보안 기업 OPAQUE가 AI 모델의 가중치(모델 파일)를 허가된 하드웨어에서만 복호화할 수 있도록 제어하는 오픈 표준 'Weight Custody Manifest(WCM)'를 공개했습니다. AI 모델을 기업 고객에게 전달할 때, 모델 파일이 일단 빌더의 서버를 떠나면 계약상 약속을 기술적으로 강제할 방법이 없다는 문제를 해결하기 위한 것입니다. WCM은 수신 환경이 빌더가 지정한 조건과 일치함을 암호학적으로 증명해야만 복호화 키를 내어주는 방식으로 작동합니다. 다만 공개 테스트 도구는 실제 하드웨어가 아닌 모의 환경에서 돌아가며, GPU 암호화 검증은 포함되지 않아 실제 배포 전 별도 하드웨어 검증이 필요합니다. 물리적 공격에 의한 키 탈취 등 한계도 남아 있어, 만능 해결책으로 보기는 어렵습니다.
보안 기업 OPAQUE가 AI 모델 가중치를 승인된 하드웨어에서만 복호화 가능하게 하는 오픈 표준 'Weight Custody Manifest(WCM)'를 개발자 프리뷰로 공개했다.
AI 모델 빌더는 모델 파일이 자사 서버를 벗어난 뒤에도 어떤 환경에서만 실행될 수 있는지 암호학적으로 제어할 수 있게 된다. 주권 클라우드(국가 법적 경계 내 인프라) 배포 시에도 IP 보호가 가능해진다.
기업 고객이 자체 인프라에서 AI 모델을 운용하길 요구하지만, 모델 파일이 일단 빌더 데이터센터를 떠나면 계약 조건을 기술적으로 강제할 수단이 없었다.
WCM 표준은 Python SDK 및 91개 케이스를 다루는 공개 테스트 도구와 함께 배포됐다. NVIDIA H100, AMD, Intel 컨피덴셜 서버(Azure·Google Cloud)에서 교차 검증이 수행됐다.
공개 적합성 테스트(conformance suite)는 모의 인증서 환경에서 프로토콜 논리만 검증하며 GPU 암호화 검증은 생략된다. 실제 배포 환경에서는 별도의 하드웨어 검증이 반드시 필요하다. 또한 물리적 칩 공격으로 키가 이미 탈취된 경우 유효한 서명만으로는 이를 탐지할 수 없다는 근본적 한계가 존재한다.
본문
기밀 컴퓨팅(confidential computing) 기업 OPAQUE는 AI 워크로드를 하드웨어 격리 환경에서 실행해 운영자도 내부를 들여다볼 수 없도록 한다. 이 회사가 AI 모델 빌더로 하여금 자사 서버를 떠난 가중치(model weights)가 언제·어디서 복호화될 수 있는지를 결정할 수 있게 해주는 오픈 표준을 공개했다. 'Weight Custody Manifest(WCM)'라고 불리는 이 표준은 개발자 프리뷰 사양, Python SDK, 그리고 91개 케이스를 다루는 공개 테스트 도구와 함께 배포됐다.
이번 공개는 특정한 딜레마를 겨냥한다. 기업들은 자체 데이터로 오픈 모델을 파인튜닝하고 있고, AI 연구소들은 점점 더 가치 높아지는 프런티어 모델을 고객에게 넘겨달라는 요구를 받고 있다. 고객들은 해당 모델이 자신들이 통제하는 인프라, 즉 국가 법적 경계 내에 위치한 주권 클라우드(sovereign cloud)에서 실행되길 주장한다. 그러나 가중치가 일단 빌더의 데이터센터를 벗어나면, 계약서에 적힌 내용을 기술적으로 강제할 방법이 없다.
WCM은 수신 인프라가 빌더가 서명한 조건과 일치함을 암호학적으로 증명할 때까지 가중치를 암호화된 상태로 유지하며, 해당 조건이 변경되면 이후에 접근 권한을 철회할 수 있다.
OPAQUE의 최고 플랫폼 책임자 Imran Siddique는 "오늘날의 컨피덴셜 AI는 모델로부터 고객을 보호한다. WCM은 고객으로부터 모델을 보호한다"고 말했다. "빌더는 자신의 지식재산이 합의된 조건을 충족하는 환경에서만 잠금 해제된다는 증거가 필요하다. WCM은 어느 한쪽이 상대방을 그냥 신뢰하는 대신, 모든 당사자에게 검증 가능한 증거를 제공한다."
검증 절차
보호된 워크로드는 키 브로커(key broker)에 일회성 챌린지(challenge)를 요청한다. CPU와 필요 시 GPU 어테스테이션(attestation, 하드웨어 신뢰 증명)이 그 챌린지, 실행 중인 워크로드의 측정값, 그리고 전송 키를 특정 실행 인스턴스에 묶는다. 브로커는 인증서 체인, 서명, 폐기 상태, 신선도를 확인한 뒤 해당 어테스테이션된 워크로드에 복호화 키를 봉인한다. 조건이 일치하지 않으면 키는 제공되지 않는다.
OPAQUE는 이 교환을 NVIDIA H100과 Azure 및 Google Cloud에 호스팅된 별도의 AMD·Intel 컨피덴셜 서버에서 실행했으며, SDK의 두 가지 독립적인 빌드가 5,948개 파일 전체에서 동일한 출력을 생성했다고 밝혔다.
데모가 증명하지 못하는 것
이 표준을 직접 시험해보면 OPAQUE가 자체 하드웨어에서 실행한 것과는 다른 결과를 얻게 된다. 공개 퀵스타트는 브로커와 워크로드 로직을 하나의 일반 Python 프로세스에서 모의 증거(synthetic evidence)와 플레이스홀더 키로 실행한다. 적합성 테스트 도구(conformance suite)를 실행하면 91개 검사가 통과한다(1단계 32개, 2단계 37개, 3단계 12개, 4단계 10개). 이 모든 것은 모의 인증서 루트를 대상으로 참조 프로토콜의 논리를 테스트하며, GPU 암호화 검증은 완전히 건너뛴다. 통과 결과는 코드의 논리가 작성된 대로 작동함을 확인해줄 뿐이다. 하드웨어 자체의 검증은 빌더가 실제로 배포할 머신에서 별도로 수행해야 한다.
여기에는 날카로운 한계가 하나 있다. 유효한 서명이라고 해서 인가된 키와 공격자가 이미 하드웨어에서 빼낸 키를 구별해줄 수는 없다. 컨피덴셜 컴퓨팅 칩에 대한 물리적 공격은 실제로 존재하며 문서로도 기록되어 있고, OPAQUE는 그 문제가 해결됐다고 주장하는 대신 관련 연구를 직접 언급하고 있다.
