Mythos는 양자 후 암호화를 약화시켜 100,000만 달러의 보상을 받았습니다.

암호화 기술의 작동 원리를 간단히 설명하자면, 아주 똑똑한 사람들이 수학적 체계를 제안하고, 또 다른 아주 똑똑한 사람들이 몇 년 동안 그 체계를 해독하려고 노력하다가 실패하면, 우리 모두가 그 암호화 방식을 통해 돈을 송금하기로 합의하는 것입니다. 그게 전부입니다. 그게 바로 암호화 메커니즘이죠. AES가 안전하다는 증거는 없습니다. 단지 25년 동안 세계 최고의 암호 해독가들이 AES를 해독하려고 시도했지만 대부분 실패했고, 우리는 이러한 지속적인 실패를 안전의 증거로 받아들이기로 집단적으로 결정했을 뿐입니다. 솔직히 말해서, 저는 제 아파트 건물의 구조 설계를 평가할 때도 같은 방식을 사용합니다.

이러한 방식의 경제적 측면은 항상 다소 특이했습니다. 암호 해독은 하나의 직업입니다. 박사 학위를 받고, 박사후 연구원으로 일하며, 3년 동안 특정 문제에 매달립니다. 운이 좋으면 아무도 사용하지 않는 암호 버전에 대한 다른 사람의 공격 난이도를 4분의 1로 줄이는 데 성공할 수 있습니다. 공격의 공급은 암호 해독가의 공급에 의해 제한되고, 이는 다시 훨씬 더 많은 돈을 받고 다른 일을 하는 대신 이 일을 하려는 사람들의 수에 의해 제한됩니다.

7월 28일, Anthropic은 자사의 Claude Mythos Preview 모델이 두 가지 새로운 암호 분석 결과를 도출했으며, 각각의 결과에 약 10만 달러 상당의 API 크레딧이 사용되었다고 발표했습니다. 저는 이 숫자에 대해 잠시 생각해 보고 싶습니다. 기술적인 결과도 흥미롭지만, 이 숫자 자체가 핵심이기 때문입니다.

결과를 간략하게 정리하면 다음과 같습니다.

두 개가 있는데, 둘 다 사용하는 기기를 고장내지 않습니다.

첫째, HAWK는 양자 컴퓨터가 결국 무력화시킬 서명 알고리즘을 대체하기 위해 진행 중인 NIST의 양자 후 암호화 경진대회에 제출된 디지털 서명 방식입니다 . HAWK는 3차 심사 후보이며, 2년에 걸쳐 두 차례의 전문가 검토를 통과했습니다. 이것이 바로 이 과정의 핵심입니다. 공개하고, 모두가 공격하도록 허용한 다음, 어떤 방식이 살아남는지 확인하는 것입니다.

Mythos는 HAWK가 사용하는 특정한 수학적 격자에서 대칭성을 발견했는데, 이를 "비자명 자기동형사상"이라고 합니다. 이 용어는 있는 그대로 옮기는 것이며, 자세한 설명은 생략하겠습니다. 이전 연구에서는 이러한 대칭성이 존재하고 효율적으로 발견될 수 있다면 HAWK의 성능이 저하될 것이라는 사실이 입증되었습니다. 하지만 실제로 존재하는지는 아무도 몰랐습니다. 그리고 Mythos는 약 60시간 만에 이를 찾아냈습니다.

이로 인해 HAWK의 유효 키 크기가 절반으로 줄어듭니다. HAWK-256 키를 복구하는 데 약 2⁶⁴번의 연산이 필요하다고 알려져 있었지만, Anthropic은 2³⁸번의 연산만 필요로 한다는 것을 보여줍니다. 여전히 지수적인 증가이며, HAWK에만 특화된 문제이고, 다른 격자 암호화 방식에는 영향을 미치지 않습니다. 키 크기를 두 배로 늘리면 해결할 수 있지만, 키 크기를 두 배로 늘리면 HAWK를 선호했던 대부분의 이유가 사라지게 됩니다. 이는 암호학계에서 "환자는 살릴 수 있지만, 더 이상 환자가 아니게 된다"는 말과 같습니다.

두 번째로, AES-128은 10라운드로 구성됩니다. Mythos는 공격자가 2¹⁰⁵개의 선택 평문을 암호화할 수 있다는 위협 모델을 기반으로 7라운드 버전에 대한 공격을 개선했습니다. 이 정도의 데이터 양은 "불가능한" 수준이라고 할 수 있습니다. Mythos는 중간자 공격에서 2⁵⁶개의 추측 단계를 제거하여 전체 속도를 200~800배 향상시키는 Möbius Bridge라는 기술을 개발했습니다. 실제 AES 자체는 안전합니다. 암호학자들은 라운드 수를 줄인 공격을 통해 전체 암호의 안전 마진을 추정하는데, 이번 공격은 그 마진을 약간 좁힙니다.

Anthropic은 6월에 HAWK 저자들에게 정보를 공개했고, NIST의 공개 메일링 리스트와 협력했으며, 정부와 업계에 브리핑을 하고, 두 논문과 데모 코드를 배포했습니다. 이는 정말 훌륭한 행동이며, 다른 이야기를 하기 전에 이 점을 먼저 언급하고 싶습니다.

모델이 원하지 않았던 부분

연구원이 처음 Mythos에게 AES를 제안했을 때, Mythos는 거절했습니다. 안전상의 이유 때문이 아니었습니다. Mythos는 그 프로젝트 자체가 어리석다고 생각했습니다. " AES-128 r5/r6은 정말 어렵고 쉽게 찾을 수 있는 것이 하나도 없다. 이것은 현존하는 블록 암호 중 가장 많이 연구된 암호다 ."라고 썼는데, 이는 제가 아무리 강조해도 지나치지 않은, 정확한 견해입니다 . 제대로 훈련된 암호학자라면 그렇게 말할 것이고, 저 또한 그렇게 말할 것입니다. Mythos 모델은 인간이 AES에 대해 쓴 모든 글을 읽으면서 AES를 공격하는 것은 3년을 허비하고 아무것도 발표하지 못하는 지름길이라는 것을 학습했습니다.

그래서 연구원은 메모를 보냈고, 앤트로픽은 오타를 그대로 남겨둔 채 그 메모를 게시했습니다.

"모델들은 문제를 해결하는 것이 불가능하다고 생각하는 경향이 있어서 시도조차 하지 않습니다. 상당한 자극이 필요합니다."

그리고 나서 3일 동안 세 개의 메시지가 더 왔는데, 모두 하키 코치가 경기 중간 휴식 시간에 기록하는 내용이었습니다. 우리는 새로운 공격 방식을 찾아야 합니다. 공개할 만한 가치가 있는 무언가를 찾아야 합니다. 손쉬운 먹잇감을 찾는 게 아닙니다. 그 사이에 모델은 수억 개의 자율 작업 토큰을 생성했고, 최종적으로는 10억 개에 달했으며, 결국 뫼비우스의 다리에 도달했습니다.

이건 정말 웃기기도 하지만 약간 불안하기도 하네요. 25년 동안 축적된 암호 해독 문헌을 아우를 수 있는 시스템의 가장 큰 제약은, 시도해 보는 것 자체가 무의미하다는 지극히 합리적인 믿음을 우리로부터 그대로 흡수했다는 점입니다. 해결책은 문법 오류가 섞인 격려를 무료로 제공하는 것이었죠. 우리가 "능력"이라고 불러왔던 것의 상당 부분이 사실은 용기였고, 그 용기는 마치 누군가에게 그냥 넘겨줄 수 있는 것처럼 보이는군요.

숫자

결과 하나당 100,000만 달러. 그것도 두 번. 박사후 연구원 연봉보다도 적습니다. 중간 규모 학회에서 제공하는 케이터링 비용보다도 적죠. 암호학 업계에서는 시리즈 A 투자 유치에 있어서는 그야말로 오차 범위 안에 불과합니다. 하지만 그 돈으로 얻을 수 있는 건 암호학자 이력서에서 가장 강력한 경력 사항이 될 만한 결과입니다.

지적 노동의 한 범주에 정가가 책정되면 해당 시장은 재편성되는데, 기존 업체에 유리하게 재편성되는 경우는 드뭅니다. 앤트로픽은 또한 AES를 자율적으로 공격할 수 있는 시스템을 구축한 후, 호기심에 동일한 시스템을 HAWK에 적용하여 독립적으로 해당 취약점을 재발견할 수 있는지 확인해 보았다고 거의 스쳐 지나가듯 언급합니다. 그리고 실제로 재발견이 가능했습니다. 따라서 100,000만 달러는 하나의 결과를 사는 것이 아닙니다. 결과를 만들어내는 기계를 사는 것이며, 그 기계는 목표물을 가리지 않습니다. 이제 제가 실제로 중요하게 다룰 내용으로 넘어가겠습니다.

검증이 새로운 병목 현상입니다.

미소스는 AES 공격을 발견하는 데 약 일주일이 걸렸습니다. 반면 앤스롭픽의 연구원 두 명은 공격이 사실임을 확신하는 데 약 한 달, 수백 시간이 걸렸습니다.

그 비율이 바로 미래의 전부입니다. 암호화 방식 발견은 저렴해졌지만, 검증은 그렇지 않았습니다. HAWK 결과는 엔드 투 엔드 방식으로 작동하기 때문에 더 신뢰할 수 있었습니다. 키를 생성하고, 공격을 실행하고, 키를 다시 받으면 더 이상 검증이 필요 없어지는 것이죠. 반면 AES 결과는 하나의 논증에 불과하며, 논증은 그것을 이해하는 사람이 읽어야 합니다. 그런데 그런 사람은 수백 명 정도밖에 되지 않고, 그들은 바쁘며, 이 일에 대한 보수도 받지 못합니다.

앤트로픽(Anthropic)도 이와 같은 점을 지적하며, 해당 분야 전반에 대해서도 같은 말을 합니다. 인간 연구자들은 기계 출력 검증 과정에서 병목 현상을 겪을 수 있다는 것입니다. 우리는 이미 취약점 공개 분야에서 이러한 현상을 목격했습니다. 자동화된 버그 탐지 시스템이 유지보수 담당자들이 분류할 수 있는 속도보다 훨씬 빠르게 보고서를 생성하는 경우, 자원봉사자들이 운영하는 프로젝트의 실질적인 결과는 보안 강화가 아니라 받은 편지함 가득 차는 메일과 담당자의 이탈로 이어집니다. 동료 평가는 밤 11시에 지친 사람들이 담당하는 일종의 선물 경제와 같아서, 급증하는 수요를 감당할 여력이 없습니다.

네, 좋아요. 그럼 동전은 어떻게 하세요?

여기에는 비트코인과 관련된 내용은 없습니다 . 하지만 Anthropic이 "향후 연구" 항목에 나열한 내용을 주목해 보세요. ISO 표준 경량 암호인 LEA에 대한 실용적인 13라운드 공격을 통해 데스크톱에서 1시간 이내에 키를 복구할 수 있으며, 6라운드 Serpent에 대한 개선된 공격과 Salsa20, SHA-1, Poseidon에 대한 10배 미만의 성능 향상도 있습니다.

포세이돈은 영지식 인프라의 상당 부분을 뒷받침하는 해시 함수입니다. 10배 미만의 성능 향상은 심각한 문제는 아닙니다. 하지만 언어 모델이 영지식 생태계의 많은 부분이 의존하는 기본 요소와 함께 언급된 것은 이번이 처음이며, 앤트로픽은 이러한 결과가 초기 단계이며 향후 개선될 것으로 기대한다고 밝혔습니다.

더 중요한 점은 구조적인 문제입니다. NIST가 양자 컴퓨팅 기반 서명을 표준화하는 이유는 ECDSA가 충분히 강력한 양자 컴퓨터에 취약하기 때문이며, 비트코인 ​​측에서는 이에 대한 대응으로 현재 두 가지 초안을 내놓았습니다. 하나는 양자 컴퓨팅에 내성이 있는 출력 유형을 도입하는 BIP-360이고, 다른 하나는 제임슨 로프와 공동 저자들이 4월에 발표한 BIP-361로, 기존 서명 방식을 단계적으로 폐지하고 마이그레이션되지 않은 코인을 동결하는 내용을 담고 있습니다. 3월 기준으로, 해당 제안에 따르면 전체 비트코인의 3분의 1 이상이 공개 키를 노출한 주소에 보관되어 있습니다. BIP-361의 공동 저자 중 한 명은 합의가 이루어진 날부터 완전한 마이그레이션에 약 7년이 걸릴 것으로 추정했는데, 아직 합의는 이루어지지 않았습니다.

그래서 현재 대체 방안들이 선정되고 있는데, 최근 그 과정이 10만 달러 예산으로 주말 동안 진행된 모델보다 느리게 진행될 수 있다는 것이 입증되었습니다. 선정된 방안 중 하나를 채택해야 하는 체인점은 7년이라는 기한 내에 결정을 내려야 하며, 누구에게도 어떤 조치를 강요할 수 없습니다.

이 모든 것이 공황에 빠질 이유는 아니며, 정보 공개 규범은 자발적이라는 말은 더 이상 쓰고 싶지 않은 문장입니다. 앤스로픽은 옳은 일을 했고, 다른 모든 사람들에게도 이것이 가능하다는 것을 보여주었습니다. 1년 전만 해도 이러한 모델들은 간단한 암호조차 해독하지 못했습니다. 그런데 이제 그중 하나는 사실상 자기 자신을 믿으라는 지시를 받은 후 기존 연구 결과보다 더 나은 성과를 내고 있습니다.

아무도 설명하지 않은 보조금

제가 계속해서 다시 생각하게 되는 것은 바로 이것입니다.

AES는 수천 년 동안 전문가들의 검증을 거쳐 안전성이 입증되었기 때문에 안전합니다. 하지만 AES는 하나의 알고리즘일 뿐입니다. 세상은 수백 가지의 알고리즘으로 돌아갑니다. 자동차 키, 건물 출입증, 집 외벽에 설치된 스마트 미터에도 암호화 방식이 적용되어 있습니다. 정수장의 산업용 제어 장치, 컨테이너선의 위성 모뎀, 심장 박동기, 그리고 2011년에 인증받아 수명이 다하면 교체될 결제 단말기에도 암호화 방식이 사용됩니다.

이러한 암호들 중 거의 대부분은 25년 동안 적대적인 관심을 받지 못했습니다. 설계 검토와 표준 위원회만 거쳐 20년 동안 아무도 관심을 기울이지 않았습니다. 이는 태만이 아니었습니다. 경제적인 이유였습니다. 잘 알려지지 않은 암호를 공격한다는 것은 암호학자가 명성도 없고 논문 발표도 없는 목표물에 1년을 투자하는 것을 의미했기 때문에 아무도 시도하지 않았고, 결과적으로 암호는 안전하게 유지되었습니다. 우리는 무관심을 기반으로 한 보안으로 전 세계 인프라를 운영해 왔고, 이를 조용히 보안으로 기록해 왔습니다.

그 보조금은 인간의 주의력 부족에 대한 것이었고, 이제 철회될 것입니다. Anthropic의 LEA 결과는 바로 이러한 형태를 띠고 있습니다. ISO/IEC 29192-2 표준을 준수하는 경량 암호로, 저전력 장치용으로 설계되었으며, 대부분 검증되지 않았지만, 이제 모델이 사람이 필요로 하는 시간의 극히 일부만으로 부분적으로 공격했습니다. 24라운드 전체 버전은 아직 해독되지 않았으며, 이 결과는 예비적인 것입니다. 핵심은 범주입니다.

그리고 이 범주에는 심각한 비대칭성이 내재되어 있습니다. 암호화 방식에 대한 검토가 가장 덜 된 시스템일수록, 거의 필연적으로 패치가 가장 어렵습니다. 펌웨어, 임베디드 칩, 궤도상의 하드웨어, 인체 내 장치, 누구도 가동을 중단하고 싶어 하지 않는 건물 내 제어 장치 등이 여기에 해당합니다. 취약점 발견에는 이제 며칠이 걸리고 수십만 달러의 비용이 소요됩니다. 반면, 문제 해결에는 조달 주기가 걸리고 훨씬 더 많은 비용이 들며, 심지어 해결 자체가 불가능한 경우도 있습니다. 과거에는 이 두 가지 속도가 거의 비슷했지만, 이제는 더 이상 그렇지 않습니다.

여기서 중요한 것은 단순히 비밀 유지 문제가 아니라는 점입니다. 사람들이 오해하는 부분이 바로 그 점이죠. 암호화는 주로 인증을 담당합니다 . 은행이 본인임을 확인하고, 자동차가 올바른 키인지 확인하고, 기기가 소프트웨어 업데이트가 제조사에서 실제로 제공된 것인지 확인하는 데 사용됩니다. 개인정보 보호에 실패하면 정보가 유출되고, 인증에 실패하면 누군가 당신인 척할 수 있게 됩니다. 서명 체계가 불안정해지면 기밀성이 무너지는 것이 아니라, 시스템이 누구와 통신하는지 정확히 알 수 있는 능력이 무너지게 되는데, 이는 지난 30년간 구축된 거의 모든 시스템의 핵심적인 전제 조건입니다.

솔직히 말해서, 이러한 변화는 양날의 검과 같으며, 오히려 긍정적인 방향으로 더 큰 변화를 가져올 수도 있습니다. 암호를 공격하는 데 100,000만 달러가 든다면, 암호를 검증하는 데에도 100,000만 달러가 드는 셈입니다. 이제 전력 회사나 칩 제조업체, 표준화 기구는 자사 제품에서 해당 암호를 검증할 여력이 생겼습니다. 이전에는 암호학자를 고용할 여력이 없었기 때문에 불가능했던 일입니다. 앤스로픽은 이를 통해 오랫동안 숨겨져 있던 취약점들을 마침내 제대로 살펴볼 기회라고 주장하는데, 이는 분명한 사실입니다. 연구 결과를 발표하는 연구소에서 발견한 취약점은, 발표하지 않는 연구소에서 발견될 때까지 발견되지 않은 채로 남아 있는 취약점보다 훨씬 더 가치 있는 것입니다.

하지만 어느 쪽이 먼저 움직일지는 선택할 수 없고, 모델들도 독점적인 것은 아닙니다. 비슷한 역량과 예산을 가진 누군가가 NIST에 이메일을 보낼 계획이 없을 수도 있습니다. 앤스로픽은 이러한 점을 거의 노골적으로 드러내고 있습니다. 즉, 모델이 중요한 돌파구를 발견했을 때 세상은 어떻게 해야 하는지 묻고 , 자신들도 답을 모른다고 인정하는 것입니다.

이 이야기의 위안이 되는 버전은 암호화가 항상 적대적 검증을 통해 작동해 왔고, 검증자들이 더 빨라졌을 뿐이라는 것입니다. 아마도 맞는 말일 겁니다. 불편한 버전은 우리가 공격에는 비용이 많이 든다는 가정 하에 문명을 건설했지만, 그 가정을 무효화하고, 그에 따른 비용을 없애버렸으며, 이제 그 가치가 무엇이었는지 깨닫고 있다는 것입니다.