초당 1000만 사이클 래티스 졸트, 아직 알파 단계

영지식 가상머신(zkVM) ‘졸트(Jolt)’가 기존 타원곡선 기반 다항식 커밋 방식을 격자 기반 구조로 교체하면서 후양자 보안과 증명 성능 개선을 함께 제시했다. 다만 공개 저장소에는 졸트가 아직 알파 단계로 표시돼 실제 서비스 적용까지는 추가 검증이 필요하다.

안드리센호로위츠 크립토는 기술 문서에서 졸트의 다항식 커밋 방식을 ‘도리(Dory)’에서 격자 기반 ‘아키타(Akita)’로 바꿨다고 밝혔다. 아키타는 Module-SIS 가정을 기반으로 하며 128비트 보안 수준을 목표로 한다.

다항식 커밋은 계산 결과를 직접 공개하지 않고도 해당 계산이 올바르게 수행됐는지를 증명하는 기술이다. 졸트는 RISC-V 프로그램의 실행 결과를 영지식증명으로 검증하는 구조를 사용한다.

이번 변경은 졸트의 핵심 증명 구성요소 일부를 양자컴퓨터 공격에 대응할 수 있는 암호 가정으로 교체한 것이다. Module-SIS와 같은 계열의 가정은 미국 국립표준기술연구소(NIST)가 표준화한 양자내성 서명 방식 ML-DSA와 키 설정 방식 ML-KEM에도 활용된다.

성능 개선 폭은 하드웨어와 암호 구조에 따라 달랐다. 기존 곡선 기반 졸트는 같은 노트북에서 초당 100만 회를 넘는 RISC-V RV64IMAC 사이클을 증명했고, 래티스 졸트는 초당 200만 회를 넘겼다.

애플 메탈을 활용한 맥북 GPU 환경에서는 래티스 졸트가 초당 1000만 회 이상의 사이클을 처리했다. 같은 맥북에서 메탈을 적용한 곡선 기반 졸트도 초당 약 400만 회까지 작동해, ‘기존 대비 3배’라는 표현은 CPU와 GPU 조건을 나눠 해석해야 한다.

속도 개선의 배경으로는 필드 크기가 제시됐다. 타원곡선 방식이 256비트 필드에서 작동하는 데 비해 격자 기반 구조는 유사한 보안 수준을 128비트 필드에서 달성할 수 있어 필드 원소 곱셈 비용을 줄였다는 설명이다.

다만 해당 비교는 특정 구현과 하드웨어를 사용한 자체 벤치마크다. 다른 zkVM이나 작업 환경에서도 같은 배수의 성능 개선이 재현된다고 단정할 수는 없다.

증명 크기는 100KB 미만으로 제시됐다. 서울대학교 컴퓨터공학부의 아키타 세미나 자료는 128비트 필드와 2^26 규모 다항식을 M4 맥스에서 처리한 별도 실험에서 증명 크기 106KB를 기록했다.

두 수치는 구현과 실험 조건이 다르다. 따라서 100KB 미만이라는 수치는 안드리센호로위츠 크립토가 설명한 조건의 결과로, 106KB는 별도 벤치마크 값으로 구분해야 한다.

아키타 개발에는 레이어제로 연구진과 엔지니어들이 참여했으며 카네기멜론대학교, 서던캘리포니아대학교, 안드리센호로위츠 크립토 연구진이 협력했다. 레이어제로는 아키타를 다른 영지식증명 시스템에도 적용할 수 있는 오픈소스 기본 기술로 소개했다.

레이어제로는 아키타를 ‘production-ready’ 기술로 설명했다. 반면 안드리센호로위츠의 졸트 공개 저장소는 졸트를 알파 단계로 표시하며 현재 프로덕션 사용에는 적합하지 않다고 명시한다.

이에 따라 이번 발표는 후양자 zkVM의 구성요소와 성능을 시험한 기술 공개로 보는 편이 타당하다. 기술 공개와 실제 블록체인 서비스 배포, 보안 검증은 별도 단계이기 때문이다.

본지의 앞선 래티스 졸트 보도에서도 기존 도리를 아키타로 교체하고 증명 속도와 크기를 개선한 내용이 소개됐다. 이번 자료는 CPU와 GPU 환경별 성능 차이와 아키타의 상용화 단계에 초점을 맞췄다.

안드리센호로위츠 크립토는 졸트에 영지식성을 추가하는 후속 논문을 공개할 예정이라고 밝혔다. 구체적인 공개 시점은 제시되지 않았으며, 실제 블록체인 네트워크와 모바일 환경에서의 지속 성능은 후속 논문과 독립 벤치마크를 통해 확인될 예정이다.