앤트로픽, 내부 토큰 서명으로 무결성 이상 1건 포착

앤트로픽(Anthropic)은 특정 모델 가중치에서 나온 출력인지 확인하는 시제품을 실제 추론 환경에 적용했다. 내부 토큰 트래픽 전체에 서명을 적용해 무결성 이상 한 건도 포착했다.

앤트로픽은 10월 19일 공개한 안전 로드맵 업데이트에서 이 이상 사례가 “극히 드물고 무해한” 경우였다고 밝혔다. 공개된 성과는 실제 추론 환경에서 작동하는 시제품과 내부 트래픽에 적용한 서명 조치다.

공개 설명은 이용자 요청에도 같은 절차를 적용하는지, 출력과 가중치를 어떤 방식으로 연결하는지는 구체적으로 밝히지 않았다. 내부 트래픽에 적용한 서명과 이용자 요청에 대한 검증은 구분해서 볼 필요가 있다.

회사는 기존 ‘증명 가능한 추론(provable inference)’ 대신 ‘추론 검증(inference verification)’이라는 용어를 쓰기로 했다. 토큰 흐름의 무결성을 확인하는 방법은 여러 가지이며, 기존 명칭은 가능한 접근을 좁게 보이게 할 수 있다는 설명이다.

특정 가중치에서 출력이 나왔는지 확인하는 일은 답변 내용의 사실성을 평가하는 일과 다르다. 모델의 계산 출처를 확인해도 답변이 참인지까지 보장되는 것은 아니다.

본지는 앞서 시제품 개발 목표 시점이 9월 30일이라고 보도했다. 이번 업데이트에는 목표 제시 이후 시제품을 실제 추론 환경에 적용하고 내부 토큰 서명을 시행한 진전이 담겼다.

앤트로픽은 모델 훈련 이후 시스템 침입으로 가중치가 바뀔 위험을 염두에 두고 이 연구를 진행해 왔다. 이번에 공개된 서명 조치는 내부 토큰 흐름의 무결성을 점검하는 데 쓰였다.

업데이트에는 ‘FlashProve’라는 시스템명이나 라마 4 매버릭(Llama 4 Maverick), H100 한 대에서 초당 110토큰을 증명한다는 성능 수치가 나오지 않는다. 이 명칭과 수치를 앤트로픽 시제품의 기술이나 성능으로 소개할 근거는 공개 업데이트에서 확인되지 않는다.

메타(Meta)는 라마 4 매버릭을 활성 파라미터 170억개, 전체 파라미터 4000억개인 모델로 설명했다. 메타는 라마 4 스카우트(Llama 4 Scout)가 INT4 양자화 조건에서 H100 GPU 한 대에 들어간다고 밝혔다.

메타는 매버릭에 대해서는 단일 H100 DGX 호스트에서 실행할 수 있다고 설명했다. 호스트를 GPU 한 대로 바꾸어 쓰면 장비 구성이 달라진다.

다른 연구팀의 측정치도 앤트로픽 시제품의 처리량으로 볼 수 없다. SASH는 2026년 9월 자체 실험에서 라마 3.1 8B의 입력 4096토큰과 출력 512토큰을 H100 한 대로 증명하는 데 증명 루프 기준 1.02시간이 걸렸다고 보고했다.

SASH 연구팀은 해당 시제품이 아직 프로덕션 준비가 되지 않았고, 형식적 의미의 영지식증명에도 이르지 못했다고 밝혔다. 이 측정은 앤트로픽의 시제품이 아닌 SASH의 자체 시스템을 대상으로 했다.

Attestable은 별도 실험에서 젬마 4 31B(Gemma 4 31B)의 증명 처리량을 H100 한 대 기준으로 제시했다. 배치 1·길이 1만6000토큰에서는 초당 53토큰, 배치 4·길이 4000토큰인 네 시퀀스의 합계는 초당 77토큰이었다.

Attestable의 수치는 자체 초기 측정치로, 모델과 조건이 앤트로픽 시제품과 다르다. 따라서 이 결과로 앤트로픽의 처리 성능을 확인할 수는 없다.

앤트로픽의 공개 업데이트에는 온체인 검증이나 블록체인 배포, 토큰 연동 계획이 담기지 않았다. 공개된 진전은 모델 출력의 출처를 점검하는 시제품과 내부 토큰 서명 조치다.