Claude의 ECDSA 추적, 암호 해독 아닌 생성 이력 복원

오래된 암호 표준에서 찾은 것은 비밀키가 아니다

Anthropic은 10월 16일 공식 연구 발표에서 내부 연구 모델 Claude가 NIST 타원곡선의 공개 시드 생성 과정을 찾아냈다고 밝혔다. P-192, P-224, P-256, P-384, P-521의 시드가 오래된 C 라이브러리 난수 생성기와 유닉스 타임스탬프로 재현된다는 설명이다. 회사는 초기 발견에 30분이 채 걸리지 않았다고 보고했다. 이는 연구진의 보고이며 독립적인 전체 작업 시간 측정치는 아니다.

핵심은 서명을 위조하거나 개인키를 복구한 사건이 아니라 공개 상수의 출처를 설명한 사건이라는 점이다. 발표 역시 새로운 공격이나 ECDSA의 취약점이 아니며 사용자가 이를 이유로 행동을 바꿀 필요는 없다고 명시한다. AI가 암호를 깼다는 식의 해석은 발견의 대상과 보안상의 의미를 모두 바꿔 버린다.

왜 시드의 출처가 중요했나

NIST의 FIPS 186-2 원문은 표준 타원곡선과 생성에 사용된 시드를 공개했지만, 그 시드를 처음 어떻게 골랐는지는 충분히 설명하지 않았다. 공개된 수치가 맞다는 것과 선택 과정이 납득된다는 것은 별개의 문제다. 누군가 유리한 성질을 가진 곡선을 의도적으로 골랐을 가능성에 대한 논쟁은 이 불투명성에서 출발했다.

그 역사는 Koblitz와 Menezes의 관련 논문과 시드 출처 현상금 설명에서 확인할 수 있다. 이번 발표는 특정 문구를 해시했을 것이라는 오래된 추측 대신 당시 소프트웨어가 실제로 사용할 법한 생성기를 시험했다는 점에서 흥미롭다. 사람의 단서를 그대로 확장하는 것보다 가설의 출발점을 바꾸는 탐색이 성과를 냈다는 이야기다.

다만 과거 표준의 배경을 설명하는 자료를 현재 알고리즘 선택의 권고 목록으로 사용해서는 안 된다. 조직이 어떤 곡선과 키 길이를 채택할지는 현행 기준, 제품 지원과 별도의 암호 전환 계획에 따라 판단할 일이다.

재현 코드가 설명하는 것과 남겨 둔 것

발표에 따르면 Claude는 lrand48의 출력 특성을 식별하고, 일부 출력 비트만 남은 경우에는 격자 기반 방법을 이용해 내부 상태를 복원했다. 소수체 곡선 시드의 초기화 값은 1997년 5월부터 1998년 4월 사이의 타임스탬프로 해석됐다. P-256의 표준 시드는 해당 실행의 1,842번째 후보에서 재현된다. 연구진은 독자가 같은 값을 계산할 수 있도록 짧은 코드와 결과를 함께 공개했다.

미해결 사항도 분명하다. 발표는 B-163 시드, 여러 곡선의 기준점, 유효해 보이는 일부 후보를 건너뛴 이유를 설명하지 못했다고 밝힌다. P-256에서는 876번째 후보도 조건에 맞는 곡선을 만들 수 있었지만 최종적으로 1,842번째가 선택됐다는 사례가 나온다. 연구진은 이를 약화된 곡선을 골랐다는 증거로 보지 않지만, 모든 역사적 선택을 복원한 것은 아니라는 선은 유지해야 한다.

AI 연구 경쟁의 단위가 답변에서 검증물로 바뀐다

이 사례에서 구매자가 주목할 대상은 모델 이름만이 아니다. 탐색 코드를 만들고, 가설을 반박하고, 결과를 외부인이 검사할 수 있는 형태로 정리하는 작업 전체가 중요하다. 경쟁 모델을 비교한다면 같은 문제에서 얼마나 빠르게 그럴듯한 설명을 내놓는지보다 재현 가능한 결과를 얼마나 안정적으로 남기는지 평가해야 한다.

InnovationEval의 연구 평가 범위 분석에서 다룬 것처럼 과제 점수, 새로운 발견, 검증된 지식은 서로 다른 층위다. 이번처럼 출력값을 원래 표준과 직접 비교할 수 있는 문제는 검증하기 유리하다. 반대로 역사적 의도나 조직 내부 결정처럼 자료가 남아 있지 않은 부분은 계산만으로 채울 수 없다.

공개된 연구용 내부 모델의 성과를 현재 모든 상용 Claude 이용자의 능력으로 간주하는 것도 부정확하다. 발표된 실험의 모델, 도구, 연구진의 개입과 비용을 분리해야 도입 예산에 도움이 되는 비교가 된다.

한국 보안팀에는 증거 관리가 실용적 교훈

국내 금융·인증·보안 조직은 이 발표만으로 운영 암호를 긴급 교체하기보다 연구 산출물 검토 절차에 활용할 수 있다. AI가 생성한 재현 코드는 격리된 환경에서 검토하고, 공개 표준의 상수와 결과를 대조하며, 실행 환경과 입력을 기록하는 방식이다. 그 기록이 있어야 다른 담당자가 같은 결론에 도달할 수 있다.

또한 공개 파라미터를 생성한 난수와 실제 비밀키·서명용 난수는 구분해야 한다. 옛 공개 상수의 출처가 단순한 시계 값이었다는 사실은 비밀키 생성에 약한 난수를 사용해도 된다는 허가가 아니다. 분석 보고서에는 '무엇이 복원됐는가'와 '무엇의 안전성을 평가했는가'를 따로 적는 편이 좋다.

AI 코딩의 리뷰 병목처럼 생성량만 늘면 전문가의 검토 부담이 커질 수 있다. Apate의 증거 품질 분석과도 연결된다. 추론의 양보다 검증 가능한 새 증거의 양이 실질적인 생산성에 가깝다.

자주 묻는 질문

ECDSA가 깨졌다는 뜻인가?

아니다. 발표는 공개 곡선 시드의 생성 이력을 다룬다. 개인키 복구나 서명 위조를 보고하지 않았다.

타임스탬프가 쓰였으면 반드시 취약한가?

공개 상수의 선택과 비밀값의 생성은 보안 요구가 다르다. 이번 결과를 비밀키 난수 생성에 적용해서는 안 된다.

모든 의문이 해결됐나?

아니다. 일부 시드와 기준점, 후보 선택 과정에는 미해결 사항이 남아 있다.

30분이라는 수치를 그대로 업무에 적용할 수 있나?

연구진이 보고한 특정 발견의 시간이다. 다른 과제의 성공률이나 전체 검증 비용을 보장하지 않는다.

한국 기업이 바로 도입할 것은 무엇인가?

특정 모델 구매보다 재현 코드, 입력, 비교 결과와 한계를 함께 남기는 연구 검토 절차가 먼저다.