증명 속도 2~3배 빨라진 양자내성 래티스 졸트 공개

안드리센호로위츠가 기존보다 증명·검증 속도를 2~3배 높이고 증명 크기를 100KB 미만으로 줄인 오픈소스 영지식 가상머신(zkVM) ‘래티스 졸트(Lattice Jolt)’를 공개했다.

안드리센호로위츠는 9일 기술 문서에서 기존 졸트의 구조를 유지하면서 타원곡선 기반 암호를 격자 기반 암호로 교체했다고 밝혔다. 다항식 커밋먼트 방식도 기존 ‘도리(Dory)’에서 모듈-SIS 가정에 기반한 ‘아키타(Akita)’로 바꿨다. 래티스 졸트는 128비트 보안 수준을 목표로 한다.

zkVM은 특정 프로그램이 가상머신에서 올바르게 실행됐다는 사실을 증명하는 시스템이다. 개발자는 복잡한 암호 회로를 직접 설계하지 않고 일반 프로그램을 작성한 뒤 실행 결과에 대한 증명을 생성할 수 있다.

성능 개선의 배경에는 필드 크기 차이가 있다. 기존 타원곡선 기반 졸트는 256비트 필드에서 작동했지만, 래티스 졸트는 비슷한 보안 수준을 128비트 필드에서 구현한다. 안드리센호로위츠는 같은 노트북에서 기존 곡선 기반 졸트의 처리량이 초당 약 70만 RISC-V RV64IMAC 사이클에서 100만 회 이상으로 늘었고, 래티스 졸트는 초당 200만 회를 넘겼다고 설명했다.

애플 맥북에서는 메탈 GPU 가속을 적용한 래티스 졸트가 초당 1000만 회 이상의 사이클을 증명했다. CPU만 사용했을 때도 초당 200만 회 이상을 기록했으며, 증명자 메모리 사용량은 사이클당 약 300바이트에서 200바이트로 줄었다고 안드리센호로위츠는 밝혔다.

증명 크기는 100KB 미만으로 제시됐다. 비교 대상으로 언급된 다른 양자내성 zkVM의 증명 크기는 200KB 초과에서 약 600KB 이상이다. 증명 크기가 작아지면 블록체인 기록이나 네트워크 전송 과정의 데이터 부담을 낮출 수 있다.

레이어제로는 같은 날 아키타의 증명 크기를 애플리케이션에 따라 65~80KB로 제시했다. 아키타를 적용하면 졸트의 증명 시간이 2~3배 줄고 메모리 사용량이 약 절반으로 감소한다고 밝혔다. 해당 수치는 레이어제로 자체 설명이며 안드리센호로위츠의 100KB 미만 수치와 동일한 환경에서 측정됐는지는 확인되지 않았다.

서울대학교 컴퓨터공학부가 6월 24일 공개한 세미나 자료는 128비트 필드와 특정 실험 조건에서 아키타의 증명 크기 106KB, 증명 시간 2.5초, 검증 시간 20밀리초를 제시했다. 같은 자료는 아키타를 졸트에 통합할 경우 기존 타원곡선 기반 버전보다 증명 시간이 3배 빨라질 것으로 기대했다. 이는 연구 벤치마크와 기대치로 실제 메인넷 운영 성과를 의미하지 않는다.

격자 기반 암호는 양자컴퓨터 공격에 대비하는 암호 전환 과정에서 활용되는 방식이다. 미국 국립표준기술연구소(NIST)는 2024년 양자내성암호 표준으로 격자 기반 ML-KEM과 ML-DSA, 해시 기반 SLH-DSA를 확정했다. 다만 아키타가 NIST 표준 알고리즘 자체라는 뜻은 아니다.

이번 공개는 레이어제로와 안드리센호로위츠가 다항식 커밋 계층을 격자 기반으로 교체한 앞선 공개의 후속 전개다. 안드리센호로위츠는 래티스 졸트에 영지식 기능을 추가하는 동반 논문을 공개할 예정이라고 밝혔다. 실제 모바일·메인넷 배포와 장기 암호 분석 결과는 후속 공개를 통해 확인될 예정이다.