Tech & Insights

완전동형암호(FHE) 깊이 알기: 데이터를 열어보지 않고 계산하는 기술

Howard Park · Co-founder / CSO

·2026.07.14

테크 & 인사이트 — 동형암호와 Private AI 시리즈 (전 4편)

① 완전동형암호(FHE) 깊이 알기: 데이터를 열어보지 않고 계산하는 기술 — 지금 읽고 있는 글

② THOR 깊이 알기: 암호문 위에서 LLM을 추론하는 기술 — 공개 예정

③ GL 스킴 깊이 알기: 행렬을 위해 처음부터 다시 설계한 동형암호 — 공개 예정

④ Private AI 깊이 알기: 데이터를 내주지 않고 AI를 쓰는 기술 — 공개 예정

한눈에 보기 (TL;DR)

완전동형암호(FHE, Fully Homomorphic Encryption)는 데이터를 암호화된 상태 그대로 연산하고 분석할 수 있게 하는 암호 기술이다. 저장·전송 단계뿐 아니라 '사용 중인 데이터'까지 암호로 보호하는, 현재까지 알려진 사실상 유일한 순수 암호학적 방법이다.

1978년 아이디어가 처음 제시된 뒤 30년 넘게 실현 가능성조차 증명되지 않아 "암호학의 성배(Holy Grail)"로 불렸고, 2009년 크레이그 젠트리(Craig Gentry)가 최초로 그 가능성을 입증했다.

이후 성능이 비약적으로 개선되며 애플 아이폰의 일부 기능, 블록체인 기밀 거래, 그리고 암호화된 LLM 추론(Private AI)까지 실제 서비스 단계에 진입했다.

디사일로(DESILO)는 FHE 창시자 크레이그 젠트리와 함께 5세대 스킴 GL 스킴(Gentry-Lee Scheme)을 공동 발명해 세계 최초로 상용화하고, FHE 기반 LLM 추론 프레임워크 THOR를 개발한 이 분야의 대표적인 딥테크 기업이다.

동형암호란 무엇인가
부분동형에서 완전동형까지: 동형암호의 분류
48년의 역사: 불가능의 증명에서 상용화까지
작동 원리: 격자, 노이즈, 그리고 부트스트래핑
주요 스킴 비교: BGV/BFV, TFHE, CKKS, GL
"동형암호는 느리다"는 통념에 관하여
다른 프라이버시 강화 기술(PET)과의 비교
산업별 활용 사례
표준화와 글로벌 생태계
한국과 동형암호
자주 묻는 질문(FAQ)
디사일로와 FHE
용어 사전
FHE 세대별 계보도
참고 자료

1. 동형암호란 무엇인가

동형암호(Homomorphic Encryption, HE)는 암호문을 복호화하지 않은 채, 암호화된 상태 그대로 연산을 수행할 수 있는 암호 기술이다. 핵심 성질은 다음 한 문장으로 요약된다.

암호화된 데이터에 연산을 수행한 뒤 그 결과를 복호화하면, 원본 데이터에 같은 연산을 수행한 결과와 정확히 일치한다.

'동형(同型, homomorphic)'이라는 이름은 수학의 준동형사상(homomorphism)에서 왔다. 평문 공간의 연산 구조가 암호문 공간에서도 그대로 보존된다는 뜻이다. 수식으로 표현하면 다음과 같다.

E(a) ⊕ E(b) = E(a + b)

즉, 암호문끼리의 특정한 연산(⊕)이 평문의 덧셈(+)과 정확히 대응한다. 연산을 수행하는 주체(클라우드 서버, AI 사업자, 데이터 분석 기관)는 처음부터 끝까지 암호문만 다루기 때문에 입력값도, 중간 계산값도, 최종 결과도 볼 수 없다. 결과를 열어볼 수 있는 것은 오직 비밀키를 가진 데이터 소유자뿐이다.

잠긴 장갑 상자 비유

FHE를 처음 실현한 크레이그 젠트리는 자신의 기술을 보석 세공 작업장에 비유했다. 보석상 앨리스는 직원들이 값비싼 금과 원석을 다루면서도 훔쳐 갈 수 없도록, 밖에서 장갑만 끼워 넣어 작업할 수 있는 잠긴 투명 장갑 상자(glovebox)를 만든다. 직원은 상자 속 재료를 조립해 반지를 완성할 수 있지만, 상자를 열어 내용물을 꺼낼 수 있는 열쇠는 앨리스만 가지고 있다.

여기서 상자에 넣어 잠그는 행위가 '암호화', 장갑을 통한 조립 작업이 '암호문 상태의 연산', 완성된 반지를 꺼내는 열쇠가 '비밀키'에 해당한다. 작업자는 일을 완수하지만 재료를 소유하거나 들여다보지 못한다. 데이터를 다루는 컴퓨팅에서 이것이 가능해진다는 것이 동형암호의 본질이다.

왜 '마지막 퍼즐 조각'인가: 사용 중 데이터의 보호

데이터 보안은 데이터의 생애주기에 따라 세 단계로 나뉜다.

단계	상태	기존 보호 기술
저장 중 (Data at Rest)	디스크·DB에 보관된 상태	디스크/DB 암호화 (AES 등)
전송 중 (Data in Transit)	네트워크로 이동하는 상태	TLS/SSL 등 통신 암호화
사용 중 (Data in Use)	연산·분석되는 상태	오랫동안 공백 — 복호화 후 처리가 유일한 방법이었음

저장과 전송 단계의 암호화는 이미 성숙한 기술이다. 문제는 데이터를 '사용'하는 순간이다. 분석하고, 학습시키고, 조회하려면 지금까지는 반드시 데이터를 복호화해 평문으로 되돌려야 했다. 대부분의 대형 유출 사고가 바로 이 순간 — 데이터가 메모리 위에 평문으로 존재하는 순간 — 을 노린다. 내부자 위협, 클라우드 사업자에 대한 신뢰 문제, 국외 이전 규제가 모두 여기서 출발한다.

동형암호는 이 마지막 공백을 메운다. 데이터가 조직의 경계를 넘어 외부 클라우드, 협력사, AI 모델로 이동해 연산되는 동안에도 단 한 순간도 평문으로 노출되지 않는다. 그래서 동형암호는 개별 보안 솔루션이라기보다, "신뢰할 수 없는 환경에서도 데이터를 활용할 수 있게 하는 컴퓨팅 패러다임의 전환"으로 평가받는다.

2. 부분동형에서 완전동형까지: 동형암호의 분류

모든 동형암호가 모든 연산을 지원하는 것은 아니다. 지원하는 연산의 종류와 횟수에 따라 세 단계로 구분한다.

구분	지원 연산	대표 스킴	한계
부분동형암호 (PHE, Partially HE)	덧셈 또는 곱셈 중 한 종류만	RSA(곱셈), Paillier(덧셈), ElGamal	표현 가능한 계산이 매우 제한적
준동형암호 (SHE, Somewhat HE)	덧셈과 곱셈 모두, 단 제한된 횟수(깊이)까지	BGN(2005), 부트스트래핑 적용 전의 초기 구성	수행할 수 있는 연산 횟수가 유한함
완전동형암호 (FHE, Fully HE)	덧셈과 곱셈을 무제한으로	Gentry(2009) 이후의 FHE 스킴 전반 (BGV/BFV/CKKS)	연산 오버헤드 (지속 개선 중)

흥미로운 사실은, 최초의 공개키 암호인 RSA(1977)가 이미 곱셈에 대한 동형성을 '우연히' 가지고 있었다는 점이다. 두 암호문을 곱하면 평문을 곱한 값의 암호문이 나온다. 덧셈에 대한 동형성을 갖는 Paillier 암호(1999)도 널리 쓰였다. 하지만 의미 있는 계산 — 통계 분석, 머신러닝, 검색 — 을 표현하려면 덧셈과 곱셈이 모두, 그것도 충분히 많이 필요하다. 이론적으로 덧셈과 곱셈을 무제한 수행할 수 있으면 어떤 계산이든 표현할 수 있기 때문에(논리 회로의 완전성), 완전동형암호는 '암호문 위의 범용 컴퓨터'와 같다.

참고로 덧셈 동형암호를 만든 파스칼 파이에(Pascal Paillier)는 현재 FHE 전문 기업 자마(Zama)의 공동창업자다. 부분동형 시대를 연 암호학자가 완전동형 시대의 창업자가 된 셈이다.

3. 48년의 역사: 불가능의 증명에서 상용화까지

1978년 — 질문의 탄생

RSA가 발표된 이듬해, RSA의 'R'인 로널드 리베스트(Ron Rivest)와 'A'인 레너드 애들먼(Leonard Adleman)은 마이클 더투조스(Michael Dertouzos)와 함께 「On Data Banks and Privacy Homomorphisms」라는 논문에서 대담한 질문을 던진다. "데이터를 복호화하지 않고도 은행이 그 위에서 계산할 수 있다면 어떨까?" 이들이 명명한 '프라이버시 준동형(privacy homomorphism)'이 오늘날 동형암호의 출발점이다. 그러나 이후 30여 년간 아무도 이것이 가능하다는 것을 증명하지 못했고, 상당수 암호학자는 불가능할 것이라 여겼다.

2009년 — 젠트리의 돌파구

스탠퍼드대학교 박사과정생이던 크레이그 젠트리가 이데알 격자(ideal lattice)를 기반으로 최초의 완전동형암호 구성을 제시한다(STOC 2009). 30년 묵은 난제가 "가능하다"로 판명된 순간이었다. 이 업적으로 젠트리는 ACM 박사논문상과 맥아더 펠로십(이른바 '천재상')을 받았고, 이론컴퓨터과학 분야 최고 권위의 상으로 꼽히는 괴델상(Gödel Prize)까지 수상했다. 박사 논문 하나가 암호학의 지형을 바꾼, 흔치 않은 사례다. 다만 최초 구현은 기본 연산 한 번에 수십 분이 걸릴 만큼 느려서, 이때부터 동형암호의 역사는 곧 '성능 개선의 역사'가 된다.

세대별 발전

세대	시기	대표 스킴	핵심 기여
1세대	2009	Gentry	부트스트래핑 개념으로 FHE 실현 가능성 최초 증명
2세대	2011~2012	BGV, BFV	(R)LWE 문제 기반으로 효율 대폭 개선, SIMD 배칭 도입
3세대	2013~2016	GSW, FHEW, TFHE	부트스트래핑을 밀리초 단위로 단축, 비트 단위 연산 강점
4세대	2017	CKKS	실수(근사) 연산 지원 — 통계·AI 워크로드에 최적
5세대	2025~2026	GL	행렬 곱셈 구조의 근본적 재설계로 대규모 AI 연산 효율화

4세대 CKKS(Cheon–Kim–Kim–Song)는 현 서울대학교 컴퓨터공학부 교수이자 디사일로 공동창업자인 송용수가 서울대학교 박사 과정 중 공동 발명한 스킴으로, 오늘날 AI·데이터 분석 분야에서 가장 널리 쓰이는 동형암호가 한국에서 탄생했다는 점에서 특별한 의미가 있다.

그리고 2026년, 동형암호의 창시자 크레이그 젠트리와 디사일로의 이용우 수석과학자가 공동 발명한 GL(Gentry-Lee) 스킴이 대만에서 열린 FHE.org 2026 컨퍼런스에서 공개됐다. 행렬 곱셈의 연산 효율을 근본적으로 재구조화해 이전 세대의 성능 한계를 돌파한 알고리즘으로, 디사일로가 이를 세계 최초로 상용 소프트웨어로 구현해 출시했다. FHE의 역사를 연 인물과 한국 기업이 함께 다음 세대를 연 것이다.

4. 작동 원리: 격자, 노이즈, 그리고 부트스트래핑

수식 없이도 현대 FHE의 핵심 아이디어는 세 가지 개념으로 이해할 수 있다.

격자 기반 암호와 LWE 문제

현대 FHE는 대부분 격자(lattice) 기반 암호, 그중에서도 LWE(Learning With Errors) 및 그 변형인 RLWE 문제의 어려움에 안전성을 둔다. LWE를 직관적으로 설명하면 이렇다. 여러 개의 연립 일차방정식이 주어지는데, 각 방정식에 아주 작은 오차(노이즈)가 섞여 있다. 오차가 없다면 중학교 수학으로 풀리지만, 작은 오차가 섞이는 순간 이 문제는 슈퍼컴퓨터로도 풀기 어려운 난제가 된다. 이 '노이즈 섞인 방정식에서 비밀을 복원하는 것의 어려움'이 FHE 보안의 원천이다.

노이즈와의 싸움

보안을 위해 모든 암호문에는 의도적으로 작은 노이즈가 주입된다. 문제는 암호문끼리 연산할 때마다 이 노이즈가 커진다는 점이다. 덧셈에서는 조금, 곱셈에서는 크게 늘어난다. 노이즈가 일정 임계치를 넘으면 신호(평문)가 잡음에 묻혀 복호화가 실패한다. 그래서 FHE 설계자들은 각 암호문이 견딜 수 있는 연산량을 노이즈 예산(noise budget)이라는 개념으로 관리한다. 라디오 주파수가 조금씩 어긋나며 잡음이 커지다가 어느 순간 방송을 알아들을 수 없게 되는 것과 같은 원리다.

부트스트래핑: 젠트리의 마법

노이즈 예산이 유한하다면 연산 횟수도 유한할 수밖에 없다 — 여기까지가 2009년 이전의 벽이었다. 젠트리의 돌파구는 부트스트래핑(bootstrapping)이다. 아이디어는 놀랍도록 재귀적이다. 복호화 자체도 하나의 계산이므로, 그 복호화 연산을 암호화된 상태에서 수행하면 노이즈가 리셋된 신선한 암호문을 얻을 수 있다. 데이터는 단 한 순간도 평문으로 노출되지 않으면서, 노이즈만 초기화되는 것이다. 부트스트래핑을 주기적으로 수행하면 유한한 노이즈 예산으로 무제한 연산이 가능해지고, 이로써 '준동형'이 '완전동형'이 된다. 부트스트래핑은 FHE에서 가장 비용이 큰 연산이기도 해서, 지난 15년간 FHE 성능 개선의 상당 부분은 곧 부트스트래핑 개선의 역사였다.

보너스: 양자내성

격자 문제는 양자컴퓨터로도 효율적으로 푸는 방법이 알려져 있지 않다. 미국 NIST가 2024년 확정한 양자내성암호(PQC) 표준의 주력 알고리즘들과 같은 수학적 토대(격자) 위에 서 있다는 뜻이다. 즉 FHE를 도입하면 '사용 중 데이터 보호'와 양자내성(quantum-resistant)이라는 두 가지 미래 대비를 동시에 얻는다. RSA·ECC 등 기존 공개키 암호가 양자컴퓨터 앞에서 무력화되는 것과 대비되는 지점이다.

5. 주요 스킴 비교: BGV/BFV, TFHE, CKKS, GL

FHE는 하나의 알고리즘이 아니라 여러 '스킴(scheme)'의 가족이며, 세대를 거듭할수록 다룰 수 있는 데이터와 연산의 폭을 넓혀 왔다. 각 세대의 스킴이 어떤 계산에 강한지를 보면 이 기술이 어디까지 왔고 어디로 가는지가 보인다.

스킴	발표	데이터 타입	강점	대표 용도
BGV / BFV	2011 / 2012	정수 (정확한 연산)	SIMD 배칭으로 수천 개 값 병렬 처리	집계·통계, 비공개 정보 조회(PIR), 전자투표
TFHE (CGGI)	2016	비트 / 작은 정수	밀리초급 초고속 부트스트래핑, 비교·분기 등 비선형 연산	임계값 판정, 조건 분기, 블록체인 기밀 컨트랙트
CKKS	2017	실수 (근사 연산)	대규모 벡터·행렬 연산, ML 친화적	통계 분석, 머신러닝 추론, 신호 처리
GL 스킴	2025~2026	대규모 행렬 연산 특화	행렬 곱 구조의 재설계로 AI 워크로드 효율 극대화	대규모 AI 모델의 암호화 연산

지금까지는 "논리 연산은 TFHE, 통계는 CKKS, 정확한 조회는 BFV"라는 구분이 통용되어 왔다. 5세대 GL 스킴은 이 지형에서 가장 어려운 과제로 남아 있던 대규모 AI 연산을 정면으로 겨냥한다. 대형 AI 모델 연산의 대부분을 차지하는 행렬 곱셈을 근본부터 다시 설계해, 기존 세대 스킴으로는 버거웠던 AI 워크로드를 실용 범위로 끌어들인 것이다.

6. "동형암호는 느리다"는 통념에 관하여

동형암호에 대한 가장 흔한 반응은 "좋은 건 알겠는데, 너무 느리지 않나?"이다. 절반은 맞고 절반은 낡은 정보다.

얼마나 빨라졌나. 2009년 최초 구현은 기본 연산 한 번에 수십 분이 걸렸다. 이후 15년간 알고리즘 혁신(새로운 스킴, 부트스트래핑 개선, 배칭)과 구현 최적화가 겹치며 성능은 수십만 배 이상 개선된 것으로 평가된다. 오늘날 평문 연산 대비 오버헤드는 워크로드에 따라 다르지만, '이론적으로만 가능한 기술'에서 '워크로드를 골라 실전 투입하는 기술'로 국면이 바뀌었다는 데에는 이견이 없다.

세 가지 가속 축. 남은 격차는 세 방향에서 좁혀지고 있다.

알고리즘 — GL 스킴처럼 연산 구조 자체를 재설계하는 새로운 스킴, 부트스트래핑 횟수와 비용을 줄이는 기법.
소프트웨어·GPU 최적화 — FHE 연산의 병렬성은 GPU와 궁합이 좋다. 디사일로의 FHE 라이브러리 역시 CPU와 GPU에 모두 최적화되어 있다.
전용 하드웨어 — 미국 국방고등연구계획국(DARPA)은 DPRIVE 프로그램을 통해 FHE 전용 가속 칩(ASIC) 개발에 투자해 왔고, 다수의 반도체·스타트업이 FHE 가속기를 개발 중이다.

이미 일상에 들어온 FHE. 실서비스 사례가 이를 증명한다.

애플(Apple) — iOS 18의 '실시간 발신자 정보 확인(Live Caller ID Lookup)' 기능은 동형암호를 사용한다. 아이폰이 걸려온 전화번호를 서버에 노출하지 않은 채 암호화된 질의만으로 스팸 여부와 발신자 정보를 조회한다. 애플은 BFV 스킴 기반의 자체 구현을 오픈소스(swift-homomorphic-encryption)로 공개했으며, 사진 앱의 '향상된 시각 검색(Enhanced Visual Search)'에도 동형암호를 적용했다. 수억 대의 소비자 기기에서 FHE가 매일 작동하고 있는 셈이다.
자마(Zama) — 블록체인 기밀 거래에 FHE를 적용하는 프랑스 기업으로, 2025년 6월 시리즈 B 투자를 유치하며 기업가치 10억 달러를 넘긴 FHE 분야 최초의 유니콘이 됐다. 2025년 말에는 이더리움 메인넷에서 거래 금액을 암호화한 채 처리하는 프로토콜을 출시했다.
디사일로(DESILO) THOR — LLM 추론을 완전동형암호 환경에서 실행하는 프레임워크다. 한양대학교 김미란 교수 연구팀과의 공동 연구로 개발되어 컴퓨터 보안 분야 최고 권위 학회인 ACM CCS 2025에 채택됐다. 기존 LLM 전체를 재학습 없이 FHE 환경에서 실행하면서 실용적인 속도를 달성한 연구로, 사용자의 프롬프트와 데이터가 암호화된 채로 AI 추론이 이루어지는 'Private AI'를 현실로 만든 성과다.

요컨대 질문은 이제 "쓸 수 있는가"에서 "어떤 워크로드에 먼저 쓸 것인가"로 바뀌었다.

7. 다른 프라이버시 강화 기술(PET)과의 비교

동형암호는 프라이버시 강화 기술(PET, Privacy-Enhancing Technologies)이라는 더 큰 범주에 속한다. 각 기술은 신뢰 모델과 보호 대상이 다르며, 경쟁 관계라기보다 상호보완적이다.

기술	핵심 아이디어	신뢰의 근거	유의점
완전동형암호 (FHE)	암호화된 상태 그대로 연산	수학 (격자 문제의 난해성)	연산 오버헤드 존재 (급속도로 개선 중)
신뢰실행환경 (TEE)	하드웨어의 격리된 보안 영역에서 평문 연산	하드웨어 제조사와 칩 구현	사이드채널 공격 사례 존재, 제조사 신뢰 필요
다자간 계산 (MPC)	데이터를 조각내 여러 주체가 분산 계산	일정 수 이상 참여자의 정직한 참여	연산 및 통신 오버헤드 존재
차분 프라이버시 (DP)	결과에 통계적 노이즈를 더해 개인 식별 차단	통계 (프라이버시 예산 ε)	원본 연산 보호가 아닌 '출력' 보호
연합학습 (FL)	데이터 대신 모델 업데이트만 이동	아키텍처 설계	그래디언트에서 정보 역추출 가능성 → 암호화와 병행 필요
영지식증명 (ZKP)	내용을 공개하지 않고 사실을 증명	수학	'계산' 자체가 아닌 '검증'에 특화

관전 포인트는 두 가지다. 첫째, 신뢰 모델의 차이. TEE는 성능이 뛰어나지만 하드웨어 제조사와 그 구현을 신뢰해야 하는 반면, FHE의 보안은 순수하게 수학에 기반해 신뢰해야 할 제3자가 없다. 둘째, 조합 가능성. 애플이 시각 검색에 FHE와 차분 프라이버시를 함께 적용했듯, 연합학습의 모델 업데이트를 동형암호로 보호하듯, 실제 시스템은 여러 PET를 레이어처럼 쌓아 설계된다. 어떤 데이터에 어떤 신뢰 수준과 성능이 필요한지에 따라 최적의 조합이 달라지며, 이 설계 역량이 곧 PET 기업의 전문성이다.

8. 산업별 활용 사례

금융. 서로 다른 금융기관이 고객 데이터를 주고받지 않은 채 결합 분석을 수행할 수 있다. 암호화된 상태로 신용정보를 결합해 평가 모델을 고도화하거나, 기관 간 이상거래·자금세탁 패턴을 공동 탐지하는 시나리오가 대표적이다. 데이터 반출과 재식별 위험이 원천 차단되므로 엄격한 금융 규제 아래서도 협업의 길이 열린다.

의료·바이오. 진료 기록, 의료 영상, 처방·검진 이력 같은 의료 데이터는 가장 민감한 개인정보인 동시에, 여러 기관의 데이터를 모을수록 연구 가치가 커지는 대표적인 영역이다. 동형암호를 쓰면 여러 병원과 연구기관이 환자 데이터를 암호화된 채로 모아 공동 연구를 수행할 수 있다. 특히 유전체는 평생 바꿀 수도 없고 사실상 익명화도 어려운 '궁극의 민감정보'라는 점에서, 동형암호의 가치가 가장 극적으로 드러나는 사례다. 개인의 프라이버시를 지키는 일과 의학 연구를 진전시키는 일, 오랫동안 부딪혀 온 두 가치가 비로소 나란히 갈 수 있게 된다.

공공. 부처와 기관에 흩어진 행정 데이터를 안전하게 결합해 정책 분석의 해상도를 높일 수 있다. 개인정보 국외 이전, 민감정보 위탁 처리 등 규제 쟁점이 걸린 영역일수록 동형암호의 효용이 크다.

AI. 생성형 AI가 널리 쓰이면서 새로운 문제가 대두되었다. LLM에 업무 문서나 고객 정보를 넣는 순간, 그 내용이 모델 운영자에게 그대로 넘어간다는 점이다. 금융·의료·공공처럼 규제가 엄격한 산업에서 AI 도입 논의가 번번이 멈춰 서는 이유가 여기에 있다. 동형암호 기반 Private AI는 프롬프트와 문서를 암호화한 채로 추론을 수행하기 때문에, 모델 운영자조차 사용자가 무엇을 묻고 어떤 답을 받았는지 알 수 없다. LLM 추론의 전 과정을 암호문 위에서 실행하는 THOR가 이 흐름의 맨 앞에 있는 기술이다.

Web3·블록체인. 모든 것이 공개되는 퍼블릭 블록체인 위에서 거래 금액과 잔고를 암호화한 채 스마트컨트랙트를 실행하는 '기밀 컨트랙트'가 FHE로 구현되고 있다. 기관 자금의 온체인 진입을 가로막던 투명성의 역설을 푸는 열쇠로 주목받는다.

9. 표준화와 글로벌 생태계

기술이 산업 인프라가 되려면 표준이 필요하다. 동형암호의 표준화는 세 갈래로 진행 중이다.

HomomorphicEncryption.org. 2017년 출범한 산·학·연 국제 컨소시엄으로, 마이크로소프트·인텔·삼성 등 기업과 주요 대학 연구진이 참여한다. 2018년 보안 파라미터 표준 문서(Homomorphic Encryption Security Standard)를 발표해 실무 구현의 기준을 제시했고, 정기 표준화 회의와 함께 실제 워크로드 기반의 FHE 벤치마킹 스위트(FHE Benchmarking Suite)를 개발하고 있다. 디사일로의 FHE 라이브러리는 이 컨소시엄의 공식 소개 페이지에 CKKS와 GL 스킴을 CPU·GPU 최적화로 구현한 주요 라이브러리로 등재되어 있다.

국제 공식 표준. ISO/IEC는 부분동형암호 메커니즘 표준(ISO/IEC 18033-6)을 제정한 데 이어 완전동형암호의 국제 표준화 논의를 진행하고 있으며, 미국 NIST도 양자내성암호 표준화와 별도로 프라이버시 강화 암호(Privacy-Enhancing Cryptography) 프로젝트에서 동형암호를 다루고 있다.

라이브러리 생태계. IBM HElib, Microsoft SEAL, OpenFHE, Lattigo, TFHE-rs 등 글로벌 라이브러리와 함께, 국내에서는 디사일로의 DESILO FHE (구 Liberate.FHE), 크립토랩의 HEAAN 등이 개발자 저변을 넓히고 있다. 위키피디아의 동형암호 항목에도 주요 구현체로 소개되어 있다.

10. 한국과 동형암호

한국은 동형암호 연구에서 세계적으로 독특한 위상을 갖고 있다.

첫째, 동형암호의 세대교체를 한국이 거듭 이끌고 있다. 실수 연산을 지원해 세계적으로 널리 보급된 4세대 스킴 CKKS는 서울대학교 연구팀의 성과로, 이름부터 개발자들(Cheon–Kim–Kim–Song)의 머리글자다. AI 시대에 맞춰 등장한 5세대 GL(Gentry-Lee) 스킴 역시 한국에서 나왔다. 국제 표준화 컨소시엄 운영위원회에도 한국 연구자가 참여하고 있다.

둘째, 제도적 수요가 크다. 데이터 3법 개정 이후 가명정보 결합 제도가 도입되었지만, 결합·활용 과정의 재식별 위험과 절차 부담은 여전한 과제다. 암호화된 상태의 결합·분석을 가능케 하는 동형암호는 '활용과 보호의 양자택일' 구도를 바꿀 기술로 주목받는다. 금융·의료 분야의 망분리 규제 개선 흐름, AI 도입 확대 분위기와 맞물려 수요는 더 커지고 있다.

셋째, 연구와 산업의 간극이 좁다. 세계 학회를 이끄는 연구 인력과 이를 제품으로 옮기는 전문 기업이 국내에 함께 존재한다. 5세대 GL(Gentry-Lee) 스킴의 공동 발명과 세계 최초 상용화가 한국 기업에서 나온 것은 이 생태계의 상징적 장면이다.

11. 자주 묻는 질문 (FAQ)

Q1. 암호화된 채로 계산한다면, 결과는 누가 볼 수 있는가?

비밀키를 가진 데이터 소유자만 볼 수 있다. 연산을 수행하는 서버·클라우드·AI 사업자는 입력값, 중간값, 결과값 모두 암호문으로만 다룬다. 이것이 접근 통제(권한이 있는 사람만 본다)와 동형암호(누구도 볼 수 없는 상태로 계산한다)의 근본적 차이다.

Q2. 동형암호도 해킹당할 수 있지 않은가?

동형암호의 안전성은 격자 문제의 수학적 난해성에 기반하며, 수십 년의 공개 연구에도 효율적인 공격법이 발견되지 않았다. 양자컴퓨터에 대해서도 마찬가지다. 물론 어떤 암호 기술이든 키 관리와 구현의 보안은 별도로 갖춰야 하며, 이는 표준화된 보안 파라미터와 검증된 라이브러리를 사용해야 하는 이유이기도 하다.

Q3. 왜 하필 지금 주목받는가?

네 가지가 겹쳤다. ① 15년간의 성능 개선으로 실용 구간에 진입했고, ② 생성형 AI의 확산으로 '사용 중 데이터'를 보호해야 할 수요가 폭증했으며, ③ 개인정보 규제가 전 세계적으로 강화되고 있고, ④ 애플 같은 빅테크의 대규모 상용 적용으로 기술이 검증됐다.

Q4. TEE(기밀 컴퓨팅)를 쓰면 되지 않는가?

TEE는 성능이 뛰어나고 이미 널리 쓰이는 훌륭한 기술이지만, 하드웨어 제조사와 칩 구현을 신뢰해야 하고 사이드채널 공격 사례가 보고되어 왔다. FHE는 신뢰할 제3자 없이 수학만으로 보안을 보장한다. 요구되는 신뢰 수준과 워크로드 특성에 따라 둘을 선택하거나 병행하는 것이 실무적 답이다.

Q5. 성능 저하는 어느 정도인가?

워크로드와 스킴에 따라 크게 다르다. 단순 조회·집계는 이미 소비자 서비스(애플)에 들어갈 수준이고, LLM 추론처럼 무거운 워크로드는 최적화 연구가 가장 활발한 최전선이다. 분명한 것은 격차가 알고리즘·GPU·전용 하드웨어의 세 방향에서 빠르게 좁혀지고 있다는 점이다.

Q6. 도입하려면 암호학 전문가가 필요한가?

과거에는 그랬지만, 지금은 라이브러리와 API, 컴파일러 수준으로 추상화되는 추세다. 기업이 암호학 박사를 채용하는 대신, 검증된 FHE 인프라 위에 기존 데이터·AI 파이프라인을 올리는 방식으로 도입 장벽이 낮아지고 있다. 디사일로의 제품군이 지향하는 지점이기도 하다.

12. 디사일로와 FHE

디사일로는 2020년 설립된 완전동형암호 기반 Private AI 인프라 기업이다. "민감한 데이터를 꺼내지 않고도 그 가치를 꺼낸다"는 문제의식 아래, 동형암호의 연구와 상용화를 함께 수행해 왔다.

연구. 동형암호의 창시자 크레이그 젠트리와 디사일로 이용우 수석과학자(현 인하대학교 전기전자공학부 교수)가 공동 발명한 5세대 스킴 GL 스킴을 세계 최초로 상용 소프트웨어로 구현했다. FHE 기반 LLM 추론 프레임워크 THOR는 한양대학교 김미란 교수팀과의 공동 연구로 ACM CCS 2025에 채택되었으며, 재학습 없이 기존 LLM 전체를 동형암호 환경에서 실용적 속도로 실행한 성과로 평가받는다. GL 스킴과 GL 부트스트래핑에 관한 논문 2편은 암호학 분야 최고 권위 학회인 IACR CRYPTO 2026에 채택되었다. 디사일로의 FHE 라이브러리는 국제 표준화 컨소시엄 HomomorphicEncryption.org에 주요 라이브러리로 등재되어 있다.

제품. 세계 최고 수준의 연산 속도를 목표로 CPU·GPU에 최적화된 DESILO FHE Library, 암호화된 데이터 위에서 LLM 추론과 검색증강생성을 수행하는 DESILO Private AI, 민감 데이터의 안전한 분석 환경을 제공하는 DESILO DCR(Data Clean Room)로 이어지는 제품군을 갖추고 있다.

생태계. 네이버 D2SF, LG전자, KDB산업은행 등으로부터 투자를 유치했으며, 오픈소스 공개와 국제 표준화 활동을 통해 동형암호 생태계 확산에 기여하고 있다.

동형암호가 '암호학의 성배'라 불려 온 것은 단지 풀기 어려운 난제였기 때문만이 아니다. 이 기술이 현실이 되면 데이터 협업과 클라우드, AI를 둘러싼 전제가 통째로 바뀌기 때문이다. 디사일로는 제약 없는 데이터 활용이 가능한 세상을 선도하고 있다.

13. 용어 사전

용어	설명
평문 / 암호문	암호화되기 전의 원본 데이터 / 암호화된 데이터
스킴 (Scheme)	암호화·복호화·연산 방법을 정의한 알고리즘 체계. BGV, CKKS, TFHE, GL 등
노이즈 (Noise)	보안을 위해 암호문에 주입되는 작은 오차. 연산할수록 증가한다
노이즈 예산	복호화가 실패하기 전까지 암호문이 견딜 수 있는 연산 여유분
부트스트래핑	암호화된 상태로 복호화 연산을 수행해 노이즈를 초기화하는 기법. FHE를 '완전'하게 만드는 핵심
회로 깊이	계산을 논리 회로로 표현했을 때 연산이 중첩되는 단계 수. 특히 곱셈 깊이가 성능을 좌우
SIMD 배칭	하나의 암호문에 수천 개의 값을 담아 동시에 연산하는 기법. FHE 처리량 개선의 핵심
격자 (Lattice)	공간에 규칙적으로 배열된 점들의 집합. 격자 위 난제가 FHE와 양자내성암호의 수학적 기반
LWE / RLWE	Learning With Errors. 노이즈 섞인 연립방정식에서 비밀을 찾는 난제와 그 효율적 변형
연산키 (Evaluation Key)	제3자가 암호문 위에서 연산을 수행할 수 있도록 공개되는 보조 키. 복호화 능력은 없다
PIR	Private Information Retrieval. 무엇을 조회했는지 서버가 알 수 없는 비공개 조회
PSI	Private Set Intersection. 각자의 명단을 공개하지 않고 교집합만 확인하는 프로토콜
PET	Privacy-Enhancing Technologies. 데이터 보호와 활용을 양립시키는 기술군의 총칭
TEE	Trusted Execution Environment. 하드웨어 기반 격리 실행 환경 (기밀 컴퓨팅)

14. FHE 세대별 계보도

15. 참고 자료

R. Rivest, L. Adleman, M. Dertouzos, "On Data Banks and Privacy Homomorphisms" (1978) — 동형암호 개념의 출발점
C. Gentry, "Fully Homomorphic Encryption Using Ideal Lattices" (STOC 2009) — 최초의 FHE 구성
Z. Brakerski, C. Gentry, V. Vaikuntanathan, "(Leveled) Fully Homomorphic Encryption without Bootstrapping" (2012) — BGV
I. Chillotti, N. Gama, M. Georgieva, M. Izabachène, "TFHE: Fast Fully Homomorphic Encryption over the Torus" (ASIACRYPT 2016)
J. H. Cheon, A. Kim, M. Kim, Y. Song, "Homomorphic Encryption for Arithmetic of Approximate Numbers" (ASIACRYPT 2017) — CKKS
J. Moon, D. Yoo, X. Jiang, M. Kim, "THOR: Secure Transformer Inference with Homomorphic Encryption" (ACM CCS 2025) — ePrint https://ia.cr/2024/1881, DOI 10.1145/3719027.3765150
HomomorphicEncryption.org — 동형암호 표준화 컨소시엄: https://homomorphicencryption.org/introduction/
Apple, "Announcing Swift Homomorphic Encryption" (Swift.org, 2024): https://www.swift.org/blog/announcing-swift-homomorphic-encryption/
DESILO FHE 라이브러리: https://desilo.ai/solutions/desilo-fhe-library · https://fhe.desilo.dev/latest/ko/

다음 편 예고

다음 편에서는 이 글에서 여러 번 등장한 THOR를 논문 속 숫자로 뜯어본다. 암호문 위에서 트랜스포머 추론의 전 과정을 실용적인 속도로 끌어낸 이 연구가 정확히 무엇을 바꿨는지, 다음 주 이 게시판에서 공개한다.