FHE는 이만큼의 관심을 받을 만한 가치가 있을까요?
유익한 피드백을 주신 키우 리, 미칼 자야크, 남 응오, 랜드 힌디, 로만 왈치, 그리고 토레 힐데브란트께 진심으로 감사드립니다.
요약
FHE는 신뢰할 수 있는 하드웨어에 의존하지 않고 암호화된 상태에서 완전하고 일반적이며 구성 가능한 연산을 수행할 수 있다는 장점 때문에 점점 더 주목받고 있습니다 . 하지만 실제로는 현재 많은 FHE 기반 블록체인 설계(예: FHEVM 방식 시스템)가 여전히 키 관리 및 복호화를 위해 MPC 위원회 에 의존하고 있습니다. Root iO를 이용한 확장 가능한 개인 세계 컴퓨터(Scalable Private World Computer) 와 같은 최근 연구에서는 이러한 위원회 기반 신뢰 가정을 줄이거나 제거하기 위한 고급 암호화 구조(구별 불가능성 난독화 기반)를 탐구하고 있습니다.
제안된 FHE 사용 사례(기밀 DeFi, 프라이빗 토큰, 프라이빗 AMM) 중 다수는 ZKP, MPC 또는 TEE와 같은 대안을 가지고 있지만, 각각은 구성 가능성, 신뢰 가정, 상호 작용 요구 사항 또는 배포 가능성 측면에서 장단점이 있습니다 .
FHE 또는 MPC? MPC는 매우 효율적일 수 있으며 개인 정보 보호에 민감한 작업에 실제로 적용된 사례가 있지만, 일반적으로 상호 작용과 위원회 또는 비담합 모델의 형태를 가정합니다.
검증 가능한 암호화 하이브리지(vFHE) 는 특히 암호화된 연산이 오프체인에서 수행될 때, 무신뢰성 암호화 하이브리지 기반 애플리케이션에 필수적입니다. 블록체인을 넘어, vFHE는 암호화된 데이터에 대한 정확한 추론이나 학습에 대한 검증 가능한 보장이 점점 더 중요해지는 인공지능(AI) 환경 에서도 중요한 역할을 할 수 있습니다.
AI 및 머신러닝 분야에서 FHE는 비대화형, 개인정보 보호 컴퓨팅에 대한 매력적인 장기적 비전을 제시하지만, 특히 고급 모델 및 복잡한 워크로드의 경우 성능 및 엔지니어링 성숙도 측면에서 여전히 제약이 있습니다.
FHE는 주목할 만한 가치가 있을까요? 네, 그렇습니다. 하지만 만능 해결책은 아닙니다. FHE의 가치는 즉각적인 효율성이나 보편적인 적용 가능성보다는, 암호화된 상태를 기반으로 한 구성 가능한 연산과 하드웨어 신뢰도에 대한 의존도 감소 등 고유한 기능을 제공한다는 점에 있습니다.
FHE 열풍 이면에 숨겨진 의문점들
부에노스아이레스에서 열린 Devconnect 행사에서 FHE 에 대한 논의가 활발 하게 이루어졌습니다. 이전 행사에서는 FHE가 이처럼 주목받지 못했던 것 같습니다.
논의는 주로 다음과 같은 질문들을 중심으로 이루어졌습니다.
- Web3 환경에서 FHE를 활용하기 위한 설득력 있는 사용 사례는 무엇일까요?
- 기밀 토큰 에 완전 동형 암호화가 정말 필요한가요? 동형 암호화만으로는 충분하지 않나요? 기밀 토큰은 단순히 덧셈과 뺄셈(잔액 조정)만 하면 되는 것 아닌가요?
- FHE는 MPC를 위한 기법일 뿐 아닌가요?
- 검증 가능한 FHE(vFHE) 는 얼마나 중요하며, 실제 응용 분야에서 언제쯤 실용화될까요?
저는 이 모든 질문들이 근본적인 우려, 즉 FHE가 이만큼의 관심을 받을 만한 가치가 있는가라는 질문으로 귀결된다고 생각합니다.
FHE와 관련 없는 여러 대화에서 가볍게 언급되었던 다섯 번째 요점을 덧붙이겠습니다. 사람들이 진지하게 말한 건지 아니면 단순히 현재의 AI 열풍에 편승한 건지 여전히 궁금합니다.
- 이더리움은 AI 모델이 의도한 대로 학습되고 실행된다는 암호화적 보증을 제공할 수 있습니다.
각 주제를 좀 더 자세히 살펴보겠습니다. 사실, 처음 봤을 때보다 훨씬 더 밀접하게 연결되어 있습니다.
1. 설득력 있는 사용 사례
이 글 에서 FHE의 잠재적 활용 사례에 대해 이미 논의했지만, 실제로는 많은 어려움이 있으며 FHE가 항상 올바른 접근 방식인지 의문을 제기하는 것도 타당합니다. 몇 가지 우려 사항은 다음과 같습니다.
- 기밀성이 보장되는 DeFi는 개인 포지션을 노출하지 않고 청산과 같은 이벤트를 안전하게 처리할 수 있는 메커니즘이 필요한데, 상태가 암호화된 경우 이는 어렵습니다.
- 민간 대체시장판매기(AMM)는 가격과 유동성이 제대로 기능하기 위해 충분한 시장 신호를 유지해야 합니다. 그렇지 않으면 시장의 조정이 어려워지고 효율성이 떨어집니다.
- 밀봉 입찰 투표 및 유사한 응용 프로그램에는 MPC, 암호화, 커밋-리빌 또는 zk 기반 집계와 같은 더 간단한 대안이 이미 존재합니다.
- 제 생각에 FHE-EVM은 온체인 프라이빗 컴퓨팅을 위한 필수적이고 "궁극적인" 방향을 제시합니다. 하지만 현재 FHE-EVM 은 특히 성능, 지연 시간, 암호화된 상태 전환 실행 오버헤드와 같은 실질적인 제약에 직면해 있습니다.
하지만 ZKP, MPC, TEE와 같은 대안들은 각각 중요한 한계와 장단점을 가지고 있습니다.
ZKP는 전체 포지션을 공개하지 않고도 지급 능력이나 청산 같은 제약 조건을 적용할 수 있지만, 구성 가능성과 모듈성 측면에서 잘 알려진 문제점을 안고 있습니다. 복잡한 다단계 상태 전환은 종종 단일의 모놀리식 회로 로 인코딩되어야 하고, 독립적인 모듈에 걸쳐 있는 증명을 결합하려면 일반적으로 상당한 집계가 필요하며, 개인 데이터에 대한 동적 또는 임의적인 논리를 사전에 예측해야 하므로 유연성이 제한됩니다. 이와 대조적으로 FHE는 회로 조정이나 재설계 없이 암호화된 계산의 임의적인 구성을 자연스럽게 지원합니다.
스레스홀드(Threshold) 암호화와 MPC는 제어된 정보 공개 또는 다자간 연산을 가능하게 하지만, 일반적으로 상호 작용, 타이밍 가정 또는 고정된 위원회가 필요하므로 개방 비허가형(Permissionless) 비동기 환경 에는 적합하지 않습니다.
TEE는 뛰어난 성능을 제공하지만, 훨씬 취약한 신뢰 가정 에 의존하며, 사이드 채널 공격 및 인증 흐름 오류 의 오랜 이력이 있습니다. 반면 FHE는 하드웨어가 아닌 암호화 기술에 전적으로 기반한 개인 정보 보호를 제공합니다.
다른 기술들이 특정 개인정보 보호 속성을 근사적으로 구현할 수는 있지만, FHE는 하드웨어 기반 접근 방식에 비해 암호화 신뢰 가정을 크게 줄이면서 암호화된 상태에 대한 완전하고 일반적이며 구성 가능한 연산을 가능하게 한다는 점에서 두드러집니다.
동시에, 오늘날 많은 실용적인 FHE 기반 블록체인 설계, 특히 FHEVM 스타일 시스템은 FHE에만 의존하지 않습니다. 이러한 아키텍처에서는 여전히 신뢰할 수 있는 임시 위원회가 비밀 키 공유를 관리하고 MPC를 통해 출력 암호문을 복호화해야 하며 , 일반적으로 스레스홀드(Threshold) 복호화 프로토콜을 사용합니다. 이러한 구조는 어떤 단일 당사자도 평문 값을 알 수 없도록 하지만, 암호화된 연산의 경계에서 위원회 가정, 조정 요구 사항 및 Liveness 의존성을 다시 도입합니다. 최근 연구인 Root iO를 통한 확장 가능한 개인 세계 컴퓨터(Scalable Private World Computer via Root iO) 는 고급 암호화 구조(구분 불가능성 기반 난독화)를 적용하여 이러한 위원회 기반 신뢰 가정을 줄이거나 제거하는 것을 목표로 합니다.
2. 기밀 토큰 및 (F)HE
언뜻 보면, 기밀 토큰은 놀라울 정도로 간단해 보입니다. 앨리스가 밥에게 일정량의 이더리움(ETH) 전송하려는 경우, 관련된 작업은 기본적인 산술 연산에 지나지 않는 것처럼 보입니다.
- 이체된 금액을 밥의 암호화된 잔액 에 추가합니다.
- 앨리스의 암호화된 잔액 에서 해당 값을 빼는 것
하지만 실제로는 기밀 이체를 위해서는 송금인의 잔액이 충분한 지 확인해야 합니다. 많은 영지식 기반 설계 (예: Zether )에서 사용되는 한 가지 접근 방식은 새로 생성된 지폐의 가치가 사용 가능한 잔액을 초과하지 않는다는 것을 영지식으로 증명하는 것입니다. 이 방식은 효과적이지만, 잔액 충분성 확인을 외부 승인 검사 로 취급하기 때문에 여러 이체를 동시에 처리할 때 경쟁 조건을 방지하기 위해 신중한 순서 지정이 필요합니다.
이와 대조적으로, FHE 기반 접근 방식은 암호화된 상태 자체 내에서 잔액 확인을 수행할 수 있도록 합니다. 이체 로직은 조건부 암호화 업데이트 로 표현할 수 있습니다. 예를 들어, 이체 금액이 암호화된 잔액을 초과하지 않는 경우에만 이체 금액을 차감하고, 그렇지 않으면 0의 이체를 생성하는 방식입니다. 이는 일시적인 경우에도 초과 지출이 발생하지 않도록 보장하고, 암호화된 상태에 대한 원자적 업데이트를 강제함으로써 거래 순서에 의존하는 정확성 조건을 줄입니다.
더 넓게 보자면, 동형 비교는 잔액 검사를 독립적인 증명을 통해 강제하는 대신, 다른 암호화된 제어 흐름 논리와 자연스럽게 결합할 수 있도록 합니다. 이러한 차이점은 단순한 결제를 넘어 상태를 저장하고 프로그래밍 가능한 기밀 애플리케이션 에서 점점 더 중요해집니다.
하지만 이러한 추가적인 표현력은 대가를 치러야 합니다. 동형 암호화에서 비교 연산은 단순 산술 연산보다 훨씬 더 많은 계산 비용을 수반합니다. FHE 방식에서 비교 연산은 일반적으로 암호화된 값의 부호를 평가해야 하는데, 이는 순차적인 부트스트래핑 연산을 포함합니다. 결과적으로 비교 연산은 덧셈이나 뺄셈보다 훨씬 더 높은 계산 비용을 발생시키며, 이 비용은 일반적으로 비교 대상 값의 정밀도나 크기가 커질수록 증가합니다. 동형 부호 평가 기법은 "Large-Precision Homomorphic Sign Evaluation using FHEW/TFHE Bootstrapping" 및 관련 문헌에서 연구되었으며, 이러한 연구들은 비교 연산을 어려운 기본 연산 으로 일관되게 지적하고 있습니다.
하지만 최근의 엔지니어링 발전 , 특히 TFHE 방식 알고리즘의 GPU 가속 구현 덕분 에 구체적인 환경에서 비교가 가능해졌으며, 그 비용이 종종 대규모 정밀도 연산 작업에 드는 비용에 더 가까워졌습니다.
3. FHE 대신 MPC를 사용하는 건 어떨까요?
넓은 의미에서 FHE와 MPC는 모두 개인 데이터에 대한 연산을 가능하게 한다는 목표를 가지고 있으며, 이는 자연스럽게 FHE가 MPC의 특수한 형태인지에 대한 질문을 제기합니다. 개념적인 연결점은 있지만, 두 패러다임은 개인 정보 보호가 적용되는 방식, 연산 진행 방식, 그리고 실제 구현에 필요한 전제 조건에서 차이를 보입니다.
MPC는 데이터를 여러 참여자가 공동으로 연산하면서 보유하는 비밀 공유 부분으로 나누어 데이터를 보호합니다. 이러한 접근 방식은 뛰어난 성능을 달성할 수 있습니다. 그러나 MPC는 근본적으로 담합 금지 , 다수의 온라인 참여자 , 그리고 연산 중 상호 작용적인 통신이라는 가정에 의존하는데, 이는 완전한 비허가형(Permissionless) 환경이나 고도로 비동기적인 환경에서는 구현하기 어려울 수 있습니다.
반면, FHE는 암호화된 상태에서 직접 연산을 수행할 수 있도록 합니다. 단일 당사자가 실행 중에 다른 당사자와 상호 작용하지 않고 암호문에 임의의 프로그램을 적용할 수 있으므로, FHE는 개념적으로 블록체인 실행 모델과 잘 부합합니다. 이를 통해 사전에 고정할 필요가 없는 동적 제어 흐름을 포함하여 개인 데이터에 대한 일반적이고 구성 가능하며 상태를 유지하는 연산이 가능해집니다. 이는 영지식 증명이나 대화형 MPC만으로는 달성하기 어려운 부분입니다.
하지만 실제로는 FHE 시스템이 추가적인 어려움에 직면합니다. 앞서 논의한 바와 같이 키 관리 및 출력 복호화는 종종 스레스홀드(Threshold) MPC를 통해 처리되므로 , 실제로 구현된 많은 FHE 설계는 계산 자체가 비대화형이더라도 복호화 경계에서 담합 방지 및 위원회 조정 에 여전히 의존합니다.
검증 가능성 측면에서 MPC는 현재 유리한 위치에 있습니다. 대부분의 SNARK 시스템이 MPC 방식 연산과 자연스럽게 호환되기 때문에 MPC 실행의 정확성을 증명하는 것은 비교적 간단합니다. 이러한 특성 덕분에 MPC 실행과 선택적으로 영지식 증명을 결합할 수 있는 실용적인 시스템, 예를 들어 TACEO의 co-SNARK 라이브러리 와 같은 MPC 지향 도구를 사용한 협업 증명이 가능해졌습니다. 반면, 검증 가능한 FHE는 여전히 활발한 연구 및 엔지니어링 과제 이며, 더 높은 오버헤드와 덜 성숙한 도구를 가지고 있습니다.
FHE 와 MPC는 모두 Web3에서 개인정보 보호 컴퓨팅의 기반으로 활발히 연구되고 있으며, 각 접근 방식을 실용적인 배포로 이끌기 위한 프로젝트 생태계가 점차 확대되고 있습니다.
FHE( Flexible Hydrodynamics Encryption) 분야에서는 Zama가 이더리움 가상 머신(EVM) 프로그램이 암호화된 상태에서 직접 작동할 수 있도록 하여 기밀 스마트 계약을 구현하는 것을 목표로 하는 FHEVM 스택을 개발하고 있습니다. Fhenix 또한 유사한 목표를 추구하며, FHE 코프로세서와 기존 스마트 계약 워크플로우와의 통합을 위해 설계된 개발자 도구를 통해 EVM 호환 환경에서 기밀 실행을 구현하는 데 집중하고 있습니다. Enclave는 보다 프로토콜 중심적인 관점에서 암호화 실행을 연구하며, FHE와 암호화 검증 기술을 결합하여 탈중앙화 환경에서 정확성과 제어된 출력 공개를 지원합니다.
MPC 측면에서 Partisia Blockchain은 안전한 다자간 컴퓨팅(MPC)을 실행 모델에 직접 통합하는 독립형 레이어 1을 운영하여 분산된 MPC 노드 세트에서 개인 입력을 처리할 수 있는 스마트 계약을 지원합니다. Nillion은 다른 접근 방식을 취하여 MPC 스타일 기술 기반의 개인 컴퓨팅 및 스토리지를 위한 전용 오프체인 네트워크를 제공하며, 기존 블록체인을 대체하는 것이 아니라 상호 운용되도록 설계되었습니다. Soda Labs의 gcEVM은 MPC, 특히 가비지 회로(GPC) 스타일 프로토콜을 EVM 호환 실행 환경에 내장하는 방법을 연구하여 스마트 계약이 익숙한 이더리움 도구를 유지하면서 기밀 값을 처리할 수 있도록 합니다.
이러한 프로젝트들은 웹3에서의 개인정보 보호를 위한 두 가지 병행 방향을 보여줍니다. 하나는 암호화된 상태보다 비대화형 연산을 강조하는 FHE 기반 시스템이고, 다른 하나는 여러 참여자 간의 분산 실행에 의존하는 MPC 기반 시스템입니다. 실제로, 생태계가 탈중앙화 애플리케이션(DAPPS) 에 기밀성을 제공하는 확장 가능하고 구성 가능한 방법을 모색함에 따라 두 접근 방식은 점점 더 병행하여, 경우에 따라서는 결합되어 연구되고 있습니다.
4. vFHE가 중요한 이유
검증 가능한 유한 이더리움 익스플로잇(vFHE) 이 중요한 방향이라는 데에는 대체로 의견이 일치하는 것 같습니다. 그 이유를 이해하기 위해, 유한 이더리움 익스플로잇이 이더리움 상에서 비공개 스마트 계약을 가능하게 한다는 것이 무엇을 의미하는지 살펴보겠습니다.
이더리움은 세계 컴퓨터입니다. 임의의 프로그램을 실행하고 공유 상태에 대한 전 세계적인 합의 도출하는 분산 플랫폼입니다. 하지만 모든 입력, 상태 및 실행 기록은 기본적으로 공개 되어 있습니다. FHE는 암호화된 데이터를 기반으로 비공개 컴퓨팅을 구현하는 길을 제시하며, 사용자가 기밀 입력을 공개하지 않고도 정보를 제공할 수 있는 "비공개 세계 컴퓨터"를 가능하게 할 잠재력을 지니고 있습니다.
하지만 실제로는 FHE는 SNARK처럼 블록체인과 자연스럽게 연동되지 않습니다. 암호문의 크기가 크고, 초기 설정 비용이 많이 들며, 온체인 실행이 불가능하기 때문입니다. 따라서 오늘날 대부분의 FHE 설계는 암호화된 연산을 수행하고 결과를 블록체인으로 반환하는 오프체인 코프로세서에 의존합니다.
이는 중요한 문제를 제기합니다. 암호화된 계산 결과를 어떻게 신뢰할 수 있을까요? FHE만으로는 정확성을 검증할 방법이 없습니다.
검증 가능한 FHE(vFHE)는 이 문제를 해결합니다. 즉, 컴퓨팅 노드가 암호화된 출력이 의도된 계산을 올바르게 실행한 결과임을 간결하게 증명할 수 있도록 합니다.
하지만 vFHE는 다른 중요한 기능들을 가능하게 합니다.
iO(구분 불가능성 난독화): Root iO 에서는 FHE 기반 평가 파이프라인 내에서 구분 불가능성 난독화를 사용하여 전용 복호화 위원회가 필요하지 않도록 하며, 검증 가능한 FHE가 핵심 구성 요소 중 하나로 사용됩니다.
Web3 + AI: 암호화된 모델에 대한 비공개 추론 및 협업 학습.
vFHE를 사용하면 이러한 암호화된 계산의 출력은 무신뢰성 감사 및 검증이 가능해지므로 신뢰할 수 있는 실행이나 복제에 의존하지 않는 분산형 AI 시스템을 구현할 수 있습니다.
이것이 얼마나 실현 가능한지, 그리고 언제 실현 가능해질지는 여전히 미지수이며, 사람마다 의견이 분분 합니다.
5. 이더리움 + AI
이제 이더리움과 인공지능이 어떻게 교차하는지에 대한 질문으로 넘어가 보겠습니다.
오늘날 가장 두드러진 AI 활용 사례는 대규모 언어 모델(LLM) 입니다. 이러한 모델은 암호화되지 않은 데이터로 학습되며, 앞으로도 그럴 가능성이 높습니다. 하지만 사용자 쿼리 또한 암호화되지 않은 상태이며, 이러한 상황이 개선되기를 바랍니다.
머지않아 우리가 통화나 가상현실 공간을 통해 상호작용하는 빈도가 늘어남에 따라, LLM(실시간 모델)이 우리 자신의 소름 끼칠 정도로 정확한 디지털 트윈을 재구성할 수 있다는 생각은 정말 끔찍합니다. 이러한 트윈을 구축하는 데 필요한 모든 데이터는 LLM 제공업체의 서버에 저장되어 우리의 통제 범위를 완전히 벗어나 있기 때문에, 제공업체는 언제든 해당 데이터를 활용하여 트윈을 생성할 수 있습니다. 그렇게 되면 우리의 디지털 트윈을 기반으로 만들어진 에이전트가 마치 우리인 것처럼 인터넷을 돌아다닐 수 있게 됩니다.
FHE는 이러한 문제를 방지할 수 있지만, 현재 구현 방식은 고급 AI 모델을 실행하기에는 여전히 너무 느립니다. 이러한 상황에서 vFHE가 필요할까요? 분명 도움이 되겠지만, 많은 경우 LLM 제공업체는 정확한 추론을 반환하도록 인센티브를 받습니다 . 즉, 최상의 결과를 도출하는 것이 그들의 이익에 부합합니다. 하지만 아래에서 살펴보겠지만, 이러한 인센티브가 약하거나 모호한 시나리오도 있으며, 이때는 검증 가능성이 훨씬 더 중요해집니다 .
하지만 다른 불안한 시나리오도 있습니다. 예를 들어, 로봇 공학은 우리 일상생활의 중요한 부분이 될 가능성이 높습니다. 가정용 소형 로봇이 가전제품 수리, 요리, 세탁, 손이 닿기 어려운 곳 청소, 가정 안전 감시, 정리 정돈, 실내 정원 가꾸기, 노인 가족 구성원 돌봄과 같은 일을 처리하는 모습을 쉽게 상상할 수 있습니다.
이러한 활동들은 현재의 LLM(학습 모델)이 처리할 수 있는 것보다 훨씬 더 복잡하기 때문에 AI에게도 어려운 과제입니다. 실제로 얀 르쿤은 최근 공간적이고 신체적인 상호작용을 통해 학습하는 AI 시스템 개발에 집중하는 새로운 프로젝트를 시작했습니다. 이러한 모델을 훈련시키려면 방대한 양의 실제 데이터가 필요할 것입니다.
문제는 우리가 이러한 시스템을 학습시키기 위해 집의 전체 구조, 가전제품 상태, 요리 습관, 세탁 습관, 물건 정리 방식, 안전 모니터링 필요성, 심지어 노인 가족 구성원을 어떻게 돌보는지까지 모두 공개할 의향이 있느냐는 것입니다.
이러한 데이터는 당연히 전송 전에 암호화 되어야 합니다. 하지만 암호화만으로는 충분하지 않습니다. 사람들이 실제로 변조되지 않은 진짜 데이터를 제출했는지 누가 검증할까요? 정보가 시스템을 악용하기 위해 조작되거나 위조되지 않았는지 누가 보장할까요?
데이터 무결성 외에도, 학습 과정 자체가 올바르게 수행되었는지, 즉 모델이 미묘하게 편향되거나 조작되거나 사용자보다는 제공자에게 유리한 방식으로 최적화되지 않았는지 누가 확인할 것인가 ?
마지막으로, 숨겨진 필터링, 순위 지정, 감시 또는 기타 보이지 않는 개입 없이 추론 결과가 충실하게 생성되도록 누가 보장할 것인가 ?
이러한 질문들을 종합해 보면, AI에서 검증 가능성이 점점 더 중요한 역할을 할 수 있음을 알 수 있습니다. 암호화만으로는 개인정보를 보호할 수 있지만, 블록체인을 독립적이고 투명한 감사 계층으로 활용하면 검증 가능성을 통해 데이터 제출, 학습, 연산이 모두 정확하게 수행되었는지 확인할 수 있습니다. 따라서 AI와 이더리움을 연결하는 것은 타당하다고 생각합니다.
