Ben Greenberg 작성

모델 API를 호출할 때, 당신은 제공자가 당신이 요청한 모델을 실행할 것이라고 믿습니다. 양자화된 변형(quantized variant)이 아니라 말이죠. 부하가 급증할 때 라우팅되는 더 저렴한 대체 모델도 아닙니다. 당신은 토큰을 확인할 수 있고, 출력값의 차이(diff)를 비교할 수 있습니다. 하지만 당신이 할 수 없는 것은 GPU를 통해 흐르는 바이트가 당신에게 약속된 모델의 바이트인지 검증하는 것입니다.

Offchain Labs의 2026년 3월 논문인 Towards Verifiable AI with Lightweight Cryptographic Proofs of Inference는 해당 질문의 추론(inference) 부분에 대한 구체적인 해답을 제시하며, 쿼리당 약 15분 정도 걸리던 증명 생성 시간을 밀리초(milliseconds) 단위로 단축시킵니다. 이 해답의 방향은 Arbitrum이 어떻게 작동하는지 생각해 본 사람이라면 익숙하게 느껴질 것입니다.

우리가 이미 받아들인 신뢰의 격차

토큰당 과금 방식은 속임수를 쓰려는 경제적 유인을 만듭니다. 7B 파라미터 모델을 서비스하는 것이 70B 모델을 서비스하는 것보다 저렴합니다. 양자화된 추론(Quantized inference)은 전체 정밀도(full precision)보다 저렴합니다. 만약 제공자가 요청의 일부를 더 작거나 저렴한 모델로 라우팅하고 원래의 요율로 청구할 수 있다면, 규모가 커질수록 절감액은 복리로 쌓입니다.

이는 가설이 아닙니다. 스탠퍼드(Stanford) 연구진은 동일한 평가 작업에 대해 2023년 3월과 6월 사이 GPT-3.5와 GPT-4의 동작이 측정 가능한 수준으로 변화했음을 보여주었으며, 후속 연구는 LLM API에서 노골적인 모델 교체를 탐지하는 문제를 공식화했습니다. 이것은 특정 제공자를 비난하려는 것이 아닙니다. 핵심은 오늘날의 API 계약이 어느 쪽인지 알 수 있는 메커니즘을 제공하지 않는다는 점입니다. 개인 개발자에게 이는 번거로운 일입니다. 하지만 규제 산업, 모델 거버넌스 팀, 그리고 새롭게 등장하는 에이전트 간 결제 계층(agent-to-agent settlement layer)에게 이는 중대한 결함(load-bearing gap)입니다.

암호학적 해답이 아직 작동하지 않는 이유

클라이언트가 계산을 다시 실행할 필요 없이, 서버가 특정 계산을 올바르게 수행했음을 보여줄 수 있는 암호학적 증명(cryptographic proofs) 클래스가 이미 존재합니다. 이는 zk-rollups에서 사용되는 것과 동일한 계열의 도구입니다. 응답에 증명을 첨부하면, 클라이언트는 원래 작업량의 아주 일부분만 사용하여 이를 검증할 수 있습니다. 따라서 AI 추론(inference)에 대해서도 동일한 방식을 적용하는 것이 당연한 수순처럼 보입니다.

수학적으로는 작동합니다. 하지만 숫자는 그렇지 않습니다.

zkLLM과 같은 최첨단 스킴(schemes)은 13B 파라미터 LLM에 대한 추론 증명을 생성하는 데 약 15분이 소요됩니다. Llama-2-7B와 같은 더 작은 모델의 경우, 발표된 수치에 따르면 쿼리당 388초의 증명 시간(proving time)이 소요되며, 증명 크기는 183 kB, 검증 시간은 2.36초입니다.

이는 연구용 데모로는 괜찮습니다. 하지만 1초 미만으로 응답해야 하는 API로서는 괜찮지 않습니다. 추론은 빠르며 고객은 그 속도가 유지되기를 기대하므로, 증명 또한 그에 상응하게 빨라야 하며 그렇지 않으면 병목 현상(bottleneck)이 됩니다.

베팅: 재증명 대신 무작위 검사(spot-check)

Offchain Labs의 논문은 다른 경로를 택합니다. 신경망 내부의 모든 곱셈과 덧셈을 암호학적으로 증명하는 대신, 서버는 사전에 두 가지 사항을 약속(commit)합니다:

1. 훈련 후 한 번 게시되는 모델 가중치(model weights)의 지문(fingerprint).
2. 특정 쿼리에 답하는 동안 모델이 생성한 내부 값들의 지문(fingerprint).

그런 다음 클라이언트는 네트워크 출력 근처의 무작위 지점을 선택하고, 레이어를 통해 하나의 경로를 역으로 따라가며 서버에 해당 경로를 따라가는 값들만을 공개하도록 요청합니다. 각 단계에서 클라이언트는 한 가지를 확인합니다. 이 값이 공개적으로 약속된 가중치를 사용하여, 해당 값에 입력되는 값들로부터 실제로 도출되는가? 만약 서버가 다른 모델로 교체했다면, 해당 경로를 따라가는 값들이 일치하지 않을 것이며 검사는 실패하게 됩니다.

서로 다른 모델은 모든 곳에서 동일한 내부 값(internal values)을 조작할 수 없습니다

이는 수학 시험을 다시 채점하는 것보다 표본 검사 (spot-checking)를 하는 것에 더 가깝습니다. 단일 경로는 네트워크의 아주 작은 부분만을 샘플링하지만, 네트워크가 커질수록 가능한 수많은 경로 전반에 걸쳐 자기 일관성 (self-consistent)을 유지하는 값을 조작하는 것은 기하급급수적으로 어려워집니다. 저자들은 출력값으로부터 활성화 (activations)를 역공학 (reverse-engineering)하거나 가능성이 높은 토큰을 교체하는 등, 공격자가 실제로 시도할 법한 공격들을 대상으로 이를 테스트했습니다. 그 어떤 공격도 수백만 개의 평가된 경로 전반에서 테스트를 속일 수 있는 위조된 값 세트를 만들어내지 못했습니다.

이 방식이 작동하는 직관적인 이유는 암호학 (cryptography)이 아닌 머신러닝 (machine learning) 연구에서 기인합니다. 동일한 입력에 대해 눈에 띄게 다른 출력을 생성하는 두 네트워크는 내부 계산 과정 어딘가에서 반드시 차이가 나야 합니다. 부정행위자를 잡기 위해 모델 전체를 다시 실행할 필요는 없습니다. 단 하나의 일관된 거짓말을 잡아내면 됩니다.

분 단위에서 밀리초 단위로

모든 단계를 증명하는 것과 경로를 표본 검사하는 것 사이의 성능 차이는 불과 몇 퍼센트 수준이 아닙니다. 이는 수 자릿수(orders of magnitude) 차이가 납니다.

전체 증명에서 표본 검사로 전환할 때의 비용

두 수치 모두 동일한 모델인 Llama-2-7B를 기준으로 합니다. 트레이드오프 (tradeoff)는 정직합니다. 증명 방식은 더 크며, 클라이언트는 더 이상 쿼리당 암호학적 확실성 (cryptographic certainty)을 얻지 못합니다. 대신 클라이언트가 얻는 것은 반복되는 쿼리를 통해 복리로 쌓이는 조절 가능한 탐지 확률 (detection probability)이며, 이는 적발 시의 실제적인 페널티와 결합되어 합리적인 공격자 (rational adversaries)를 저지하기에 충분합니다.

하루에 수백만 건의 추론 (inference)을 처리하는 API는 단일 트랜스크립트 (transcript)를 무차별 대입 공격 (brute force)하려는 공격자에게 대항할 수 있는 쿼리당 증명을 필요로 하지 않습니다. 대신 요청 속도에 맞춰 실행되면서 대량의 트래픽 전반에 걸쳐 높은 확률로 부정행위를 탐지할 수 있는 검증이 필요합니다. 이것이 바로 새로운 프로토콜이 지향하는 형태입니다.

이 이야기가 Arbitrum에 적합한 이유

외주화된 연산 (outsourced computation)을 1초 미만으로 검증하는 것은 Arbitrum이 초기에 구축된 핵심 질문이었습니다.

낙관적 롤업 (Optimistic rollups)은 이 논문이 AI를 위해 공식화한 것과 동일한 직관에 기반합니다. 긴 연산의 모든 단계를 모든 머신에서 재실행하는 것은 비용이 많이 듭니다. 논란이 되는 단계를 샘플링 (sampling)하는 것은 저렴합니다. 만약 시스템이 어떠한 불일치라도 아주 작은 온체인 (onchain) 확인을 통해 드러나고 해결될 수 있음을 보장할 수 있다면, 정상적인 경로 (happy path)에서는 비용을 지불하지 않으면서도 전체 재실행과 동일한 보안성을 얻을 수 있습니다.

이 논문은 그 연결 고리를 명시적으로 보여줍니다. 이 프로토콜은 두 개의 경쟁하는 서버가 있는 설정으로 확장될 수 있으며, 두 서버가 동일한 추론에 대해 서로 다른 주장을 생성할 때 이분법 절차 (bisection procedure)를 통해 로그 차수의 라운드 (logarithmic number of rounds) 내에 불일치 지점을 좁혀 나갑니다. 이는 Arbitrum One을 보호하는 것과 동일한 분쟁 해결 구조 (dispute resolution structure)를 블록체인 상태 전이 (state transitions) 대신 신경망 값 (neural network values)에 적용한 것입니다.

논문의 그림 2: 증명자 (prover)는 트레이스 (trace)를 커밋 (commit)하고, 검증자 (verifier)는 경로를 샘플링하며, 증명자는 그 경로를 따르는 값들만을 공개 (open)합니다. 이는 낙관적 롤업을 보호하는 것과 동일한 커밋 (commit), 챌린지 (challenge), 공개 (reveal) 구조입니다.

핵심은 AI 추론 (inference)에 블록체인이 필요하다는 것이 아닙니다. 에이전트 경제 (agent economy)의 검증 문제 (verification problem)가 Arbitrum이 이미 해결한 검증 문제와 동일한 형태를 띠고 있다는 점입니다. 재실행 (re-execute) 대신 점검 (spot-check)을 수행하십시오. 정상적인 경로 (happy path)에서의 암호학적 부하 (cryptographic load)보다는 챌린지 (challenge)를 수용하려는 의지를 신뢰하십시오. Arbitrum은 수년 동안 해당 패러다임 내에서 운영되어 왔습니다.

AI API로 구축할 경우의 의미

결제 (Settlement)는 범용 레일 (commodity rails)로 수렴하고 있습니다. USDC, x402, 에이전트 네이티브 (agent-native) 결제 흐름은 이제 차별화 요소가 아닌 인프라의 문제입니다. 더 흥미로운 계층은 에이전트가 어떻게 지불했느냐가 아니라, 에이전트가 자신이 수행한 일을 무엇을 증명할 수 있느냐입니다.

오늘날 "우리는 X 모델을 사용한다"는 것은 신뢰에 기반한 진술입니다. 이와 같은 프로토콜은 이를 검증 가능한 진술 (verifiable statement)로 바꿉니다. 규제 준수가 중요한 도메인의 고객들에게는 이 차이가 빠르게 중요해지기 시작합니다. 감사 (audit) 하에서도 유지되는 모델 투명성 주장은 그렇지 않은 마케팅적 주장보다 더 큰 가치를 지닙니다.

이 패턴은 일반화될 수 있습니다. 결정론적 계산 (deterministic computation)을 신뢰할 수 없는 서비스에 아웃소싱하는 곳이라면 어디든, 점검 (spot-checking)은 재실행 (re-executing)의 실행 가능한 대안이 됩니다. 오늘은 추론 (inference)이지만, 내일은 다른 워크로드 (workloads)가 될 것입니다. 감사 흐름 (Audit flows) 또한 이득을 얻습니다. 인증된 모델이 실제로 운영 환경에서 실행되고 있는지 확인해야 하는 규제 기관이 이 작업을 수행하기 위해 원격 API (remote APIs)를 금지할 필요가 없기 때문입니다. 그들은 커밋 (commitment)을 요청하고, 쿼리 (queries)를 보내고, 확인하면 됩니다.

이 중 어떤 것도 애플리케이션 개발자인 여러분이 기존 스택을 리팩터링 (refactor)할 것을 요구하지 않습니다. 다만 시스템 내의 누군가, 즉 제공자 (provider), 감사자 (auditor), 또는 요청을 라우팅하는 플랫폼이 단언된 주장 (asserted claim) 대신 검증 가능한 주장 (verifiable claim)을 생성할 것을 요구합니다. 일단 이러한 프리미티브 (primitive)가 빠른 속도로 존재하게 되면, 신뢰 격차 (trust gap)로 인한 비용이 가장 큰 곳에서 채택될 것입니다.

향후 전망

에이전트 경제는 주로 자금 이동 (money-movement)에 관한 이야기로 다루어져 왔으며, 자금을 이동하는 것은 아마도 가장 익숙한 기본 요소 (primitives)를 가진 부분일 것입니다. 검증 계층 (verification layer)은 아직 덜 정립되어 있으며, 바로 그 점이 현재 이 연구가 매우 흥미로운 이유입니다.

Offchain 논문은 무결성 (integrity) 문제를 완전히 해결하지는 않습니다. 다만 유의미한 위협 모델 (threat model)에 맞서 추론 (inference) 부분을 밀리초 (milliseconds) 단위로 처리할 수 있는 전진 방향을 제시합니다. 이는 주목할 만한 가치가 있으며, 검증 가능한 AI 추론 (verifiable AI inference)의 미래가 어디로 향하고 있는지를 보여주는 유용한 지표입니다.