AI에 질문했을 때, 응답만 보고 실제로 어떤 모델이 답했는지 확인하기는 어렵다. 중간의 라우팅 서비스가 비용을 이유로 다른 모델을 연결하거나, 공격자가 토큰을 바꿔치기해도 결과만으로는 알아채기 힘들다. Anthropic은 이런 문제를 해결하기 위한 연구용 프로토타입 FlashProve를 공개했다. 모델의 가중치를 공개하지 않고도, 특정 응답이 약속된 모델에서 생성됐는지 암호학적으로 검증하는 것이 목표다.
응답에 붙는 암호학적 증명
FlashProve는 zkSNARK라는 암호학적 증명 방식을 사용한다. 제공자는 먼저 모델 가중치의 짧은 지문에 해당하는 커밋먼트를 공개하고, 이후 각 응답에 해당 모델이 주어진 입력에서 그 토큰을 생성했다는 증명 파일을 붙인다. 검증자는 모델 가중치를 받거나 직접 모델을 실행하지 않고도, 커밋먼트와 입력, 응답을 이용해 증명을 확인할 수 있다. 증명은 가중치나 계산 중간값, 각 층에서 선택된 전문가 정보를 드러내지 않지만, 모델 구조까지 감추지는 않는다.
검증이 필요한 상황
이 기술은 모델 제공자가 주장한 모델을 실제로 서비스하는지 확인하고 싶은 고객에게 도움이 될 수 있다. 독립 평가자는 출시 전후에 평가한 모델과 실제 응답을 만든 모델이 같은지 확인할 수 있고, 규제기관은 일정 기간의 요청이 승인된 모델에서 처리됐는지 검사할 수 있다. 하드웨어 사용을 추적해 AI 개발 속도를 관리하려는 경우에도 추론 요청의 증명을 요구할 수 있다. 다만 추론 증명만으로 해당 하드웨어가 다른 곳에서 학습에 쓰이지 않았다는 사실까지 입증할 수는 없다.
대형 모델에서 측정한 성능
Anthropic은 400B 매개변수의 혼합 전문가 모델 Llama 4 Maverick으로 FlashProve를 측정했다. 토큰당 약 17B 매개변수가 사용되는 이 모델의 4비트 가중치를 대상으로, 단일 H100 GPU에서 초당 약 110토큰의 증명을 생성했고, 1,024토큰 요청 하나당 증명 크기는 약 19MB였다. 증명 생성에는 vLLM으로 같은 요청을 처리하는 것보다 GPU 시간이 약 70~95배 더 들었다. 검증은 GPU 없이 CPU에서 가능했으며, 24코어 기준 약 17초, 단일 스레드에서는 약 21초가 걸렸다.
설계와 공개 자료
모델 커밋먼트는 모델마다 오프라인으로 한 번 생성하며 약 39분이 걸린다. 기술적 제약 때문에 한 커밋먼트는 약 1,600만 요청에 사용할 수 있고, 그 이후에는 다시 커밋해야 한다. 온라인 증명 단계는 24개 요청을 묶어 처리하며, 이때 약 223초가 걸렸다. 시스템은 혼합 전문가 모델에서 실제로 활성화된 전문가의 계산에 비례해 작업량을 줄이고, 층별로 가중치를 나눠 한 대의 GPU 메모리에 맞춘다. Anthropic은 기술 보고서, 프로토콜 명세, 증명 생성기, C++ 검증기, Lean으로 작성한 검증기와 수학적 보안 주장에 대한 증명을 Apache 2.0 라이선스로 공개했다.
형식 검증이 주는 보장과 빈틈
Lean 형식 검증으로 증명의 완전성, 위조 증명에 대한 안전성, 가중치 비공개 성질을 기계적으로 확인할 수 있도록 했다. 다만 형식화한 보안 주장이 의도한 의미와 맞는지는 사람이 검토해야 하며, 빠른 C++ 실행 코드가 Lean으로 정의한 프로토콜과 정확히 일치한다는 보장도 제공하지 않는다. 일상적인 검증에는 C++ 검증기를 사용할 수 있지만, 형식적 보장은 Lean 검증기에 한정된다. 증명 생성기가 가중치를 실제로 숨기는지도 별도로 감사해야 한다.
현재 한계
FlashProve는 연구용 프로토타입이며, 최대 1,024토큰 문맥만 증명한다. 증명은 공개된 가중치의 정수 연산 버전과 탐욕적 디코딩을 대상으로 하므로, 부동소수점 구현이나 샘플링 디코딩의 응답이 항상 일치하지는 않는다. 정수 모델은 일반적으로 부동소수점 추론과 작은 오차 범위에서 일치할 것으로 예상되고 실험적으로도 확인됐지만, 적대적으로 설계된 프롬프트까지 포괄하지는 않는다. 증명 생성 시간 같은 부채널이 가중치 정보를 드러낼 가능성도 이번 연구 범위 밖이며, 모델 구조를 숨기는 기능은 향후 과제로 남았다.
정리
FlashProve는 모델의 가중치를 공개하지 않고도 응답이 특정 모델에서 나왔는지 확인하는 방법을 제시한다. Llama 4 Maverick 실험에서 초당 약 110토큰으로 증명을 만들었고, CPU로 수초에서 수십 초 안에 검증할 수 있었다. 현재 성능에는 일반 추론보다 큰 계산 비용이 따르고, 문맥 길이와 모델 실행 방식에도 제한이 있다. Anthropic은 이를 완성된 연구 결과가 아닌 공개 검토와 개선을 위한 중간 성과로 소개했다.