작성자: 캘빈
- AI 서비스에서는 일반적으로 사용자가 입력한 프롬프트가 서비스 제공자의 신뢰 영역 안에서 평문으로 처리된다. 규제, 데이터의 가치, 그리고 기업들의 실제 행동이 보여주듯 기밀 AI에 대한 수요는 구조적으로 존재하지만, 오늘날 실제로 빌릴 수 있는 기밀 GPU는 전 세계 약 600 ~ 4,500장으로 추산되며 이는 기밀 컴퓨팅이 가능한 GPU의 약 0.04% 수준에 불과하다.
- 기존의 기밀 AI 아키텍처는 인텔 TDX, AMD SEV-SNP와 같은 x86 CPU 신뢰실행환경(TEE)을 신뢰 사슬의 중심에 둔다. 그러나 2020년 이후 이 칩들은 키 추출, 어테스테이션(attestation) 위조를 포함한 공격에 반복적으로 뚫려왔다. 아르키움 블랙손(Arcium Blackthorn)은 CPU TEE를 신뢰 사슬에서 완전히 제거하고, 그 자리를 악의적 보안(malicious security)을 갖춘 다자간 연산(MPC)으로 대체한 아키텍처로 설계되었다.
- 블랙손의 신뢰 사슬은 엔비디아 GPU에 실리콘 단위로 각인된 디바이스 식별 키와 케르베로스(Cerberus) MXE(Multi-party eXecution Environment)의 암호학적 임계값, 단 둘로 줄어든다. 호스트 CPU는 이중으로 암호화된 암호문만을 중계하는 전달자로서만 기능하며, 배포는 새로운 하드웨어 없이 소프트웨어 업그레이드만으로 이루어진다. 이로써 기밀 추론의 후보군은 오늘날 시장에 나와 있는 약 2,000장의 기밀 GPU보다 훨씬 큰, 네오클라우드와 기업들이 이미 운영 중인 베어메탈 호퍼(Hopper), 블랙웰(Blackwell) GPU 전체로 확장된다. 다만 가상화 환경에서 운영되는 GPU는 여전히 기밀 컴퓨팅 모드에 진입할 수 없어 이 후보군에는 포함되지 않는다.
- 블랙손은 여전히 GPU의 기밀 컴퓨팅 모드에 대한 하드웨어 신뢰를 가정하고 있으며, 실제 하드웨어 위에서의 검증이라는 가장 중요한 과제를 남겨두고 있다. 아르키움은 장기적으로 하드웨어 신뢰가 전혀 없는 맨티코어(Manticore) 기반의 순수 암호학적 실행을 로드맵으로 제시하고 있으며, 블랙손은 그 성능 격차가 좁혀지기 전까지 오늘 배포 가능한 가장 낮은 수준의 신뢰를 요구하는 실시간 기밀 AI 아키텍처로 자리잡을 것이다.
FP Website | Telegram (EN / KR) | X (EN / KR)