친구를 직접 만나면 얼굴을 보고 목소리를 듣고 악수를 하며 상대가 진짜인지 확인할 수 있다. 그러나 AI 모델과 대화할 때 사용자에게는 그런 단서가 거의 없다. 지금 우리가 어떤 모델을 지정해 질의하더라도, 돌아온 응답이 실제로 그 모델에서 나온 것인지 확인할 방법이 없다. 비용 절감을 위해 라우팅 서비스가 몰래 더 싼 모델로 바꿔치기했을 수도 있고, 공격자가 토큰 스트림을 변조했을 수도 있다. 출력물의 품질만 보고 판단하는 것은 신뢰할 수 없다. 앤트로픽이 공개한 연구 'Progress on provable inference'는 바로 이 공백을 암호학으로 메우려는 시도다.
증명 가능한 추론이라는 과제
핵심 개념은 '증명 가능한 추론(provable inference, PI)'이다. 연산 자원이 넉넉하지 않고 모델 가중치에 대한 정보도 전혀 없는 사용자가, 자신이 요청한 바로 그 모델에서 응답이 나왔다는 사실을 검증할 수 있게 하는 것이 목표다. 문제는 검증이 본질적으로 어렵다는 데 있다. 대부분의 프런티어 모델은 가중치를 비공개로 유지하며, 설령 가중치에 접근할 수 있다 해도 특정 응답이 그 가중치에서 나왔는지 확인하려면 모델을 직접 돌려야 한다. 이는 일반 사용자는 물론 독립 평가자조차 감당하기 어려운 연산 비용을 요구한다.
앤트로픽은 이 문제에 'zkSNARK(영지식 간결 논증, zero-knowledge succinct argument of knowledge)'라는 암호학 도구를 적용했다. zkSNARK는 어떤 연산이 올바르게 실행되었음을 짧은 '증명서'로 검증자에게 납득시키는 방식이다. 두 가지 성질이 핵심이다. 영지식(zero-knowledge)이란 증명서가 연산의 정확성 외에 아무 정보도 드러내지 않는다는 뜻으로, 모델 제공자의 독점 가중치가 노출되지 않는다. 간결성(succinctness)이란 증명된 연산 자체보다 검증이 지수적으로 빠르다는 뜻으로, 사용자는 특수 하드웨어 없이 CPU에서 몇 초 안에 수 메가바이트짜리 증명을 확인할 수 있다.
FlashProve의 성능 수치
이번 발표의 중심은 FlashProve라는 오픈소스 프로토타입이다. 앤트로픽은 4비트로 양자화한 4000억 파라미터 규모의 전문가 혼합(MoE) 모델 Llama 4 Maverick을 대상으로 실측치를 제시했다. H100 GPU 한 장으로 초당 100토큰 이상의 속도로 증명을 생성했고, 1024토큰 요청당 증명 크기는 약 19MB였다. 다만 같은 길이의 프롬프트를 처리하는 데 널리 쓰이는 오픈소스 라이브러리 vLLM과 비교하면 GPU 시간이 약 70~95배 더 들었다. 코드와 Lean 형식 증명, 프로토콜 기술 문서는 Apache 2.0 라이선스로 공개됐으며, 저자진에는 앤트로픽 외에 EPFL, StarkWare, MIT, Succinct 등의 연구자가 참여했다.
어디에 쓰이는가
앤트로픽이 제시하는 활용처는 보안과 규제 양쪽에 걸쳐 있다. 보안 측면에서는 추론 서버가 공격받아 가중치가 유출되거나 악성 응답이 끼어드는 상황, 혹은 더 강력한 모델이 약한 모델인 척 권한을 우회해 실행되는 상황을 막는 데 쓸 수 있다. 모든 응답에 특정 가중치 커밋먼트에 묶인 증명을 요구하면, 공격자는 기대되는 가중치에 대한 유효 증명을 만들어내지 못해 들통난다. 규제 측면에서는 사업자가 승인된 모델만 서빙하는지, 또는 하드웨어를 학습이 아닌 추론에 쓰는지를 감독기관이 모델 내부 정보를 보지 않고도 가볍게 검증할 수 있다. 특정 모델에 100만 토큰 이상을 투입했음에도 패치에서 버그를 찾지 못했다는 '실패 증명(Proof-of-Failure)'처럼, 들인 노력 자체를 입증하는 용도도 거론된다.
맥락과 한계
앤트로픽은 이 연구를 완결된 결과가 아니라 중간 진척으로 못 박는다. 자사 프런티어 안전 로드맵에서 2026년 9월 30일까지 증명 가능한 추론 프로토타입을 만들겠다고 공약했고, 그 목표 자체는 추론 트래픽에 서명하고 신뢰할 수 있는 서버에서 추론을 재계산하는 별개의 관련 프로젝트로 달성했다고 밝혔다. 이번 블로그의 작업은 같은 목적을 다른 방법으로 추구하는 시도다. 기존의 많은 연구가 제조사의 변조 방지 하드웨어에 신뢰를 거는 신뢰 실행 환경(TEE) 방식에 기댔던 반면, FlashProve는 계산 난제의 어려움에만 의존하는 소프트웨어 전용 접근을 택했다. 하드웨어와 소프트웨어 암호학은 보장 범위와 트레이드오프가 다른 상호 보완적 수단이다.
실무자 관점에서 이 기술을 당장 프로덕션에 올리기는 이르다. vLLM 대비 70~95배에 달하는 연산 비용은 범용 서빙에 그대로 쓰기 어려운 수준이며, 19MB짜리 증명을 모든 응답에 붙이는 것도 부담이다. 또한 앤트로픽 스스로 지적하듯, 하드웨어가 추론을 서빙한다는 사실은 증명하더라도 그 하드웨어가 뒤에서 학습을 돌리지 않는다는 점까지 보장하지는 못한다. 그럼에도 가중치를 전혀 드러내지 않으면서 '어떤 모델이 이 응답을 만들었는가'를 수학적으로 검증할 길을 실측 가능한 프로토타입으로 제시했다는 점에서, 모델 공급망 신뢰와 AI 규제 도구를 고민하는 이들이 눈여겨볼 만한 출발점이다. 앤트로픽이 코드를 전면 공개하며 '가져다 개선해 달라'고 명시한 것도 같은 맥락이다.