. 질의와 상위 검색 문서 사이의 유사도 분포를 함께 본다.
• 다층 방어 조합: 근접도 기반 필터링을 1차로 두고, 고위험 코퍼스에는 출력단 차등 프라이버시를 겹친다. 두 계층 모두 재현율·품질 손실을 수반하므로 지표를 미리 정한다.
• 접근 계정 단위 관측: 공격에 필요한 질의 수가 적으므로 총량 기준 레이트 리밋만으로는 부족하다. 계정별 질의 주제 분포의 급변을 함께 기록한다.
• 구조 확장 시 재평가: 그래프·멀티모달 RAG로 옮길 때는 텍스트 RAG 기준의 위험 평가를 다시 수행한다.

정리

RAG의 프라이버시 경계는 모델 파라미터가 아니라 검색 코퍼스에 그어져 있고, 그 경계는 API 질의만으로 탐침된다. 판정 신호는 응답 유사도에서 출력 확률 차이를 거쳐 자연어 함축으로 옮겨 왔다. 서로게이트 모델도 기계적 템플릿도 필요 없으므로, 질의 패턴 탐지에 기댄 방어는 이 계열의 공격을 놓친다. 현재 현실적인 대응은 근접도 기반 질의 필터링과 출력단 차등 프라이버시를 겹치되, 재현율과 응답 품질의 손실 폭을 미리 합의해 두는 쪽이다. 그래프 RAG처럼 구조를 바꾸면 위험 프로필도 바뀌므로, 텍스트 RAG에서 얻은 결론을 재사용하지 않는 편이 안전하다.