앤트로픽 FlashProve, 증명엔 GPU 72배 들지만 검증은 CPU로 17초면 끝난다

앤트로픽(Anthropic)이 11월 2일(현지시각) 공개한 연구용 프로토타입 FlashProve의 구체적인 작동 방식과 성능 수치가 드러났다. 이 시스템은 영지식 증명의 일종인 zkSNARK(영지식 간결 증명)를 사용한다. 앤트로픽은 EPFL·MIT·StarkWare 연구진과 함께 만들어 4,000억 파라미터급 전문가 혼합(MoE) 모델 라마 4 매버릭(Llama 4 Maverick)으로 시험했다. 대가는 컸다. 증명을 만드는 데 드는 GPU 시간이 일반 추론의 약 72배, 가장 무거운 부하에서는 약 94배에 달했다.

영지식 증명으로 ‘어떤 모델이 답했는지’ 확인한다

FlashProve가 겨냥하는 것은 ‘프로버블 인퍼런스(provable inference)’, 즉 특정 모델이 특정 응답을 생성했다는 암호학적 증명이다. 앤트로픽 연구 글의 제목은 “Progress on provable inference for large language models”다. 기술 매체 셔터드(Shattered)는 이를 호스팅 서비스 업체의 말을 믿는 대신 어느 모델이 답했는지 직접 확인하게 해 주는 개념이라고 소개했다.

작동 순서는 이렇다. 제공자가 모델 가중치(모델의 동작을 결정하는 내부 수치)에 대한 암호학적 약속값, 곧 ‘지문’을 먼저 공개한다. 가중치 자체는 숨겨진다. 이후 제공자는 “이 지문의 모델에 이 입력을 넣으면 이 출력이 나온다”는 증명을 만들고 사용자는 가중치를 내려받거나 모델을 다시 돌리지 않고 이를 검증한다. 크립토슬레이트(CryptoSlate)는 이더리움 레이어2에서 연산을 검증하는 데 쓰이는 영지식 증명 계열과 같은 기술군이라고 설명했다.

연구진이 꼽은 활용처는 두 가지다. 하나는 AI 기업이 비용을 줄이려고 몰래 더 싼 모델로 바꿔치기하거나 성능 결과를 부풀리려고 더 비싼 모델을 끼워 넣는 일을 막는 것이다. 다른 하나는 ‘프런티어급 사이버보안 모델이 취약점을 점검했다’ 같은 제3자의 주장을 확인하는 것이다. 연구진은 이런 주장을 사용자가 어떻게 검증할 수 있느냐고 물었다.

라마 4 매버릭으로 쟀더니 72배…최고 94배

시험 대상은 4,000억 파라미터 규모의 MoE 모델인 라마 4 매버릭이다. 셔터드에 따르면 연구진은 같은 모델을 FP8 정밀도로 H100 GPU 8장에서 돌리는 vLLM(추론 엔진)과 비교했다. 그 결과 GPU 한 장당 기준으로 여러 번 측정한 평균이 약 72배였고 가장 무거운 부하에서는 약 94배로 올랐다. 크립토슬레이트는 같은 벤치마크를 약 70~95배로 요약했다.

시연에는 4비트로 변환해 공개된 라마 4 매버릭이 쓰였고 증명 생성은 H100 GPU 한 장에서 이뤄졌다. 크립토슬레이트는 이 배율이 구독료 인상폭을 실측한 값이 아니라 벤치마크상의 연산 부담이라고 선을 그었다. 초당 110토큰이라는 처리량 수치도 요청당 1,024토큰 전체를 센 값이어서 해석에 주의가 필요하다고 전했다.

셔터드는 이 수치가 당장 서비스에 넣기 어려운 이유를 설명해 준다고 평가했다. 다만 이 정도 규모 모델에 대한 공개된 시도로는 의미가 있다는 시각도 함께 제시했다. 가격과 지연시간만 비교하는 호스팅 추론 업체 선택 과정에서는 어느 모델이 텍스트를 만들었는지 알 수 없다는 점이 배경이다.

검증은 CPU로 충분하다

증명 생성은 비싸지만 확인은 가볍게 설계됐다. 크립토슬레이트에 따르면 증명 크기는 요청당 약 19MB다. 검증은 GPU 없이 CPU만으로 가능하며 24개 스레드에서 17초, 스레드 1개에서 21초가 걸린다. 테크크런치도 검증을 사용자의 로컬 기기에서 할 수 있도록 가볍게 설계됐다고 전했다.

이 비대칭 구조가 핵심이다. 증명을 만드는 쪽이 비용을 부담하고 확인하는 쪽은 적은 자원으로 결과를 믿을 수 있다. 셔터드는 여기에 증명이 완전성(정직한 제공자는 참인 주장을 증명할 수 있다), 건전성(속이는 제공자는 거짓 주장을 증명할 수 없다), 영지식성(증명이 주장 외의 정보를 드러내지 않는다)이라는 세 성질을 갖는다고 정리했다. 구매자에게 중요한 것은 건전성이고 제공자에게 중요한 것은 가중치를 지키는 영지식성이다.

연구진은 이 기법이 제공자 자신을 속이는 시도에도 견디도록 설계됐다고 밝혔다. 테크크런치는 이메일의 암호화 서명이 보낸 사람을 확인해 주는 것과 비슷하다고 비유했다. 모델을 만들고 운영하는 연구소가 다른 모델을 내세우는 경우도 가려낼 수 있다는 설명이다.

증명해도 남는 한계와 상용화까지의 거리

크립토슬레이트는 FlashProve의 한계를 구체적으로 짚었다. 현재는 최대 1,024토큰 맥락을 다루는 연구용 프로토타입이다. 정확한 정수 연산을 쓰는 그리디(탐욕적) 계산이어서 일반적인 샘플링 응답과 결과가 다를 수 있다. 또 모델 신원 확인에는 신뢰할 수 있는 약속값이 필요하다. 저장소 설명에 따르면 이 ID는 검증 대상 서버나 증명 파일이 아니라 사용자가 신뢰하는 제3자에게서 받아야 한다. 임의의 지문에 대한 증명은 그 지문이 광고된 프리미엄 모델의 것임을 보장하지 않기 때문이다.

증명이 답의 진실성까지 보증하는 것도 아니다. 모델이 자기 연산을 충실히 수행하고도 사실과 다른 답이나 위험한 조언을 내놓을 수 있다. FlashProve가 확인하는 것은 검증 대상 출력 뒤의 연산이고 품질 평가는 별개의 일이다. 시연도 클로드 고객용 기능이 아니라 메타의 라마 4 매버릭으로 이뤄졌다.

공개 범위는 폭넓다. 셔터드에 따르면 앤트로픽은 증명기와 검증기 2종, 형식 증명, 프로토콜 명세를 아파치 2.0 라이선스로 풀었다. 검증기는 C++로 짠 빠른 버전과 증명 도구 린으로 작성한 버전이다. 코드는 깃허브에서 볼 수 있다. 연구는 계속 진행 중이며 앤트로픽이나 다른 연구소에 이를 도입할 계획은 없다.

연구진은 이 글이 완성된 연구 의제가 아니라 중간 진행 상황을 공유하는 것이라고 밝혔다. 연구진은 다른 사람들이 결과물을 보고 가져다 개선하길 바란다고 적었다. 가격과 상용 제공 여부, 고객 도입 계획은 발표되지 않았다.