연합학습은 병원 간 임상 텍스트를 공유하지 않고도 공동 학습을 가능하게 하지만, 공유된 모델 업데이트만으로도 민감한 내용이 되살아날 수 있다. 이 논문은 동료검토 전 arXiv 프리프린트로, 방사선 판독문에서 그런 누출이 어느 정도인지와 토크나이저 선택이 어떤 차이를 만드는지를 정량적으로 따졌다.
분석은 6개 연합학습 고객이 GPT-2형 변환기 1종을 같은 구조로 두고, GPT-2·RadBERT·LLaMA-2 토크나이저를 각각 붙여 진행했다. 시퀀스 길이는 32였고, 공개 방사선 코퍼스 368,751건의 진단 보고서, 98,206건의 퇴원 요약, 1,500건의 MIMIC-CXR 자유서술 보고서를 사용했다. 배치 크기는 64·128·256으로 바꾸며, 활성 악성 서버가 배포 전 공유 구조를 바꾼다는 가정 아래 analytic gradient inversion을 적용했다.
핵심 결과는 토크나이저가 달라도 누출이 사라지지 않았다는 점이다. 정확한 문장 재구성률은 토크나이저 전반에서 31%~44%였고, 27개 토크나이저×데이터셋×배치 조합 전체로 보면 30.6%~43.5%였다. 예를 들어 Discharge 데이터셋에서 배치 64일 때 정확도는 GPT-2 42.1%, RadBERT 42.3%, LLaMA-2 39.4%였고, 배치 256에서는 각각 37.3%, 37.2%, 34.3%로 낮아졌다.
문장 유사도도 같은 방향을 보였다. S-BLEU는 배치가 커질수록 감소했는데, GPT-2는 0.44에서 0.33으로, RadBERT는 0.48에서 0.35로 떨어졌다. 다섯 번의 독립 반복을 바탕으로 한 95% 신뢰구간도 제시됐으며, RadBERT는 1,440개 기준 의학 용어 집합 중 18.1%를 복원해 GPT-2의 12.5%, LLaMA-2의 9.4%를 앞섰다. 같은 조건에서 MIMIC-CXR의 배치 64에서는 RadBERT가 43.5%로 가장 높았다.
| 비교 항목 | 값 | 근거 위치 |
|---|---|---|
| 실험 규모 | 6개 FL clients; 3개 토크나이저; 배치 크기 64/128/256; 5회 반복 | p.1 abstract, p.9 Multimedia Appendix 6 |
| 문장 재구성 정확도 범위 | 31%~44% (27개 tokenizer×dataset×batch-size 셀에서는 30.6%~43.5%) | p.1 abstract; p.33 |
| Discharge 데이터셋 예시 | 배치 64: GPT-2 42.1%, RadBERT 42.3%, LLaMA-2 39.4%; 배치 256: 37.3%, 37.2%, 34.3% | p.1 abstract; p.33 |
| 임상 용어 회수 | 1,440개 기준 어휘집 대비 RadBERT 18.1%, GPT-2 12.5%, LLaMA-2 9.4% | p.1 abstract |
| 학습 데이터 | 368,751 diagnostic reports; 98,206 discharge summaries; 1,500 MIMIC-CXR free-text reports | p.1 abstract; p.4 |
자료: STORIUM 정리
연구진의 해석은 분명하다. 도메인 특화 토크나이저가 유틸리티만의 문제가 아니라 프라이버시 위험도 함께 좌우한다는 것이다. 방사선 NLP의 연합학습에서는 큰 배치나 전문 토크나이저를 써도 누출이 완전히 막히지 않았고, 안전한 집계나 차등프라이버시 같은 추가 방어가 필요할 가능성이 크다고 본다. 무엇보다 이 평가는 시뮬레이션된 교차기관 설정과 공개·사전 비식별화 코퍼스에 대한 내부 계산 실험이라는 점에서, 실제 병원 배포 환경 전체를 곧바로 대변하지는 않는다.
저작권자 © STORIUM 무단전재 및 재배포 금지
