후보 하나가 하루 만에 사라졌어

2026년 7월 28일, NIST가 운영하는 공개 메일링 리스트 pqc-forum에 제목 하나가 올라왔어. "HAWK-n Key Recovery Reduces to SVP in Dimension n/2 + 1." 번역하면 "HAWK-n의 키 복구가 차원 n/2+1의 최단벡터문제로 환원된다"는 뜻인데, 이 바닥 사람들한테 이건 그냥 기술 노트가 아니라 사망 진단서에 가까운 문장이야. 글쓴이는 스티븐 A. 와이스(Stephen A. Weis), 소속은 앤트로픽. 그리고 본문에는 이상한 문장이 하나 붙어 있었어. 이 결과는 인간의 기술적 지도를 거의 받지 않은 채 Claude가 찾아냈다는 것. 한 시간이 채 지나기 전에, NIST 표준화 과정에 깊이 관여해 온 암호학자 다니엘 에이폰(Daniel Apon)이 답글을 달았어. "Nice. It checks out independently for me." — 내가 독립적으로 확인해 봤는데 맞다는 뜻이야.

그다음 날인 7월 29일, HAWK 개발팀을 대표해 레오 뒤카(Léo Ducas)가 같은 메일링 리스트에 글을 올렸어. HAWK를 NIST 추가 서명 표준화 과정에서 철회하겠다는 내용이었지. 2022년부터 시작해 두 번의 라운드를 통과하며 4년 가까이 방어해 온 제안이, 공격 공개 후 딱 하루 만에 스스로 내려간 거야. 지금 NIST CSRC의 3라운드 추가 서명 후보 페이지에 가면 격자 기반 항목에 HAWK 하나가 덩그러니 있고 그 옆에 "withdrawn"이 붙어 있어. 페이지 최종 수정일도 2026년 7월 29일이야. 이건 보도가 아니라 표준화 기관의 공식 기록이라, 지금까지 나온 이야기 중 가장 단단한 팩트야.

여기서 진짜 뉴스는 "HAWK가 깨졌다"가 아니야. HAWK는 애초에 어디에도 배포된 적 없는 후보였고, 깨진 파라미터는 실제 보안 등급을 노리는 512·1024가 아니라 연구용 챌린지 사이즈인 256이었어. 진짜 뉴스는 그걸 찾은 주체와 걸린 시간이야. 앤트로픽은 아직 출시하지 않은 리서치 프리뷰 모델 Claude Mythos Preview에게 Claude Code 위에 올린 멀티에이전트 스캐폴드를 쥐여주고, Python과 수학 소프트웨어 Sage, 그리고 공개된 암호학 문헌 접근 권한을 줬어. 모델은 문헌을 읽고, 가설을 세우고, 계산 실험을 돌려 검증하고, 틀리면 다시 세우는 과정을 반복했지. 그렇게 60시간, API 비용으로 약 10만 달러를 쓰고 나온 결과가, 세계 최고 수준 암호학자들이 2년 넘게 뜯어보고도 못 찾은 구조적 결함이었어.

그래서 이 글에서 답해볼 질문은 이거야. 도대체 그 결함이 정확히 뭐고 왜 사람 눈에 안 띄었을까? 2^64에서 2^38로 떨어졌다는 숫자는 실제로 얼마나 무서운 걸까, 아니면 생각보다 별거 아닐까? 두 번째 발견인 'Möbius Bridge'라는 AES 공격은 또 뭐고, 왜 앤트로픽은 굳이 "아무것도 안 깨졌다"를 그렇게 반복해서 강조했을까? HAWK 팀은 왜 버티지 않고 하루 만에 접었을까? 그리고 가장 중요한 질문 — 암호 표준을 검증하는 방식 자체가 이제 바뀌어야 하는 걸까, 아니면 이번 건 그냥 운 좋은 한 방일까?

이 판에 서 있는 사람들

먼저 앤트로픽(Anthropic). 이번 연구를 주도한 건 회사 내 프런티어 레드팀 계열의 연구 조직이야. 여기서 쓴 모델은 Claude Mythos Preview인데, 이름 그대로 아직 일반에 출시되지 않은 프리뷰 등급 모델이야. 그러니까 지금 여러분이 API로 부를 수 있는 모델이 아니고, 앤트로픽이 내부에서 능력 한계를 측정하려고 굴리는 물건이라는 뜻이지. 앤트로픽은 이번 발표에서 "이 두 논문에 담긴 공격은 우리가 지금까지 찾아낸 것 중 가장 강력한 공격"이라고 표현했어. 동시에 회사는 발표문 곳곳에서 "이 두 결과 모두 오늘날의 컴퓨터 시스템에 실질적 영향을 주지 않는다"는 문장을 반복했는데, 이건 겸손이라기보단 정확성에 대한 고집에 가까워. 이런 발표는 조금만 과장돼도 "AI가 암호를 깼다"는 헤드라인으로 튀어버리거든.

다음은 HAWK 팀. HAWK는 공식 프로젝트 사이트에 따르면 NXP 반도체, 네덜란드 국립 수학·전산학연구소(CWI), PQShield 등에 소속된 열 명 안팎의 암호학자들이 만든 격자 기반 서명 방식이야. 조페 보스(Joppe W. Bos), 레오 뒤카, 토마 프레스트(Thomas Prest), 루도 풀레스(Ludo N. Pulles) 같은 이름들이 들어가 있는데, 이 분야에서 가볍게 볼 수 있는 사람들이 전혀 아니야. 특히 뒤카와 프레스트는 이미 NIST 표준이 된 서명 방식 Falcon(현 FN-DSA)의 설계에도 관여했던 인물들이지. HAWK의 셀링포인트는 명확했어. 부동소수점 연산 없이 돌아가고, 빠르고, 키와 서명이 작다는 것. HAWK-512 기준으로 공개키 1,024바이트, 서명 555바이트로 NIST 보안 레벨 1을 노렸어. 격자 기반 후보 중에서 유일하게 추가 서명 라운드를 계속 통과해 온 생존자이기도 했고.

세 번째는 NIST, 그리고 그 뒤에 서 있는 공개 검증 커뮤니티야. NIST는 2016년부터 양자내성암호 표준화 공모를 돌려 ML-KEM(Kyber), ML-DSA(Dilithium), SLH-DSA(SPHINCS+) 같은 표준을 뽑았고, 그 뒤 "격자 말고 다른 수학에 기반한 서명도 더 필요하다"며 추가 서명 공모(pqc-dig-sig)를 따로 열었어. 이 과정의 핵심은 폐쇄 심사가 아니라 공개 저격이야. 누구든 pqc-forum에 공격을 올릴 수 있고, 후보가 깨지면 그건 실패가 아니라 시스템이 제대로 작동한 증거로 취급돼. 이번에 에이폰이 한 시간 만에 수학을 확인하고, 다음 날 저자들이 스스로 철회한 흐름이 바로 그 시스템이 작동한 모습이야.

마지막으로 이 사건에 이름은 안 나오지만 실질적 이해관계자인 암호 이전(migration)을 하고 있는 모든 조직들. 미국 연방기관, 금융권, 클라우드 사업자, 브라우저 벤더들 말이야. 이들은 지금 "지금 훔쳐서 나중에 푼다(harvest now, decrypt later)"는 위협 때문에 향후 몇 년 안에 기존 RSA·타원곡선 암호를 양자내성 알고리즘으로 갈아타야 해. 이 사람들 입장에서 "후보 하나가 AI한테 하루 만에 깨졌다"는 뉴스는 두 가지로 읽혀. 하나는 안심 — 배포 전에 걸러졌으니까. 다른 하나는 불안 — 그럼 이미 표준이 된 것들은 정말 안전한가?

실제로 무슨 일이 있었나

HAWK 쪽부터 보자. 격자 기반 암호는 아주 거칠게 말하면 고차원 공간에 촘촘히 박힌 격자점들 사이에서 "가장 짧은 벡터"를 찾는 문제가 엄청나게 어렵다는 데 기대고 있어. 이걸 최단벡터문제(SVP)라고 부르는데, 차원이 올라갈수록 비용이 지수적으로 폭발하지. 그런데 격자에 대칭성이 있으면 이야기가 달라져. 대칭이 있다는 건 탐색 공간을 접을 수 있다는 뜻이거든. Mythos가 찾은 게 바로 이거야. HAWK가 쓰는 격자 안에 지금까지 아무도 활용하지 못한 비자명 자기동형사상(nontrivial automorphism), 즉 격자를 자기 자신으로 옮기는 숨은 대칭 변환이 존재한다는 것. 흥미로운 건 선행 연구가 이미 "그런 자기동형사상을 효율적으로 찾을 수 있다면 공격이 가능하다"는 조건문까지는 세워뒀다는 점이야. 아무도 답을 못 낸 건 "그런데 HAWK의 격자에 실제로 그게 있는가?"였고, Mythos는 그 빈칸을 채웠어.

숫자로 보면 이래. pqc-forum 게시글 기준으로 HAWK-n의 키 복구는 차원 n/2+1의 SVP로 환원돼. 즉 공격자가 상대해야 할 격자 차원이 절반으로 접히는 거야. 연구용 챌린지 파라미터인 HAWK-256에서는 전체 키 복구 예상 비용이 약 2^64 연산에서 2^38 연산으로 떨어졌어. 지수로는 26 차이지만 실제로는 약 6,700만 배 적은 작업량이야. 앤트로픽은 여기서 멈추지 않고 실제로 돌려봤어. 96코어 서버 한 대에서 HAWK-256의 비밀키를 약 3시간 42분 만에 복구했고, 재현 코드를 GitHub 저장소에 Apache 2.0 라이선스로 공개했어. NIST가 실제로 평가하던 파라미터는 더 커서 여전히 계산적으로 불가능한 영역에 있어. HAWK-512는 2^150에서 2^108로, HAWK-1024는 2^288에서 2^182로 내려갔거든(AGPS'20 게이트 카운트 모델 기준). 2^108은 여전히 아무도 못 푸는 숫자야. 그런데도 팀이 접은 이유는, 이 손실을 메우려면 파라미터를 두 배로 키우거나 더 높은 랭크의 모듈로 옮겨야 하고, 그러면 "작고 빠르다"는 HAWK의 존재 이유 자체가 사라지기 때문이야. 클라우드플레어의 바스 베스터바안(Bas Westerbaan)이 포럼에서 지적한 것도 정확히 그 지점이었어 — 그렇게 키우면 ML-DSA 대비 매력이 대부분 사라진다는 것.

두 번째 발견은 결이 좀 달라. 이번엔 대상이 AES-128인데, 실제 표준인 10라운드가 아니라 연구용으로 줄인 7라운드 축소판이야. 암호학자들은 원래 블록암호의 안전 여유를 재려고 라운드를 깎아 공격하는 훈련을 하거든. 여기서 Mythos는 앤트로픽이 **'Möbius Bridge'**라고 이름 붙인 새로운 기법을 사실상 독자적으로 고안했어. 기존의 최고 성능 중간자 만남(meet-in-the-middle) 공격은 중간에 256가지 값을 추측해야 하는 단계를 갖고 있었는데, Mythos는 그 추측값에 대해 **불변인 지문(fingerprint)**을 만들어내는 방법을 찾아서 그 단계 자체를 지워버렸어. 결과적으로 기존 최고 공격 대비 200~800배 빨라졌지 — 실행 시간을 어떻게 세느냐에 따라 폭이 달라져. 이 작업은 사흘간 거의 자율로 돌아갔고, 수억 토큰이 소모됐으며, 인간은 중간에 짧은 격려성 프롬프트를 몇 번 넣은 게 전부였다고 앤트로픽은 설명해. 초반에 모델이 "이건 안 될 것 같다"고 버티자 연구자들이 목표를 조정했고, 그때 모델이 남긴 말이 발표문에 인용돼 있어. "다른 결과를 원한다면, 목표가 바뀌어야 한다(If you want a different outcome, the target has to change)."

다만 여기서 냉정해질 필요가 있어. 200~800배가 붙어도 이 공격은 여전히 실행 불가능해. 약 2^105개의 선택 평문이 필요한데, 이건 우주에 존재하는 저장 매체를 다 긁어모아도 못 만드는 데이터양이야. 그리고 다시 말하지만 대상은 7라운드고 실제 AES-128은 10라운드야. 여러분의 HTTPS도, 디스크 암호화도, 메신저도 이번 발표로 조금도 약해지지 않았어. 앤트로픽은 이 결과들을 HAWK 논문과 AES 논문 PDF로 공개했고, ETH 취리히·텔아비브대 등 외부 연구자들과 함께 만든 벤치마크 CryptanalysisBench도 같이 냈어. 이 벤치마크는 6개 원시함수 계열에 걸친 191개 과제로 구성돼 있고, Claude Opus 4.8·Sonnet 5·Mythos 5·GPT-5.5·오픈웨이트 GLM 5.2까지 다섯 개 프런티어 모델을 채점했어. 1티어(이미 실용적으로 깨진 것들)에서는 모델들이 65~86%를 풀어냈고, 그 과정에서 SpoC AEAD의 설계 결함을 노린 키 복구 공격이나 KINDI 보안 증명의 오류처럼 기존에 알려지지 않은 결과도 나왔다고 해.

항목 내용 확인 근거
모델 Claude Mythos Preview (미출시 리서치 프리뷰) 앤트로픽 연구 포스트
작업 환경 Claude Code 기반 멀티에이전트 스캐폴드, Python·Sage·공개 문헌 접근 앤트로픽 연구 포스트
HAWK 핵심 발견 격자 내 비자명 자기동형사상(nontrivial automorphism) 앤트로픽 HAWK 논문 PDF
환원 결과 HAWK-n 키 복구가 차원 n/2+1의 SVP로 환원 pqc-forum 게시글(2026-07-28)
HAWK-256 비용 2^64 → 2^38 연산 (약 6,700만 배 감소) 앤트로픽 포스트 · CSO Online
HAWK-512 / 1024 2^150 → 2^108 / 2^288 → 2^182 (AGPS'20 게이트 모델) pqc-forum 게시글
실증 96코어 서버 1대에서 HAWK-256 비밀키 약 3시간 42분 만에 복구 앤트로픽 포스트 · The Hacker News
소요 자원 약 60시간, API 비용 약 10만 달러 앤트로픽 포스트
AES 발견 7라운드 AES-128 대상 'Möbius Bridge', 기존 최고 공격 대비 200~800배 앤트로픽 AES 논문 PDF
AES 한계 약 2^105 선택 평문 필요, 실제 10라운드 AES엔 영향 없음 The Hacker News
외부 검증 다니엘 에이폰 "독립적으로 확인했다" (수학적 환원 한정) pqc-forum 스레드
최종 결과 7월 29일 HAWK 팀 철회, NIST 3라운드 페이지에 'withdrawn' 표기 NIST CSRC 라운드3 페이지

누가 웃고 누가 우나

가장 명확한 승자는 앤트로픽이야. 이건 벤치마크 점수 몇 점 올렸다는 발표가 아니라, 외부 기관의 공식 기록에 결과가 새겨진 사건이거든. NIST 페이지의 "withdrawn" 네 글자는 마케팅 문구가 아니라 표준화 기관의 판정이고, 그 판정을 촉발한 게 아직 출시도 안 된 모델이라는 사실이 앤트로픽의 능력 서사를 통째로 뒷받침해. 게다가 앤트로픽은 이걸 순수 자랑으로만 쓰지 않고 안전성 담론으로 연결했어. 회사는 발표에서 "언어 모델이 핵심 인프라를 보호하는 암호 시스템의 결함을 찾아냈을 때, 연구자와 기업과 정부는 어떻게 대응해야 하는가"라는 질문을 미해결 과제로 던졌지. 이건 규제 논의에서 자기 위치를 잡는 아주 영리한 수야. 비용 측면도 무시 못 해 — 세계 최고 수준 암호학자 여러 명의 몇 달치 노동에 해당하는 결과가 10만 달러라는 건, 암호분석이 인력 문제에서 컴퓨트 예산 항목으로 넘어가고 있다는 신호야.

HAWK 팀은 명백한 손실을 봤어. 4년, 두 라운드, 수많은 발표와 방어를 거친 제안이 사라졌으니까. 다만 이 사람들이 보인 태도는 이 판에서 오래 기억될 것 같아. 버티지 않았고, 공격을 검증했고, 하루 만에 스스로 내렸어. 팀은 자기들의 휴리스틱 중 하나가 AI의 도움을 받은 동료들에 의해 무효로 밝혀졌다는 점, 그리고 사람은 실수하고 사람은 AI보다 느리다는 점을 배웠다고 정리했어. 냉정하게 보면 이건 개인의 실패라기보다 검증의 한계에 관한 이야기야. 수십 명이 2년을 봐도 못 보는 구조가 실제로 존재한다는 것.

NIST와 표준화 커뮤니티는 애매한 위치야. 표면적으로는 승리 선언을 할 수 있어. 배포 전에 걸러냈으니 프로세스가 작동한 거니까. 키팩터(Keyfactor)의 엘런 뵘(Ellen Boehm)도 이번 건을 NIST 평가 과정이 제대로 돌아가고 있는 증거로 읽었어. 근데 뒤집어 보면 불편한 질문이 남아. 이번엔 앤트로픽이 선의로, 사전 조율을 거쳐(회사는 6월에 HAWK 저자들에게 먼저 공유했다고 밝혔어) 공개 포럼에 올렸어. 만약 다음번에 같은 능력을 가진 누군가가 그렇게 하지 않는다면? 그리고 사람 검토자들이 기계가 쏟아내는 주장을 다 확인할 시간이 없으면 프로세스는 어디서 막힐까? 에이폰이 포럼에서 "AI가 생성한 암호분석 주장을 판정할 커뮤니티 표준이 필요하다"고 말한 게 그 지점이야. 그는 스콧 아론슨이 만든 '가짜 증명을 알아보는 열 가지 징후' 같은 기준을 참고 사례로 들었어. 마르쿠-유하니 사리넨(Markku-Juhani Saarinen)은 기계 검증 가능한 증명이나 축소판 대상 실증처럼 만질 수 있는 증거가 함께 와야 한다고 못 박았고.

손해 보는 쪽을 더 구체적으로 짚자면, 격자 기반 서명 진영 전체의 다양성이야. 이번 결과는 Falcon(FN-DSA)이나 ML-DSA에는 영향이 없어. 앤트로픽도 이 점을 명시했고, 포럼 스레드에서도 확인됐어. 문제는 HAWK가 추가 서명 라운드에 남아 있던 유일한 격자 기반 후보였다는 거야. HAWK가 빠지면서 3라운드에 남은 아홉 후보는 아이소제니(SQIsign), MPC-in-the-Head 계열(MQOM·SDitH), 다변수(MAYO·QR-UOV·SNOVA·UOV), 대칭키 기반(FAEST)으로 구성돼. NIST가 추가 공모를 연 이유가 애초에 "격자 말고 다른 걸 확보하자"였으니 이게 치명적이진 않아. 오히려 목적에 맞다고 볼 수도 있지. 다만 "작고 빠른 서명"이라는 실용적 슬롯을 채워줄 후보가 하나 줄어든 건 사실이야.

예전에도 이런 일이 있었어

암호 공모전에서 후보가 죽는 건 사실 흔한 일이야. 가장 유명한 사례는 2022년의 SIKE야. 아이소제니 기반 키 교환 방식으로 NIST 4라운드까지 살아남았는데, 벨기에 KU 루뱅의 보 카스트릭(Wouter Castryck)과 토마스 드크뤼(Thomas Decru)가 20년 넘은 정리를 응용해 노트북 한 대로 약 한 시간 만에 깨버렸어. 같은 해 Rainbow도 무너졌지. 다변수 서명 방식으로 3라운드 결선까지 올라갔던 후보였는데, 워드 뵐런스(Ward Beullens)가 노트북으로 주말 하나 만에 키를 복구했어. 이 두 사건이 주는 교훈은 명확해 — 여러 해의 공개 검토를 견뎠다는 사실이 안전의 증명은 아니라는 것. 그리고 그때도 사람들은 "표준화 전에 걸러졌으니 프로세스가 작동한 것"이라고 말했어. 지금과 똑같이.

성공 사례 쪽에서는 AES 공모전 자체가 교과서야. NIST는 1997년에 후보를 공모했고, 3년간 전 세계 암호학자들이 서로의 후보를 공개적으로 두들겼고, 2000년에 레인달(Rijndael)이 선정됐어. 그 뒤 25년이 넘도록 완전한 10라운드 AES-128에 대해 실용적 공격은 나오지 않았어. 이번에 Mythos가 200~800배 개선한 것도 결국 7라운드 축소판이야. 즉 AES는 여전히 상당한 안전 여유를 유지하고 있고, 공개 검증 모델이 장기적으로 작동한다는 증거이기도 해. SHA-3 공모전도 마찬가지 궤적을 그렸고.

AI가 보안 연구에 실제 성과를 낸 선례도 이미 있어. 구글의 Big Sleep은 프로젝트 제로와 딥마인드가 함께 만든 에이전트인데, 2024년에 SQLite에서 실제로 존재하지만 아무도 몰랐던 메모리 안전 취약점을 찾아냈어. LLM이 널리 배포된 실제 소프트웨어에서 익스플로잇 가능한 버그를 발견한 첫 공개 사례로 기록됐지. 2025년에는 위협 인텔리전스와 결합해 공격자만 알고 있던 SQLite 취약점(CVE-2025-6965)을 악용 직전에 차단하기도 했어. 수학 쪽에서는 딥마인드의 AlphaEvolve가 오랫동안 개선되지 않던 행렬 곱셈 알고리즘을 갱신했고, 앤트로픽은 이번 발표에서 OpenAI 모델이 이산기하학 추측을 반증한 사례도 함께 언급했어. 흐름은 하나야. AI가 "이미 아는 걸 잘 정리하는 단계"를 지나 "새 결과를 내는 단계"로 넘어가는 중이라는 것.

실패 사례도 반드시 봐야 해. 지난 몇 년간 오픈소스 보안 커뮤니티는 AI가 대량 생산한 저질 취약점 신고에 시달렸어. curl 메인테이너 다니엘 스텐베리(Daniel Stenberg)는 버그바운티로 들어오는 AI 생성 리포트가 그럴듯하게 쓰였지만 실체가 없어서 검증 인력을 갉아먹는다고 여러 차례 공개적으로 불만을 터뜨렸지. 이번 HAWK 건이 성공한 이유는 결과가 환원 가능한 수학이었고, 재현 코드가 함께 나왔고, 인간 암호학자들이 AES 논문에 대해 거의 한 달에 달하는 검증을 붙였기 때문이야. 검증 가능성이 없는 채로 볼륨만 늘면 결과는 정반대가 돼. 에이폰과 사리넨이 표준을 요구한 이유도 정확히 이 실패 모드 때문이야.

경쟁 진영은 어떻게 나올까

가장 먼저 반응할 곳은 구글이야. 구글은 이미 Big Sleep으로 AI 취약점 탐색에서 앞서 있었고, 양자내성암호 이전 타임라인도 공개적으로 밀고 있어. 앤트로픽이 "우리 모델이 표준 후보를 내렸다"는 서사를 가져간 이상, 구글이 자기 모델로 유사한 수학적 발견을 내놓을 유인은 커졌어. 딥마인드는 AlphaEvolve·FunSearch 계열로 이미 조합론과 알고리즘 최적화에서 실적을 냈으니, 이걸 암호분석 쪽으로 조준하는 건 자연스러운 확장이야. 다만 구글은 배포된 시스템 방어자 포지션이기도 해서, "우리가 뭘 깼다"보다 "우리가 뭘 막았다"는 각도를 택할 가능성이 높아.

OpenAI는 이미 간접적으로 이 판에 들어와 있어. implicator.ai 보도에 따르면 7월 17일, 앤트로픽 발표보다 열흘 앞서 헝이 루오(Hengyi Luo)라는 연구자가 GPT-5.6을 활용한 별개의 HAWK 공격을 공개했다고 해. 단일 매체 보도라 세부 내용은 더 확인이 필요하지만, 만약 사실이라면 이건 꽤 중요한 맥락이야. HAWK를 향한 압박이 앤트로픽 단독 사건이 아니라 여러 모델·여러 연구자가 동시에 같은 구조를 건드리던 흐름이었다는 뜻이니까. 앤트로픽이 만든 CryptanalysisBench에도 GPT-5.5가 채점 대상으로 들어가 있어서, 다음 라운드에서 OpenAI가 자기 모델의 암호분석 성적을 직접 발표할 가능성도 충분해.

중국 및 오픈웨이트 진영의 움직임도 지켜볼 만해. CryptanalysisBench 평가 대상에 오픈웨이트 모델인 GLM 5.2가 포함됐다는 사실 자체가 시사적이야. 암호분석 능력이 폐쇄 모델만의 것이 아니라면, "누가 이 능력을 갖느냐"의 통제는 사실상 불가능해져. 앤트로픽이 발표문에서 정책 논의를 촉구한 배경에도 이 계산이 깔려 있어. 앞으로 프런티어 모델 평가 항목에 "암호분석 능력"이 정식으로 들어갈 가능성이 높고, 그건 각국 AI 안전 기관의 사전 평가 체크리스트에도 반영될 거야.

암호학계 자체의 카운터 플레이가 제일 흥미로울 수 있어. 반응은 두 갈래로 갈릴 거야. 한쪽은 방어적 활용 — 후보 제출 전에 AI 레드팀을 의무적으로 돌려서 자기 설계의 숨은 대칭성부터 뒤지는 관행이 표준화될 수 있어. 이건 실제로 합리적이고, NIST가 다음 공모 규칙에 반영할 수도 있어. 다른 한쪽은 방어적 게이트키핑 — AI 생성 주장에는 기계 검증 가능한 증명이나 축소판 실증을 첨부하라는 요구야. 사리넨의 주장이 여기 해당하고, 이건 사실상 "제출 장벽을 높여서 리뷰 인력을 보호하자"는 전략이야. 두 방향은 충돌하지 않고 같이 갈 가능성이 커. 그리고 앤트로픽은 이 논의를 자기 마당에서 하겠다는 듯, 언어 모델의 보안·암호 연구 역할을 다루는 학술 워크숍을 열겠다고 예고했어.

한 가지 더. 앤트로픽은 이미 다음 표적들을 예고했어. LEA(13라운드), Serpent-128(6라운드), Salsa20, Poseidon, 그리고 SHA-1에 대한 예비 공격을 확보했다고 밝혔거든. Poseidon은 영지식 증명 시스템에서 널리 쓰이는 해시 함수라 블록체인 쪽이 특히 촉각을 곤두세울 대목이야. 이 예고 자체가 경쟁자들에겐 압박이고, 방어 진영엔 우선순위 목록이야.

그래서 뭐가 달라지는데

개발자라면 오늘 당장 바꿀 건 없어. TLS 설정도, AES-GCM도, 디스크 암호화도 그대로 두면 돼. 다만 하나는 기억해 둬. 여러분이 쓰는 라이브러리에 HAWK 구현이 들어 있을 가능성은 거의 없지만(배포된 적이 없으니까), 만약 실험적으로 PQC 후보들을 넣어둔 코드가 있다면 HAWK는 지금 빼도 돼. NIST 3라운드 페이지에 공식적으로 withdrawn으로 표기됐으니 근거는 충분해. 더 중요한 실무적 교훈은 **암호 민첩성(crypto agility)**이야. 알고리즘을 코드에 박아 넣지 말고 교체 가능한 구조로 두라는 오래된 조언이, 이번 사건으로 훨씬 구체적인 무게를 갖게 됐어. 알고리즘이 죽는 속도가 빨라졌으면 갈아끼우는 속도도 빨라져야 하니까.

투자자 관점에서는 두 가지 신호를 읽을 수 있어. 첫째, 프런티어 모델의 가치 증명 방식이 바뀌고 있어. 벤치마크 점수 대신 "외부 기관 기록에 남는 실제 성과"가 새 화폐가 되고 있고, 앤트로픽은 그걸 표준화 페이지 한 줄로 확보했어. 둘째, 컴퓨트가 전문 노동을 직접 대체하는 사례가 숫자로 나왔다는 점이야. 10만 달러와 60시간으로 최상위 전문가 집단의 2년치 검토를 뒤집었다면, 비슷한 구조의 지식 노동 — 형식 검증, 재료 탐색, 알고리즘 최적화 — 에서도 같은 계산이 성립할 수 있어. 다만 조심할 것도 있어. 이건 답이 검증 가능한 도메인에서 나온 성과야. 검증이 어려운 영역에 그대로 외삽하면 틀릴 거야.

일반 사용자한테 실질적 영향은 없어. 여러분의 메시지, 은행 앱, 저장된 비밀번호는 이번 발표로 조금도 덜 안전해지지 않았어. 오히려 이번 일은 좋은 소식에 가까워. 표준이 되기 전에 결함이 잡혔다는 뜻이니까. 다만 앞으로 몇 년간 "AI가 암호를 깼다"는 식의 헤드라인을 더 자주 보게 될 텐데, 그때 확인할 질문 세 개를 기억해 두면 좋아. 대상이 실제 배포된 알고리즘인가 후보인가? 전체 라운드인가 축소판인가? 그리고 실제로 돌려서 키를 복구했는가 아니면 이론적 개선인가? 이번 건은 각각 후보, 축소판, 그리고 챌린지 사이즈에 한해 실증이었어.

기업·기관은 지금이 재고 조사를 시작할 타이밍이야. 뵘이 지적한 것처럼 핵심은 자기 조직이 어떤 암호를 어디에 쓰고 있는지 가시성을 확보하는 거야. 암호 목록(CBOM)을 만들고, 벤더에게 PQC 이전 계획을 물어보고, 알고리즘 교체 리허설을 한 번이라도 돌려보는 것. 이번 사건은 "지금 쓰는 게 위험하다"는 경고가 아니라 "교체가 필요해질 때 얼마나 빨리 움직일 수 있는가"에 대한 시험이야. 정부·규제기관 쪽에서는 더 근본적인 숙제가 남았어. 프런티어 모델이 실제 인프라를 지키는 암호에서 결함을 찾았을 때 누구에게 먼저 알리고, 얼마나 오래 비공개로 두고, 어떤 절차로 공개할 것인가. 이번엔 앤트로픽이 6월에 저자들에게 먼저 알리고 7월에 공개 포럼에 올리는 관행적 책임공개를 따랐지만, 그건 규칙이 아니라 선의였어.

🥄 남은 궁금증 세 가지

— 그래서 나랑 무슨 상관이야? 직접적인 영향은 없어. HAWK는 어디에도 안 쓰이던 후보였고, AES 쪽은 축소판 연구용이라 여러분 기기의 암호는 그대로야. 다만 앞으로 암호 표준이 만들어지고 폐기되는 속도가 빨라지면, 여러분이 쓰는 앱과 서비스가 알고리즘을 갈아끼우는 일이 지금보다 잦아질 수는 있어.

— 이게 왜 하필 지금이야? 모델이 도구를 오래 쥐고 스스로 실험을 반복할 수 있게 된 게 최근이라 그래. 이번 작업은 문헌 읽기, 가설 세우기, Sage로 계산 돌리기, 실패하면 다시 세우기를 60시간 동안 반복한 결과거든. 단발 질의응답으로는 절대 안 나오는 종류의 성과라, "모델이 똑똑해져서"보다 "오래 붙잡고 있을 수 있게 돼서"가 더 정확한 설명이야.

— 그럼 다른 암호도 곧 깨지는 거야? 단정하긴 일러. 앤트로픽이 Salsa20, Poseidon, SHA-1 등에 예비 공격을 확보했다고 밝혔지만 예비 단계고, 배포된 전체 라운드 알고리즘을 실용적으로 깬 사례는 아직 없어. 다만 후보 심사 단계에서 걸러지는 알고리즘이 늘어날 가능성은 꽤 높아 보여.

참고 자료

수치는 발표 시점 기준이라 바뀔 수 있어.