롤업을 넘어선 ZK 증명: Ethereum에서의 검증 가능한 AI 추론
Engineering Team
스케일링을 넘어선 ZK 증명의 가능성
영지식 증명은 2021년 이래로 블록체인 스케일링의 대명사였습니다. zkSync, StarkNet, Scroll, Polygon zkEVM은 수천 건의 거래를 Ethereum L1에서 검증되는 단일 증명으로 압축하기 위해 사용합니다. 하지만 스케일링은 첫 번째 응용에 불과합니다. ZK 증명의 진정한 힘은 검증 가능한 연산 — 임의의 프로그램이 정확하게 실행되었음을 다시 실행하지 않고 증명하는 능력입니다.
이 프레이밍이 중요합니다: ZK는 다른 용도가 있는 스케일링 기술이 아닙니다. ZK는 범용 검증 가능한 연산 기술로, 블록체인 스케일링에서 첫 번째 대규모 시장을 찾은 것입니다.
2026년, 가장 흥미로운 ZK 응용은 롤업이 아닙니다:
- zkML — 모델 가중치를 공개하지 않고 머신러닝 모델이 특정 출력을 생성했음을 증명
- ZK 코프로세서 — 무거운 연산을 오프체인에서 실행하고 간결한 증명을 온체인에 게시
- 검증 가능한 자격 증명 — 기본 데이터를 공개하지 않고 신원 속성(나이, 국적, 신용 점수)을 증명
- MEV 보호 — 거래 의도를 암호화하고 블록 빌더에게 세부 사항을 공개하지 않고 유효성을 증명
zkML: 검증 가능한 AI 추론
인공지능과 블록체인의 교차는 지금까지 대부분 과대광고였습니다. 하지만 zkML — 영지식 증명을 머신러닝 추론에 적용하는 것 — 은 실제 문제를 해결합니다: AI 모델이 특정 출력을 생성했음을 어떻게 신뢰할 수 있는가?
신뢰 문제
AI 모델을 신용 평가에 사용하는 DeFi 대출 프로토콜을 상상해 보세요. 모델은 차용인의 온체인 이력을 가져와 담보 비율을 결정하는 신용 점수를 반환합니다. 세 가지 신뢰 문제가 발생합니다:
- 모델 무결성 — 차용인은 프로토콜이 주장하는 모델을 사용했고 차별하는 다른 모델이 아님을 어떻게 아는가?
- 입력 무결성 — 프로토콜이 조작된 데이터가 아닌 올바른 온체인 데이터를 입력으로 사용했음을 어떻게 증명하는가?
- 실행 무결성 — 연산이 정확하게 수행되었음을 누가 어떻게 검증하는가?
ZK 증명 없이는 답은 “프로토콜 운영자를 신뢰한다“입니다. zkML이 있으면 답은 “증명을 검증한다“가 됩니다.
zkML 작동 방식
zkML 시스템은 신경망 추론을 산술 회로로 변환한 다음 정확한 실행의 ZK 증명을 생성합니다:
1. 모델 양자화: 부동소수점 가중치를 고정소수점으로 변환
(예: float32 → int8 또는 int16)
2. 회로 컴파일: 각 신경망 레이어를 산술 제약으로 변환:
- 선형 레이어 → 행렬 곱셈 회로
- ReLU 활성화 → 비교 회로
- Softmax → 룩업 테이블 회로
3. 위트니스 생성: 실제 입력으로 모델을 실행하고 모든 중간 값을 기록
4. 증명 생성: 증명 시스템(Halo2, Plonky3, SP1)을 사용하여
회로가 정확하게 실행되었다는 간결한 증명 생성
5. 검증: Ethereum의 스마트 컨트랙트가 모델 크기에 관계없이
O(1) 시간에 증명을 검증
현재 한계와 실용적 경계
2026년의 zkML은 실재하지만 제한적입니다:
| 모델 크기 | 증명 시간 | 증명 크기 | 검증 가스 | 실용적? |
|---|---|---|---|---|
| 초소형(100K 파라미터) | 5-30초 | 256바이트 | ~300K 가스 | 예 |
| 소형(1M 파라미터) | 1-5분 | 256바이트 | ~300K 가스 | 예, 비동기 작업용 |
| 중형(10M 파라미터) | 15-60분 | 256바이트 | ~300K 가스 | GPU 프루버로 가능 |
| 대형(100M+ 파라미터) | 수 시간~수일 | 256바이트 | ~300K 가스 | 연구용만 |
| LLM 스케일(1B+ 파라미터) | 비현실적 | — | — | 아직 불가 |
핵심 통찰: 증명 크기와 검증 비용은 모델 크기에 관계없이 일정합니다.
zkML 프로덕션 사용 사례
1. 온체인 신용 평가 — DeFi 프로토콜이 차용인의 온체인 거래 이력에 대해 신용 평가 모델을 실행합니다.
2. 검증 가능한 콘텐츠 모더레이션 — 분산형 소셜 미디어 플랫폼이 AI 분류기로 유해 콘텐츠를 감지합니다.
3. 프라이빗 머신러닝 — 의료 프로토콜이 환자 데이터나 모델 가중치를 공개하지 않고 진단 모델이 특정 결과를 생성했음을 증명합니다.
ZK 코프로세서: 오프체인 연산, 온체인 검증
Ethereum의 스마트 컨트랙트는 의도적으로 연산이 제한됩니다. 가스 비용이 복잡한 로직을 비용적으로 불가능하게 만듭니다. ZK 코프로세서는 연산을 오프체인으로 이동하면서 온체인 검증을 유지하여 이를 해결합니다.
왜 오라클만으로는 부족한가?
오라클(Chainlink, API3)은 스마트 컨트랙트에 오프체인 데이터를 제공하지만 오라클 운영자를 신뢰해야 합니다. ZK 코프로세서는 트러스트리스 연산을 제공합니다:
| 속성 | 오라클 | ZK 코프로세서 |
|---|---|---|
| 신뢰 모델 | 운영자 신뢰 | 수학 신뢰(증명 검증) |
| 데이터 소스 | 외부 API | 블록체인 상태(검증 가능) |
| 연산 | 단순 집계 | 임의 프로그램 |
| 비용 | 요청당 수수료 | 증명 검증 가스 |
| 지연 시간 | 초 | 분(증명 시간) |
주요 ZK 코프로세서 프로젝트
Axiom — Ethereum 최초의 ZK 코프로세서. 과거 상태 쿼리 전문.
Brevis — 블록체인 데이터에 대한 커스텀 연산을 지원하는 범용 ZK 코프로세서.
Lagrange — 크로스체인 상태 증명 전문.
증명 시스템 비교: SP1 vs RISC Zero vs Jolt
| 기능 | SP1 | RISC Zero | Jolt |
|---|---|---|---|
| ISA | RISC-V | RISC-V | RISC-V |
| 증명 시스템 | Plonky3(STARK) | STARK + Groth16 래퍼 | Lasso/Surge(sumcheck) |
| 언어 | Rust | Rust | Rust |
| 검증 가스 | ~270K | ~250K | ~300K |
| 증명 속도 | 빠름(1x) | 보통(1.5x 느림) | 빠름(0.9x) |
| GPU 가속 | 예(CUDA) | 예(CUDA, Metal) | 예(CUDA) |
| 성숙도 | 프로덕션(2025+) | 프로덕션(2024+) | 베타(2025+) |
자주 묻는 질문
ZK 증명과 ZK 롤업의 차이점은?
ZK 롤업은 ZK 증명의 한 가지 응용입니다. ZK 증명 자체는 검증 가능한 연산을 위한 범용 암호화 도구입니다.
ZK로 구축하려면 암호학을 이해해야 하나요?
현대 zkVM(SP1, RISC Zero, Jolt)을 사용하면 필요 없습니다. 표준 Rust 코드를 작성하면 zkVM이 암호학적 증명 생성을 처리합니다.
Ethereum에서 ZK 증명 검증 비용은?
Groth16 증명 검증은 약 250-300K 가스(일반적인 가스 가격에서 약 $0.50-1.50)입니다.
ZK 증명이 AI 안전성을 보장할 수 있나요?
아니요. ZK 증명은 연산 무결성 — 프로그램이 정확하게 실행되었음 — 을 보장합니다. 프로그램(또는 모델) 자체가 안전하거나, 편향되지 않거나, 인간의 가치에 부합하는지는 보장하지 않습니다.
ZK 증명은 언제 대형 언어 모델에 적용될 수 있나요?
2026년에는 불가합니다. 현재 zkVM은 합리적인 시간 내에 약 1,000만 파라미터까지의 모델을 처리할 수 있습니다. 하드웨어 가속(ASIC)과 알고리즘 개선으로 2028-2029년에 중간 규모 LLM 증명이 가능해질 수 있습니다.