우물에 독 풀기: 이미지 생성 모델은 왜 계속 저작권 데이터를 삼키는가.

2022년, 나는 1년치 저녁 시간을 아주 구체적인 질문 하나에 쏟았다: 사람 눈에는 보이지 않지만 확산 모델(diffusion model)의 학습 루프에는 치명적인 신호를 이미지에 심을 수 있을까? 짧은 답은 "그렇다"였다. 긴 답은 내가 2026년에도 여전히 이 이야기를 쓰고 있는 이유다.

이 프로젝트 — 우리는 Securing Image Copyrights라고 불렀다 — 는 내 예상보다 멀리 갔다. Korea Science & Engineering Fair에서 금상을 받았고, Yale S&EA 상을 받았고, 한국 대표단의 일원으로 나를 EUCYS에 보냈다. 하지만 기술적 핵심은 헤드라인이 시사하는 것보다 좁았고, 무엇이 잘 버텼고 무엇이 그러지 못했는지 솔직하게 쓰고 싶다.

우리가 실제로 만든 것

이 프레임워크는 공개된 이미지에 구조화된 고주파 노이즈를 더한다. 이 노이즈는 image-to-image 모델이 학습 중에 보게 될 그래디언트를 특정한, 쓸모없는 목표 쪽으로 밀어붙이도록 설계됐다. 노이즈는 일반적인 디스플레이 하드웨어의 지각 문턱값 아래에 머물도록 조정됐다 — 아무리 들여다봐도 아무것도 보이지 않는다 — 그러면서도, 마침 인터넷을 집어삼키기 시작하던 잠재 확산(latent-diffusion) 모델들의 역전파에서는 손실 신호를 지배하도록.

목표는 이미지를 숨기는 것이 아니었다. 이미지를 학습하기에 비싸게 만드는 것이었다.

이 구분이 중요하다. 워터마크는 이건 누군가의 소유물이다라고 말한다. 섭동은 이건 네 그래디언트 스텝을 쓸 가치가 없다라고 말한다. 스케일이 되는 쪽은 후자뿐이다. 스크래핑하는 사람을 신뢰할 필요가 없기 때문이다.

살아남은 것

핵심 통찰 — 적대적 예제를 단일 모델 인스턴스가 아니라 학습 절차 자체를 겨냥해 조정할 수 있다는 것 — 은 놀랄 만큼 잘 버텼다. Glaze와 Nightshade, 그리고 2세대 포이즈닝 도구 전반에 대한 최근 연구는 같은 아이디어의 하류에 있다. 공격의 모양은 이제 많이 다르지만 전제는 동일하다: 위협 표면은 모델이 아니라 데이터셋이다.

무너진 것

내가 틀렸던 두 가지.

• 공격자가 고정되어 있으리라 가정했다. 아니다. 방어가 유명해지는 순간 스크래퍼는 적응한다 — 리사이즈, 재인코딩, 가벼운 블러 — 그리고 섭동 예산 대부분이 증발한다.
• 군비 경쟁이 얼마나 모델 쪽에 유리할지 과소평가했다. 학습 컴퓨트는 퍼블리싱 컴퓨트보다 빠르게 자랐고, 이미지 단위 방어는 갈수록 똑똑해지는 중복 제거 파이프라인을 살아서 통과해야 한다.

다음은 어디인가

이제 흥미로운 질문은 우물에 독을 풀 수 있는가가 아니라 애초에 우물은 누구 것인가라고 생각한다. 저작권 논의는 기술 작업이 따라잡을 수 있는 속도보다 빠르게 이미지 레이어에서 정책 레이어로 옮겨 갔다. 그런데 이상하게도 그건 좋은 일이다 — 열여섯 살에 만든 프레임워크가, 학생 프로젝트가 실제로 할 수 있는 단 한 가지 일을 해냈다는 뜻이니까: 논거를 만드는 데 보태는 것.

코드는 GitHub에 있다. 이제는 거의 고고학 용도지만. 이 분야에서 일하고 있다면, 연락을 기다린다.