# Suveria: 디지털 지능과의 사적인 작업

2026년 10월 31일 버전. 이 문서는 선언문에서 Suveria에 관해 제시한 원칙을 구체화합니다. 사생활을 어떻게 보호하려 하는지, 디지털 지능과의 작업은 어떻게 이루어져야 하는지, 비용은 얼마이며 이를 어떻게 확인할지 설명합니다. 여기에 기술한 아키텍처는 설계안입니다. 기존 기술이나 공급자의 문서를 언급했다고 해서 Suveria에 이를 도입했다는 뜻은 아닙니다. 시험 결과는 항상 날짜, 구성 버전, 측정 범위와 함께 9장에 추가합니다.

*이 번역은 디지털 지능이 2026년 10월 31일자 폴란드어 원문을 바탕으로 작성했습니다. 두 언어본 사이에 차이가 있을 경우 폴란드어 본문을 기준으로 합니다.*

## 1. Suveria란 무엇이며 왜 만드는가

Suveria는 사람이 디지털 지능과 대화하고 자신의 자료를 다루며 이전의 생각으로 돌아갈 수 있는 인터넷 속 사적인 공간을 지향합니다. 문을 닫은 자기 집에서처럼 지내는 공간입니다. Poznań의 Novus Ignis 재단은 세계 어디에 사는 사람이든 이용할 수 있도록 이를 설계하고 있으며, 재단의 가치는 [선언문](manifest.md)에 담겨 있습니다. Suveria는 개방형 디지털 지능 모델을 기반으로 하며, 자체 소프트웨어는 소스 코드가 공개된 디지털 공공재로 제공하려 합니다.

Suveria를 만드는 이유는 우리가 디지털 지능과의 대화에 점점 더 많은 것을 맡기기 때문입니다. 건강, 관계, 일, 돈, 삶의 계획에 관한 질문들이 그 예입니다. 널리 쓰이는 많은 서비스에서는 이런 대화 내용이 공급자의 서버로 전송되며, 공급자는 이를 읽을 수 있고 보호 수준은 공급자의 규칙과 공급자에 대한 신뢰에 달려 있습니다. 우리는 이처럼 한 사람을 깊이 들여다볼 수 있는 정보가 언젠가 수익화되거나 그 사람에게 영향을 미치는 데 이용될까 두려워하지 않고 가장 중요한 일들을 이야기할 수 있기를 바랍니다. 또한 누구나 실제로 사용한 만큼 지불하고, 무엇에 비용을 내는지 확인하며, 지출 한도를 스스로 정할 수 있기를 바랍니다.

Suveria에서 다음과 같은 일을 할 수 있도록 만들고자 합니다.

- 대화가 어디서 처리되고 누가 볼 수 있는지 확인하면서 디지털 지능과 개인적인 일과 업무에 관해 대화합니다.
- 자신의 문서와 파일을 다루고, 결과를 개방형 형식으로 저장하여 다른 곳으로 옮깁니다.
- 대화, 파일, 도우미의 기억을 주로 자신의 기기에 보관하며, 사용자가 통제하는 키로 암호화합니다.
- 본인의 동의 아래 이전 대화의 기억을 활용하고 과거에 결정을 내린 이유로 돌아가며, 자신의 원칙과 가치를 모은 개인 원칙집(*Canon Personalis*)을 만듭니다.
- 자신의 기기에서 실행되는 모델부터 서버의 기밀 환경까지 작업 방식을 선택하고, 각 방식이 무엇으로부터 보호하는지 명확한 안내를 받습니다.
- 스스로 정한 지출 한도 안에서 실제 사용량에 따라 지불합니다.
- 사적으로 생각을 다듬은 뒤, 자신의 의식적인 선택으로 Omniforum의 공동 대화에 가져옵니다.

첫 출시는 검증 가능한 사생활 보호를 선택의 이유로 삼는 사람들을 대상으로 합니다.

Suveria에서의 첫날부터 자기 속도로 꾸미는 사적인 작업실에 있는 듯, 편안하게 자기 공간에 있다는 느낌을 주고자 합니다. 사용자는 도우미에게 자신의 일과 목표를 이야기할 수 있게 됩니다. 자신의 메모와 다른 디지털 지능 서비스에서 나눈 이전 대화의 보관 자료를 Suveria로 가져오는 기능도 제공하려 합니다. 이런 보관 자료는 사용자 기기에서 암호화되고 정리된 상태로 남아야 하며, 원격 모델에는 현재 질문을 위해 선택한 범위만 전송되어야 합니다(3장).

우리는 서비스가 목표 달성, 사생활 보호, 독립적인 의사결정에 도움이 되는지를 기준으로 그 가치를 평가합니다. 이용 조건은 명확하고 쉽게 찾을 수 있어야 하며, 사용자는 자신의 지출을 통제하고 자신의 자료를 내보낸 뒤 떠날 수 있어야 합니다.

인프라를 운영하는 우리로부터도 보호되는 완전한 사생활 보호가 설계의 기준이 되는 목표입니다. 보호는 재단에 대한 신뢰가 아니라 독립적으로 검증할 수 있는 보안 조치에 기반해야 합니다. 따라서 각 출시 버전에는 무엇을 누구로부터 어떤 조건에서 보호하며 어떤 공백이 남아 있는지 구체적으로 기술합니다.

출발점은 하나의 모델과 나누는 텍스트 대화와 선택한 문서를 다루는 작업이며, 보호 수준을 명확히 설명하고 지출 한도와 결과 내보내기를 제공합니다. 기억, 검색, 연동, 작업 수행 같은 추가 기능에는 각각 별도의 권한 범위를 둡니다. 데이터를 보내기 전에 어디로 전송되고 어떤 규칙이 적용되는지 알 수 있다면, 하나의 편리한 화면에서 여러 작업 방식을 함께 제공할 수 있습니다.

첫 출시에서 무엇을 이용할지는 출시 전에 재단이 얼마의 자금을 모으는지에 달려 있습니다. 가장 가능성이 높은 선택은 외부 공급자의 기밀 API입니다. 이런 서비스는 현재 미국에서 제공되며, 초기의 기밀성은 공급자의 주장으로서 우리가 검증할 대상입니다. 기밀 환경에서 자체 서버를 임대할 자금이 충분하다면 처음부터 그 서버에서 운영할 수도 있습니다. 9장의 시험에서 통과 결과가 나오기 전까지는 어느 방식을 택하든 기밀 보호가 아닌, 주장된 보호로 표시합니다. 2장은 목표로 하는 보호 방식을 설명합니다. 이것이 유럽 거주자의 개인정보 보호에 무엇을 의미하는지는 시범 운영을 시작하기 전에 설명하겠습니다.

Suveria 이용은 대화를 모델 학습에 사용하는 데 동의하는 행위가 아닙니다. 사용자의 내용은 별도의 충분한 설명에 기반한 동의가 있을 때만 연구 자료에 포함됩니다. 나머지 자료는 재단이 공개한 지식과 성과, 그리고 이용 근거가 명확한 다른 출처에서 가져옵니다. 자세한 내용은 [학습 자료와 벤치마크 백서](whitepaper-materialy-i-benchmark.md)에서 설명합니다.

Suveria는 대화와 결정을 위한 공동 공간인 Omniforum을 보완합니다. 하나는 사적인 작업실을, 다른 하나는 공개 발언대를 제공합니다. 두 프로젝트의 바탕이 되는 가치는 재단 선언문에 담겨 있습니다. 이어지는 내용은 다음 순서로 설명합니다.

- 무엇을 무엇으로부터 보호하며 데이터와 키는 어디에 있는가(2장).
- 메시지가 기기에서 모델까지 어떻게 이동하며 이를 어떻게 확인하는가(3장).
- 사적인 대화를 읽지 않으면서 남용을 어떻게 제한하는가(4장).
- 여러 그래픽 카드를 이용한 연산은 어떻게 이루어지는가(5장).
- 어떤 모델, 기억, 도구를 계획하는가(6장).
- 30명부터 인류 전체까지 어느 정도의 연산 능력이 필요한가(7장).
- 날짜를 명시한 계산에서 비용은 얼마인가(8장).
- 약속이 실제로 작동하는지 어떻게 확인하는가: 인수 시험과 결과 기록(9장).

## 2. 무엇을 무엇으로부터 보호하는가

대화와 파일의 내용, 이력과 기억, 키, 과금 데이터, 메타데이터를 보호합니다. 메타데이터에는 연결 시각, 네트워크 주소, 요청 크기 등이 포함됩니다. 각 영역에는 서로 다른 조치가 필요합니다.

2.3절에서 설명하는 다섯 가지 작업 방식이 각각 누구로부터 보호하는지는 아래 표와 같습니다. 서버를 이용하는 방식의 보호는 원격 증명에 기반합니다. 이는 원격 머신에서 어떤 소프트웨어가 어떤 보호 모드로 실행되는지를 하드웨어가 서명하여 확인하는 것입니다. 각 칸은 이 문서의 뒷부분을 바탕으로 작성했습니다. ‘공급자의 주장’은 우리가 직접 검증하기 전까지 보호를 확인하지 않는다는 뜻입니다.

| 보호 대상이 되는 상대 | 네트워크에 연결되지 않은 기기의 로컬 모델 | 네트워크에 연결된 기기의 로컬 모델 | 서버의 기밀 환경에서 처리 | 외부 공급자의 기밀 API | 모델 공급자의 외부 API |
| --- | --- | --- | --- | --- | --- |
| 공급자의 관리자 | 해당 없음: 기기에서 처리 | 모델 자체에는 해당 없음. 연동 시에는 선택한 서비스에 따라 다름 | 보호함: 서버 관리자가 들여다볼 수 없는 하드웨어 격리 | 공급자의 주장, 검증 필요 | 보호하지 않음: 공급자가 내용에 접근할 수 있음 |
| 같은 머신의 다른 고객 | 해당 없음 | 해당 없음 | 보호함: 다른 고객도 격리 대상에 포함 | 공급자의 주장, 검증 필요 | 공급자에 따라 다름: 하드웨어 격리 없이 공급자의 소프트웨어로 고객 간 분리 |
| 네트워크 관찰자 | 해당 없음: 네트워크 트래픽 없음 | 부분적 보호: 연동 기능의 네트워크 트래픽 평가 필요 | 부분적 보호: 전송 중 내용은 암호화됨. 메타데이터(시각, 주소, 패킷 크기와 전송 간격)에는 별도 조치 필요(3장) | 부분적 보호: 연결 키가 원격 증명과 결부되어 있다면 기밀 환경과 같음 | 부분적 보호: 전송 중 내용은 암호화됨. 메타데이터는 앞 칸과 같음 |
| 서버에 물리적으로 접근할 수 있는 사람 | 서버에는 해당 없음. 기기에 대한 물리적 접근이 중요 | 서버에는 해당 없음. 기기에 대한 물리적 접근이 중요 | 보호하지 않음: 외부 데이터센터에서는 공급자가 접근 가능. 자체 장비에서는 물리적 접근 통제가 보이도록 함 | 보호하지 않음: 공급자가 접근 가능 | 보호하지 않음: 공급자는 어차피 내용에 접근 가능 |
| 재단 | 해당 없음: 재단이 처리에 참여하지 않음 | 해당 없음: 재단이 처리에 참여하지 않음 | 보호함: 운영자인 우리도 격리 대상에 포함되며 저장 데이터의 키는 사용자가 보유 | 내용을 보호하도록 설계: 게이트웨이는 내용을 보지 않고 요청을 과금. 암호화가 어디에서 끝나는지는 시범 운영 전에 제시(3장) | 우리로부터 내용을 보호하도록 설계: 내용을 보지 않고 과금. 공급자는 내용을 봄 |
| 프로세서 제조사 | 기기 하드웨어에 대한 신뢰에 달림 | 기기 하드웨어에 대한 신뢰에 달림 | 보호하지 않음: 원격 증명이 제조사의 키에 기반하므로 제조사가 정직해야 함 | 보호하지 않음: 앞 칸과 같음 | 공급자가 내용에 접근하므로 의미 없음 |

기밀 컴퓨팅은 공격에 드는 비용을 바꿉니다. 관리자의 원격 접근 대신 장비를 물리적으로 조작해야 합니다.

아래에서는 자체 기밀 환경을 사용하는 목표 방식의 작동 원리를 설명합니다. 다른 방식과의 차이는 2.3절 표에 나옵니다. 메시지가 이동하는 각 구간에서 이것이 실제로 무엇을 뜻하는지는 다음과 같습니다.

- **사용자 기기에서** 텍스트는 읽을 수 있는 상태입니다. 사용자가 직접 쓰고 읽기 때문입니다. 필요한 권한만 요청하는 앱, 업데이트, 신중한 백업 관리가 이를 보호합니다. 휴대전화나 컴퓨터에 악성 소프트웨어가 실행 중이라면 우리는 이를 보호할 수 없습니다.
- **서버로 전송되는 동안** 메시지는 검증된 처리 환경만 읽을 수 있도록 암호화됩니다. 앱은 전송 전에 반대편에서 우리가 공개한 것과 정확히 같은 소프트웨어가 실행되는지 확인합니다.
- **서버에서** 모델은 응답하려면 내용을 읽어야 하므로, 서버 관리자나 다른 고객이 들여다볼 수 없는 격리된 하드웨어 환경에서 처리합니다. 이 격리가 프로세서, 그래픽 카드, 메모리와 그 사이의 연결까지 포함하는지 확인합니다.
- **저장 시** 대화 이력과 도우미의 기억은 사용자가 보유한 키로 암호화됩니다. 백업, 접근 복구, 삭제를 확인합니다.
- **서비스 운영 시** 대화 내용을 사용하지 않고 과금, 진단, 오류 신고를 처리하며, 수집하는 모든 데이터 유형을 공개합니다(3장).
- **외부 도구를 이용할 때** 도우미가 Suveria 밖에서 인터넷 정보 검색 같은 일을 해야 한다면, 사용자가 동의한 정보만 보내고 어디로 보내는지 보여줍니다.

기밀 컴퓨팅은 사용자의 감염된 컴퓨터를 고쳐 주지 않습니다. 서버에 물리적으로 접근하는 모든 사람으로부터 보호하지도 않습니다. 2025년에 연구진은 1,000달러 미만의 부품으로 만든 장치를 메모리 버스에 연결하면 Intel과 AMD 솔루션의 증명 키를 추출할 수 있고, 이를 통해 NVIDIA 기밀 컴퓨팅의 증명도 위조할 수 있음을 보였습니다. 프로세서 제조사들은 이런 공격을 자신들이 제공하는 보호 범위 밖으로 봅니다.[^teefail] 하드웨어 제조사, 암호 기술의 정확성, 앱 코드, 업데이트 절차에 대한 의존도 남아 있습니다. 공급자는 내용을 읽지 못하더라도 서비스 제공을 거부할 수 있습니다. 따라서 위협 모델은 내용 열람, 메타데이터를 통한 추론, 동작 변경, 서비스 중단을 구분해야 하며, 각 방식에서 누구의 정직성이 보호의 전제인지 밝혀야 합니다.

외부 데이터센터를 이용하는 동안에는 공급자가 장비에 물리적으로 접근할 수 있고 우리는 이를 검증할 수 없습니다. 각 방식에서 이 점을 명시합니다. 자체 장비를 사용할 때는(8.2절의 3–4단계) 다음 수단으로 이런 접근이 드러나게 하려 합니다.

- 기기 목록.
- 출입 통제.
- 무작위 무늬의 봉인과 케이스 개방 감지 센서.
- 작업 일지.
- 머신의 키로 서명한 공공 난수 생성기의 현재 값이 화면에 보이도록 하는 독립 관찰자의 카메라.
- 더 먼 장래에는 누구나 볼 수 있는 서버실.

정비와 부품 교체는 사전에 알린 공개 절차로 진행합니다. 눈에 보이는 물리적 접근 통제는 위험을 줄이고 많은 사건을 감지할 수 있게 하지만, 머신의 전체 이력이나 납품 전 조작이 없었음을 증명하지는 않습니다. 위에서 설명한 것과 같은 공격은 원격 증명 증거의 위조로 이어질 수 있습니다. 따라서 케이스 개방, 부품 교체, 예기치 않은 재시작이나 다른 의심스러운 사건이 있으면 해당 머신에서 사적인 내용의 처리를 중단합니다. 세션 키와 앱 키는 교체하지만, 의심이 하드웨어 원격 증명의 기반에 관한 것이라면 새 원격 증명만으로 신뢰가 회복되지는 않습니다. 다시 사용을 허용할 조건과 증거를 사전에 기술합니다. 사용자 데이터를 암호화하는 키는 별도로 보호하고 복구하므로, 이런 절차 때문에 사람들이 사적으로 쌓은 자료를 잃지는 않습니다.

### 2.1. 자신의 기기와 선택적으로 이용하는 서버

사적인 대화, 파일, 기억은 기본적으로 사용자의 기기에 암호화된 컨테이너로 저장하도록 설계합니다. 컨테이너란 올바른 키로 내용을 읽는 데이터 모음입니다. 이는 local-first 접근법으로, 데이터를 먼저 기기에 저장하고 서버는 백업과 동기화를 지원할 수 있습니다.[^local-first] 저장된 자료는 재단 서비스 이용을 중단한 뒤에도 계속 이용할 수 있어야 합니다. 원격 모델이 필요한 작업은 선택한 연산 서비스의 가용성에 달려 있습니다.

선택한 서버에 저장하는 기능은 백업과 기기 간 변경 사항 조정에 사용합니다. 전송 전에 기기에서 내용을 암호화하여, 사본을 보관하는 운영자가 읽기 키 없이 암호화된 데이터만 받도록 합니다. 사용자는 저장 서비스 공급자와 읽기를 허용할 기기를 선택합니다. 전송하는 사본의 시각과 크기 같은 메타데이터의 노출은 별도로 제한합니다.

### 2.2. 키와 접근 복구

사적인 컨테이너의 키는 사용자가 통제합니다. 복구 절차는 두 번째 기기, 보관한 복구 키, 그 밖에 의식적으로 선택한 방식 가운데 무엇으로 접근을 복구하며 누구에게 읽을 수 있는 능력을 주는지 명확히 밝힙니다. 운영자에게 계정을 복구받아도 컨테이너의 내용이 잠금 해제되지는 않습니다. 키의 모든 사본과 복구 수단을 잃으면 데이터를 영구적으로 잃을 수 있습니다. 따라서 데이터를 시험 삼아 복원하여 선택한 방식을 확인하고, 알기 쉬운 안내문으로 설명합니다.

함께 사용할 수도 있는 여러 복구 방식을 검토합니다. 이미 접근 권한이 있는 두 번째 기기, 종이나 비밀번호 관리자에 보관한 복구 키, 하드웨어 키, 여러 신뢰하는 사람에게 키를 나누어 맡기는 방식입니다. 마지막 방식에서는 예를 들어 세 명 중 아무 두 명이 함께 접근을 복구할 수 있지만, 혼자서는 누구도 데이터를 읽을 수 없습니다. 재단은 키나 키의 일부를 보관하지 않으므로, 사용자를 대신해 접근을 복구하거나 사용자의 데이터를 넘겨줄 수 없습니다.

처음에는 두 번째 기기와 종이에 적어 둔 키를 권장합니다. 신뢰하는 사람들에게 키를 나누어 맡기는 방식은 원하는 사람을 위한 선택 사항입니다.

### 2.3. 보호 방식

각 방식이 서로 다른 위협으로부터 보호하므로, 다섯 가지 작업 방식을 비교하려 합니다.

| 방식 | 처리 위치 | 평가해야 할 사항 |
| --- | --- | --- |
| 네트워크에 연결되지 않은 기기의 로컬 모델 | 사용자 기기 | 기기 상태, 물리적 접근, 저장 매체와 데이터 사본 |
| 네트워크에 연결된 기기의 로컬 모델 | 로컬 기기. 연동 시에는 선택한 서비스에서도 처리 | 앱 권한, 업데이트, 네트워크 트래픽, 연동 서비스로 전달하는 데이터 범위 |
| 서버의 기밀 환경에서 처리 | 원격 증명으로 구성을 확인한 원격 환경 | 환경 검증, 관리자의 접근과 장비에 대한 물리적 접근, 전송과 처리의 보호, 메타데이터와 키 |
| 외부 공급자의 기밀 API | 원격 증명으로 구성을 확인해야 하는 공급자의 기밀 환경 | 연결 키가 원격 증명과 결부되어 있는지, 증명이 프로세서와 그래픽 카드를 포함하는지, 특정 요청을 특정 머신과 연결할 수 있는지, 누가 장비에 물리적으로 접근하는지, 데이터 보관과 관할권. 직접 검증하기 전까지 기밀성을 공급자의 주장으로 취급 |
| 모델 공급자의 외부 API | 외부 공급자 | 공급자의 조건, 내용 접근, 보관과 관할권. 기밀 실행에 관한 약속을 이 방식에 적용하지 않음 |

서버를 독립적으로 검증하려면 설치형 앱이 필요합니다. 브라우저에서는 서버를 검증하는 코드를 운영자가 매번 제공하므로, 이 방식은 보호 수준이 더 낮다고 표시합니다.

네트워크에 연결된 기기에는 격리된 서버 환경보다 공격 지점이 더 많을 수 있으므로, 연산 위치만으로 보안을 판단할 수는 없습니다. 구체적인 구성을 검증하기 전에는 어느 방식에도 ‘완전한 사생활 보호’라는 라벨을 붙이지 않습니다. 사용자는 대화마다 어떤 방식으로 작업 중인지 확인하며, 방식을 바꾸려면 본인의 의식적인 결정이 필요합니다. 사용자 자신의 외부 API 키는 이용 요금을 정산하는 수단이며 공급자로부터 기밀성을 보장하지는 않습니다. 이 방식은 사적인 Suveria의 기본 방식이 아닙니다. 내용을 보내기 전에 공급자가 이를 모델 학습에 사용할 수 있는지, 얼마나 오래 보관하는지 보여줍니다.

아직 이 표에 없는 방향도 분석하고 있습니다. 신뢰 기반 군집입니다. 이 방식에서는 가족, 친구, 소규모 공동체처럼 서로 알고 신뢰하는 여러 사람의 장비에서 모델을 실행하고, 각자가 자기 컴퓨터의 연산 능력 일부를 제공하게 될 것입니다. 이 방식의 사생활 보호는 기술이 아니라 그 사람들에 대한 신뢰에 기반합니다. 그들의 컴퓨터가 처리 중인 내용을 볼 수 있기 때문이며, 우리는 이 점을 그대로 설명하려 합니다. 아직 분석을 시작하는 단계의 아이디어이지만, 살펴보려는 경로 중 하나입니다.

안전한 서버도 장악당한 휴대전화에서 읽힌 텍스트를 보호하지는 못하며, 더 안전한 휴대전화도 서버를 고쳐 주지는 못합니다. 따라서 앱과 기기 보호를 함께 설계합니다. Suveria 앱은 예를 들어 GrapheneOS에서 Google 서비스 없이 작동하고, Google Play 스토어 밖에서도 구할 수 있으며, 재현 가능한 빌드로 배포되도록 만들려 합니다. 누구나 공개된 소스 코드로 앱을 직접 빌드하여 설치하는 파일과 동일한 파일이 나오는지 확인할 수 있어야 합니다. 앱 자체의 보안 조치도 계획합니다. 화면 캡처 차단, 입력한 텍스트를 학습하지 않는 키보드 모드, 클라우드 백업에서 사적인 데이터 제외, 알림 내용 숨김, 앱 잠금입니다. 재단 웹사이트에는 자기 기기 보호 안내를 세 단계로 마련하겠습니다. 기본 설정과 업데이트부터 작업과 키의 더 강한 격리, 개방형 펌웨어를 사용하는 컴퓨터의 Qubes OS처럼 가장 높은 수준을 요구하는 사람들을 위한 검증된 구성까지 다룹니다. Suveria를 이용하기 위해 제시한 장비를 구매할 필요는 없으며, 운영체제 이름이 기기 전체에 대한 인증을 뜻하지는 않습니다.

각 대화에는 보호 카드(*Charta Tutelae*)를 표시하겠습니다. 그 대화의 사생활 보호가 의존하는 요소를 나열하고, 각 요소에 다음 세 상태 중 하나를 표시합니다.

- **우리가 검증함:** 날짜, 버전, 검증 방법의 설명과 함께 직접 검증했습니다.
- **공급자가 주장함:** 공급자는 그렇다고 주장하며 우리는 아직 확인하지 않았습니다.
- **보호되지 않음:** 이 방식은 해당 요소를 보호하지 않습니다. 네트워크 공급자에게 보이는 메시지 시각과 길이, 공급자의 장비에 대한 물리적 접근, 서버가 위치한 관할권 등이 그 예입니다.

‘우리가 검증함’ 상태에는 마지막 검증 날짜가 있으며 유효기간이 있습니다. 정해진 기간 동안 다시 확인하지 않으면 ‘공급자가 주장함’ 상태로 돌아갑니다. 공급자의 사고나 확인되지 않은 구성 변경처럼 알려진 신뢰 훼손 사례는 별도로 표시하겠습니다. 카드는 모두에게 같으며 가격에 따라 달라지지 않습니다. 단 하나의 요소라도 주장에만 의존하는 방식에는 ‘완전한 사생활 보호’라는 이름을 붙이지 않습니다. 2장 앞부분의 표와 이 절의 방식별 표는 각 방식을 일반적으로 설명하며, 카드는 해당 대화의 구체적인 상태를 보여주게 됩니다.

## 3. 기기에서 모델까지의 경로

Suveria는 다음 부분들로 구성하도록 설계합니다.

- 사용자 기기의 앱.
- 요청을 과금하고 지출 한도를 지키는 게이트웨이.
- 자체 운영하거나 공급자가 운영하는, 모델이 있는 기밀 환경.
- 암호화된 사본의 보관.
- 사용자 주소를 숨기는 선택적 중계자.

게이트웨이는 기밀 머신에서 실행하도록 설계합니다. 시범 운영 전에 사용자 기기가 통제하는 암호화가 어디에서 끝나는지, 게이트웨이가 내용을 보는지, 본다면 기밀 환경 안에서만 본다는 점을 앱에 표시하겠습니다.

암호화된 보관과 기밀 처리에는 별도의 보안 조치가 필요합니다. 서버에서 실행되는 모델은 작업을 위해 보호된 연산 환경 안에서 읽을 수 있는 내용을 필요로 합니다. 파일 사본의 암호화만으로는 이 단계를 보호하지 못합니다.[^apple-pcc] 앱은 해당 작업을 위해 선택한 범위만 제공하며, 사적인 컨테이너 전체의 키는 전달하지 않습니다. 세션 설명에는 연산을 위해 내용이 어디에서 읽을 수 있는 상태가 되는지, 무엇이 운영자의 열람을 제한하는지, 결과 반환 후 데이터가 어떻게 되는지 명시합니다.

제안하는 세션 진행 과정은 다음과 같습니다.

1. 앱이 승인된 출시 버전의 설명을 가져오고 원격 증명, 즉 실행 환경의 특정 속성에 대한 암호학적 확인을 검증합니다.
2. 하드웨어, 보호 상태, 소프트웨어 측정값이 공개 정책에 부합하는지 확인합니다. 데이터 수신자의 키는 이 증명과 결부되어 있어야 합니다.
3. 검증에 성공하면 승인된 환경과 암호화 연결을 맺습니다. 불일치가 있으면 데이터 전송을 중단합니다. 다른 방식으로 전환하려면 의식적인 선택이 필요합니다.
4. 환경은 네트워크와 도구 접근을 제한한 상태로 요청을 처리하고, 결과를 반환하며, 공개한 정책에 따라 작업 데이터를 삭제합니다.
5. 대화나 기억은 사용자가 선택한 범위 안에서만 저장합니다.

원격 증명은 무엇이 실행되었는지 확인하는 데 도움이 되지만, 그 자체로 코드의 안전성을 증명하지는 않습니다. 코드 검토, 소스 코드에서 소프트웨어를 재현 가능하게 빌드하는 절차(2.3절 설명), 승인 버전 기록부, 독립적 검증 가능성이 필요합니다. Apple Private Cloud Compute 아키텍처는 보호와 소프트웨어 출시의 투명성을 어떻게 연결할지 참고하는 사례이며, 우리 프로젝트에 대한 인증은 아닙니다.[^apple-pcc]

한 사람이나 재단만을 신뢰해야 하는 구조가 되지 않도록 출시 버전을 보호하려 합니다.

- 각 출시 버전은 소스 코드로 재현 가능하게 빌드할 수 있어야 합니다. 재단 밖의 독립된 주체 최소 두 곳이 이를 재현하고 지문이 일치함을 공개적으로 확인합니다. 이들을 찾기 전에는 제삼자가 확인하지 않은 버전으로 표시합니다.
- 승인된 출시 버전의 지문은 추가만 가능한 공개 기록부에 등록하며, 기록부의 연속된 상태는 독립된 증인이 확인합니다.
- 새 버전은 이사회 외부 인사를 최소 한 명 포함한 여러 사람의 승인을 거쳐 서버에 배포합니다.
- 데이터를 처리하는 데 필요한 키는 원격 증명을 통과한 환경만 받습니다.

완전한 보호 방식은 서명되고 검증 가능한 출시 버전, 결함 있는 버전으로의 복귀 방지, 안전한 키 보관을 갖춘 설치형 앱용으로 설계합니다. 브라우저에서는 서버를 검증하는 코드를 운영자가 매번 제공하기 때문입니다. 브라우저 버전에는 더 낮은 보호 수준을 명확히 설명합니다. 재현 가능한 빌드는 출시 버전과 코드를 대조할 수 있게 하지만, 코드 자체와 구성에 대한 평가는 여전히 검토, 감사, 버그 신고 보상 제도로 수행하며, 모든 사고는 공개 기록부에 남깁니다.

사용자 주소의 노출을 줄이기 위해 Oblivious HTTP 기반 중계를 연구할 수 있습니다. 이 방식은 정해진 신뢰 모델 아래에서 발신자에 관한 지식과 요청 내용에 관한 지식을 분리합니다.[^ohttp] 중계자들의 공모, 트래픽 상관관계, 구현 세부 사항은 여전히 평가가 필요하므로, 이 프로토콜을 사용한다는 것만으로 완전한 익명성이라고 설명하지 않습니다.

암호화와 기밀 컴퓨팅은 응답이 전달되는 패킷의 길이나 전송 간격을 숨기지 않습니다. 2024–2025년 연구에서는 네트워크 관찰자가 이를 통해 대화 주제를, 때로는 내용까지 복원할 수 있음을 보였습니다.[^weiss-keylogging][^whisper-leak] 따라서 기밀 모드에서는 일정한 크기의 프레임을 일정한 간격으로 보내고, 사용자 간 프롬프트 캐시 공유를 하지 않으며, 추측 디코딩을 끄려 합니다. 이 조치에는 일정한 지연과 처리량 손실이 따릅니다. 계산에 이를 반영하겠습니다.

시스템 각 부분의 행동 가능성을 제한하여 인프라도 보호합니다. 자원 한도, 작업 격리, 대화를 처리하는 노드의 외부 발신 연결 기본 차단이 여기에 포함됩니다. 이 차단은 원격 증명에 지문이 나타나는 소프트웨어의 일부가 되어야 합니다. 차단을 바꾸면 지문도 바뀌므로 앱이 연결을 거부하게 됩니다. 공급자의 네트워크 규칙은 보장이 아니라 두 번째 보호 계층으로 취급합니다. 허용된 외부 작업은 사용자가 정한 권한을 가진 별도의 도구 계층을 거칩니다. 도입 전에 이 경계의 효과, 사고 감지 방법, 필요한 메타데이터의 최소 범위를 확인하겠습니다. 목표는 대화 내용의 기밀성을 유지하면서 공동 자원을 안전하게 보호하는 것입니다.

사용자가 다른 사람이 보낸 메시지가 있는 출처, 예를 들어 메일함을 연결할 때는 특히 주의합니다. 다른 사람의 메시지에는 모델이 사적인 기억을 공개하도록 유도하는 숨은 지시가 들어 있을 수 있습니다. 따라서 외부 내용과 사용자 지시를 구분합니다. 이런 내용을 정리하는 동안 도우미는 사람의 확인 없이 스스로 메시지를 보내거나, 웹 주소를 열거나, 개인 원칙집을 바꿀 수 없습니다.

Suveria의 운영에 관해 우리가 아는 것은 누구나 알 수 있습니다. 서비스를 시작할 때 서비스 운영에 관해 수집하는 모든 데이터 유형을 목적 및 보관 기간과 함께 공개하고, 데이터 자체는 집계 형태로 제공하겠습니다. 토큰 사용량, 사용 모델, 머신 부하, 대기열 대기 시간, 장애, 비용이 그 대상입니다. 누구나 우리가 보는 것과 같은 곳에서 이를 봅니다. 집계 자료를 공개하기 전에 특정인의 행동을 식별할 수 없는지 확인합니다. 최소 집단 크기, 공개 지연 시간, 제외할 데이터를 정합니다. 목록 밖의 데이터는 수집하지 않습니다. 그렇지 않은 사실이 드러나면 심각한 사고로 다루고 공개적으로 설명합니다.

## 4. 사적인 내용을 열람하지 않으면서 남용 제한하기

존엄성의 보호는 우리 도구 사용의 영향을 받을 수 있는 사람들에게도 적용합니다. 사적인 대화를 읽지 않으면서 남용에 대응하려 합니다. 도우미 자체가 따르는 원칙, 도구 권한과 네트워크 연결의 경계, 자원 한도, 대량 계정 생성 방지를 통해서입니다. 모두의 보호를 약화할 수 있으므로 사적인 내용에 대한 숨은 접근 경로를 만들지 않습니다.

계정은 여러 방식으로 만들 수 있게 됩니다. 자신의 기기에 있는 키만 사용하고 이메일 주소는 쓰지 않는 완전히 사적인 방식부터 외부 공급자를 통한 로그인처럼 편리한 방식까지입니다. 각 방식을 선택하기 전에 재단 밖의 누가 계정 생성을 알게 되고 어떤 데이터를 보게 되는지, 그 공급자가 사라지면 어떻게 되는지 보여주겠습니다. 계정을 만든 방식은 참여자의 권리에 영향을 주지 않습니다. Omniforum 투표권은 계정에 추가하는 별도의 자격 증명입니다.

사생활 보호와 남용 제한은 별도로 평가합니다. 재단이 특정인에 관해 넘겨줄 수 있는 데이터를 갖지 않도록 Suveria를 설계합니다. 내용은 사용자의 키로 암호화하고, 서비스 운영 데이터는 3장에서 설명한 공개 범위 안에서만 수집하며, 개인정보는 결제와 회계에서 법이 요구하는 최소한으로 제한합니다. 그 범위도 공개합니다. 누군가 특정인의 데이터를 요구한다면, 공개적으로 설명한 최소한을 제외하고는 우리가 갖고 있지 않다고 정직하게 답할 수 있기를 바랍니다. 각 남용 방지 조치에 대해 필요한 데이터, 보관 기간, 정직한 참여자에게 미치는 영향, 잘못된 차단에 이의를 제기하는 방법을 설명하겠습니다.

피해를 입었다고 생각하는 사람의 신고를 어떻게 받고, 대화 내용에 접근하지 않고 무엇을 할 수 있는지도 설명하겠습니다. 예를 들어 도구 권한이나 계정 자원을 제한하거나, 우리가 보관하는 범위 안에서 과금 데이터와 메타데이터를 확인하거나, 신고자에게 도움을 구할 곳을 안내할 수 있습니다. 이런 서비스 운영자의 법적 의무는 출시 전에 별도로 분석해야 합니다.

이 보안 조치들은 목표이자 시험할 방식이며, 어느 것도 모든 남용을 발견하지는 못합니다. 각 조치가 어떤 위협에 대응하고 무엇을 발견하지 못하며 운영자가 사적인 대화를 열람하지 않고 무엇을 확인할 수 있는지 밝히겠습니다. 이 평가 결과에 따라 해당 기능의 제공 조건을 정합니다.

대화가 생명이나 건강에 대한 위협을 다룰 때 도우미는 사적인 환경 밖으로 아무것도 보내지 않고, 긴급 전화번호 등 이용 가능한 도움에 관한 정보를 제공하도록 설계합니다.

### 4.1. 도우미의 공개 지침과 공동 라이브러리

도우미의 행동은 기본 지침과 작업 방식에도 달려 있습니다. 작업을 단계로 나누고, 기억을 활용하며, 답변을 확인하는 방식입니다. Suveria에서는 언제나 자신의 도우미에게 적용되는 지침 전체를 읽을 수 있어야 합니다. 공동 인프라는 공개 벤치마크 시험을 통과한 모델과 설정만 제공하도록 설계합니다. 이 최소 기준을 넘는 범위에서는 사용자가 작업 스타일을 선택합니다. 차분히 생각을 정리하는 방식부터 도우미가 추론의 빈틈을 지적하는 까다로운 대화까지 선택할 수 있습니다. 검증된 지침을 모은 개방형 라이브러리를 운영하고자 합니다. 참여자들이 Omniforum에서 개선하고 벤치마크로 확인하는 라이브러리입니다.

## 5. 여러 그래픽 카드에서의 연산

6장의 모델은 그래픽 카드 한 장에 들어가지 않으므로 카드 사이의 연결에서도 보호를 확인해야 합니다. PCIe 버스는 프로세서와 그래픽 카드를 연결하고, NVLink와 NVSwitch는 카드들을 서로 연결합니다.

모델이 여러 그래픽 카드를 사용하면 데이터가 카드 사이에서도 이동하므로, 카드 자체와 연결을 모두 확인해야 합니다. 카드 이름만으로 기밀 서비스를 주문할 수는 없습니다. 적절한 머신, 프로세서, 연결 구조, 펌웨어, 드라이버, 실행 소프트웨어를 확인한 뒤, 이들이 함께 작동하는지 시험해야 합니다.[^nvidia-platformy]

PPCIe v2 문서에서 설명하는 Hopper Protected PCIe 모드에서는 NVLink와 NVSwitch 네트워크가 시스템의 신뢰된 부분에 속합니다. 따라서 PCIe 암호화가 카드 간 모든 연결의 암호화를 뜻하지는 않습니다.[^nvidia-ppcie-v2] NVIDIA R595 문서는 Blackwell 카드에 대해 NVLink 연결 암호화와 하나의 기밀 가상 머신에서 최대 여덟 장의 카드 사용을 지원하는 다중 카드 기밀 컴퓨팅 모드를 설명합니다.[^nvidia-blackwell] 이는 구성을 검증할 근거이지, B200 카드 임대에 언제나 이 기능이 포함된다는 증거는 아닙니다. 출시 버전마다 호환성 표가 다르므로 임의로 고른 버전을 조합해 구성하지 않습니다.

공급자에 대한 문의에는 다음 사항을 포함합니다.

- 구체적인 보호 모드와 독립적 원격 증명 가능성.
- 필요한 자원의 독점 사용과 지역.
- 관리자의 접근과 장비에 대한 물리적 접근.
- 데이터 보관 기간.
- 제공까지 걸리는 시간과 전체 비용.

자체 앱으로 시험한 뒤에야 제안을 비교합니다. 상업적 표기인 ‘secure’가 이 정보를 대신하지는 못합니다.

## 6. 모델, 기억과 도구

이 프로젝트는 직접 실행할 수 있는 개방형 모델에 기반합니다. Suveria는 전 세계 사람들이 자신의 언어로 이용할 수 있도록 설계하므로, 모델을 선택할 때 여러 언어에서의 품질, 의도 이해, 신뢰성, 라이선스, 비용, 요구하는 보호 아키텍처에서 실행 가능한지를 고려합니다. 필요해지면 범용 모델과 함께 특정 언어를 더 잘 다루는 모델을 실행할 수 있습니다. 공개 가중치는 일부 용도를 가능하게 하지만, 데이터와 모델 제작 과정 전체의 개방성을 결정하지는 않습니다.[^osi]

첫 번째 후보는 DeepSeek-V4.1-Flash입니다. 서비스에도 사용할 수 있는 MIT 라이선스 모델입니다.[^deepseek] 크지만 효율적입니다. 제조사에 따르면 주요 부분에는 학습 과정에서 정한 수치인 매개변수가 5,520억 개, 추가 Engram 메모리에는 매개변수가 1,960억 개 있습니다. 그러나 다음 단어를 처리할 때마다 작동하는 매개변수는 80–160억 개뿐이므로 빠르고 저렴하게 응답합니다(8장의 계산). 다만 모든 매개변수가 그래픽 카드 메모리에 들어가야 하므로 최신 카드가 최소 네 장 필요합니다. 이 모델의 매개변수는 이미 각 수치에 더 적은 자릿수를 쓰는 효율적인 형태로 저장되어 있습니다. 이 저장 방식을 양자화라고 하며 필요한 메모리를 줄여 주지만 품질을 낮출 수 있으므로, 버전마다 자체 과제로 확인합니다. 더 작은 모델과도 비교하며, 사람들에게 중요한 과제를 분명히 더 잘 수행할 때만 더 큰 모델을 선택합니다.

두 번째 후보는 Moonshot AI가 2026년 10월 23일 공개한 Kimi K3.1 Pro입니다. 제조사는 이를 약 3조 개의 매개변수와 최대 100만 토큰의 문맥을 갖춘 Kimi K3의 추가 학습 버전이라고 설명합니다. 전체 가중치는 2026년 11월 4일 전에 공개하겠다고 예고했으며, 라이선스는 아직 발표하지 않았습니다.[^kimi-k31] 비교에 사용하는 세부 수치는 이전 모델의 카드에서 가져왔습니다. Kimi K3에는 매개변수가 2.8조 개 있으며 토큰마다 1,040억 개가 작동합니다. 자체 라이선스를 사용하며, 이는 Open Source Initiative의 승인을 받지 않았습니다.[^kimi-k3] 2026년 10월 28일 버전의 Artificial Analysis 지수에서 Kimi K3.1 Pro는 46점, DeepSeek-V4.1-Flash는 32점을 받았지만, Kimi는 몇 배 더 비싸고 느립니다.[^aa] Kimi K3의 가중치 파일은 약 1.56 TB이며, 실행에는 문맥과 연산을 위한 메모리도 필요하므로 그래픽 카드 메모리의 합계만으로 모델이 작동할지 판단하지 않습니다. SGLang 엔진의 구성 안내는 B300 카드 여덟 장에서 검증된 Kimi K3 구성을 설명합니다. 아직 Kimi K3.1이나 기밀 구성에 대한 시험은 아닙니다.[^spheron-kimi][^sglang-k3] 가중치가 공개되면 크기와 형식, 라이선스, 엔진별 구성 안내, 특정 구성의 처리 용량, 기밀 API에서의 제공 여부를 확인하겠습니다. 가중치가 공개되지 않거나 라이선스 조건이 적합하지 않은 경우에도 날짜와 함께 이 문서의 첫 업데이트로 결과를 추가하겠습니다.

모델 변경이나 제공 중단은 미리 알립니다. 대화 이력은 사용자에게 남습니다. 사용자는 후속 모델을 선택하거나, 데이터를 내보내거나, 작업을 끝낼 수 있습니다. 모델이 바뀐 시점은 대화에 표시되어야 하며, 사적인 문맥을 새 모델로 옮기려면 사용자의 결정이 필요합니다.

도우미가 응답할 때 따르는 원칙은 출시 버전마다 전체를 공개하겠습니다. 모델 자체에도 제작자의 선택이 담겨 있습니다. 피하는 주제 등이 그 예입니다. 벤치마크에서 이를 확인하고 모델을 선택할 때 설명합니다.

이전 대화의 기억은 사용자의 동의를 바탕으로 작동하며, 사용자가 내용을 확인하고 편집할 수 있어야 합니다. 원래 발언, 모델의 요약, 사용자가 확인한 정보를 구분합니다. 각 기록을 삭제하거나 고치고, 출처를 확인하며, 어떤 작업에 사용할 수 있는지 정할 수 있습니다. 도우미는 자신의 제안과 사용자가 의식적으로 자신의 입장으로 받아들인 견해를 명확히 구분합니다.

작업을 수행하려면 특정 목적과 기간에 대해 부여한 권한이 필요합니다. 웹페이지나 문서의 내용은 분석 자료이지 권한을 바꾸라는 명령이 아닙니다. 외부 작업, 지출, 게시, 삭제에는 그에 비례하는 확인 절차와 사용자가 볼 수 있는 작업 기록이 필요합니다.

### 6.1. 생각의 망원경과 개인 원칙집

생각의 망원경(*Telescopium Mentis*) 아이디어는 특정 시기에 사회에서 받아들일 수 있다고 여기는 생각의 범위를 설명하는 개념인 Overton의 창에서 출발했습니다. 개인에게는 특정 시기에 스스로 허용할 수 있다고 여기는 생각의 범위에 해당합니다. 망원경은 한 사람만을 위한 창이 되도록 설계합니다. 여러 시점의 자기 성찰과 가치에 대한 기록, 그리고 그것이 시간에 따라 어떻게 변했는지 볼 수 있게 하는 창입니다.

생각의 망원경은 당시 무엇을 알았고 무엇을 원했으며 왜 생각을 바꾸었는지, 자신의 추론으로 돌아가는 데 쓰이도록 설계합니다. 사용자가 선택한 사건, 세상에 관한 정보, 자신의 행동을 개인 원칙집과 대조하는 데도 도움이 될 수 있습니다. 개인 원칙집은 사용자가 직접 적고 자신의 것으로 인정하는 원칙과 가치의 모음입니다. 비교 대상은 사용자가 스스로 설명하거나 지정하는 상황이며, 자료와 범위도 사용자가 정합니다. 모델은 인용한 원칙의 출처와 사건 설명을 함께 제시하면서 가능한 연관성을 보여 주고, 확인된 정보와 해석, 불확실성을 구분합니다. 제안된 해석은 고치거나 거부할 수 있으며, 이전 입장은 당시의 시점과 맥락을 고려해 평가합니다.

발견한 긴장은 원칙 자체, 가치 간 충돌, 주변 조건, 인간의 한계, 모델의 부정확한 해석에 관한 것일 수 있습니다. 사람은 이상을 유지하면서 현재의 불일치를 받아들이거나, 신념을 구체화하거나, 행동이나 환경의 변화를 검토하거나, 질문을 열린 상태로 둘 수 있습니다. 원칙집은 자신의 선택을 이해하도록 돕기 위한 것입니다. 도덕성 점수나 공개적인 일관성 순위를 만들지 않습니다. 사적인 성찰은 사적인 것으로 남으며, 이를 기록하는 것이 게시나 투표를 뜻하지는 않습니다.

신중하게 시작하겠습니다. 첫 버전의 생각의 망원경은 사용자가 돌아보고 싶은 결정처럼 직접 지정한 하나의 상황만 다룹니다. 사용자의 삶을 지속적으로 추적하지 않습니다. 사용자는 얼마나 자주 이용할지, 어떤 메모와 기억을 제공할지, 언제 지울지 결정합니다. 이 시험에서는 제시하는 연관성이 이해하기 쉬운지, 자신의 선택을 통제한다는 느낌을 주는지, 자신을 끊임없이 평가해야 한다는 압박을 주지는 않는지 확인합니다. 성찰 끝에 자신이 언제나 원칙에 따라 행동하는 것은 아니라는 점을 받아들이거나, 사안을 열린 상태로 두는 것도 좋은 결과로 봅니다. 도구는 자신을 이해하도록 도와야 하며 결론을 강요해서는 안 됩니다.

### 6.2. 개방형 형식, 자료 이동과 도구 간 연동

Suveria는 소스 코드와 문서가 공개된 디지털 공공재로 발전시키려 합니다. Digital Public Goods Alliance 표준을 참고 기준으로 삼습니다.[^dpga] 데이터 이동 형식에는 공개 설명, 버전, 버전 변경 시 정보를 보존하는 규칙을 둡니다. 기존 개방형 표준을 우선 사용하고, 필요한 확장 사항은 문서로 남깁니다.

내보내기에는 선택한 원본, 이력, 출처, 연결 관계가 포함됩니다. 사용자의 말, 모델의 정리, 작성자가 확인한 의미를 구분한 정보와 개인 원칙집의 구조도 포함됩니다. 내려받은 패키지는 권한을 가진 사람이 복호화하면 활성 Suveria 계정이 없어도 읽을 수 있습니다.

프로그램 간 통신 방법을 문서화한 API를 통해 직접 만든 도구를 비롯한 다른 도구에서도 자료를 다룰 수 있도록 설계합니다. 사용자는 데이터 범위와 허용할 작업을 선택하며, 연동 권한을 철회할 수 있습니다. 권한을 철회하면 이후의 접근이 중단됩니다. 이미 전달한 사본이 어떻게 되는지는 수신자에게도 달려 있습니다.

사적인 공간은 공동 프로젝트를 위한 작업에도 사용할 수 있습니다. 사용자는 검수나 게시를 위해 전달할 자료를 선택하고, 도구는 접근 키, 비밀번호, 개인정보, 아직 수정되지 않은 취약점에 관한 정보를 로컬에서 제거하도록 돕습니다. 개인이 비용을 지불한 자원을 이용할 때는 작업 중 대화를 공개할 필요가 없습니다. 재단의 공동 자원으로 지원하는 작업에서는 공개 기록 범위, 가명 선택, 자료 준비를 [재단의 열린 작업실 원칙](whitepaper-zasady-fundacji.md)(11.1장)에 따라 미리 정합니다. Suveria에서 한 성찰에서 질문이나 논거 하나를 의식적으로 골라 Omniforum에 게시할 수도 있습니다. 선언문에서 Ignis 의식(*Caerimonia Ignis*)으로 설명하는 이 단계에는 언제나 별도의 결정이 필요합니다.

## 7. 규모: 30명부터 인류 전체까지

계정 수만으로 필요한 인프라가 정해지지는 않습니다. 이용 빈도, 질문과 답변의 길이, 동시 세션 수, 허용 가능한 대기 시간, 도구 비용이 중요합니다. 아래 예시는 시험을 위한 부하 모델이며, 수요 예측이나 서비스 제안이 아닙니다.

가정은 다음과 같습니다. N명 모두가 매일 이용하며 하루에 요청을 20회 보냅니다. 평균 요청에는 입력 토큰 1,500개와 출력 토큰 600개가 포함되며, 한 달은 30일입니다. 토큰은 모델이 처리하는 텍스트 단위로, 길이는 언어에 따라 다릅니다. 실제 부하에는 더 긴 문맥, 문서 처리, 추론 토큰, 보조 호출을 더해야 합니다.

| 이용자 수 | 월 요청 수 | 월 입력량 | 월 출력량 | 하루 기준 평균 생성 속도 | 전 세계 시나리오의 시간당 최고 부하, 평균의 약 1.51배 |
| --- | ---: | ---: | ---: | ---: | ---: |
| 30 | 18,000 | 2,700만 토큰 | 1,080만 토큰 | 초당 4.2토큰 | 초당 6.3토큰 |
| 100 | 60,000 | 9,000만 | 3,600만 | 초당 13.9토큰 | 초당 20.9토큰 |
| 1,000 | 600,000 | 9억 | 3.6억 | 초당 138.9토큰 | 초당 209토큰 |
| 10만 | 6,000만 | 900억 | 360억 | 초당 13,889토큰 | 초당 20,921토큰 |
| 100만 | 6억 | 9,000억 | 3,600억 | 초당 138,889토큰 | 초당 209,208토큰 |
| 10억 | 6,000억 | 900조 | 360조 | 초당 1.389억 토큰 | 초당 2.092억 토큰 |
| 100억 | 6조 | 9,000조 | 3,600조 | 초당 13.9억 토큰 | 초당 20.9억 토큰 |

Suveria는 여러 언어로 이용할 수 있는 전 세계 서비스로 계획합니다. 참여자가 시간대별로 어떻게 분포할지는 알 수 없으므로, 측정으로 검증할 두 시나리오를 비교합니다. 전 세계 시나리오에서는 ITU의 2025년 인터넷 이용자 수에 비례하는 지역별 비중을 적용하고, 모든 시간대에 저녁의 최고 부하와 한산한 밤이라는 같은 하루 패턴을 가정합니다.[^itu] 시간대들이 서로의 낮은 부하를 부분적으로 메워 주므로 시간당 최고 부하는 평균의 약 1.51배, 가장 낮은 부하는 약 0.49배입니다. 유럽처럼 한 지역에 집중된 시나리오에서는 최고 부하가 평균의 약 1.87배이며 밤에는 거의 없습니다. 이런 분포는 규모가 커져도 나타날 수 있습니다. 자체 머신 활용도가 낮아지고 기밀 API를 더 자주 사용하거나 최고 부하 시간에 더 오래 기다려야 함을 뜻합니다. 두 값 모두 우리의 가정에서 나온 것으로, 미래 참여자를 관찰한 결과가 아닙니다. 한 시간 안의 짧은 급증은 대기 시간이 표시되는 짧은 대기열로 완화하고, 자체 머신의 처리 용량을 넘는 트래픽은 기밀 API로 처리할 수 있도록 설계합니다. 대기 시간과 그 95·99백분위수, 대기열의 한도 및 한도에 도달했을 때의 동작을 시범 운영에서 측정하겠습니다. 부하 시험에는 평균 트래픽의 다섯 배처럼 새 이용자가 갑자기 몰려오는 경우도 포함합니다. 이는 전체 출력 처리량이며, 개별 대화의 지연이나 입력 처리 비용 측정을 대신하지 않습니다. 시험은 편리한 질문 하나가 아니라 세션 분포, 긴 문맥, 장애, 대기열을 재현해야 합니다.

최고 부하 배수는 가장 바쁜 시간과 평균을 비교합니다. 하루를 24시간으로 나눈 모델에서 나온 값입니다. 하나의 하루 패턴을 여덟 지역의 시간대에 맞게 옮기고, 가정한 비중에 따라 합산합니다. 계산을 위한 시나리오이며 개별 요청의 대기 시간을 계산하는 것은 아닙니다.

세계 규모에서 이 계산이 어떤 모습인지 알아보기 위해 사고 실험을 해 보겠습니다. 100억 명 모두가 가정한 이용 패턴대로 Suveria를 사용한다면 최고 부하 시 초당 약 21억 개의 출력 토큰이 필요할 것입니다. DeepSeek-V4.1-Flash에서 측정된 B200 카드 한 장당 초당 약 930토큰의 성능을 적용하면 약 225만 장이 필요합니다. 서버를 포함하여 카드당 약 1.75 kW를 가정할 때(측정하지 않은 우리의 가정) 전력은 약 4 GW입니다. 10억 명에게는 카드 약 22만 5,000장과 0.4 GW, 100만 명에게는 약 225장이 필요합니다. 비교하자면 Epoch AI는 2026년 초 전 세계에 설치된 디지털 지능용 연산 능력이 H100 카드 1,500만 장 상당을 넘으며 10 GW 이상의 전력이 필요하다고 추정했습니다.[^epoch] 이는 단순화입니다. 가정한 이용 패턴은 가벼우며, 집중적인 작업이나 더 큰 모델, 이미지는 몇 배 더 많은 자원을 필요로 합니다. 장비와 모델도 빠르게 변합니다. 그러나 대략적인 규모는 보여 줍니다. 모든 사람이 이 범위에서 매일 디지털 지능의 도움을 받는 데 필요한 전력은 현재 세계에서 이미 가동 중인 규모보다 적을 것입니다. 이는 단순화한 계산이며, 그런 인프라를 이 목적에 이용할 수 있다는 증거는 아닙니다.

## 8. 비용과 날짜를 명시한 계산

고정 예약의 월 비용은 일차적으로 카드 수 × 카드 시간당 가격 × 비용을 지불하는 시간에 메모리, 디스크, 데이터 전송, 보안, 모니터링, 운영, 결제, 세금을 더해 계산할 수 있습니다. 공급 제안에 이 중 어떤 항목이 이미 포함되어 있는지 확인해야 합니다. 24시간 가동할 경우 한 달은 672–744시간이며, 730시간은 평균 근삿값입니다.

계산에서는 다섯 가지 비용 방식을 비교합니다. 로컬 모델, 임대한 장비의 자체 인스턴스, 공급자가 보호를 주장하지만 검증이 필요한 기밀 컴퓨팅 환경의 자체 인스턴스, 외부 공급자의 기밀 API, 일반 외부 API입니다. 비용 방식은 2.3절의 보호 방식과 대응합니다. 기밀성이 없는 머신의 임대는 Suveria의 선택 방식이 아니라 가격 비교 기준으로만 제시합니다. 로컬 모델의 비용은 사용자 기기에 따라 달라지므로 아직 산정하지 않습니다. 같은 수준의 품질, 가용성, 보호를 비교합니다. 경제성을 판단하는 기준은 등록 계정 수로 나눈 카드 비용이 아니라 실제 이용량으로 나눈 전체 서비스 비용입니다. 외부 API는 사용자 요구를 시험하기 쉽게 하지만, 공급자는 자체 데이터 접근 규칙을 갖고 있으므로 기밀 실행에 관한 약속을 여기에 적용하지 않습니다.

### 8.1. 날짜를 명시한 계산: 2026년 10월 29일 기준

선언문은 정기적으로 이용하는 참여자가 비교적 적더라도, 검증 가능한 보안 조치에 기반한 사생활 보호와 함께 공동 인프라가 폐쇄형 서비스보다 달러당 더 많은 연산 능력과 디지털 지능을 제공할 수 있다는 가설을 제시합니다. 아래는 2026년 10월 29일 가격을 적용한 계산입니다. 7장의 이용 패턴(하루 요청 20회, 요청당 출력 토큰 600개), 전 세계 시나리오(시간당 최고 부하가 평균의 약 1.51배), 세금 제외 가격을 가정하고 임대료 환산에는 월 730시간을 적용합니다. 머신당 인원은 시간당 최고 부하에서 처리할 수 있는 참여자 수를 뜻합니다. 초당 출력 처리량 × 86,400 / (20 × 600 × 최고 부하 배수)로 계산합니다. 허용 인원은 측정한 응답 대기 시간으로도 결정됩니다. 괄호에는 유럽에 집중된 시나리오(배수 약 1.87)를 표시합니다. DeepSeek-V4.1-Flash에는 공급자 Lambda가 B200 카드 네 장에서 동시 요청 64개로 측정한 초당 출력 토큰 약 3,714개의 성능을 적용합니다.[^lambda-v41] 이 측정은 기밀 모드에서 사용하지 않으려는 추측 디코딩으로 수행했습니다(3장). 우리의 9월 추정에 따르면 이를 사용하지 않으면 처리량이 최대 약 30% 낮아질 수 있고, 인당 비용도 비슷한 비율로 높아집니다. H200과 B300에서는 이 모델을 측정한 값이 없습니다. 모델 사본 하나를 실행하는 각 카드 구성(8 × H200 또는 8 × B300 머신의 절반)이 B200 네 장의 성능을 낸다고 가정합니다. 이는 낙관적인 가정입니다. H200은 이전 세대이고, 기밀 모드는 속도를 늦출 수 있으며, Lambda 측정은 우리 이용 패턴보다 긴 요청을 대상으로 합니다. 따라서 처리량을 절반으로 잡은 보수적 방식도 제시합니다.

모델 가중치는 약 511 GB이며 vLLM 엔진은 그래픽 카드 메모리 약 614 GB를 권장합니다. H200 네 장(564 GB)으로는 부족하므로 H200에서 사본 하나를 실행하려면 여덟 장이 필요합니다. 이 구성을 위한 엔진 개발사의 구성 안내는 10월 29일 현재 검증 중이었습니다. H200의 카드 간 연결(NVLink)은 B200·B300과 달리 하드웨어로 암호화되지 않습니다.

| 방식 | 기밀성 | 월 비용 | 머신당 인원 | 인당 순수 연산 비용 |
| --- | --- | ---: | ---: | ---: |
| DeepSeek API | 없음. 공급자가 내용을 봄 | 사용량에 따름 | 단일 머신 기준 해당 없음. 공급자의 한도와 가용성에 따름 | 0.35–0.70 USD |
| DeepSeek-V4.1-Flash 기밀 API(Confidential AI, Tinfoil, Phala) | 공급자가 주장함. 검증 필요 | 사용량에 따름 | 단일 머신 기준 해당 없음. 공급자의 한도와 가용성에 따름 | 0.70–1.25 USD |
| Kimi K3.1 Pro API(Moonshot) | 없음 | 사용량에 따름 | 단일 머신 기준 해당 없음. 공급자의 한도와 가용성에 따름 | 5.40 USD |
| Kimi K3 기밀 API(Phala, NEAR AI) | 공급자가 주장함. 검증 필요 | 사용량에 따름 | 단일 머신 기준 해당 없음. 공급자의 한도와 가용성에 따름 | 8.10–8.91 USD |
| 임대한 8 × H200 기밀 머신(Phala), DeepSeek, 모델 사본 하나 | 프로세서와 카드의 원격 증명. 검증 필요 | 180일 약정 시 23,506 USD, 온디맨드 32,266 USD | 약 17,750(14,300), 처리 용량 가정 | 1.32–1.82 USD(1.64–2.25) |
| 위와 같음. 보수적 방식: 처리량 절반 | 프로세서와 카드의 원격 증명. 검증 필요 | 위와 같음 | 약 8,900(7,150), 처리 용량 가정 | 2.65–3.64 USD(3.29–4.51) |
| 임대한 8 × B300 기밀 머신(Phala), Kimi K3 | 프로세서와 카드의 원격 증명. 검증 필요 | 45,552–47,888 USD | 약 4,800–7,600(3,900–6,200), 처리 용량 가정 | 약 6–10 USD(7.4–12.4) |
| 기밀성이 확인되지 않은 4 × B200(Lambda), DeepSeek | 확인된 기밀성 없음 | 19,827 USD | 약 17,750(14,300) | 1.12 USD(1.38) |
| 기밀성이 확인되지 않은 8 × B200(Lambda), DeepSeek, 카드 네 장씩 사용하는 사본 두 개 | 확인된 기밀성 없음 | 39,070 USD | 약 35,500(28,700), 사본 두 개의 성능 가정 | 1.10 USD(1.36) |

수치의 출처는 다음과 같습니다. API 가격은 DeepSeek, Moonshot, Confidential AI, Tinfoil, Phala, NEAR AI의 요금표에서 가져왔습니다.[^deepseek-cennik][^cai][^tinfoil][^phala-api][^near] 기밀 머신 가격은 Phala 요금표를 적용합니다.[^phala-gpu] Lambda의 B200 임대료는 카드 네 장 인스턴스에서 카드 시간당 6.79 USD, 여덟 장 인스턴스에서 6.69 USD입니다.[^lambda-cennik] Kimi 처리 용량은 B300 여덟 장에서 Kimi K3를 측정한 제삼자의 결과인 초당 출력 토큰 약 1,000–1,600개를 적용합니다.[^spheron-kimi] 약정 시 월 환산 금액은 매월 납부한다는 뜻이 아닙니다. Phala는 전체 기간의 선납을 요구하며 조기 종료 시 환불하지 않습니다. 따라서 8 × H200 머신을 180일 이용하려면 주문 시 현금 139,104 USD, 8 × B300 머신을 180일 이용하려면 269,568 USD가 필요합니다.[^phala-gpu]

여기서 도출되는 내용은 다음과 같습니다.

- 가정한 이용 패턴에서 기밀성을 주장하는 API 가격은 인당 월 약 0.70–1.25 USD입니다. 공급자와 이용 시간에 따라 일반 API와 비슷한 비용부터 약 3.6배까지입니다. 최저 가격을 제시하는 곳은 Confidential AI이며 이 제안도 검증해야 합니다. 기밀 API는 자체 머신을 가동하지 않고 유연한 연산 능력을 제공하지만, 자체 한도와 대기열, 장애가 있습니다. 최고 부하에 맞춰 임대한 DeepSeek용 기밀 머신은 전 세계 시나리오에서 평균적으로 처리 용량의 약 3분의 2를 사용하며 인당 비용은 약 1.32 USD입니다. 더 비싼 기밀 API와 비슷하고 가장 저렴한 API보다는 비쌉니다. 우리의 시간 단위 모델에서 초과 부하를 인당 1.25 USD의 기밀 API로 보내는 첫 자체 노드는 확인한 계산 지점인 약 2만 명의 이용자 규모에서 나타납니다. 이는 가정에서 나온 결과이며 정확한 문턱이 아닙니다. 더 저렴한 기밀 API를 쓰면 이 규모에서는 머신 임대의 경제성이 없습니다.
- 현재 기밀 머신 전체를 시간 단위로 임대하는 방식은 저녁 최고 부하에 유연하게 대응하지 못합니다. Phala는 최소 하루(8 × H200) 또는 한 달(8 × B300), Confidential AI는 시간당 60 USD인 8 × B300에 최소 세 달을 요구합니다. 8 × H200을 시간당 64.62 USD로 초 단위 과금하는 VoltageGPU는 공개한 원격 증명 증거에 이 구성이나 NVSwitch 스위치를 포함하지 않습니다.[^cai][^voltage] 머신 할당과 가중치 적재 시간도 추가됩니다.
- Kimi의 계산은 측정에 달려 있습니다. 기밀 API는 인당 약 8–9 USD이며, 자체 8 × B300 머신을 완전히 활용하면 처리 용량을 높게 추정할 때 약 6 USD, 낮게 추정할 때 약 9.5 USD입니다. 한 머신이 이 모델을 쓰는 이용자 약 5,100–5,600명보다 많은 인원을 처리해야 기밀 API보다 저렴합니다. 약 4,800명만 처리하는 낮은 추정에서는 API보다 저렴해지지 않습니다.

자체 서버 구매의 경우, B300 여덟 장을 갖춘 완제품 Supermicro 서버는 2026년 9월 약 663,000 USD였습니다.[^supermicro] 이 구매의 월 비용은 다음과 같이 추정합니다.

| 항목 | 월 금액 |
| --- | ---: |
| 서버의 5년 감가상각 | 약 11,000 USD |
| 서버의 4년 감가상각 | 약 13,800 USD |
| 코로케이션 | 약 1,900–3,000 USD |
| 네트워크, 부품, 정비(추정) | 약 1,500 USD |
| 합계 | 약 14,000–18,000 USD |

이런 서버에는 DeepSeek 사본 두 개가 들어가며, 전 세계 시나리오에서 약 35,000명(유럽 시나리오 약 28,000명)을 인당 약 0.41–0.52 USD로 처리할 수 있습니다. 이 가정에서 구매는 이용자 약 12,000–17,000명부터 1.11–1.25 USD의 기밀 API보다 저렴하고, 약 21,000–26,000명부터 주장된 최저 가격(0.70 USD)보다 저렴해집니다. 계산에는 이 구성을 유지하고 측정하는 전체 비용이 포함되지 않습니다. 구매에는 선불 현금, 사람의 24시간 당직, 수년간의 안정적인 수요도 필요하며, 이 경우 장비에 물리적으로 접근하는 주체는 재단입니다(2장). 이는 우리의 추정이지 공급 제안이 아닙니다.

- 현재 여러 카드를 갖춘 기밀 머신은 미국에서 공개적으로 제공됩니다. 유럽연합에서는 H100 한 장을 갖춘 기밀 머신을 찾았으며,[^azure-ncc] 여기에는 DeepSeek나 Kimi 전체가 들어가지 않습니다. 유럽연합 내 서버를 이용하는 기밀 API는 Privatemode(Edgeless Systems, 독일)도 제공하지만 모델 선택의 폭이 더 좁습니다.[^privatemode] 이 역시 검증이 필요한 공급자의 주장입니다.
- 기밀 API를 확인하는 독립 목록은 2026년 10월 29일 14:00 UTC 관찰에서 확인한 경로 95개 중 어느 것에서도 전체 검증을 확인하지 못했습니다. 가장 자주 빠진 것은 실행 프로그램의 신원, 코드의 출처, 요청과 머신의 연결에 대한 증거였습니다.[^katalog] 이는 이용 가능한 증거에 따른 결과이며, 서비스가 내용을 유출한다는 증거가 아닙니다. 직접 검증하기 전까지 이런 서비스의 기밀성을 공급자의 주장으로 취급합니다.
- 계산은 연산 비용을 다룹니다. 가상 프로세서 네 개와 메모리 8 GB를 갖춘 기밀 머신 한두 대의 사적인 환경(게이트웨이, 기억, 파일)은 Phala에서 머신당 월 약 168 USD이며, 디스크는 100 GB당 약 10 USD로 별도 과금합니다.[^phala-cvm] 이 규모로 충분한지는 시범 운영에서 확인하겠습니다. 월 170–340 USD라면 30명일 때 인당 약 6–11 USD, 1,000명일 때 수십 센트입니다. 사람의 작업, 보안 검토, 결제, 장애 대비 여유분은 계산에 포함되지 않습니다.
- 널리 쓰이는 구독은 월 약 20 USD이며 DeepSeek 채팅은 무료입니다.[^abonamenty] 100–200 USD 요금제는 집중적인 에이전트 작업에서 API 정가 기준 수천 달러에 해당하는 이용량을 제공합니다.[^semianalysis] 우리는 이런 요금제와 가격으로 경쟁하지 않습니다. 검증 가능한 사생활 보호와 함께 실제 사용량에 따른 과금을 제안합니다.

2026년 10월 29일 기준 선언문 가설의 상태는 다음과 같습니다. 계산은 그 가설에 다가가게 하지만 이를 확인하지는 않습니다. 기밀성을 주장하며 원격 증명을 제공하는 처리는 이미 공개 요금표에 있으며, 가정한 이용 패턴에서 인당 월 약 0.70–1.25 USD이므로 소규모 집단도 원가로 시작할 수 있습니다. 우리의 가정에서는 이용자가 1만여 명에서 수만 명 규모일 때 자체 인프라가 더 저렴해질 수 있습니다. 9장의 시험에서 확인할 세 가지가 이를 결정합니다. 이 서비스들의 기밀성이 독립 검증을 통과하는지, 이용자가 Suveria를 찾는 과제에 제공 모델의 품질이 충분한지, 실제 트래픽 패턴이 어떤지입니다. 가격에 중요한 변화가 생길 때마다, 그리고 매 시험 후에 계산을 갱신하며 이전 버전은 보존합니다.

### 8.2. 인프라 단계와 결정 카드

인프라는 각 단계만으로도 참여자에게 가치를 주고 다음 단계로 넘어갈 의무는 없는 방식으로 발전시킵니다. 먼저 기밀 API와 기밀 머신의 사적인 환경으로 시작하고(시작 전에 충분한 자금을 모으면 바로 다음 단계부터 시작할 수 있습니다), 이후 자체 기밀 머신 임대, 장비 구매와 외부 서버실 설치, 먼 장래에는 이점이 입증될 경우 자체 건물로 이어집니다. 다음 단계의 근거는 측정 데이터입니다. 전체 서비스 비용, 실제 트래픽, 최고 부하 시 응답 시간, 보안 유지와 장애 대응 능력, 구매 시에는 수리와 장비 교체 및 책임을 맡을 사람들을 위한 자금도 포함됩니다. 필요한 모델이 기밀 API에 없거나 실행되는 것을 완전히 통제하려는 경우에도 자체 머신 임대가 합리적일 수 있습니다.

각 전환은 결정 카드로 설명합니다. 얻는 이점, 전체 비용, 위험, 시작과 철수 조건, 데이터와 키를 옮기는 방법, [예비금 및 다음 기둥의 시작 원칙](whitepaper-zasady-fundacji.md)(재단 원칙 백서 8장)과의 일치 여부를 담습니다. 최고 부하에 대응해 자체 머신과 기밀 API를 함께 사용하는 것은 각 경로가 수락된 보호 수준을 갖출 때만 허용합니다. 더 약한 방식으로 전환하려면 사용자의 별도 의식적인 결정이 필요합니다. 첫 측정은 기밀 그래픽 카드 한 장에서 더 작은 모델로, 다음 측정은 전체 모델이 들어가는 머신에서 계획합니다.

모든 자원을 최대 부하에 맞추는 대신 트래픽에 맞게 연산 능력을 조절합니다. 대기 시간을 표시하는 짧은 대기열을 설계하며, 실제 대기 시간, 한도, 한도 도달 시 동작을 시범 운영에서 측정하겠습니다. 더 오래 지속되는 최고 부하에는 우선 기밀 API로 유연한 연산 능력을 확보합니다. 단, 수락된 보호 수준, 사용자의 동의와 지출 한도를 지켜야 합니다. 이런 경로가 없으면 대기나 이용 불가를 정직하게 알립니다. 시간 단위 임대는 기밀 API에 없거나 그곳에서 뚜렷이 더 비싼 모델에 합리적이며, 공급자가 실제로 기밀 머신의 신속한 시작과 해제를 허용하는 경우에만 해당합니다. 한산한 시간의 자체 머신 여유 능력은 Omniforum을 위한 정리 자료 같은 재단 과제에 사용하려 합니다. 이를 API 가격으로 환산한 가치는 예산 수입이 아니므로, 이런 과제에는 자체 목적과 예산을 둡니다. 첫 시범 운영 뒤에는 두 모드를 시험하려 합니다. 도우미와의 일반적인 작업을 위한 ‘대화’와 문서 번역처럼 기다릴 수 있는 과제를 위한 ‘서두르지 않음’입니다. ‘서두르지 않음’ 모드에서는 대략적인 시작 시간대, 예상 비용, 최대 예산, 수행한 작업을 정산하고 취소할 수 있는 선택지, 동일한 보호 정보를 보여줍니다. 이런 작업의 가격을 낮추는 것은 고정비를 이중 계산하지 않는 공개 비용 배분 방식에서 그 근거가 나올 때만 가능합니다.

### 8.3. 대화 내용 없이 이용량 측정하기

실제 사용량을 과금하기 위해 과제 수행에 필요한 자원을 측정하고 고정비 분담을 명확히 설명합니다. 요금 계산에 필요한 측정은 비용 확인에 필요한 데이터로 제한하며, 청구서를 발행하는 데 대화 내용은 필요하지 않습니다. 시험에서는 측정 정확성, 사용자의 확인 방법, 노출되는 메타데이터 범위, 지출 한도 도달 후 서비스 동작을 확인하겠습니다. 청구, 반올림, 선납, 환불 원칙은 [재단 원칙 백서](whitepaper-zasady-fundacji.md)에서 설명합니다.

참여자가 정한 지출 한도는 사후 경고가 아니라 경계로 작동해야 합니다. 일부 공급자는 진행 중인 요청을 완료한 뒤에야 정산하므로 한도를 초과할 수 있습니다. Tinfoil도 예를 들어 이렇게 설명합니다.[^tinfoil] 따라서 비용 예약을 설계합니다. Suveria 게이트웨이는 요청을 보내기 전에 진행 중인 다른 요청도 고려하여 해당 요청의 최대 허용 비용을 잔액에서 예약하고, 병렬 요청 수와 응답 길이를 제한합니다. 완료 후에는 실제 비용을 정산하고 사용하지 않은 예약액을 해제합니다. 이는 만들고 검증해야 할 요구사항이며, 작동 중인 기능이 아닙니다.

## 9. 인수 시험과 결과 기록

어느 출시 버전이든 기밀 버전이라고 부르기 전에 최소한 다음을 문서화하겠습니다.

- 올바른 원격 증명.
- 코드나 키를 바꿔치기했을 때 데이터 전송 거부.
- 세션 격리.
- 관리자의 권한 제한.
- 로그, 덤프, 원격 측정에 내용이 남지 않음.
- 캐시 처리.
- 삭제와 복구.
- 장애 후 동작.
- 도구의 경계.
- 부하 상황의 비용.

결과에는 구성 버전과 보호를 침해하려고 시도한 시나리오를 포함합니다.

모든 Suveria 출시 버전이 가용성을 유지하면서, 최소 한 곳의 독립적인 기밀 서비스 검증기관이 요구하는 모든 증거 검증 절차를 통과하도록 하고자 합니다. 하드웨어와 보안 상태, 증거의 최신성, 연결 키와 보호 환경의 결부, 실행 프로그램의 신원, 코드의 출처, 요청과 특정 머신의 결부가 그 대상입니다. 관찰 날짜, 기준 버전, 해당 출시 버전·모델·요청 경로의 증거와 함께 결과를 공개하고, 검증기관의 연관 관계도 함께 설명합니다. 어떤 순위에 오를 것을 약속하지는 않습니다. 검증 통과란 한계를 공개한 상태에서 특정 시점에 기술된 통제 수준을 달성했다는 뜻이며, 감사나 자체 시험을 대신하지 않습니다.

자체 기밀 방식을 시작하면 모델 실행의 기밀성을 확인하는 모든 독립 목록에 Suveria를 제출하고 원격 증명을 확인할 수 있는 접속 지점을 제공하겠습니다. 첫 예는 confidentialinference.net입니다(2026년 10월 31일 기준).[^confidentialinference] 등재 여부는 목록 운영자가 결정하므로 등재를 약속하지는 않습니다. 제출, 질문에 대한 답변, 나쁜 결과를 포함한 결과의 날짜를 명시한 공개를 약속합니다. 목록은 보통 원격 증명과 연결 채널 등 외부에서 볼 수 있는 것만 확인합니다. 코드와 구성의 감사나 부채널 평가를 대신하지 않습니다.

저장과 이동 시험에는 다음 사항을 포함합니다.

- 권한을 가진 다른 기기에서 암호화된 사본을 복원하고, 올바른 키가 없으면 읽기를 거부하는지 확인합니다.
- 기기 하나의 분실, 선택한 방식으로 접근 복구, 모든 키를 잃었을 때의 결과를 명확히 제시하는지 확인합니다.
- 한 버전을 조용히 덮어쓰지 않고 병렬 변경 사항을 동기화하는지 확인합니다.
- 원래 운영자의 계정 없이 독립된 도구에서 내보낸 자료를 읽고, 원본, 이력, 출처, 연결 관계를 대조합니다.
- 연동 범위를 제한하고, 권한 철회 후 추가 접근을 실질적으로 중단하는지 확인합니다.

단계는 다음과 같습니다.

1. 민감하지 않은 자료로 사용성 시험.
2. 보호에 대한 기술 시험.
3. 조건을 명확히 한 제한적 시범 운영.
4. 점진적인 규모 확대.

시범 운영 전에 기준값을 정하고 공개하겠습니다. 응답의 첫 단어가 나오기까지의 시간, 측정한 이용 패턴에서의 인당 연산 비용, [학습 자료와 벤치마크 백서](whitepaper-materialy-i-benchmark.md)에 따른 모델 품질입니다. 세 가지를 모두 충족하면 시범 운영이 성공했다고 판단하겠습니다.

모델, 펌웨어, 계정에 로그인하는 방식이 바뀌면 재검증이 필요할 수 있으며, 업데이트가 합의한 보호를 조용히 약화해서는 안 됩니다. 각 출시 버전에는 다음 내용을 담은 공개 카드를 둡니다.

- 기능 범위.
- 시험 증거.
- 알려진 한계.
- 책임자.
- 비용.
- 문제 신고 경로.
- 철수 계획.

취약점을 발견하면 노출을 제한하고, 영향을 받은 사람들에게 알리며, 검증 가능한 수정을 수행합니다.

시험은 공개적으로 진행하려 합니다. 보안, 암호 기술, 인프라, 앱 분야의 사람들과, 기술을 대중에게 소개하는 창작자들을 초대합니다. 함께 검증 방법을 설계하고 가상 데이터가 있는 별도의 시험 계정에서 보호를 뚫어 보는 데 참여해 주시기 바랍니다. 비판하는 분들도 초대합니다. 홍보에 대가를 지불하지 않으며, 모든 협력은 [혜택 기록부](whitepaper-zasady-fundacji.md)(재단 원칙 백서 7장)에 따라 표시합니다. 실패한 시험을 포함한 결과는 결과 기록에 남깁니다. 참여하고 싶다면 제목을 ‘[Dołącz] Próby Suverii’로 하여 [salve@novusignis.org](mailto:salve@novusignis.org?subject=%5BDo%C5%82%C4%85cz%5D%20Pr%C3%B3by%20Suverii)로 연락해 주십시오.

가장 중요한 시험은 기밀 환경 밖(게이트웨이, 디스크, 네트워크, 로그)에서 운영자 권한을 가진 팀이 비밀 문자열을 숨겨 둔 시험 계정의 대화를 읽으려 시도하는 것입니다. 우리를 포함해 누구라도 이를 추출하면 시험은 실패입니다.

Suveria의 첫 출시 버전은 설정을 돕는 몇 사람에게 제공하겠습니다. 기밀 API를 이용한다면 보호 카드(2.3절)에 모델이 외부 공급자에서 실행되고, 원격 증명은 공급자의 주장이며 아직 우리가 검증하지 않았고, 메타데이터는 보호되지 않는다고 명확히 적겠습니다. 첫 이용자들이 서비스 운영도 돕는 만큼, 가장 먼저 공개할 결과는 위에서 설명한 가장 중요한 시험이며, 운영자가 무엇을 해낼 수 있었는지 함께 설명하겠습니다.

**결과 기록.** 2026년 10월 29일 현재, 설명한 시험은 아직 하나도 수행하지 않았으며 그래픽 카드를 임대한 적도, Suveria에서 모델을 실행한 적도 없습니다. 이후의 각 결과는 시험 실패 시에도 날짜, 구성, 시나리오, 결론과 함께 여기에 추가합니다.

아직 결정해야 할 사항은 다음과 같습니다.

- 첫 모델과 수용 가능한 품질 수준.
- 기밀 API와 기밀 머신에 대한 독립 검증, 그리고 RODO가 적용되는 유럽연합처럼 개인정보 보호가 강한 관할권에서의 제공 여부.
- 응답 시간.
- 키와 기억에 관한 원칙.
- 과금 데이터의 최소 범위.
- 남용 신고에 관한 운영자의 법적 의무.
- 지속 운영을 위한 자금 조달 방법.

[재단 원칙 백서](whitepaper-zasady-fundacji.md)는 예산, 청구와 책임을, [학습 자료와 벤치마크 백서](whitepaper-materialy-i-benchmark.md)는 모델 행동 평가를 설명합니다.

Novus Ignis 재단, Poznań, KRS 0001269575. 웹사이트와 선언문: novusignis.org. 의견: salve@novusignis.org.

## 각주

[^teefail]: [TEE.fail: Breaking Trusted Execution Environments via DDR5 Memory Bus Interposition](https://tee.fail/). Georgia Tech, Purdue University, Synkhronix가 2025년 10월 28일 발표한 연구입니다. DDR5 메모리 버스에 물리적으로 연결하여 Intel TDX·SGX 및 AMD SEV-SNP의 증명 키를 추출하며, NVIDIA 기밀 컴퓨팅에도 영향을 미칩니다. 서버에 대한 물리적 접근이 필요합니다. Intel과 AMD는 이런 공격을 보호 범위 밖으로 봅니다. 해설: [The Hacker News](https://thehackernews.com/2025/10/new-teefail-side-channel-attack.html). 2026년 10월 28일 열람.

[^local-first]: [Kleppmann, Wiggins, van Hardenberg, McGranaghan (2019): Local-first software: You own your data, in spite of the cloud](https://www.inkandswitch.com/essay/local-first/). 연구 글입니다. 기본 사본을 사용자 기기에 보관하고 서버는 암호화된 사본 등을 지원하는 역할을 맡는 원칙을 다룹니다.

[^apple-pcc]: [Apple: Private Cloud Compute](https://security.apple.com/blog/private-cloud-compute/). 아키텍처 설명입니다. 기밀성을 소프트웨어 통제와 시스템 투명성에 연결하는 사례입니다.

[^ohttp]: [RFC 9458: Oblivious HTTP](https://www.rfc-editor.org/rfc/rfc9458.html). 규격입니다. 정해진 신뢰 모델에서 발신자와 요청에 관한 지식을 분리하며, 완전한 익명성은 아닙니다.

[^weiss-keylogging]: [Weiss, Ayzenshteyn, Amit, Mirsky (2024): What Was Your Prompt? A Remote Keylogging Attack on AI Assistants](https://www.usenix.org/conference/usenixsecurity24/presentation/weiss). 학술 논문입니다(USENIX Security 2024, arXiv 초안 2403.09751). 네트워크 관찰자는 암호화된 응답 스트림의 패킷 길이로 도우미 응답의 주제와 내용 일부를 복원합니다. 2026년 10월 30일 열람.

[^whisper-leak]: [McDonald, Bar Or (2025): Whisper Leak: a side-channel attack on Large Language Models](https://arxiv.org/abs/2511.03675) 및 [Microsoft 해설(2025년 11월 7일)](https://www.microsoft.com/en-us/security/blog/2025/11/07/whisper-leak-a-novel-side-channel-cyberattack-on-remote-language-models/). 연구 논문과 제조사 설명입니다. 암호화된 응답 스트림의 패킷 크기와 전송 간격으로 대화 주제를 알아낼 수 있으며, 일부 공급자는 패킷에 무작위 채움 데이터를 추가했습니다. 2026년 10월 30일 열람.

[^nvidia-platformy]: [NVIDIA: 기밀 컨테이너 지원 플랫폼](https://docs.nvidia.com/datacenter/cloud-native/confidential-containers/latest/supported-platforms.html). 제조사 문서입니다. 프로세서, 카드, 소프트웨어의 전체 구성에 대한 요구사항입니다.

[^nvidia-ppcie-v2]: [NVIDIA: Protected PCIe v2, Introduction](https://docs.nvidia.com/attestation/attestation-client-tools-ppcie-sdk-cpp/latest/ppcie_introduction.html). 제조사 문서입니다. PPCIe v2 모드에서 NVLink·NVSwitch 네트워크는 시스템의 신뢰된 부분에 속합니다. PCIe 보호가 카드 간 모든 트래픽의 암호화를 뜻하지는 않습니다.

[^nvidia-blackwell]: [NVIDIA: Trusted Computing Solutions 595](https://docs.nvidia.com/595trd1-trusted-computing-solutions-release-notes.pdf). 제조사 문서입니다. 연결 보호를 포함하는 여러 Blackwell 카드의 기밀 컴퓨팅 모드를 다루며, 호환되는 구성이 필요합니다.

[^osi]: [OSI: Open Source AI Definition](https://opensource.org/ai/open-source-ai-definition). 정의입니다. 공개 가중치만으로 개방형 시스템의 전체 정의 충족 여부가 결정되지는 않습니다.

[^deepseek]: [DeepSeek-V4.1-Flash: 모델 카드](https://huggingface.co/deepseek-ai/DeepSeek-V4.1-Flash). 제조사 문서입니다. 모델 아키텍처, MIT 라이선스, 제조사가 주장하는 모델의 역량을 다루며, Suveria의 성능 측정은 아닙니다.

[^dpga]: [Digital Public Goods Alliance: 표준](https://www.digitalpublicgoods.net/standard). 표준입니다. 디지털 공공재 평가 기준으로, 설계 방향이 DPGA의 인정을 받았다는 뜻은 아닙니다.

[^lambda-cennik]: [Lambda: 인스턴스 요금표](https://lambda.ai/pricing). 공급자 요금표입니다. NVIDIA B200 SXM6 180 GB는 카드 네 장 인스턴스에서 카드 시간당 6.79 USD, 여덟 장 인스턴스에서 6.69 USD입니다. H100 SXM 80 GB는 3.99 USD입니다. 온디맨드 가격으로 세금과 기밀 모드는 포함하지 않습니다. 2026년 10월 29일 열람.

[^lambda-v41]: [Lambda: DeepSeek-V4.1-Flash 성능 측정 결과](https://lambda.ai/inference-models/deepseek-ai/deepseek-v4.1-flash). 공급자의 측정입니다. 4 × B200, vLLM, 텐서 병렬도 4, 추측 디코딩, 요청당 입력 토큰 약 8,192개와 출력 토큰 1,024개입니다. 동시 요청 64개에서 전체 출력은 초당 3,713.9토큰, 대화당 평균 초당 66.8토큰입니다. 측정 날짜는 없습니다. 2026년 10월 28일 열람.

[^azure-ncc]: [Azure: NCC40ads H100 v5 머신 요금표](https://prices.azure.com/api/retail/prices?$filter=armSkuName%20eq%20%27Standard_NCC40ads_H100_v5%27%20and%20priceType%20eq%20%27Consumption%27) 및 [시리즈 설명](https://learn.microsoft.com/en-us/azure/virtual-machines/sizes/gpu-accelerated/nccadsh100v5-series). 공급자 요금표입니다. H100 NVL 94 GB 한 장을 갖춘 기밀 머신으로, 시간당 6.98 USD(East US 2)부터 8.90 USD(West Europe)까지이며 Linux, 사용량 기반 결제입니다. 2026년 10월 28일 열람.

[^deepseek-cennik]: [DeepSeek: API 요금표(중국어 버전)](https://api-docs.deepseek.com/zh-cn/quick_start/pricing). 공급자 요금표입니다. deepseek-flash(V4.1-Flash-1017) 모델은 캐시 적중이 없는 입력이 비혼잡 시간대 1 CNY, 혼잡 시간대 2 CNY이며, 출력은 100만 토큰당 각각 4 CNY와 8 CNY입니다. USD 환산은 보조 출처인 [eesel 요약](https://www.eesel.ai/blog/deepseek-v4-1-flash-pricing)을 따릅니다. 2026년 10월 28일 열람.

[^abonamenty]: 구독 가격: [ChatGPT Plus](https://help.openai.com/en/articles/6950777-what-is-chatgpt-plus), [Claude Pro](https://claude.com/pricing), [Google AI Pro](https://gemini.google/subscriptions/), [Kimi Plus(geotoolbox 요약)](https://geotoolbox.ai/blog/kimi-pricing). DeepSeek 채팅은 무료입니다([설명](https://en.wikipedia.org/wiki/DeepSeek_(chatbot))). USD 기준 월 가격이며 세금은 제외합니다. Kimi Plus는 19 USD입니다. 2026년 10월 28–29일 열람.

[^kimi-k31]: [Moonshot: Kimi K3.1 Pro 출시](https://forum.moonshot.ai/t/kimi-k3-1-pro-has-launched-start-exploring-now/629) 및 [Kimi: K3.1 Pro 설명(2026년 10월 24일)](https://www.kimi.com/news/kimi-k3-1-pro). 제조사 문서입니다. Kimi K3의 추가 학습 버전으로 매개변수 약 3조 개, 문맥 100만 토큰이며, 가중치는 2026년 11월 4일 전에 공개하겠다고 예고했습니다. 라이선스는 발표하지 않았습니다. OpenRouter 기준 API 가격은 100만 토큰당 2 / 10 USD입니다.

[^kimi-k3]: [Kimi K3: 모델 카드](https://huggingface.co/moonshotai/Kimi-K3). 제조사 문서입니다. 매개변수 2.8조 개 중 1,040억 개가 활성화되며, 문맥 약 100만, MXFP4, Kimi K3 License입니다.

[^spheron-kimi]: [Spheron: Kimi K3 배포(2026년 10월 19일)](https://www.spheron.network/blog/deploy-kimi-k3-gpu-cloud/). 공급자 안내입니다. 가중치 파일 1,560.94 GB와 모델을 담을 수 있는 구성을 다룹니다. 2026년 10월 29일 제삼자 측정 요약에 따르면 8 × B300의 처리 용량은 초당 약 1,000–1,600토큰이며 편차가 큽니다.

[^aa]: [Artificial Analysis: Kimi K3.1 Pro와 DeepSeek V4.1 Flash 1017](https://artificialanalysis.ai/models/comparisons/kimi-k3-1-pro-vs-deepseek-v4-1-flash-1017). 독립 비교입니다. 2026년 10월 28일의 지수 v5는 46과 32이며, 속도는 초당 약 36토큰과 178토큰입니다. 2026년 10월 29일 열람.

[^tinfoil]: [Tinfoil: 요금표](https://tinfoil.sh/pricing). 공급자 요금표입니다. DeepSeek-V4.1-Flash는 100만 토큰당 입력 0.65 USD, 출력 1.45 USD이며, 지출 한도에 관한 설명이 있습니다. 2026년 10월 29일 열람.

[^phala-api]: [Phala: 기밀 모델](https://phala.com/confidential-ai-models). 공급자 요금표입니다. 100만 토큰당 DeepSeek V4.1 Flash 1017은 0.75 / 1.60 USD, Kimi K3는 3 / 15 USD입니다. 게이트웨이 원격 증명과 응답 확인은 공급자 설명에 따른 것입니다. 2026년 10월 29일 열람.

[^near]: [NEAR AI: 요금표](https://near.ai/pricing). 공급자 요금표입니다. Kimi K3는 100만 토큰당 3.30 / 16.50 USD이며, 홈페이지에는 다른 가격이 있어 차이를 확인해야 합니다. 2026년 10월 29일 열람.

[^phala-gpu]: [Phala: 기밀 그래픽 카드](https://phala.com/gpu-tee) 및 [요금표](https://cloud.phala.com/about/pricing). 공급자 요금표입니다. 8 × H200은 온디맨드 시간당 44.20 USD, 180일 약정 시 32.20 USD입니다. 8 × B300은 65.60 USD(30일), 62.40 USD(180일)입니다. Intel TDX와 NVIDIA 기밀 컴퓨팅을 사용하며 유럽 내 머신은 없습니다. 2026년 10월 29일 열람. 약정은 선납하며 조기 종료 시 환불하지 않습니다.

[^privatemode]: [Privatemode(Edgeless Systems)](https://www.privatemode.ai/). 공급자 제안입니다. 유럽연합 내 서버와 원격 증명을 갖춘 기밀 API입니다. 미국 공급자보다 개방형 모델 선택의 폭이 좁고 가격은 공개하지 않습니다. 기밀성은 공급자의 주장으로, 우리가 검증하지 않았습니다. 2026년 10월 30일 열람.

[^katalog]: [Confidential Inference Directory: 방법론과 관찰](https://confidentialinference.net/attestation). 기밀 추론 서비스를 제공하는 기업의 후원을 받는 독립 목록입니다. 2026년 10월 29일 14:00:19 UTC 관찰에서 처음부터 끝까지 검증된 경로는 95개 중 0개였습니다.

[^supermicro]: [Supermicro: AS-8126GS-NB3RT-01-G2 서버](https://store.supermicro.com/us_en/8u-gpu-gold-series-as-8126gs-nb3rt-01-g2.html) 및 [GPU Per Hour: NVIDIA 서버 가격](https://gpuperhour.com/blog/nvidia-gpu-prices). 제조사 제안과 가격 요약입니다. B300 여덟 장을 갖춘 완제품 서버는 662,845.95 USD입니다(2026년 9월 21일).

[^semianalysis]: [SemiAnalysis 분석을 다룬 BigGo Finance(2026년 10월 7일)](https://finance.biggo.com/news/173039423dab79be). 업계 분석입니다. 200 USD 요금제는 집중적으로 이용하면 API 정가 기준 약 12,000 USD에 해당합니다. 마진 추정이며 기업의 데이터는 아닙니다.

[^sglang-k3]: [SGLang: Kimi K3 구성 안내](https://github.com/sgl-project/sglang/blob/main/docs/cookbook/autoregressive/Moonshotai/Kimi-K3.mdx). 엔진 문서입니다. 8 × B300의 검증된 Kimi K3 구성이며, Kimi K3.1이나 기밀 모드에 관한 것은 아닙니다.

[^phala-cvm]: [Phala: 기밀 머신 요금표](https://phala.com/pricing). 공급자 요금표입니다. tdx.large(가상 프로세서 4개, 메모리 8 GB)는 시간당 0.23 USD이며, 디스크는 시간당 GB당 0.000139 USD입니다. 2026년 10월 29일 열람.

[^itu]: [ITU: Facts and Figures 2025, 인터넷 이용](https://www.itu.int/itu-d/reports/statistics/2025/10/15/ff25-internet-use). 국제 통계입니다. 2025년 세계 각 지역의 인터넷 이용 인구 비율입니다(약 60억 명, 인구의 74%). 우리 계산의 지역별 비중은 이용 비율 × 지역 인구로 구한 근삿값입니다.

[^cai]: [Confidential AI: 요금표](https://confidential.ai/pricing). 공급자 요금표이며 2026년 10월 26일 가격입니다. DeepSeek V4.1 Flash는 100만 토큰당 입력 0.30 USD, 캐시 입력 0.03 USD, 출력 1.20 USD입니다. 8 × B300 머신은 시간당 60 USD, 최소 3개월이며 며칠 내에 할당됩니다. 기밀성은 공급자의 주장으로, 우리가 검증하지 않았습니다.

[^voltage]: [VoltageGPU: 요금표](https://voltagegpu.com/pricing) 및 [증거 범위](https://voltagegpu.com/). 공급자 요금표와 주장입니다. 8 × H200은 시간당 64.62 USD로 초 단위 과금합니다. 공개된 증거에는 이 구성이나 NVSwitch 스위치의 원격 증명이 포함되지 않습니다.

[^epoch]: [Epoch AI 데이터를 다룬 The Decoder(2026년 1월 8일)](https://the-decoder.com/global-ai-compute-hits-15-million-h100-equivalents-epoch-ai-finds/) 및 [Epoch AI: AI Chip Users](https://epoch.ai/data/ai-chip-users). 독립 연구기관의 자료 집계입니다. 설치된 디지털 지능용 연산 능력은 NVIDIA H100 1,500만 장 상당을 넘으며 전력 수요는 10 GW를 넘습니다. 측정이 아닌 추정입니다.

[^confidentialinference]: [confidentialinference.net](https://confidentialinference.net): 신뢰 실행 환경에서 모델을 실행하는 공급자들을 날짜를 명시한 원격 증명 검증으로 비교합니다. Enclava의 후원을 받는 사이트로, 열람 당시 공급자는 열한 곳이었습니다. 2026년 10월 31일 열람.