[기획] 프로그램 다시 돌리지 않고 12밀리초 만에 결과 검증…마이크로소프트의 포스트양자 가상머신 ‘Magnetar’
급여 프로그램이 수백만 단계의 계산 끝에 내놓은 금액이 맞는지 확인하려면 같은 계산을 처음부터 다시 해야 할까. 마이크로소프트 리서치가 공개한 연구용 가상머신 ‘Magnetar’는 다른 길을 제시했다. 약 419만 사이클의 프로그램 실행에 붙은 암호학적 증명을 11~13밀리초에 검사했다. 흔히 대표값으로 말하는 12밀리초는 1초의 약 83분의 1로, 60Hz 화면 한 프레임인 약 16.7밀리초보다 짧다. 다만 이는 프로그램 실행시간도, 증명을 만드는 시간도 아닌 이미 생성된 증명의 검증시간이다.
Magnetar를 이해하는 쉬운 방법은 계산 결과에 약 600KiB짜리 ‘위조 방지 영수증’을 붙이는 장치로 보는 것이다. 증명자는 프로그램과 입력을 실제로 처리해 결과와 영수증에 해당하는 증명을 만든다. 검증자는 원래 계산을 반복하는 대신 이 증명을 검사한다. 약 419만 사이클의 실행을 증명하는 데에는 약 0.48~0.58초가 걸렸지만, 완성된 증명의 확인은 11~13밀리초에 끝났다.
여러 프로그램을 한 공용 조리대에 올리다
Magnetar는 프로그램을 대신 실행하는 새 프로세서가 아니다. Rust·Go·C로 작성한 프로그램을 기존 컴파일러로 64비트 RISC-V 기본 정수 명령어 집합인 RV64I 기계어로 바꾼 뒤, 그 기계어 실행이 주장한 출력을 냈다는 사실을 증명하는 범용 검증 시스템이다. RISC-V 전체가 아니라 곱셈·나눗셈·원자 연산·압축 명령이 빠진 RV64I를 대상으로 한다.
기존 방식이 요리마다 별도의 검사 장치를 만드는 것이라면, 이런 가상머신은 RV64I라는 공용 조리대를 검증한 뒤 여러 프로그램을 그 위에 올리는 방식에 가깝다. 논문은 피보나치 계산과 메모리 접근, 정렬, LZ4 복호화, SHA-256, Keccak, ERC-20 토큰 로직, 소형 EVM 인터프리터 등 15개 작업을 시험했다. 소형 EVM 인터프리터를 Rust나 Go로 작성해 RV64I에서 실행하면 기존 스마트계약 실행을 증명하는 경로를 만들 수 있다는 설명이다. 다만 시험 대상은 완전한 이더리움 노드나 블록 처리 환경이 아니다.
내부적으로는 명령어의 의미를 두 개의 SIMD R1CS 관계로 표현했다. SIMD R1CS는 여러 계산을 묶어 산술 제약식으로 나타내는 방식이다. BinarySpartan이 이를 이진체 위에서 증명하고, BinaryTwist는 레지스터와 RAM의 읽기·쓰기 일관성을 맡는다. BinaryShout는 실행할 명령어를 올바르게 가져왔는지, 새로 고안한 BinaryRouter는 시프트와 부분 워드 저장을 처리한다. MosaicPCS는 증명자가 약속해야 할 자료를 하나의 다항식으로 묶고, 실제 다항식 커밋에는 이진 확장체 기반 해시 방식인 Ligerito를 사용했다.
‘포스트양자’는 양자컴퓨터로 돌렸다는 뜻이 아니다
Magnetar의 또 다른 축은 보안 가정이다. 논문은 계산 보안이 SHA-256·SHA-3 같은 표준 해시에 기반한다고 설명했다. 충분히 큰 양자컴퓨터에 취약한 것으로 알려진 타원곡선 기반 이산로그 가정을 피하고, 알려진 양자공격을 고려한 해시 기반 매개변수를 적용했다는 의미다. 양자컴퓨터에서 실행하거나 양자컴퓨터로 속도를 높였다는 뜻은 아니다. 타원곡선·페어링·격자 가정뿐 아니라 Poseidon 계열 전용 대수 해시와 비밀 트랩도어가 필요한 신뢰 설정에도 의존하지 않는다는 것이 저자의 주장이다.
논문은 Magnetar를 ‘투명한 전처리 SNARK’이자 비대화형 지식 논증으로 설명했다. SNARK는 긴 계산이 맞았음을 짧은 증명으로 확인하게 하는 암호 기술이며, ‘투명하다’는 말은 비밀 트랩도어를 만드는 신뢰 설정이 필요하지 않다는 뜻이다. 프로토콜 각 라운드의 건전성 오류가 최대 2의 마이너스 120제곱인 120비트 증명 가능 보안 설정을 사용했다.
분야에서는 이런 시스템을 관용적으로 영지식 가상머신, 즉 zkVM이라고 부른다. 그러나 논문의 핵심 정리에서 확인된 것은 완전성과 지식 건전성, 투명성을 갖춘 SNARK다. 비공개 입력에 관해 아무것도 누설하지 않는다는 완전한 영지식 성질은 별도의 정리로 확인되지 않았다. 따라서 Magnetar가 계산의 정당성을 증명한다는 사실과 모든 입력의 비밀까지 보장한다는 주장은 구분해야 한다.
빠른 증명 생성, 그러나 모든 지표의 1등은 아니다
실험은 성능 코어 12개와 메모리 128GiB를 갖춘 Apple M4 Max 맥북 프로에서 진행됐다. 한 번에 증명자 프로세스 하나를 실행하고, 한 차례 워밍업 뒤 세 차례 측정한 중앙값을 사용했다. 기본 Magnetar는 2의 22제곱, 즉 4,194,304사이클 규모에서 초당 720만~870만 사이클을 증명했다. 증명 크기는 작업별 약 599~600KiB였고 검증시간은 11~13밀리초였다. 이 결과가 다른 CPU나 모바일, 브라우저에서도 그대로 나온다는 뜻은 아니다.
기본판은 15개 작업에서 증명 처리량 기준 SP1 Hypercube보다 24~66배, Jolt-Dory보다 12~37배, Jolt-Akita보다 6~20배 높았다. 기하평균 격차는 각각 약 39배, 18배, 9.6배였다. 그러나 보안 수준은 Magnetar 120비트, SP1 Hypercube와 Jolt-Dory 약 100비트, Jolt-Akita 전체 약 122비트로 같지 않다. 지원 명령어와 사이클 정의, 실행시간에 포함한 단계와 최적화 조건도 달라 완전히 동일한 조건의 일대일 대결로 볼 수 없다. 각 시스템에 유리한 실행 길이를 적용한 세 작업에서는 Jolt-Dory 대비 우위가 6.4~14.2배, Jolt-Akita 대비 3.6~8.6배로 줄었다.
증명 크기와 검증시간에서도 장단점이 갈렸다. 작업별 최대값을 비교하면 Magnetar의 증명은 599KiB로 SP1 Hypercube의 2,766KiB보다 약 4.6배 작았지만, Jolt-Dory의 89KiB와 Jolt-Akita의 91KiB보다는 약 6~7배 컸다. 최대 검증시간도 Magnetar는 13밀리초로 Jolt-Dory의 61밀리초와 SP1 Hypercube의 63밀리초보다 짧았지만, Jolt-Akita의 8밀리초보다는 길었다. 네트워크 전송량과 저장비용이 중요한 환경에서는 약 600KiB의 증명이 약점이 될 수 있다.
최적화판 Magnetar(opt)는 기본판과 별개로 초당 950만~1,280만 사이클을 기록했다. 기본판보다 작업별 1.15~1.50배, 기하평균 1.32배 빨랐고, 15개 작업의 최대 검증시간은 10.7밀리초였다. 최대 피크 메모리는 4.0GiB로 기본판보다 36~40% 적었다.
계산이 맞다는 증명과 현실이 맞다는 증명은 다르다
범용성에는 비용도 따른다. RV64I로 직접 구현한 ERC-20 전송 로직은 초당 111,236건을 증명했지만, 소형 EVM 인터프리터 안에서 실행했을 때는 초당 21,665건으로 약 5분의 1 수준이었다. 이 시험은 서명 검증과 Keccak 머클 경로 검증을 제외한 토큰 로직이므로 실제 이더리움 거래 처리량으로 해석할 수 없다.
실행이 길어지면 자원 부담도 커졌다. 특정 ERC-20 혼합 블록 작업을 2의 16제곱에서 2의 22제곱 사이클로 64배 늘리자 피크 메모리는 0.2GiB에서 6.4GiB, 증명 크기는 380KiB에서 598KiB, 검증시간은 8밀리초에서 12밀리초로 늘었다. 증명 생성시간은 35밀리초에서 547밀리초가 됐다. 2의 24제곱 사이클에서는 최대 25GiB가 측정됐다. 장시간 실행을 여러 조각으로 나누고 검증기 자체를 다시 증명해 합치는 재귀 결합 방법도 제안했지만 아직 구현되지는 않았다.
암호학적 증명이 보장하는 범위에도 경계가 있다. 급여 프로그램이 입력된 근무시간에 따라 규칙대로 급여를 계산했다는 사실은 증명할 수 있지만, 입력된 시간이 실제 근무시간인지는 알려주지 못한다. 마찬가지로 입력 데이터의 진실성, 컴파일러의 정확성, 센서 측정의 신뢰성, 프로그램이나 정책 자체의 타당성은 별도 검증 대상이다.
Magnetar의 의의는 모든 계산을 12밀리초에 처리했거나 가장 작은 증명을 만들었다는 데 있지 않다. 범용 RV64I 실행, 표준 해시 기반 포스트양자 보안, 고성능 노트북 CPU에서의 빠른 증명 생성을 한 시스템에서 함께 겨냥했다는 점에 있다. 현재 확인된 자료는 마이크로소프트 측의 설계·구현·평가를 담은 기술논문과 프리프린트다. 전용 공개 코드 저장소와 독립 재현, 외부 보안 감사, 동료심사 완료는 확인되지 않았다. 실제 제품 적용 가능성을 판단하려면 재귀 결합의 구현, 영지식 성질의 명확한 검증, 다양한 환경에서의 재현이 뒤따라야 한다.
자료: 마이크로소프트 리서치, 과학기술정보통신부, 한국인터넷진흥원