증명 속도 2~3배 높인 양자내성 ‘래티스 졸트’ 공개

안드리센호로위츠 크립토가 양자내성 암호를 적용한 오픈소스 영지식 가상머신(zkVM) ‘래티스 졸트(Lattice Jolt)’를 공개했다. 기존 버전보다 증명기와 검증기 처리 속도를 약 2~3배 높이고 증명 크기를 100KB 아래로 줄인 것이 핵심이다.

우 블록체인은 10일 래티스 졸트가 기존 타원곡선 기반 다항식 커밋 방식 ‘도리(Dory)’를 모듈러 SIS(Module-SIS) 가정에 기반한 ‘아키타(Akita)’로 교체했다고 전했다. 아키타는 투명한 설정과 양자내성 보안을 지원하는 격자 기반 다항식 커밋 방식으로 공개 저장소에 설명돼 있다.

아키타를 개발하고 래티스 졸트에 적용한 내용은 레이어제로의 양자내성 다항식 커밋 출시 사례와도 이어진다. 래티스 졸트는 아키타를 활용해 기존 구조의 성능과 보안 특성을 함께 바꾸는 방식이다.

zkVM은 특정 프로그램이 정해진 방식으로 실행됐다는 사실을 실제 입력 데이터 전체를 공개하지 않고 증명하는 기술이다. 개발자는 일반적인 프로그램을 작성한 뒤 실행 결과의 유효성을 검증할 수 있다.

안드리센호로위츠 크립토는 2024년 공개한 졸트를 RISC-V 기반 오픈소스 zkVM으로 설명해왔다. RISC-V는 래티스 졸트가 프로그램 실행을 처리하는 명령어 집합 구조다.

성능 수치도 제시됐다. 같은 맥북에서 래티스 졸트 CPU 버전은 초당 200만개를 넘는 RISC-V 사이클을 처리한다.

애플 메탈 기반 GPU 가속을 적용하면 처리량은 초당 1000만 사이클을 웃돈다. 증명기의 메모리 사용량은 사이클당 약 300바이트에서 200바이트로 줄었다.

증명 크기는 100KB 아래로 감소했다. 증명 크기가 작아지면 검증 과정에서 전달해야 할 데이터 부담을 줄일 수 있지만 실제 서비스 환경의 효율은 하드웨어와 프로그램 구성에 따라 달라질 수 있다.

아키타는 모듈러 SIS 가정에 기반한 격자 기반 방식이다. 기존 도리가 타원곡선 기반 구조를 사용했다면 래티스 졸트는 격자 기반 커밋 구조로 전환한 셈이다.

양자내성 암호는 양자컴퓨터가 등장했을 때 기존 암호 체계를 공격할 가능성에 대비하는 기술이다. 래티스 졸트는 128비트 수준의 양자내성 보안을 목표로 설계됐다.

안드리센호로위츠 크립토는 해시 기반 양자내성 SNARK와 비교해 격자 기반 방식이 속도와 증명 크기, 보안 측면에서 유리하다고 평가했다. 격자 SNARK가 주요 양자내성 SNARK 배포 방식이 될 수 있다는 전망도 제시했다.

다만 이 평가는 개발 주체의 분석이다. 독립적인 성능 비교 결과로 확인된 내용은 아니며, 실제 효율은 구현 환경과 검증 조건에 따라 달라질 수 있다.

공개 저장소에는 래티스 졸트가 현재 알파 단계이며 프로덕션 환경에는 적합하지 않다는 안내가 표시돼 있다. 따라서 이번 공개는 상용 서비스 출시보다 후속 개발을 위한 기술 공개에 가깝다.

안드리센호로위츠 크립토는 앞으로 래티스 졸트에 영지식 기능을 추가하고 해시 기반 졸트 버전도 개발할 예정이다. 양자내성 zkVM의 실제 배포 범위와 장기 성능은 후속 구현과 검증 결과를 통해 확인될 전망이다.