LLM의 토큰 확률을 이용해 암호화 메시지를 숨기는 대화 스테가노그래피 POC

커뮤니티에서는 기술적 호기심과 윤리적 우려가 동시에 표출되었다. 일부는 LLM의 확률 분포를 이용한 은닉 통신 방식의 창의성과 구현 세부를 흥미롭게 받아들였고 동일 모델·토크나이저·공유 비밀이 필요하다는 기술적 제약을 지적하며 현실적 한계를 언급했다. 다른 일부는 탐지 회피 수단으로서의 악용 가능성과 법적·윤리적 문제를 우려하며 공개된 도구의 파급 효과를 문제삼았다.

• 송신자와 수신자는 동일한 모델 가중치, 토크나이저, 모델 설정과 대화 상태를 동기화해야만 복호화가 가능하므로 환경 일치를 엄격히 유지해야 한다.
• 페이로드의 무결성과 위조 방지를 위해 AES-SIV 같은 인증 가능 암호 방식을 사용해 암호문을 생성해야 하며 인증 실패 시 복호화를 중단하도록 설계해야 한다.
• 출력의 정확한 복사가 보장되지 않는 채널에서는 이 방식을 사용하지 않는 것이 바람직하며 자동수정·번역·편집을 거칠 가능성이 있는 통신 경로에서는 복원성이 크게 저하된다는 점을 고려해야 한다.

Steganography

— 의미를 숨겨 전달하는 기법으로, 보통 파일의 눈에 띄지 않는 부분에 데이터를 은닉한다. LLM 맥락에서는 토큰 확률 분포를 이용해 다음 토큰 선택 과정에 암호화된 비트를 주입해 메시지를 전달하는 방식이 핵심이다. 이 방식은 전송된 텍스트가 자연스럽게 보이면서도 동일한 모델과 공유된 비밀로 원본 데이터를 복원할 수 있다는 점에서 의미가 있다.

Arithmetic Coding

— 확률 분포를 연속 구간으로 매핑해 비트를 효율적으로 압축하는 방법으로, 후보 토큰들의 누적 확률을 구간으로 나누고 비트 스트림에 맞게 구간을 좁혀 토큰을 선택한다. LLM 스테가노그래피에서는 모델이 출력하는 토큰 확률을 이용해 암호화된 페이로드를 토큰 선택으로 주입하는 데 사용된다. 압축 효율이 높을수록 페이로드 용량이 커지지만 출력 자연스러움과의 균형을 맞춰야 한다.

AES-SIV

— 메시지 인증과 암호화를 동시에 제공하는 대칭키 암호 방식으로 nonce 선택 실수로 인한 안전성 저하를 방지하는 것이 특징이다. Conversation Stenography 구현에서는 페이로드를 압축한 뒤 AES-SIV로 인증 및 암호화를 수행해 위조 감지와 기밀성을 확보했다. 동일한 키와 인증 정보가 있어야만 수신자가 암호문을 검증하고 복호화할 수 있다.

Tokenizer

— 문자열을 모델이 처리할 수 있는 토큰 시퀀스로 분할하는 컴포넌트로, 토큰 단위와 분할 규칙이 인코딩·디코딩 과정의 재현성에 직접적인 영향을 준다. 스테가노그래피에서는 송수신자가 동일한 토크나이저를 사용해야 토큰 분포와 토큰 인덱스가 일치하여 페이로드를 정확히 복원할 수 있다. 토크나이저 차이로 인한 토큰 경계 변화는 복호화 실패를 초래한다.

Token Probability

— 모델이 각 가능한 다음 토큰에 대해 부여하는 확률 값들의 집합으로, 토큰 샘플링과 생성 품질을 결정하는 핵심 요소이다. 본 접근법은 이 확률분포를 분할해 암호화 비트가 특정 확률 구간에 대응하도록 토큰을 선택해 페이로드를 주입하는 방식으로 작동한다. 따라서 송수신자가 동일한 상태에서 동일한 확률분포를 재현할 수 있어야만 복원이 가능하다.