기술 요약: ZKMLOps – AI 기반 시스템을 위한 영지식 소프트웨어 감사

1. 문제 제기

안전이 중요한 분야와 고위험 분야에서 AI 기반 시스템의 배포가 증가함에 따라, EU AI 법과 같은 사례에서 볼 수 있듯이 검증 가능한 책임에 대한 규제적 요구가 촉발되었습니다. 그러나 감사자와 규제 기관을 만족시키기 위한 깊은 투명성 요구와 모델 가중치 및 학습 데이터와 같은 독점 자산 및 개인정보 민감 정보를 보호해야 할 필요성 사이에는 근본적인 충돌이 존재합니다.

전통적인 소프트웨어 검증 및 유효성 검증 (V&V) 기법—수동 프로세스 감사에서 형식적 방법에 이르기까지—은 현대 AI 모델에 적합하지 않습니다. 이러한 모델은 종종 수백만 개의 학습된 매개변수를 가진 '블랙박스'로 기능하며, 직접적인 탐지는 지식재산권 유출의 위험을 초래하고, 학습 데이터를 공개하는 것은 데이터 보호 법규를 위반할 수 있습니다. 결과적으로 조직은 투명한 정보 공개와 견고성 의무를 준수함을 증명해야 하지만, 그러한 투명성을 가능하게 하는 근본적인 아티팩트를 공개하지는 않아야 하는 딜레마에 직면합니다.

2. 방법론

본 논문은 머신러닝 운영 (MLOps) 수명 주기 내에서 영지식 증명 (ZKP) 을 운영화하도록 설계된 ZKMLOps 프레임워크를 소개합니다. 이 방법론은 암호화 프로토콜 연구와 소프트웨어 공학 실무 간의 간극을 다음 네 가지 단계로 연결합니다:

1. 툴체인 조사: 저자들은 비상호성, 투명한 설정, 표준 표현, 간결성, 그리고 양자 내성 보안이라는 다섯 가지 선정 기준에 따라 기존 ZKP 구현체 (ezkl, snarkjs, Cairo/Stwo 등) 를 검토하였습니다.
2. 사용 사례 분석: 이 프레임워크는 금융 위험 모델링에서의 규제 준수라는 특정 요구사항에 기반하여, 필요한 아티팩트, 증명해야 할 속성, 그리고 증거 요구사항을 식별했습니다.
3. 프레임워크 설계: ZKMLOps 는 핵심 감사 로직을 특정 ZKP 백엔드 구현체로부터 분리하기 위해 **육각형 아키텍처 (Hexagonal Architecture)**를 사용합니다. 이는 감사 워크플로우를 상태가 있는 단계 (설정, 키 교환, 증명 생성, 검증) 의 시퀀스로 관리하는 **오케스트레이션 사가 패턴 (Orchestrated Saga pattern)**과 다양한 프로토콜을 위한 교체 가능한 스크립트 동작을 처리하는 **전략 패턴 (Strategy pattern)**을 활용합니다.
4. 실증 평가: 프레임워크는 두 가지 차원에서 평가되었습니다:
   • 실현 가능성: 이질적인 백엔드 (ezkl/Halo2 및 snarkjs/Groth16) 와 크기가 증가하는 모델 (표형 모델에서 MobileNet-v2 변형까지) 에 걸쳐 오케스트레이션 오버헤드를 측정.
   • 비용 대비 보증 트레이드오프: 전체 ZK 감사를 검증 가능한 계산 (VC) 을 통한 샘플링, 신뢰 실행 환경 (TEE), 그리고 다자간 계산 (MPC) 과 같은 경량 대안과 비교.

3. 주요 기여

A. ZKMLOps 프레임워크

ZKMLOps 는 검증 가능한 암호학적 증거를 생성하기 위한 모듈식이고 반복 가능한 프로세스를 제공합니다. 이는 증명자 (예: 금융 기관) 가 특정 계산 명제가 참임을 검증자 (예: 규제 기관) 에게 설득할 수 있게 합니다. 예를 들어 "승인된 모델이 승인된 입력 데이터에 대해 이 추론을 생성했다"는 명제처럼, 모델 매개변수나 입력 데이터 자체를 공개하지 않고도 이를 증명할 수 있습니다.

프레임워크는 두 가지 주요 레이어로 구성됩니다:

• 방법론적 레이어: 프로토콜 선택을 위한 지침 집합으로, **ZKP 추적성 명세 (ZKP Traceability Specification)**를 산출합니다. 이 문서는 감사 목적, MLOps 수명 주기 단계, 선택된 프로토콜, 속성 행렬, 그리고 트레이드오프 정당화 (예: 빠른 검증을 위해 양자 내성 보안을 수용) 를 상세히 기술하는 아키텍처 의사결정 기록 (ADR) 역할을 합니다.
• 실무적 레이어: 감사 워크플로우를 오케스트레이션하는 서비스 지향 구현체 ("서비스로서의 신뢰성") 입니다. 이는 아티팩트 저장을 관리하고, 어댑터를 통해 프로토콜별 스크립트를 실행하며, 감사 수명 주기를 추적하기 위한 내부 상태 머신을 유지합니다.

B. 신뢰 및 위협 모델

본 논문은 ZKP 기반 감사가 신뢰를 제거하는 것이 아니라 재배치한다는 점을 명확히 합니다. 신뢰는 증명자의 정직함에서 암호학적 구성의 건전성과 아티팩트 바인딩 메커니즘의 무결성으로 이동합니다.

• 아티팩트 바인딩: ZKP 명제는 아티팩트 번들 (컴파일된 회로, 가중치, 구성) 의 암호학적 커밋 $H(M)$에 바인딩됩니다. 번들에 대한 모든 변경은 이전 증명을 무효화합니다.
• 배포 무결성 격차: 저자들은 명시적으로 한계를 인정합니다. 이 프레임워크는 커밋된 아티팩트 번들의 속성을 증명하지만, 반드시 실행 중인 프로덕션 서비스의 속성을 증명하는 것은 아닙니다. 이 격차를 해소하기 위해서는 ZKMLOps 의 범위를 벗어난 보완적인 런타임 인증 (예: TEE 기반 원격 인증) 이 필요하며, 이는 필수적인 통합 사항으로 문서화되어 있습니다.

C. 비교 분석

이 연구는 전체 ZK 감사를 대안들과 비교합니다:

• 검증 가능한 계산 (VC) 을 통한 샘플링: 요청당 비용을 낮추지만 전체 스트림에 대한 완전한 기밀성을 보장하지는 않으며, 샘플링된 데이터에 대한 통계적 보장만 제공합니다.
• 신뢰 실행 환경 (TEE): 하드웨어 기반 신뢰를 제공하지만 마이크로코드 무결성에 의존하며, 암호학만 사용하는 ZKP 와 달리 사이드 채널 공격에 취약합니다.
• 다자간 계산 (MPC): 비공모 가정과 상호작용 프로토콜이 필요하므로 오프라인 및 재생 가능한 증거에는 적합하지 않습니다.

4. 결과

프레임워크 실현 가능성 (RQ1)

• 제한된 오버헤드: ZKMLOps 가 부과하는 오케스트레이션 오버헤드는 안정적이며 백엔드에 무관합니다. 작은 표형 모델의 경우, ezkl(Halo2) 및 snarkjs(Groth16) 백엔드 모두에서 총 월클럭 시간의 약 **32–38%**였습니다.
• 확장성: 암호화 작업 부하가 증가함에 따라 (0.4M 에서 3.5M 개의 매개변수를 가진 MobileNet-v2 변형으로 테스트), 오케스트레이션 오버헤드는 총 시간의 사라지는 분수가 됩니다. HTTP 왕복 및 서브프로세스 관리의 고정 비용은 회로 크기에 따라 확장되지 않으므로, 이 프레임워크는 대규모 모델에서도 반응성이 뛰어납니다.

비용 대비 보증 트레이드오프 (RQ2)

• 주문형 감사: 전체 ZK 감사는 단일 추론이 완전한 기밀성과 재생 가능한 증거로 검증되어야 하는 "주문형 감사" 설정에 적합한 도구로 식별되었습니다. 이는 하드웨어 벤더에 의존하지 않고 암호학만 기반한 신뢰를 제공합니다.
• 고처리량 스트리밍: 고처리량 스트리밍 추인이 필요한 시나리오의 경우, VC 를 통한 샘플링과 같은 경량 대안이 더 비용 효율적이지만, 모든 요청에 대한 완전한 기밀성 보장은 희생됩니다.

5. 중요성 및 주장

본 논문은 ZKMLOps 가 독점 모델이나 민감한 데이터를 노출하지 않고도 AI 시스템의 특정 계산 속성에 대한 검증 가능한 암호학적 증거를 제공함으로써 감사 투명성과 자산 기밀성 간의 긴장을 해소한다고 주장합니다.

저자들은 이 프레임워크가 이론적 구성물이 아니라 기존 ZKP 원시들을 표준 소프트웨어 공학 패턴에 실용적으로 통합한 것임을 강조합니다. 오케스트레이션 레이어를 특정 암호학적 백엔드로부터 분리함으로써, ZKMLOps 는 핵심 감사 워크플로우를 변경하지 않고도 새로운 프로토콜 (예: 양자 내성 보안을 위해 SNARK 에서 STARK 로 전환) 의 모듈식 채택을 가능하게 합니다.

이러한 중요성은 "나에게 준수를 보여줘... 하지만 아무것도 보여주지 마"라는 패러다임을 운영화하는 데 있으며, 지식재산권과 개인정보 보호 제약을 존중하는 규제 준수 (EU AI 법과 같은) 를 위한 길을 제시합니다. 논문은 겸손하게도 프레임워크가 MLOps 수명 주기 전반에 걸쳐 거버넌스를 가능하게 하지만, 현재 평가는 주로 추론 검증에 초점을 맞추고 있으며, 학습 및 데이터 전처리 감사는 향후 확장 사항으로 식별되었다고 명시합니다.