원저자: Alejandro Mata Ali, Adriano Mauricio Lusso, Edgar Mencia

게시일 2026-05-08

📖 5 분 읽기🧠 심층 분석

원저자: Alejandro Mata Ali, Adriano Mauricio Lusso, Edgar Mencia

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

세상에서 가장 맛있는 케이크를 위한 비밀 레시피가 있다고 상상해 보세요. 하지만 그 케이크를 구울 만큼 큰 부엌은 없습니다. 대신 재료를 전문 제과점 (이것을 '서버'라고 부릅니다) 에 보내 구워달라고 해야 합니다. 하지만 제과점 주인이 비밀 레시피를 보게 해서는 안 됩니다. 그렇지 않으면 레시피를 훔치거나, 더 나쁘게는 재료를 바꿔서 당신이 모르게 나쁜 케이크를 내놓을 수 있기 때문입니다.

이 논문은 당신이 완전히 신뢰하지 않는 제과점에 비밀 레시피를 보내는 방법에 대한 청사진으로, 집에 있는 '부엌 장비' (양자 자원) 의 양에 따라 다른 전략을 사용합니다.

다음은 일상적인 비유를 사용한 그들의 해결책에 대한 상세한 설명입니다:

핵심 문제: '블랙박스' 부엌

양자 컴퓨팅 세계에서 '제과점' (서버) 은 강력하지만 비쌉니다. '홈쿡' (클라이언트) 은 이를 사용하고 싶지만 자신의 데이터 (레시피) 와 구체적인 지시사항 (케이크 층의 각도) 을 숨겨야 합니다.

이 논문은 계층적 해결책을 제안합니다. 마치 보안 수준을 선택할 수 있는 메뉴처럼, 보안 수준은 집에 있는 장비의 양에 따라 달라집니다.

네 가지 보안 수준 (프로토콜)

1. '풀 키친' 클라이언트 (프로토콜 1)

당신은 누구인가요: 완전한 도구 세트를 갖춘 괜찮은 홈 키친 (M-큐비트 양자 컴퓨터) 을 가지고 있습니다. 작은 케이크는 직접 구울 수 있지만, 큰 케이크는 전문 제과점이 필요합니다.
전략: 당신은 재료를 '양자 일회용 패드 (QOTP)'로 암호화합니다. 이는 재료를 넣는 상자가 닿을 때마다 자물쇠가 바뀌는 것과 같습니다.

제과점 주인이 보는 것: 그들은 재료가 담긴 상자와 특정 공개된 방식으로 섞으라는 지시 (예: "시계 방향으로 저어라") 만 봅니다. 상자 안에 무엇이 들어있는지는 볼 수 없습니다.
당신이 하는 일: 당신은 레시피의 비밀 부분 (비표준 향신료) 을 직접 보관합니다. 제과점 주인이 공개된 섞기 작업을 마치면, 당신은 상자를 가져와서 잠금을 풀고 비밀 향신료를 넣은 뒤 다시 잠그고 보냅니다.
단점: 제과점 주인은 재료를 얼마나 사용했고 언제 보냈는지는 알 수 있지만, 재료가 무엇인지는 알 수 없습니다.

2. '단일 도구' 클라이언트 (프로토콜 2)

당신은 누구인가요: 당신은 풀 키친이 없습니다. 오직 몇 개의 단일 도구 (독립적인 단일 큐비트 장치) 만 있습니다. 집에서 두 가지 재료를 섞을 수 없습니다.
전략: 당신은 여전히 비밀 잠금상자 (QOTP) 를 사용하지만, 이제 어떻게 보내는지에 대해 매우 신중해야 합니다.

요령: 레시피의 모양을 숨기기 위해 '라우팅 순열 (Routing Permutations)'을 사용합니다. 재료가 담긴 항아리가 5 개 있다고 상상해 보세요. 당신은 어떤 항아리가 제과점의 어느 선반으로 가는지 섞습니다. 제과점 주인은 항아리가 이동하는 것을 보지만, 당신이 섞었기 때문에 항아리의 순서만 보고 케이크를 만드는지 파이를 만드는지 알 수 없습니다.
단점: 당신은 항아리를 끊임없이 오가며 교환해야 하므로 시간이 걸립니다.

3. '미니멀리스트' 클라이언트 (프로토콜 3)

당신은 누구인가요: 당신은 거의 도구가 없습니다. 상자를 잠그고 잠금만 풀 수 있을 뿐, 안의 재료를 회전시킬 수도 없습니다.
전략: 이것이 가장 영리한 부분입니다. 당신은 회전 각도 (예: "노브를 45 도 돌리라") 를 직접 숨길 수 없습니다. 따라서 '비밀 코드 공유' 요령을 사용합니다.

비유: 제과점 주인에게 노브를 돌리라고 말해야 하지만 "45 도"라고 말할 수 없다고 상상해 보세요. 대신 그들에게 "10 도"와 "35 도"를 따로 돌리라고 말합니다. 하지만 여기에는 반전이 있습니다. 당신은 또한 제과점 주인에게 그 중 하나를 거꾸로 돌리라고 비밀리에 지시합니다 (음수 부호).
마법: 제과점 주인은 두 번의 회전 (+10 과 +35) 만 봅니다. 하지만 당신이 가진 비밀 '거꾸로' 지시 때문에 실제 수학 계산은 45 가 됩니다. 제과점 주인은 어느 회전이 진짜이고 어느 것이 '거꾸로'인지 알지 못합니다.
단점: 이는 제과점 주인이 어떤 두 회전이 같은 비밀 지시에 속하는지 알아내지 못할 때만 작동합니다. 당신은 회전 순서를 섞고 실제처럼 보이지만 아무것도 하지 않는 '더미 (dummy)' 회전을 사용하여 이를 숨깁니다.

4. '순수 고전적' 클라이언트 (프로토콜 4)

당신은 누구인가요: 당신은 양자 도구가 전혀 없습니다. 당신은 노트북을 가진 사람일 뿐입니다.
전략: 당신은 스스로 상자를 잠글 수 없습니다. 따라서 두 곳의 경쟁하는 제과점 (서버 1 과 서버 2) 과 중립 관리자 (공통 노드) 를 고용합니다.

설정: 당신은 비밀 레시피를 두 반으로 나눕니다. 절반은 제과점 A 에, 나머지 절반은 제과점 B 에 줍니다. 관리자는 이를 다시 합치는 방법을 아는 '키'를 보유합니다.
규칙: 제과점 A 와 B 는 서로 대화할 수 없습니다. 관리자는 두 제과점 주인이 전체 그림을 알지 못하도록 키를 섞는 역할을 신뢰받습니다.
단점: 제과점 A, 제과점 B, 그리고 관리자가 모두 결탁하여 메모를 공유하기로 결정하면 당신의 비밀은 유출됩니다. 이 시스템은 그들이 결탁하지 않는다는 전제에 의존합니다.

'함정' 계층 (검증)

제과점 주인이 사기치지 않았는지 어떻게 알 수 있을까요? 아마도 레시피를 훔치지 않았더라도, 태운 케이크를 내놓았을지도 모릅니다.
저자들은 '함정 (Trap)' 시스템을 제안합니다.

비유: 당신은 제과점 주인에게 실제 것과 똑같이 보이는 몇 가지 '더미' 재료를 보냅니다. 하지만 당신은 그것들이 정확히 무엇으로 변해야 하는지 알고 있습니다 (예: "이 특정 계란은 완벽한 구형으로 변해야 한다").
확인: 제과점 주인이 모양이 일그러진 구형을 돌려보내면, 그들이 사기를 쳤거나 실수를 했다는 것을 알게 됩니다. 더미 재료는 실제 재료와 무작위로 섞여 있기 때문에 제과점 주인은 어떤 것이 함정인지 알지 못합니다. 그들은 잡히지 않기 위해 모든 것에 대해 정직해야 합니다.

'누출' 현실 점검

이 논문은 그것이 무엇을 하지 않는지에 대해 매우 솔직합니다. 제과점 주인이 재료 (데이터) 를 볼 수는 없지만, 다음과 같은 것들을 기반으로 일부 것을 추측할 수 있음을 인정합니다:

타이밍: 구우는 데 걸린 시간.
크기: 사용된 항아리의 수.
구조: 레시피의 일반적인 모양 (예: "수프가 아니라 케이크처럼 보인다").

이 논문은 이를 **"누출 의존적 프라이버시 (Leakage-Dependent Privacy)"**라고 부릅니다. 이는 "우리는 비밀 세부 사항을 숨기지만, 추가 패딩과 노이즈를 추가하여 이것도 숨기지 않는 한 제과점 주인이 요리의 일반적인 유형을 추측할 수 있음을 인정한다"는 뜻입니다.

요약

이 논문은 초강력 해커에게 보이지 않는 마법의 방패를 약속하지 않습니다. 대신 모듈식 도구 세트를 제공합니다:

양자 컴퓨터가 있다면: '잠금상자' 방법을 사용하세요.
제한된 도구가 있다면: '섞기'와 '비밀 코드 공유' 방법을 사용하세요.
도구가 전혀 없다면: '두 제과점 + 관리자' 방법을 사용하세요.
모두에게: 사기꾼을 잡기 위해 '함정'을 추가하세요.

완벽한 비밀은 어렵지만, 적절한 트릭의 조합으로 '충분히 좋은' 비밀은 달성 가능하다는 점을 인정하면서, 오늘날 강력한 양자 컴퓨터를 사용하면서 비밀을 누출하지 않는 방법에 대한 실용적인 가이드입니다.

기술 요약: 사용자 수준 및 산업 수준 설정을 위한 개인 위임 양자 컴퓨팅

1. 문제 제기

양자 하드웨어에 대한 접근성은 양자 장치를 구축, 운영 및 유지하는 데 드는 높은 비용으로 인해 개인 사용자와 산업계 모두에게 병목 현상으로 남아 있습니다. 위임 양자 계산 (DQC) 은 자원이 제한된 클라이언트가 강력한 서버에 계산을 위임하는 해결책을 제시합니다. 그러나 계산의 입력 데이터, 출력 데이터 및 계산의 설명 (구조 및 매개변수) 의 기밀성을 유지하는 것이 핵심적인 과제입니다.

측정 기반 블라인드 양자 계산 (MBQC) 및 회로 기반 블라인드 양자 계산 (CBQC) 과 같은 기존 접근 방식은 종종 클라이언트가 그래프 상태 생성이나 모든 큐비트 저장과 같은 상당한 양자 능력을 갖추거나 특정 신뢰 모델에 의존해야 합니다. furthermore, 표준 기밀성 정의는 종종 상태 기밀성 대 구조적 기밀성과 같은 서로 다른 유형의 비밀을 혼동하거나, 제한된 클라이언트 자원으로는 달성할 수 없는 보편적 블라인드를 가정합니다.

본 논문은 완전한 다중 큐비트 장치부터 순수한 고전적 컨트롤러에 이르기까지 다양한 클라이언트 능력에 맞춘 개인 위임 양자 계산 프로토콜의 모듈식 계층 구조의 필요성을 다룹니다. 이 연구는 암호화를 통한 양자 상태 보호와 컴파일 및 라우팅을 통한 회로 구조 보호를 명확히 구분하며, 각각에 필요한 구체적인 누출 가정을 명확히 합니다.

2. 방법론 및 프레임워크

저자들은 클라이언트의 양자 능력 ( $M$ 개의 큐비트) 과 연산의 성격 (클리포드 대 비클리포드) 에 따라 프로토콜 선택이 결정되는 자원 기반 계층 구조를 제안합니다. 이 프레임워크는 다음과 같은 핵심 기술에 의존합니다:

2.1 핵심 기밀성 메커니즘

양원 원회 패드 (QOTP): 상태 기밀성의 기초입니다. 클라이언트는 무작위 파울리 $X$ 및 $Z$ 키로 큐비트를 암호화합니다. 정제된 반-정직한 모델 하에서 키가 신선하고 비밀이며 균일하다면, 서버의 축소 밀도 행렬은 최대 혼합되어 상태에 대한 정보를 전혀 드러내지 않습니다.
클리포드 키 업데이트: 공개 클리포드 연산 (H, S, CNOT, CZ) 은 서버가 암호화된 데이터에서 수행할 수 있습니다. 클라이언트는 데이터를 복호화하지 않고 파울리 프레임을 고전적으로 업데이트합니다.
비클리포드 처리: 기본 프로토콜은 서버를 클리포드 연산으로 제한합니다. 비클리포드 게이트 (예: $T$ $T$ , 일반 회전) 는 다음을 통해 처리됩니다:
- 로컬 실행: 클라이언트가 복호화하고 게이트를 적용한 후 다시 암호화하여 큐비트를 반환합니다 (로컬 능력을 갖춘 클라이언트의 경우).
- 분해: 비클리포드 게이트를 공개 클리포드 레이어와 로컬 단일 큐비트 게이트로 분해합니다.
- 각도 모호성 원시 연산: 제한된 클라이언트의 경우, 유한 그리드 공유 및 부호 무작위화를 사용하여 개인 회전 각도를 숨깁니다.

2.2 구조적 기밀성 및 누출

이 논문은 엄격한 누출 상대적 기밀성 정의를 도입합니다. 기밀성은 절대적인 것이 아니라 선언된 누출 함수 $L(D)$ 에 상대적입니다.

구조적 기밀성: 회로 레이아웃, 게이트 위치 및 라우팅을 숨깁니다. 이는 무작위화된 컴파일러, 더미/상쇄 게이트로 패딩 및 라우팅 순열을 통해 달성됩니다.
전사 수준 모호성: 제한된 클라이언트의 경우, 보편적 블라인드 대신 "각도 모호성"을 정의합니다. 유한 그리드 라우팅 숨김 부호 무작위화 $r$ -공유 공유를 사용하여 서버는 유효한 회전 공유를 보지만, 숨겨진 부호 (QOTP 키에 의해 유도됨) 와 숨겨진 그룹화 (라우팅 순열에 의해 유도됨) 로 인해 논리적 각도를 고유하게 결정할 수 없습니다.

2.3 프로토콜 계층 구조

이 논문은 클라이언트 자원에 따라 네 가지 distinct 한 프로토콜 분기를 정의합니다:

프로토콜 1 (완전 기능 $M$ -큐비트 클라이언트):
- 능력: $M$ 개의 큐비트를 저장하고 로컬 다중 큐비트 게이트를 수행할 수 있음.
- 메커니즘: 클라이언트는 $M$ 개의 큐비트 배치를 서버로 보냅니다. 서버는 암호화된 데이터에서 공개 클리포드 연산을 수행합니다. 개인/비클리포드 게이트는 아리티가 $\le M$ 인 경우 클라이언트가 로컬에서 실행합니다 (복호화 - 적용 - 재암호화).
- 기밀성: QOTP 상태 기밀성; 구조적 기밀성은 컴파일러에 따라 다름.
프로토콜 2 ( $M$ 개의 독립 단일 큐비트 장치를 가진 클라이언트):
- 능력: $M$ 개의 독립 장치; 로컬 얽힘 게이트 없음.
- 메커니즘: 프로토콜 1 과 유사하지만 로컬 단일 큐비트 게이트로 제한됨. 다중 큐비트 연산은 공개 클리포드 레이어로 위임됨. 구조적 숨김은 장치 간의 포트 무작위화(라우팅 순열) 를 통해 논리적 와이어 매핑을 숨김으로써 달성됨.
- 기밀성: QOTP 상태 기밀성; 구조적 기밀성은 라우팅 순열 및 패딩에 의존함.
프로토콜 3 (제한된 단일 큐비트 장치):
- 능력: 파울리 $X, Z$ (QOTP 마스크) 및 라우팅 제어에 제한됨; 임의의 회전을 수행할 수 없음.
- 메커니즘: 유한 그리드 라우팅 숨김 부호 무작위화 $r$ -공유 각도 모호성 원시 연산을 사용함. 개인 회전 각도는 유한 그리드로 컴파일되어 숨겨진 부호 (QOTP $X$ 키를 통해) 와 숨겨진 그룹화 (라우팅을 통해) 를 가진 $r$ 개의 공유로 분할됨.
- 기밀성: QOTP 상태 기밀성; 숨겨진 부호 및 숨겨진 라우팅 가정 하의 전사 수준 각도 모호성(보편적 블라인드가 아님).
프로토콜 4 (고전적 클라이언트):
- 능력: 순수 고전적; 직접적인 양자 상호작용 없음.
- 메커니즘: **두 개의 계산 서버 ( $S_1, S_2$ )**와 **공통 노드 ( $R$ )**를 사용함. 클라이언트는 지속적 매칭 숨김 분할 QOTP를 유지함. 공통 노드는 $S_1$ 과 $S_2$ 가 보유한 키 공유 간의 매칭을 숨김.
- 기밀성: 지속적 분할 QOTP 및 $\epsilon_{key}$ -키 숨김 (비-전체 결탁 가정 하) 에 따른 상태 기밀성. 각도 기밀성은 셔플된 $r$ -공유 공유를 통한 전사 수준 unlinkability.
- 가정: 전체 연합 $\{S_1, S_2, R\}$ 은 제외됨; 공통 노드는 신뢰되거나 사이드 채널이 제어됨.

2.4 트랩 기반 탐지 계층

악의적인 편차 (서버가 프로토콜을 따르지 않는 경우) 에 대응하기 위해, 논문은 내장된 통계적 탐지 계층을 제안합니다.

방법: 클라이언트는 알려진 답변이나 시뮬레이션 가능한 출력을 가진 "검증자 블록"을 컴파일하고, 개인 재레이블링 및 라우팅을 사용하여 데이터 블록과 혼합합니다.
보장: 구별 불가능성 가정 하에서 서버는 데이터 블록만을 표적으로 삼을 수 없습니다. 탐지 확률은 검증자 슬롯의 밀도와 검증자 모드의 건전성 (알려진 답변, 시뮬레이션 가능, 또는 에코) 에 따라 달라집니다.
한계: 이는 통계적 탐지 계층일 뿐, 완전한 악의적 보안 증명이나 인증 메커니즘이 아닙니다.

3. 주요 기여

자원 인덱싱 프로토콜 계층 구조: $M$ -큐비트에서 고전적까지의 특정 클라이언트 능력을 적절한 기밀성 메커니즘에 매핑하는 구조화된 프로토콜 세트 (프로토콜 1~4) 로, "일률적 접근"을 피합니다.
누출 상대적 기밀성 정의: QOTP 상태 기밀성(정보 이론적) 과 구조적 기밀성(컴파일러 의존적) 및 각도 모호성(전사 의존적) 을 분리하는 공식적 프레임워크. "블라인드"는 종종 선언된 누출 및 컴파일러 무작위성의 함수이며 암호화 자체의 고유한 속성이 아님을 명확히 합니다.
라우팅 숨김 부호 무작위화 원시 연산: 제한된 클라이언트가 유한 그리드 공유, 숨겨진 부호 (QOTP 를 통해) 및 라우팅 순열을 사용하여 개인 회전 각도를 숨기기 위한 새로운 기술로, 완전한 양자 상태 블라인드를 요구하지 않고 전사 수준 모호성을 제공합니다.
고전적 클라이언트를 위한 분할 QOTP: 비결탁 서버 간의 분할 키 모델을 통해 고전적 클라이언트가 상태 기밀성을 달성할 수 있도록 하는 다자간 프로토콜 (프로토콜 4) 로, 클라이언트 측 QOTP 를 지속적 매칭 숨김 불변량으로 대체합니다.
명시적 보안 범위: 각 프로토콜이 주장하지 않는 것을 명시적으로 구분합니다 (예: 프로토콜 3 에 대한 보편적 블라인드 부재, 기본 프로토콜에 대한 악의적 보안 부재, 컴파일러 가정 없이 무조건적 구조 숨김 부재).

4. 결과 및 예시

이 논문은 세 가지 알고리즘 예시를 통해 이러한 프로토콜의 적용 가능성을 보여줍니다:

그로버 알고리즘: 오라클 (구조적 기밀성) 과 확산 연산자를 위임하는 방법을 보여줍니다. 개인 구조는 패딩 및 라우팅을 통해 숨겨지며, 비클리포드 구성 요소 (CCZ) 는 로컬에서 처리되거나 분해를 통해 처리됩니다.
QAOA (양자 근사 최적화 알고리즘): 개인 매개변수 ($RZ $및$ RZZ $의 각도) 와 공개 구조를 분리하는 것을 보여줍니다.$ RZZ$ 얽힘 부분은 공개 클리포드로 위임되는 반면, 개인 각도는 로컬 처리되거나 각도 모호성 원시 연산을 통해 처리됩니다. 논문은 수렴 특성의 누출을 방지하기 위해 최적화자 전사를 패딩해야 할 필요성을 강조합니다.
양자 신경망 (QNN): 입력 인코딩 각도와 모델 가중치를 숨기는 것을 보여줍니다. 개인 회전은 로컬에서 실행되거나 부호 무작위화 원시 연산을 통해 실행되는 반면, 얽힘 게이트는 위임됩니다.

보안 분석:
이 논문은 다음에 대한 공식적 증명을 제공합니다:

상태 기밀성: 신선한 QOTP 키를 가진 정제된 반-정직한 모델 하 (정리 1).
각도 모호성: 숨겨진 부호 및 그룹화가 주어졌을 때 개인 각도에 대한 후보 집합의 크기 한계 (명제 5.1, 5.4).
탐지 확률: 검증자 밀도에 기반한 악의적 편차 탐지 확률에 대한 초기하학적 한계 (명제 6.2, 6.3).

5. 중요성 및 주장

저자들은 이 작업을 가장 강력한 영역에서 범용 블라인드 양자 계산 (UBQC) 또는 검증 가능 블라인드 양자 계산 (VBQC) 을 대체하는 것이 아니라, 클라이언트가 부분적이거나 양자 능력이 전혀 없는 실제 설정을 위한 모듈식, 자원 인덱싱 프레임워크로 위치시킵니다.

주장의 겸손함: 이 논문은 그 자체로 보편적 블라인드나 악의적 보안을 제공하지 않는다고 명시적으로 밝힙니다.
- 프로토콜 3은 보편적 블라인드가 아닌 "전사 수준 각도 모호성"을 제공합니다.
- 프로토콜 4는 비-전체 결탁 가정과 사이드 채널 제어에 의존하며, 추가 검증 계층 없이는 악의적 보안을 제공하지 않습니다.
- 구조적 기밀성은 무작위화된 컴파일러와 선언된 누출에 조건부이며, 모든 사이드 채널에 대한 무조건적 보장이 아닙니다.
실용성: 이 계층 구조는 산업과 사용자가 특정 하드웨어 제약 (예: 소형 양자 프로세서를 가진 회사 대 고전적 컴퓨터만 있는 사용자) 에 맞는 프로토콜을 선택하고 기밀성 및 오버헤드의 정확한 트레이드오프를 이해할 수 있게 합니다.
미래 방향: 저자들은 향후 작업이 내결함성 설정을 위해 큐비트 전송 오버헤드를 줄이고 비클리포드 및 탐지 구성 요소를 강화하는 데 초점을 맞출 수 있다고 언급합니다.

요약하자면, 이 논문은 다양한 수준의 양자 자원을 가진 클라이언트에 대해 기밀성을 달성할 수 있는 정확한 조건을 명확히 하면서, 각 접근 방식의 한계를 명시적으로 한정하는 엄격하고 세밀한 개인 위임 양자 컴퓨팅의 분류 체계를 제공합니다.

Private Delegated Quantum Computing for User-Level and Industry-Level Settings