"최대한 아무렇게나 숫자를 말해보라." Show HN에 올라온 'How random are you?'(rigged-draw)는 이 한 문장으로 요약되는 브라우저 실험이다. 사용자가 숫자를 하나씩 소리 내어 말하면, 말하기 직전에 브라우저 안의 예측기가 다음 숫자에 대한 추측을 먼저 '봉인'한다. 그리고 공항 안내판을 닮은 스플릿플랩(split-flap) 보드가 그 예측이 단순한 우연(chance)보다 얼마나 앞서 있는지를 실시간으로 보여준다. 설치도, 서버 전송도 없이 웹페이지 안에서 모든 판정이 끝나는 작은 장난감처럼 보이지만, 이 실험이 건드리는 주제는 보안과 통계 양쪽에 걸쳐 있다.
왜 사람은 무작위에 서툰가
이 도구가 흥미로운 이유는 결과가 거의 정해져 있기 때문이다. 사람에게 '무작위한 숫자 열'을 만들라고 하면, 대부분은 자신도 모르게 일정한 버릇을 드러낸다. 방금 말한 숫자를 피하려 하고, 같은 숫자를 연속으로 반복하는 것을 꺼리며, 고르게 흩뿌려야 한다는 강박 때문에 오히려 특정 간격을 반복한다. 이런 경향은 진짜 무작위에서는 나타나지 않는 규칙이다. 예측기는 바로 이 규칙성을 학습하거나 집계해 다음 입력을 좁혀 나간다. 입력이 쌓일수록 사람의 습관이 노출되고, 예측 적중률은 순수한 추측 확률보다 위로 벌어진다.
여기서 '우연보다 앞선다'는 표현이 핵심이다. 가능한 선택지가 N개라면 아무 정보 없이 찍었을 때 맞출 확률은 1/N이다. 예측기가 이 기준선을 꾸준히 넘어선다면, 그것은 입력에 통계적 구조가 남아 있다는 뜻이다. 스플릿플랩 보드가 보여주는 '기준선과의 거리'는 곧 사용자가 흘린 정보량의 시각적 표현인 셈이다. 자신은 제멋대로 말하고 있다고 느끼지만, 화면은 그 믿음이 틀렸다고 반박한다.
실무자에게 주는 함의
이 실험은 단순한 놀이 이상의 메시지를 담는다. 사람이 직접 만든 무작위성은 신뢰하기 어렵다는 보안 업계의 오랜 경고를, 누구나 몸으로 체감할 수 있게 번역한 것이다. 암호를 '머리로 지어낸' 숫자나 패턴으로 만들 때, PIN이나 2차 인증 코드의 베이스를 손으로 두드려 정할 때, 또는 추첨·샘플링을 사람의 직관에 맡길 때 어떤 편향이 끼어드는지를 이 보드는 직관적으로 드러낸다. 그래서 암호학에서 키와 난수는 반드시 운영체제나 하드웨어가 제공하는 CSPRNG(암호학적으로 안전한 난수 생성기) 계열에서 뽑아야 한다는 원칙이, 왜 '권고'가 아니라 '전제'인지 설득력을 얻는다.
개발자 관점에서 한 가지 더 짚을 지점은, 이 모든 판정이 브라우저 안에서 끝난다는 구조다. 발화는 음성 인식 혹은 입력을 거쳐 클라이언트 측 로직으로 처리되고, 예측도 로컬에서 봉인된다. 덕분에 입력 데이터를 외부로 보내지 않고도 '선예측 후검증'이라는 공정성 장치를 성립시킨다. 예측을 미리 고정해 두기 때문에 나중에 결과를 보고 끼워 맞추는 속임수가 불가능하다는 점은, 작게는 데모의 신뢰성, 크게는 커밋먼트(commitment) 방식 검증이라는 설계 패턴을 보여주는 사례이기도 하다.
한계와 읽는 법
다만 이 도구를 과대 해석하는 것은 경계해야 한다. 공개된 설명만으로는 예측기가 어떤 알고리즘을 쓰는지, 얼마나 많은 입력이 쌓여야 기준선을 넘는지, 어떤 조건에서 적중률이 흔들리는지가 구체적으로 제시돼 있지 않다. 입력 길이가 짧으면 통계는 요동치고, 사용자가 의도적으로 사전에 준비한 수열을 읊거나 외부 난수표를 참고하면 예측기는 쉽게 무력화된다. 즉 이 실험이 측정하는 것은 '사람이 즉흥적으로 만들어 내는 무작위성'이라는 매우 특정한 대상일 뿐, 인간 인지 전반의 결론으로 확장할 수 있는 성질은 아니다.
그럼에도 'How random are you?'는 추상적인 통계 명제를 몸으로 반증당하는 경험으로 바꾼다는 점에서 교육적 가치가 분명하다. 무작위성은 느낌이 아니라 성질이며, 사람의 직관은 그 성질을 재현하지 못한다는 사실을, 숫자 몇 개를 말해보는 것만으로 확인시켜 준다. 난수를 다루는 코드를 짜거나 보안 정책을 설계하는 실무자라면, 이 짧은 체험을 통해 '사람 손을 거친 무작위는 기본적으로 예측 가능하다'는 전제를 다시 한번 각인하는 편이 좋다.