클로드 AI, NSA 25년 암호 시드 수수께끼 해결

수십 년 동안 세계 최고의 암호학자 중 일부는 유령을 쫓아다녔다. 인터넷 통신을 보호하는 데 사용된 5개의 수학적 곡선에는 미국 국가안보국(NSA)이 제공한 신비로운 숫자들이 포함되어 있었으나, 그 숫자들이 어디서 유래했는지 아무도 만족스럽게 설명할 수 없었다. 이론은 잊혀진 농담부터 의도적으로 심어진 취약점에 이르기까지 다양했다. 그러던 중 앤트로픽(Anthropic)의 클로드 AI(Claude AI)가 이 수수께끼에 도전해, 그 숫자들의 출처를 거의 30년 전으로 거슬러 올라가는 오래된 컴퓨터 프로그램과 타임스탬프로 추적해 냈다.

NSA를 중심으로 한 25년간의 미스터리

이 이야기는 1990년대 후반, 수학자들이 정교한 수학을 이용해 디지털 정보를 보호하는 방법인 타원 곡선 암호화의 표준을 개발하던 시기로 거슬러 올라간다. P-192, P-224, P-256, P-384, P-521로 알려진 다섯 개의 곡선은 결국 미국 국립표준기술연구소(NIST)가 발표한 표준의 일부가 되었습니다. 이 곡선들의 수학적 원리는 웹사이트, 금융 거래, 정부 통신을 보호하는 데 기여했습니다.

각 곡선은 ‘시드(seed)’라고 불리는 신비로운 160비트 시작 숫자를 사용하여 만들어졌습니다. 누구나 곡선을 생성하는 데 사용된 수학적 절차를 검증할 수는 있었지만, NSA가 그 초기 숫자들을 어떻게 선택했는지는 아무도 알지 못했습니다. 이 풀리지 않은 의문은 NSA가 오직 자사 전문가들만이 악용할 수 있는 취약점을 숨기기 위해 의도적으로 시드를 선택했을지도 모른다는 추측을 불러일으켰습니다.

암호학자 닐 코블리츠(Neal Koblitz)와 알프레드 메네제스(Alfred Menezes)는 2015년 논문 “수수께끼로 감싸인 수수께끼(A Riddle Wrapped in an Enigma)”에서 이 논란을 다뤘다. 실질적인 백도어가 입증된 적은 없었지만, 이 수수께끼는 여전히 풀리지 않은 채 남아 있었다.

아무래도 존재하지 않았던 비밀 문구

수년 동안 가장 유력한 설명은 원래 시드를 제공한 것으로 알려진 NSA 수학자 제리 솔리나스와 관련이 있었다. 솔리나스와 다른 이들은 그 숫자들이 “제리는 월급 인상을 받을 자격이 있다(Jerry deserves a raise)”와 같은 유머러스한 영어 문구를 해싱하여 생성된 것이라고 회상했다. 해싱은 정보를 고정 길이의 수학적 지문으로 변환하는 과정이다. 안타깝게도 정확한 문구를 기억하는 사람은 아무도 없었고, 원래 사용되던 컴퓨터는 이미 교체된 것으로 알려졌다.

솔리나스 본인도 그 과정을 재현해 보려 했으나 성공하지 못했다. 결국 이 미스터리에는 현상금이 걸리게 되었다. 2023년 10월, 암호학자 필리포 발소르다(Filippo Valsorda)는 시드의 기원을 설명할 수 있는 사람에게 12,288달러의 현상금을 걸었다. 자선 단체의 매칭 기금 지원으로 잠재적 상금은 36,864달러로 늘어났다. 3년 동안 이 상금은 주인을 찾지 못했다. 그러던 중 클로드가 등장했다.

클로드, 눈에 띄는 곳에 숨겨진 답을 찾아내다

10월 16일 발표된 앤트로픽(Anthropic)의 연구에 따르면, 한 직원이 오랫동안 제기되어 온 ‘비밀 문구’ 이론에 대해서는 언급하지 않은 채 내부 클로드 연구 모델에게 시드에 대한 조사를 요청했다. 모델은 오래된 컴퓨터 프로그램과 관련된 패턴을 조사하기 시작했다. 한 가지 단서가 즉시 눈에 띄었다. 몇몇 시드에는 최상위 비트가 일관되게 0인 숫자 그룹이 포함되어 있었는데, 이는 무작위로 나타날 확률이 대략 5,810분의 1에 해당하는 패턴이었다. 이는 유닉스 시대 프로그래밍 환경에서 흔히 사용되던 의사난수 생성기인 lrand48을 가리키는 것이었다. 진정한 무작위 과정과 달리, 의사난수 생성기는 시작값이 알려지면 예측 가능한 수열을 생성한다. 클로드는 수학적 과정을 역추적하여 생성기의 내부 상태를 복원하고, 공개된 시드 값을 정확히 재현해 냈다. 그리고 진짜 놀라운 사실이 드러났다.

시작값은 1997년과 1998년의 유닉스 타임스탬프, 즉 날짜와 시간을 일반적인 숫자로 표현한 것과 일치했다. 모델이 기록한 추론 과정에는 그 자체의 명백한 불신이 담겨 있었다. “이건 놀랍다. 25년 된 수수께끼를 해결해 버렸다.” 이 모든 과정은 30분도 채 걸리지 않았다.

다섯 개의 곡선, 다섯 개의 타임스탬프, 그리고 하나의 놀라운 일치

복구된 시작값을 추적해 보니, 5개의 NIST 소수체 곡선이 1997년 5월부터 1998년 4월 사이의 특정 날짜로 연결되었습니다. P-192는 1997년 5월 18일에 해당하는 타임스탬프에서 비롯된 반면, P-521은 같은 해 8월 8일로 거슬러 올라갔습니다. P-256은 8월 16일, P-384는 8월 30일, P-224는 1998년 4월 3일에 이어졌다. 이 방법의 원리는 거의 우스꽝스러울 정도로 단순했습니다. 일반적인 난수 생성기에 타임스탬프를 초기값으로 설정하고, 후보 시드를 생성한 뒤, 수학적 요건에 부합하는지 테스트하며, 만족스러운 곡선이 나올 때까지 계속 검색하는 방식이었습니다.

P-256의 경우, 승인된 시드는 1,842번째 후보에서 나타났습니다. P-224의 경우 7,026개의 후보가 필요했습니다. 일치 결과는 정확하여, 단순히 비슷해 보이는 숫자를 생성하는 것이 아니라 공개된 시드의 160비트 전체를 재현했습니다. 발소르다(Valsorda)는 Go 프로그래밍 언어를 사용하여 이 결과를 독자적으로 재현함으로써 해당 발견을 확인했습니다. 앤트로픽(Anthropic) 또한 다른 사람들이 이 작업을 검증할 수 있도록 코드를 공개했습니다. 이 결과는 생성 방법에 대한 강력한 수학적 증거를 제공하지만, 누가 원래 소프트웨어를 운영했는지 또는 왜 특정 후보들이 거부되었는지는 정확히 규명하지는 못했습니다.

이번 발견이 인터넷 보안에 갖는 의미

이 발견이 시사하는 바는 안심할 만한 것이지만, 보편적인 보안 보장을 의미하는 것은 아닙니다. 오랫동안 제기되어 온 우려 중 하나는 NSA가 시드를 선택할 때 충분한 재량권을 가지고 있어, 의도적으로 수학적으로 취약한 곡선을 선택할 가능성이 있다는 점이었습니다. 복원된 프로세스는 일부 가상의 공격에 필요한 것보다 훨씬 적은 선택지를 제공한 것으로 보입니다. Anthropic의 연구진은 관대한 가정을 바탕으로 선택의 자유도가 대략 30비트 정도라고 추정했는데, 이는 제안된 취약점 선택 시나리오 중 하나에서 고려된 약 70비트보다 상당히 적은 수치입니다.

이로 인해 이 특정 백도어 이론의 타당성은 상당히 낮아졌다. 중요한 점은, 이번 발견이 타원곡선 암호 체계를 무력화시키거나 모든 가능한 취약점이 배제되었다는 것을 입증하는 것은 아니라는 것이다. 또한 secp256k1이라는 다른 타원곡선을 사용하는 비트코인이나 이더리움에는 직접적인 영향을 미치지 않는다.

그레고리 맥스웰, 클로드의 ‘대단한 순간’에 찬물을 끼얹다

흥미롭게도, 비트코인 개발자 그레고리 맥스웰은 덜 열광적인 반응을 보였는데, 해커뉴스(Hackernews)를 통해 9월 20일 앤트로픽(Anthropic) AI 크레딧이 만료될 예정이던 친구에게 동일한 암호학적 수수께끼를 조사해 볼 것을 제안했다고 주장했다. 그 친구의 AI 에이전트는 이 문제를 해결하지 못한 채 몇 시간을 허비했고, 맥스웰은 그 AI의 추론 능력에 별다른 감명을 받지 못했다.

앤트로픽의 AI 접근 방식을 공개적으로 비판해 온 맥스웰은 회사가 친구의 모델 기능을 제한했는지 의문을 제기하며, 클로드의 발견을 둘러싼 과대 광고를 조롱했다. 그는 자신의 공로를 주장하거나 연구 결과를 반박하기까지는 이르지 않았으며, 결과의 차이는 단순히 AI에 주어진 지시 방식의 차이에서 비롯된 것일 수 있다고 시사했다.

“미산트로픽이 또다시 다른 사람의 연구 성과를 가로챘다는 뜻으로 이 말을 하는 건 아닙니다. 이는 분명 많은 사람들이 이미 제기했을 법한 명백한 의문이며, 성공 여부는 전문가 수준의 활용에 달려 있었을 것입니다(제 친구의 사례에서는 그런 활용이 전혀 이루어지지 않았죠).”라고 맥스웰은 썼다. “하지만 이 회사가 모델 성능을 은밀히 저하시켰는지 의문이 들게 합니다.”

현상금은 지급되었지만 의문은 남아 있다

이번 발견으로 발소르다의 3년 전 도전 과제는 마침내 해결되었다. 앤트로픽(Anthropic) 팀은 36,864달러의 현상금을 ‘렛츠 엔크립트(Let’s Encrypt)’를 운영하는 인터넷 보안 연구 그룹(Internet Security Research Group)에 전달했다. 발소르다는 이번 발견을 “암호학 역사의 한 페이지를 채우는 데 도움이 되며, 이러한 중요한 암호학적 기본 요소에 대한 우리의 신뢰를 강화해 주는 것”이라고 설명했다. 몇 가지 미해결 문제가 남아 있다. 연구진은 왜 수학적으로 타당한 후보들 중 일부가 배제되었는지 완전히 설명하지 못했으며, 또 다른 곡선인 B-163의 시드(seed) 출처도 여전히 미해결 상태다.

그럼에도 핵심적인 수수께끼는 풀린 것으로 보인다. 수십 년에 걸친 의혹과 추측, 그리고 잊혀진 것으로 여겨졌던 비밀 구문을 재구성하려는 실패한 시도 끝에, 정답은 평범한 1990년대 컴퓨터 루틴 속에 숨어 있었다. NSA의 수수께끼 같은 숫자들은 반드시 정교한 비밀을 숨기고 있었던 것은 아니었다. 그저 시간을 기록하고 있었을 뿐일지도 모른다.