Executive Summary

합성데이터라는 말은 보통 원본의 분포를 배운 모델이 새 표본을 뽑아내는 과정을 가리킨다. 이 리포트가 다루는 세 방식은 그렇게 만들어지지 않는다. 실제 레코드 하나를 씨앗으로 고르고, 그 이웃 k개를 찾고, 씨앗과 이웃을 잡음 섞어 조합해 합성 프로필 한 건을 만든다. 논문 저자들은 이 셋을 묶어 씨앗 기반 국소 조합(Seeded Local Combination, SLC)이라 이름 붙였고, 분포에서 표본을 뽑는 생성과 프로필을 변형하는 비식별의 혼종으로 규정한다.

공격면이 어디인지부터 다르다. 앞서 다룬 의료 AI 멤버십 추론 연구는 학습이 끝난 모델에 질의를 던져 특정 환자가 학습 데이터에 있었는지 알아내는 이야기였다. 이번 논문이 보는 곳은 데이터 쪽이다. 공격 대상이 가중치가 아니라 이미 손을 떠나 배포된 파일이다. 모델은 접근을 끊으면 되지만 배포된 파일은 회수되지 않는다.

알고리즘 자체는 단순하다. 원본 공간이든 잠재 공간이든, 한 점을 고르고 그 주변 몇 점을 끌어와 가중 평균을 내는 것이 전부다. 아래 도식이 그 한 바퀴다.

세 방식은 이웃을 어디서 찾고 어떻게 섞느냐에서만 다르다. 그 차이가 뒤에서 공격 성공률의 차이로 그대로 이어진다.

표의 첫 줄과 둘째 줄은 이웃 수를 2로 잡는 순간 사실상 한 줄이 된다. 이웃이 하나뿐이면 Avatar의 무게중심도 두 실제 점 사이의 한 점이 되어 SMOTE의 선형 보간과 구조가 같아진다. 논문이 그 점을 짚어 둔 이유는 뒤에 나온다. 이웃 수 2가 실제 의료 데이터 공개에 쓰인 설정이기 때문이다.

1.1이미 나가 있는 데이터

이 방식으로 만든 환자 데이터는 이미 인터넷에 있다. 2025년 Journal of Medical Internet Research에 실린 연구가 다발성경화증 3상 임상시험 두 건을 합성데이터로 재현했다. CLARITY 865명과 ADVANCE 1,516명이 대상이었고, 파라미터를 바꿔 가며 2,160개의 합성 데이터셋을 만든 뒤 각 시험당 하나씩을 골랐다. 고른 두 데이터셋의 위약군이 Figshare에 오픈 액세스로 공개돼 있다. 선택된 설정은 CLARITY가 이웃 수 5, ADVANCE가 이웃 수 2였다.

그 연구가 공개의 근거를 적어 둔 문장은 논의 절에 있다. 명시적 프라이버시 평가 덕분에 이 합성 데이터셋들을 법적으로 비개인정보로 규정하고 오픈 데이터셋으로 공유할 수 있었다. 스폰서 승인도 받았지만 규제 관점에서 반드시 필요한 절차는 아니었다는 문장이 뒤따른다. 지표를 통과했으니 개인정보가 아니고, 개인정보가 아니니 내보낸다. 이 문장 사슬이 이 리포트가 검토하려는 대상이다.

수치를 읽기 전에 공격자가 무엇을 쥐고 있는지부터 봐야 한다. 이 논문의 위협 모델은 공격자가 모델 파라미터도, 생성기에 질의를 던질 권한도 갖지 않는다고 가정한다. 손에 있는 것은 공개된 합성데이터 파일과, 어떤 알고리즘을 어떤 하이퍼파라미터로 돌렸는지에 대한 지식뿐이다. 즉 공격자도 같은 알고리즘을 자기 데이터로 돌려 볼 수 있다. 공격자에게 가장 불리한 조건에서 나온 숫자라는 점이 이 논문의 세기다.

실험 대상은 세 데이터셋이다. 위스콘신 유방암 449건은 종양의 양성·악성을 가리는 순서형 범주 아홉 개로 이뤄져 있고, ACTG 175 임상시험 2,139건은 HIV 환자가 에이즈 단계로 진입하는지를 다루며, 캘리포니아 주택 20,640건은 의료가 아닌 대조군으로 들어갔다. 세 결과를 뭉쳐 의료 데이터라고 부르면 정확하지 않다. 주택 데이터는 비교를 위해 있다.

2.1멤버십 추론

멤버십 추론은 특정인이 그 데이터셋에 들어 있었는지를 맞히는 공격이다. 평가는 오탐률 10% 지점의 적중률로 한다. 전체 정확도 대신 낮은 오탐률 구간을 보는 것은, 공격자가 실제로 위험한 순간이 소수 인물을 확신을 갖고 지목하는 순간이기 때문이다. 이 기준에서 무작위 추측의 성적은 10%다.

공격 자체는 새로 만든 것이 아니라 기존 것들을 합쳐 만들었다. 연구진은 합성데이터에 이미 쓰이던 거리 기반 멤버십 추론 공격 여러 개를 돌려 각각의 점수를 받고, 거기에 대상 프로필의 원래 값들을 함께 넣어 그래디언트 부스팅 모델을 학습시켰다. 원래 값을 같이 넣은 데는 이유가 있다. 가까운 이웃이 있다는 사실은 데이터가 빽빽한 구역과 분포 가장자리에서 같은 뜻이 아니기 때문이다. 학습 재료는 그림자 모델 50개로 만들었다. 이렇게 합친 앙상블은 세 데이터셋 모두에서 개별 공격 어느 것보다 잘 맞혔고, 개별 공격들끼리는 데이터셋과 생성 방식에 따라 성적이 들쭉날쭉해 하나가 나머지를 압도하지 못했다. 공격 하나를 막아 냈다고 안전이 증명되지 않는 이유가 여기서 이미 보인다.

이웃 수 10에서 SMOTE와 Avatar는 무작위 대비 거의 다섯 배에서 일곱 배를 기록했다. 논문은 이 수준을 두고 정형 합성데이터 문헌에서 좀처럼 관측되지 않은 심각하게 높은 값이라고 적는다. 셋 중 가장 덜 취약한 Simulant조차 유방암과 에이즈 데이터에서 20% 언저리에 머물렀고, 논문은 그것도 심각한 프라이버시 누출이라고 명시한다. 셋 중 어느 것도 통과하지 못했다는 뜻이다.

2.2연결

연결 공격은 합성 프로필을 그것을 만든 씨앗과 다시 짝지어 놓는 공격이다. 직관적으로는 가장 가까운 원본을 고르면 될 것 같지만, 이 논문의 공격은 거리를 쓰지 않는다. 같은 씨앗에서 합성 프로필을 200번 반복해 뽑아 그 씨앗이 만들어 내는 분포를 먼저 추정하고, 표적으로 삼은 합성 프로필이 어느 씨앗의 분포에서 나왔을 가능성이 가장 큰지를 따진다. 논문이 든 예시 그림에서 표적과 거리가 가장 가까운 것은 어떤 원본이지만, 분포로 따지면 다른 원본에서 나왔을 가능성이 더 크다. 거리로 고르는 방식이 왜 최선이 아닌지를 그림 한 장으로 보여주는 셈이다.

여기서 배경지식 가정이 결정적으로 갈린다. 논문 본문의 표는 공격자가 원본 데이터셋 전체를 이미 갖고 있다고 가정하는데, 저자들 스스로 그 설정이 현실 맥락에 잘 대응하지 않는다고 적었다. 벤치마크 목적이라는 것이다. 다만 그 비현실적 설정에 대해 저자들이 한 가지를 덧붙인다. 이 설정이 유럽연합 일반개인정보보호법(GDPR)의 익명 데이터 정의에 가깝게 맞아떨어지기 때문에, 합성데이터의 익명성을 평가하려는 실무자에게는 오히려 쓸모 있는 도구라는 것이다. 뒤에서 다룰 익명 판정과 같은 지점을 겨눈 말이다. 한편 현실 쪽 숫자는 부록에 따로 있다. 공격자가 실제 프로필 딱 한 건과 공개된 합성데이터만 가진 조건이고, 아래가 그 결과다.

공격자가 실제 프로필 1건만 보유한 현실 설정, 이웃 수 10, 표적 100건을 5회 반복한 평균. 출처: Lautraite et al., arXiv:2608.27037 부록 (CC BY 4.0)

원본을 통째로 아는 공격자를 가정하지 않아도 SMOTE는 절반 안팎을 되찾았고, Avatar는 에이즈와 주택 데이터에서 17%에서 24%를 되찾았다. 무작위 추측과의 거리를 보면 규모가 더 분명해진다. 에이즈 데이터에서 SMOTE의 58%는 무작위 대비 천 배가 넘는다. 벤치마크 설정의 더 큰 숫자를 인용할 때는 공격자가 원본 전체를 안다는 가정을 같은 문장 안에 붙여야 한다. 그러지 않으면 절반이 재식별됐다는 오독이 된다.

2.3재구성

재구성은 한 단계 더 나아간다. 합성데이터만 보고 원본 레코드의 값을 통째로 복원하는 것이다. 이 공격은 Avatar를 이웃 수 2로 돌린 설정을 겨냥해 설계됐고, 결과는 데이터셋에 따라 극단적으로 갈렸다. 위스콘신 유방암에서는 141건이 정확히 복원됐으나 정밀도가 9%에 그쳤고, 자주 등장하는 후보만 남기는 빈도 필터를 걸자 122건이 정밀도 80%로 남았다. 449건 중 122건, 원본의 4분의 1이다. 반면 에이즈 데이터는 필터 후 10건에 정밀도 4.5%, 주택 데이터는 17건에 6%로 사실상 실패했다.

복원됐다는 판정에는 허용 오차가 있다. 컬럼 하나당 평균 절대오차로 환산한 여유를 데이터셋마다 다르게 두었고, 그 여유보다 서로 더 가까운 실제 프로필이 사실상 없다는 것을 확인한 뒤에 기준으로 삼았다. 그러니까 복원된 122건은 원본과 자릿수까지 같은 사본이 아니라, 다른 어떤 실제 환자와도 혼동되지 않을 만큼 그 환자에 가까운 값이다. 재식별을 따질 때 중요한 것은 사본인지가 아니라 그 사람을 특정하는지이므로, 이 기준은 느슨한 쪽이 아니다.

그러니 세 방식 모두에서 원본이 재구성됐다고 쓰면 과장이다. 재구성이 통한 곳은 유방암 데이터이고, 그 데이터가 작고 범주형이라는 성질이 결정적이었다. 다만 그 성질은 임상 레지스트리나 검진 기록처럼 실제 의료 데이터가 흔히 갖는 성질이기도 하다. 그리고 유방암 데이터에서 뚫린 것은 Avatar만이 아니다. 부록에서 같은 공격을 이웃 수 10의 SMOTE에 돌리자 필터 후 115건이 정밀도 72%로 복원됐다. 이 계열을 겨냥한 선행 재구성 공격과의 격차도 크다. 선행 공격은 Avatar 이웃 수 2 조건에서 19건을 95% 정밀도로 복원하는 데 그쳤고 에이즈와 주택 데이터에서는 한 건도 복원하지 못했으며, SMOTE 조건에서도 66건에 머물렀다. 공격은 나아지고, 이미 공개된 데이터는 그대로 있다.

2.4속성 추론

네 번째 공격은 이미 아는 몇 개 항목으로 모르는 항목을 맞히는 것이다. 판정 기준은 절대 정확도가 아니라 비교다. 공개된 보조 데이터만 쓸 때보다 합성데이터를 함께 쓸 때 더 잘 맞히는 컬럼의 비율을 세고, 그 비율이 절반을 넘으면 누출로 본다. SMOTE는 유방암과 에이즈에서 모든 컬럼이, 주택에서 88.89%가 그 조건에 걸렸다. Avatar는 77.78%에서 100% 사이였다. Simulant는 유방암에서 70%로 누출이 잡혔지만, 에이즈 28%와 주택 0%로 나머지 두 데이터셋에서는 기준선을 밑돌았다.

네 공격을 겹쳐 보면 방식마다 취약한 곳이 다르다. SMOTE는 멤버십 추론과 연결에서 가장 많이 흘렸고, Avatar는 이웃 수를 2로 조인 설정에서 재구성에 뚫렸다. Simulant는 상대적으로 덜 취약했지만 멤버십 추론 20%가 남았다. 어느 쪽에도 안전한 방식은 없었다. 연구진은 이 결과를 관련 기업들에 먼저 알리고 표준 90일을 기다린 뒤 발표했으며, 재구성 공격 코드는 공개하지 않기로 했다. 그들이 적은 이유는 가정법이 아니다. 실제 사람의 건강 데이터에서 나온 합성 프로필이 이미 오픈데이터로 공개돼 있고, 취약할 수 있는 사본이 전부 지워졌는지 확인할 방법이 없다는 것이다. 그러면서도 발표하지 않는 선택은 하지 않았다. 알리지 않으면 사람들은 안전하다는 착각 속에 남고 악의를 가진 쪽은 같은 취약점을 스스로 찾아낼 수 있다는 것이 그 판단이었다.

합성데이터를 내보내기 전에 업계가 재는 것은 공격 성공률이 아니라 거리다. Avatar 진영이 쓰는 지표 묶음에는 최근접 원본까지의 거리, 1위와 2위 거리의 비, 국소 은폐도, hidden rate, 컬럼과 행의 직접 일치 보호율이 들어 있다. 그중 hidden rate는 이렇게 읽는다. 실제 프로필을 하나 집어 가장 가까운 합성 프로필을 찾았을 때, 그것이 하필 자기 자신에게서 나온 합성 프로필이 아닐 확률. 값이 높을수록 원본이 자기 그림자 뒤에 숨었다는 뜻이다.

위스콘신 유방암 데이터에 Avatar를 이웃 수 2로 돌린 설정에서 이 값은 97.77%였다. 같은 조건에서 SMOTE는 38.98%, Simulant는 67.71%였으니, 세 방식 중 Avatar가 압도적으로 안전해 보였다. 그리고 재구성 공격이 원본의 4분의 1을 꺼낸 조건이 정확히 그 조건이다.

두 막대가 어긋나는 이유는 재는 대상이 다르기 때문이다. 거리 지표는 합성 점 하나와 원본 점 하나 사이의 간격을 본다. 재구성 공격은 점 하나를 보지 않는다. 같은 씨앗에서 나온 합성 점들이 어디에 어떻게 흩어져 있는지, 그 무리의 모양에서 씨앗의 좌표를 역산한다. 개별 거리는 충분히 멀면서도 무리 전체는 원본을 가리킬 수 있다. 지표는 거리를 재고, 공격은 분포를 세운다.

논문이 지표 표를 요약하며 붙인 문장이 이 간극의 성격을 정확히 짚는다. 이웃 수가 극단적으로 작은 경우를 빼면 hidden rate는 대체로 95%를 넘고, 거리에만 기대는 연결 공격이라면 대체로 실패했으리라는 것이다. 지표가 틀린 값을 내놓은 것이 아니다. 지표가 대변하는 공격이 약했을 뿐이다. 후향 지표는 거리 기반 공격에 대한 방어력을 재는 잣대였고, 이 논문이 돌린 공격은 거리를 쓰지 않는다. 안전 판정의 유효기간이 공격 기법의 수명에 묶여 있다는 뜻이기도 하다.

방식마다 위험의 성격도 다르다. SMOTE는 후향 지표에서도 이미 나쁘다. hidden rate가 열두 개 설정 어디에서도 35%에서 50% 언저리를 벗어나지 못하고, 국소 은폐도는 전부 0이다. 다만 이 비교에는 단서가 붙는다. 이 지표들은 원래 Avatar의 잠재 공간에서 재도록 만들어졌고, 잠재 공간을 쓰지 않는 SMOTE에 대해서는 연구진이 원 데이터 공간에서 측정하도록 바꿔 적용했다. 그 단서를 감안해도 방향은 분명하다. SMOTE의 위험은 원래부터 보이는 위험이었다. Avatar의 위험은 보이지 않는 위험이다. 지표를 보고 안심할 근거가 실제로 존재했고, 그 근거가 틀렸다.

3.1실제 공개 사례에도 같은 대비가 있다

이 대비는 추상적인 실험실 이야기로만 남지 않는다. 앞서 언급한 다발성경화증 공개 연구는 자기가 측정한 지표값을 표로 전부 공개했고, 소프트웨어 공급사가 권고한 지시적 기준선도 같은 표에 나란히 실었다. 그 표를 옮기면 다음과 같다. 권고치는 법적 기준이 아니라 도구 제작사가 제시한 참고선이다.

출처: Demuth et al., J Med Internet Res 2025;27:e71297, Table 1 (CC BY 4.0). 주황색 두 칸이 공급사 권고치에 미달한 항목이다.

CLARITY 공개본은 일곱 항목 중 두 항목에서 권고치에 미달한 채로 나갔다. 그리고 미달한 두 항목이 하필 멤버십 추론에 대응하는 지표다. 그 연구의 초록은 이 사실을 숨기지 않는다. 멤버십 추론 공격에 대한 보호가 최적화하기 가장 어려운 프라이버시 지표였다고 적혀 있다. 그럼에도 종합 판단은 충분한 프라이버시였고, 그 판단이 비개인정보라는 법적 규정으로, 다시 오픈 액세스 공개로 이어졌다.

통과선을 누가 그었는지도 표 옆에 적혀 있다. 그 연구는 공급사 권고치를 그대로 합격선으로 삼지 않았다. 방법 절에 자기 기준을 따로 밝혀 두었는데, 국소 은폐도 중앙값 2 이상과 hidden rate 80% 초과면 충분하다고 보았다. 공급사 권고는 각각 5 초과와 90 초과다. 그리고 생성한 2,160개 데이터셋 전부가 hidden rate 80%를 넘었으므로, 그 기준에서는 어느 것을 골라도 합격이었다. 권고치가 지시적이라고 표에 명시된 이상 이 선택은 규칙 위반이 아니다. 다만 익명 판정의 실질적 합격선을 데이터를 내보내는 쪽이 정한다는 사실은 남는다.

그 연구가 hidden rate를 무엇으로 정의했는지가 이 리포트의 축과 정확히 맞물린다. 표의 정의 칸에는 거리 기반 매칭이 틀릴 확률이라고 적혀 있고, 본문은 이 지표가 멤버십 추론 공격의 위험을 재는 지표라고 밝힌다. 상정한 시나리오도 구체적이다. 합성 데이터셋을 손에 넣은 공격자가 특정 환자의 임상시험 등록 여부를 알아내고, 그로부터 다발성경화증 진단 사실을 추론하는 경우다. 그러니까 위험은 이미 정확히 지목돼 있었다. 다만 그 위험을 재는 잣대가 거리였다. 이번 논문의 앙상블 멤버십 추론 공격은 거리에 기대지 않고, 거리 기반 공격의 실패 확률로는 그 성공률을 예측할 수 없다.

그리고 이 문제 제기는 이번 프리프린트가 처음이 아니다. 2022년 USENIX Security에서 발표된 연구가 합성데이터의 익명성 주장을 정면으로 겨눈 이래, 유사도 기반 프라이버시 지표가 실제 위험을 가리키지 못한다는 결과가 IEEE S&P와 ESORICS에서 이어져 나왔다. 거리 지표만으로 안전 판정을 받은 데이터셋이 멤버십 추론에 취약했다는 보고도, SMOTE가 구조적으로 소수 클래스 레코드를 더 많이 노출한다는 보고도 2025년에 나왔다. 이번 논문은 그 흐름의 최신 사례이고, 씨앗 기반 국소 조합이라는 계열 전체를 한자리에서 검증했다는 점이 새로운 부분이다.

여기서 한국 얘기를 꺼내는 것은 억지 연결이 아니다. 논문의 첫 문단이 세계 여러 나라의 개인정보 감독기관이 합성데이터를 익명화된 데이터를 공유하는 방법으로 검토해 왔다고 적으면서 다섯 건의 문헌을 단다. 싱가포르 개인정보보호위원회, 영국 정보위원회, 캐나다 온타리오 정보프라이버시위원회, 스페인 정보보호청, 그리고 한국 개인정보보호위원회다. 한국 항목의 서지는 2024년 「합성데이터 생성·활용 안내서」를 가리키고 링크는 pipc.go.kr로 걸려 있다. 이 논문이 반박하려는 관행 목록에 한국이 이미 올라가 있다.

안내서의 문장은 조심스럽지만 결과는 분명하다. 완전 합성데이터는 설정된 안전성 수준에 따라 익명정보 또는 가명정보로 판단될 수 있고, 유형에 맞는 생성 방법론과 정량·정성 검증 절차를 거쳐 안전성이 인정되면 익명정보로 활용될 수 있다. 안전성 검증은 익명성 인정을 위한 필수 절차다. 그리고 익명정보가 되는 순간 「개인정보 보호법」 제58조의2에 따라 이 법의 적용이 배제된다. 판정 하나가 법 바깥으로 나가는 문을 연다.

그 판정을 무엇으로 하는가. 안내서가 제시하는 안전성 검증 지표는 세 가지다. 구별 위험도는 합성 레코드가 원본 레코드와 완전히 일치하는지를 세어 평균을 낸다. 연결 위험도는 준식별자를 아는 공격자가 민감정보를 맞힐 확률을 CAP로 계산하되, 준식별자와 민감정보가 모두 범주형일 때만 적용된다. 추론 위험도는 합성 레코드에서 최근접 원본까지의 거리를, 그 원본에서 최근접 원본까지의 거리로 나눈 비율이다. 안내서가 예시로 제시한 임계값은 구별 위험도 0.198, 추론 위험도 0.452이며, 연결 위험도는 0.7 이하로 설정하는 것이 바람직하다고 적혀 있다.

세 지표를 앞 절의 도구 지표와 나란히 놓으면 겹치는 뼈대가 드러난다. 셋 다 유럽 제29조 작업반이 2014년 익명화 기법 의견서에서 세운 구별·연결·추론이라는 세 기준을 근거로 삼는다. 기준은 같다. 다른 것은 그 기준을 무엇으로 재느냐다.

세 주체가 같은 기준을 서로 다른 계기로 구현한다. 연결과 추론의 대응은 논문이 직접 밝힌 것이고, 구별과 재구성의 짝은 다루는 위험의 성격이 같다는 편집상의 배치다. 멤버십 추론은 이 세 기준 어디에도 대응하지 않는다.

표에서 가운데 두 열은 거리와 일치를 세는 프록시이고, 오른쪽 한 열은 실제로 돌린 공격이다. 논문이 후향 거리 기반 지표는 진짜 프라이버시 위험의 나쁜 지표라고 못박은 대상은 그중 도구 쪽 열이다. 한국 안내서의 지표를 직접 실험한 것은 아니다. 다만 재는 방식이 같은 계열이다. 구별 위험도가 세는 완전일치는 도구 쪽의 직접 일치 보호율이 세는 것과 같고, 추론 위험도는 거리를 다른 거리로 나눈 비율이어서 도구 쪽의 1위와 2위 거리 비와 같은 종류의 잣대다. 한국의 익명 판정은 그 계열 위에 서 있다.

4.1안내서가 멤버십 추론을 놓아둔 자리

안내서가 멤버십 추론 공격을 모른 척한다고 쓰면 사실이 아니다. 안내서는 그 공격을 알고 있고 문서에 적어 두었다. 다만 놓아둔 자리가 다르다. 익명성 인정을 가르는 정량 지표 목록에는 없고, 활용과 안전한 관리를 다루는 절의 잔여 위험 관리계획 항목으로 들어가 있다. 합성데이터를 일반 대중에 공개하는 경우 재식별 등 잔여 위험 가능성에 대비해 관리계획을 마련하라는 요구이고, 각주에 멤버십 추론 공격 발생이 예시로 달려 있다. 관문이 아니라 사후 대비다.

형식적 보장 쪽은 아예 비어 있다. 안내서 전문에서 차분이라는 단어는 한 번도 나오지 않는다. 부록의 각주에 인용된 문헌 제목에 Differential이라는 영어 단어가 등장하지만 그것은 차분 프라이버시가 아니라 CAP 지표의 변형을 다룬 논문이다. 즉 한국 기준에는 형식적 프라이버시 보장을 근거로 익명을 인정받는 경로가 없고, 후향 지표 통과가 익명 판정의 실질적 근거다.

안내서는 이 지표 세 가지를 강제하지 않는다. 부록의 문답이 명시적으로 열어 둔 것만 셋이다. 자체 익명성 검토만으로 익명 활용이 가능하고, 안내서가 제시한 검증 지표 외의 지표도 사용할 수 있으며, 기관 내부 활용이면 심의위원회 평가를 거치지 않아도 된다. 안내서 스스로 절차를 의무화하거나 표준화하려는 의도가 없다고 성격을 규정한다. 그러니 이 리포트는 규제가 낡은 지표를 강제한다고 말하지 않는다. 말하려는 것은 실무의 기본값이 논문이 반박한 지표 계열과 겹친다는 것이고, 그 기본값은 안내서를 고치지 않고도 바꿀 수 있다.

최근 제도 변화와도 구분해 두는 편이 낫다. 2026년 3월 전면 개정된 「가명정보 처리 가이드라인」과 2026년 9월 11일 시행되는 개정 개인정보 보호법은 둘 다 합성데이터의 익명 판정 기준을 건드리지 않았다. 제58조의2 조문도 그대로다. 이 리포트가 다루는 것은 바뀐 것이 아니라 바뀌지 않은 채 남아 있는 부분이다.

결과를 보고 나면 손에 잡히는 대응이 둘 있다. 이웃 수 k를 키워 더 많은 실제 프로필을 섞거나, 차분 프라이버시 같은 형식적 보장을 얹거나. 논문은 두 카드를 모두 뒤집어 본다. 먼저 k다.

k를 키우면 위험은 실제로 줄어든다. 문제는 유용성이 같이 줄어든다는 점이고, 줄어드는 정도가 방식마다 다르다는 점이다. 아래는 세 데이터셋에서 합성데이터로 학습한 모델을 실제 홀드아웃 테스트셋으로 평가한 결과다. 앞의 두 열은 정확도라 높을수록 좋고, 마지막 열은 오차라 낮을수록 좋다.

출처: Lautraite et al., arXiv:2608.27037, Table 1 (CC BY 4.0). XGBoost로 학습하고 실제 홀드아웃 테스트셋으로 평가했다. 주황색은 k를 키웠을 때 유용성이 무너진 지점이다.

Avatar는 유방암 데이터에서 정확도가 93.33%에서 77.78%로 내려앉고, Simulant는 주택 데이터의 오차가 0.3272에서 0.6228로 두 배 가까이 벌어진다. SMOTE만 흔들리지 않는다. 이웃 수를 20으로 올려도 원본 수준을 유지하고 유방암에서는 오히려 조금 올라간다. 그러니까 k를 조여도 실무에서 버틸 수 있는 방식은 SMOTE 하나다. 그런데 논문이 멤버십 추론과 연결 공격 양쪽에서 가장 취약하다고 지목한 방식이 바로 SMOTE다. 조여서 견디는 방식이 하필 가장 많이 흘린다.

게다가 조여도 완전히 사라지지 않는다. 이웃 수를 키우면 Avatar의 연결 성공률은 실제로 내려간다. 그런데 100까지 올린 극단적 설정에서도 유방암 1.07%, 에이즈 3.53%, 주택 4.06%가 남았다. 절대값만 보면 작아 보이지만 무작위 추측 대비로는 여전히 수십에서 수백 배다. SMOTE는 사정이 더 나쁘다. 이웃 수를 키워도 연결 공격에 여전히 매우 취약하다는 것이 논문의 서술이다. 그리고 이웃 100명을 섞은 데이터가 분석에 쓸 만한지는 위의 표가 이미 답한다.

5.1형식적 보장은 왜 붙지 않는가

두 번째 카드는 차분 프라이버시다. 세 방식 중 Simulant는 자기 방식이 ε 차분 프라이버시를 만족한다고 주장해 왔고, 논문은 그 주장을 세 갈래로 반박한다. 첫째, 씨앗을 고르고 이웃을 찾는 단계에서 실제 데이터에 직접 접근하는데 잡음은 조합 단계에만 들어간다. 차분 프라이버시가 성립하려면 파이프라인의 모든 단계가 프라이버시 분석 안에 들어와야 한다. 둘째, 차분 프라이버시의 가우시안 메커니즘은 덧셈 잡음인데 Simulant는 곱셈 잡음을 쓴다. 보호해야 할 값이 0이 될 수 있으면 곱셈 잡음은 아무것도 가리지 못한다. 셋째, 잡음의 크기는 민감도에 맞춰 보정되어야 하는데 Simulant는 고정값을 쓴다.

그렇다면 제대로 붙이면 되지 않느냐는 질문이 남는다. 차분 프라이버시를 만족하는 SMOTE 변형은 실제로 존재한다. 논문은 그 방식의 차분 프라이버시 성질 자체는 옳다고 인정한다. 다만 그 방식은 실제 관측치 대신 격자 셀의 중심을 씨앗으로 쓴다. 실제 프로필이 씨앗도 이웃도 아니게 되는 순간 그것은 더 이상 씨앗 기반 국소 조합이 아니다. 이 계열의 특징이 실제 이웃을 쓰는 것이었으니, 형식적 보장을 제대로 붙이는 방법은 계열을 떠나는 것이었던 셈이다.

저자들이 남긴 전망도 낙관적이지 않다. 진짜로 차분 프라이버시를 만족하는 씨앗 기반 방식을 설계하려면, 한 관측치가 이웃으로 반복 선택되는 최악의 경우를 각 단계마다 감안해 잡음을 넣어야 한다. 그렇게 하고 나면 남는 유용성이 별로 없을 것이라는 게 저자들의 예상이다.

앞 절에서 확인한 대로 안내서는 지표 세 가지를 강제하지 않는다. 다른 검증 방법을 쓸 수 있다고 문서 스스로 열어 두었다. 그러니 지금 필요한 것은 규제를 고치자는 요구가 아니라 그 빈칸을 무엇으로 채울지에 대한 제안이다. 도구 쪽도 이미 절반쯤 같은 방향을 본다. Avatar를 상용화한 회사의 기술 문서는 자사 지표를 공격 시나리오를 모사한 것이라고 설명하고, 최악의 시나리오와 현실 시나리오를 함께 평가할 것을 권한다. 이번 논문이 실측한 것은 그 모사와 실제 공격 사이의 간격이다. 그 간격을 성적서에 남기려면 네 가지가 필요하다.

• 공격 기반 검증을 나란히 돌린다. 거리 지표를 버리자는 뜻이 아니다. 거리 지표는 값싸고 빠르며, 값이 나쁘면 그것만으로 이미 탈락 사유가 된다. 다만 값이 좋을 때 그것을 안전의 증거로 읽지 않는다. 멤버십 추론, 연결, 재구성을 실제로 돌려 성공률을 함께 기록하고, 지표와 공격의 결과가 어긋날 때는 공격 쪽을 따른다.
• 위협 모델을 숫자 옆에 적는다. 같은 연결 공격이라도 공격자가 원본 전체를 아는지 프로필 한 건만 아는지에 따라 성공률이 몇 배씩 달라진다. 배경지식 가정이 빠진 성공률은 해석할 수 없는 숫자다. 성적서에 남길 것은 값 하나가 아니라 값과 가정의 짝이다. 합격선도 마찬가지다. 다발성경화증 공개 사례에서 보듯 통과 기준은 도구 제작사의 권고치일 수도, 내보내는 쪽이 따로 정한 값일 수도 있다. 어느 쪽을 썼는지 적어 두지 않으면 통과했다는 문장만 남는다.
• 생성 파라미터를 공개 범위에 따라 공시한다. 안내서는 생성 모델과 매개변수가 모델 반전 공격에 유용한 정보일 수 있다며 잔여 위험 관리계획에 적어 두었지만, 정작 안전성 검증 지표는 k 값을 보고하도록 요구하지 않는다. 임계값 통과 여부만 본다. 한편 이번 논문의 공격은 공격자가 알고리즘과 하이퍼파라미터를 안다는 전제에서 출발해 그 성공률을 냈다. 두 입장은 충돌하고, 어느 쪽도 일반해가 아니다. 기관 내부 활용은 공시를 검증 가능성 쪽으로, 일반 공개는 비공개 쪽으로 기울이는 식의 차등이 현실적이다.
• 비가역성을 전제로 기준을 세운다. 공개 범위가 넓을수록 검증 기준을 먼저 높여야 한다. 배포된 데이터셋은 회수되지 않기 때문이다. 이번 논문의 저자들이 재구성 공격 코드를 공개하지 않기로 한 이유가 정확히 그것이다. 이미 나가 있는 합성데이터를 되돌릴 수 없으니, 공격 도구를 함께 풀면 위험만 남는다.

네 항목을 관통하는 것은 하나다. 성적서에 남을 문장이 거리 지표를 통과했다에서 멈추면 안 된다. 어떤 공격을 어떤 배경지식 가정 아래 돌렸고 얼마나 막았는지까지 적혀야 한다. 앞의 문장은 절차의 기록이고, 뒤의 문장은 검증의 기록이다. 재현할 수 있는 쪽은 뒤다.

DataClinic이 지금까지 진단해 온 질문은 이 데이터로 학습이 되는가였다. 이 논문이 여는 축은 이 데이터를 내보내도 되는가다. 두 질문은 파이프라인의 앞뒤가 아니라 같은 지점의 두 얼굴이다. 합성데이터가 원본을 잘 흉내 낼수록 원본 가까이 남기 때문이다. 논문의 유용성 표가 그 교환비를 숫자로 보여주고, 다발성경화증 공개 사례는 그 교환이 실제로 어느 칸에서 이뤄졌는지를 보여준다. 멤버십 추론 대비 지표를 내주고 유용성을 가져갔다. AI-Ready Data가 학습 가능한 상태만이 아니라 공유 가능한 상태까지 뜻한다면, 공유 가능성의 증명도 진단 항목이어야 한다.

데이터 품질의 관점에서 보면 축이 하나 비어 있다. 성적서의 정확도와 완결성과 일관성은 전부 데이터가 무엇을 담고 있는가를 잰다. 재식별 저항성은 데이터가 무엇을 흘리는가를 잰다. 뒤의 것은 앞의 것의 부산물이 아니다. 이번 논문에서 정확도를 가장 잘 보존한 SMOTE가 멤버십 추론과 연결 양쪽에서 가장 많이 흘렸다는 사실이 그 증거다. 정확도 지표만 보는 성적서는 이 반비례 관계를 구조적으로 볼 수 없다.

고객과 파트너에게는 두 방향의 실무 함의가 생긴다. 합성데이터를 받는 쪽에는 벤더에게 물을 질문이 생겼다. 생성 방식과 이웃 수는 무엇인가, 안전성 검증에 어떤 지표를 썼고 그 값이 공급사 권고치를 넘었는가, 공격 기반 검증을 해 봤는가, 어떤 공격자를 가정했는가. 다발성경화증 연구가 지표값을 전부 표로 실었다는 사실은 이 질문들이 실제로 답을 받아낼 수 있다는 것을 보여준다. 합성데이터를 내보내는 쪽에는 방어의 무게가 달라졌다. 안내서 절차를 이행했다는 방어와 공격에 견뎠다는 방어는 사고가 났을 때 같은 무게로 서지 않는다.

정리하면, 합성했으니 개인정보가 아니다에서 증명했으니 내보낼 수 있다로 문장을 바꾸는 일에 데이터 품질을 다루는 회사가 설 자리가 있다. 규제 준수 컨설팅이 아니라 측정 도구로서다. 익명 판정의 근거를 절차 이행에서 재현 가능한 공격 검증으로 옮기는 일이고, 한국 안내서가 다른 검증 방법론을 이미 열어 두었으니 이 제안은 제도와 부딪치지 않고 빈칸을 채운다. 의료 AI 멤버십 추론 편이 모델 쪽 감사 가능성을 다뤘다면, 이 편은 데이터 쪽 감사 가능성을 다루는 두 번째 편이다.

학술

• 1.Lautraite, H.; Allard, T.; Charest, A.-S.; Rajotte, J.-F.; Gambs, S. "Neighborhood Watch: Privacy Risks in Seeded Local Combination Synthetic Data." arXiv:2608.27037v1 [cs.CR], 2026-08-27, CC BY 4.0. — 이 리포트의 주 출처. 2절·3절·5절의 모든 수치
• 2.Demuth, S. et al. "Privacy-by-Design Approach to Generate Two Virtual Clinical Trials for Multiple Sclerosis and Release Them as Open Datasets." J Med Internet Res 2025;27:e71297 (PMC12488035, CC BY 4.0). — 1.1절 공개 사례와 3.1절 지표표의 1차 출처. 전문을 Europe PMC에서 확인
• 3.Guillaudeux, M. et al. "Patient-centric synthetic data generation, no reason to risk re-identification in biomedical data analysis." npj Digital Medicine 2023;6:37. — Avatar 원 논문
• 4.Beigi, M.; Shafquat, A.; Mezey, J.; Aptekar, J. "Simulants: Synthetic clinical trial data via subject-level privacy-preserving synthesis." AMIA Annu Symp Proc 2022:231. — Simulant 원 논문. ε 차분 프라이버시 주장의 원문 문장은 미확보이며, 5.1절은 반박 쪽 서술만 인용
• 5.Chawla, N. V.; Bowyer, K. W.; Hall, L. O.; Kegelmeyer, W. P. "SMOTE: Synthetic Minority Over-sampling Technique." JAIR 2002;16:321–357.
• 6.Stadler, T.; Oprisanu, B.; Troncoso, C. "Synthetic Data — Anonymisation Groundhog Day." USENIX Security 2022, pp. 1451–1468. — 3.1절 계보의 출발점
• 7.Ganev, G.; De Cristofaro, E. "The Inadequacy of Similarity-based Privacy Metrics." IEEE S&P 2025, pp. 4007–4025. — 초록 수준까지 확인. 계보를 가리키는 용도로만 인용
• 8.Yao, Z.; Krčo, N.; Ganev, G.; de Montjoye, Y.-A. "The DCR Delusion: Measuring the Privacy Risk of Synthetic Data." ESORICS 2025, pp. 469–487. — 초록 수준까지 확인
• 9.Ganev, G. et al. "SMOTE and Mirrors: Exposing Privacy Leakage from Synthetic Minority Oversampling." arXiv:2510.15083, 2025. — ReconSMOTE 원본. 초록 수준까지 확인했으므로 개별 수치는 인용하지 않았다
• 10.Lebrun, T. et al. "Synthetic data: Generate avatar data on demand." WISE 2024, pp. 193–203. — 이번 논문이 개선 대상으로 삼은 기준선 공격
• 11.Carlini, N. et al. "Membership inference attacks from first principles." IEEE S&P 2022. — 낮은 오탐률 구간에서 적중률을 보는 평가 관행의 출처. 2.1절

정책 · 제도

• 12.개인정보보호위원회. 「합성데이터 생성·활용 안내서」. 2024.12, 발간등록번호 11-1790377-100001-01. pipc.go.kr. — 4절 전체의 근거. 지표 정의는 3장과 부록2, 임계값은 부록4, 잔여 위험 관리계획은 3장 5절, 문답은 부록8
• 13.Article 29 Data Protection Working Party. "Opinion 05/2014 on Anonymisation Techniques." European Commission, 2014. — 구별·연결·추론 세 기준의 출처. 논문과 안내서가 둘 다 근거로 삼는다
• 14.「개인정보 보호법」 제58조의2(적용제외). 2020-02-04 본조신설. 2026-09-11 시행 개정에서 변경 없음
• 15.개인정보보호위원회. 「가명정보 처리 가이드라인」(제도 안내편). 2026.3 전면개정, 발간등록번호 11-1790365-000029-01. — 이 리포트 주제와 별개 문서임을 밝히는 용도
• 16.Octopize. "Privacy metrics — Principles." — 6절이 인용한 도구 쪽 자기 서술. 자사 지표를 공격 시나리오 모사로 규정하고 최악·현실 시나리오 병행 평가를 권한다
• 17.Personal Data Protection Commission Singapore. "Proposed Guide on Synthetic Data Generation." / Information Commissioner's Office (UK). "Privacy-enhancing technologies (PETs)," 2023. / Information and Privacy Commissioner of Ontario. "De-identification Guidelines for Structured Data," 2025. / Agencia Española de Protección de Datos. "Synthetic data and data protection," 2023. — 논문 서두가 꼽은 감독기관 다섯 중 한국을 제외한 넷. 서지 항목으로만 확인

페블러스 인접

• 18.페블러스. "의료 AI는 환자 한 명을 거의 정확히 기억하고 있었다." — 학습이 끝난 모델에 대한 멤버십 추론. 이 리포트는 같은 공격을 데이터 쪽에서 본다
• 19.페블러스. "이사회 회의실로 올라간 데이터 사고의 책임." — 2026-09-11 시행 개정의 배경. 익명 판정 기준은 이 개정에서 바뀌지 않았다
• 20.페블러스. "합성 데이터에 가격표를 붙이는 법." — 합성데이터를 유용성 축에서 다룬 편. 이 리포트는 같은 데이터를 누출 축에서 본다
• 21.페블러스. "AI 에이전트를 채점하는 합성 데이터와 그 품질." · "합성 데이터로 반복 학습한 AI, 실력이 양극화된다." — 합성데이터 품질 계열 인접 글