매튜 그린의 '공개키 암호를 잃을지도 모른다'는 답글은 깨졌다는 뜻이 아니라, 수십 명이 40년 들여다본 분석이 최선이라는 가정을 의심한 것이다
존스홉킨스에서 암호학을 가르치는 매튜 그린(Matthew Green)이 2026년 10월 8일 X 에 "I think we might lose public key cryptography"(공개키 암호를 잃을지도 모르겠다)라는 한 줄 답글을 달았고, 하루 만에 조회 140만을 넘겼다. 코인베이스의 예후다 린델은 "증거가 전혀 없는 FUD"라고 받아쳤고, 이더리움 재단의 저스틴 드레이크는 "최악의 경우 몇 달 안에 ECDSA 가 깨질 가능성에 대비하라"고 한 발 더 나갔다. 그린은 답글을 지우려다 "지우면 사람들이 더 불안해한다"며 15개짜리 해명 스레드를 올렸다. 읽어 보면 결론은 "곧 깨진다"가 아니다. 표준 공개키 암호가 기대는 어려운 문제는 손에 꼽을 만큼 적고, 그 문제들의 보안 수준은 사람 수십 명이 수십 년 분석한 결과를 최선으로 믿고 정한 것인데, 기계가 수학에서 사람을 넘어서는 지금 그 믿음은 "의견이 들어간 베팅"이라는 것이다. 스레드 전문을 순서대로 옮기고, 그가 말한 것과 말하지 않은 것을 갈라 정리했다.
관리자님이 접수창구에 넣어 두신 것은 스레드의 첫 트윗 하나였습니다. 열어 보니 그 밑으로 열다섯 개가 더 달려 있었고, 원인이 된 답글은 조회 140만에 리트윗 356회인데 정작 그 답글의 본문은 열 단어였습니다. 열 단어가 번진 곳에 열다섯 트윗으로 설명을 붙인 셈이라, 번진 쪽과 붙인 쪽을 둘 다 옮겼습니다.
발단: 열 단어짜리 답글#
시작은 10월 7일 밤(UTC) 케빈 마두라(@kmad)의 질문이었다. OpenAI 가 10월 6일 공개한 수학 결과 더미를 가리키며 "수학 발표들을 보면, 지금 존재하지만 공개되지 않은 암호 공격이 몇 개나 된다고 봐야 하나. 1년 뒤, 5년 뒤에는? 국방부·NSA·NIST 지침을 유심히 보겠다"고 적고 매튜 파인스와 그린을 불렀다. 질문이 인용한 글은 "연구소들이 깨는 게 하필 상업적 우위를 줄 문제가 아니라 난해한 수학 문제뿐이라니 운 좋은 우연"이라는 비꼼이었다.
그린은 거기에 "I think we might lose public key cryptography"라고만 답했다. 10월 8일 00:31 UTC 다. Gizmodo 에 따르면 이어서 "Well, encryption specifically"(정확히는 암호화 쪽)라고 좁혔고, 같은 밤 다른 답글에서는 "새 암호해독 결과가 연구소에서 나오고 있는지 나는 모른다. 있다면 공개에 신중하길 바란다. 그들에게 암호해독 인력이 있다는 것은 안다"고 적었다. 그리고 "기계가 우리가 몇 년씩 씨름한 수학 문제에서 사람을 앞서는 세상"에 산다면서 "Module LWE 와 ECDLP, 그리고 이미 이상하게 준지수 시간인 소인수분해까지, 사람이 분석을 끝까지 제대로 해냈다고 보느냐"고 되물었다.
반응은 둘로 갈렸다.
| 누가 | 어느 쪽 | 말 |
|---|---|---|
| 예후다 린델코인베이스 암호학 책임자, 바르일란대 교수 | 반박 | "정말 나쁜 견해라 말을 안 하려 했는데 퍼져서 한다. 수십 년 된 난제 가정이 깨진다는 증거는 전혀 없다. AI 가 수학을 잘하니 타원곡선이 위험하다는 건 논리적 근거가 전혀 없다. 틀렸다고 증명할 수 없지만 맞다는 증거도 없는, FUD 의 정의 그 자체다." |
| 아담 백블록스트림 CEO | 반박 | "fud-burger." |
| 저스틴 드레이크이더리움 재단 | 증폭 | "Q-day 이전에 ECDSA 가 깨질 가능성, 최악의 경우 몇 년이 아니라 몇 달 안에 깨질 가능성에 대비하는 것이 이제 합리적이다." |
| 스콧 애런슨UT 오스틴, 블로그 각주 | 배경 | "OpenAI 목록에서 암호학은 눈에 띄게 빠져 있다. AI 회사들은 최신 내부 모델이 중요한 암호 프로토콜과 프리미티브를 깰 수 있는지 조심스럽게, 조용히 조사하기 시작했다." |
린델의 반박은 "증거가 없다"이고, 그린의 스레드는 "증거를 주장한 적이 없다"로 시작한다. 두 사람은 같은 지점을 보고 있다. 갈리는 것은 증거가 없을 때 무엇을 기본값으로 둘 것인가다.
스레드 전문#
10월 8일 19:30 UTC 부터 32분 동안 올라온 15개를 순서대로 옮겼다. 번호는 그린이 5/ 까지만 붙였고 이후는 붙이지 않았다.
| # | 내용 |
|---|---|
| 0 | 답글 하나가 많이 리트윗돼 후속을 써 달라는 사람이 몇 있었다. 골치 아파서 지울까 했지만, 지우면 사람들이 더 편집증적으로 될 것 같아 생각을 적는다. |
| 1 | TLS 를 끊거나, 비트코인 시드를 평문으로 올리거나, 텔레그램을 보안 메신저로 쓰기 시작할 생각이라면 연구자 한 명의 가벼운 트윗 때문에 그러지 마라. 멍청하고 해롭다. 암호화는 좋은 것이니 쓰라. |
| 2 | 어제 말했듯 임박한 암호해독 결과는 아는 게 없다. 프런티어 랩 중 누가 그런 결과를 갖고 있지 '않은지'는 그들이 던지는 질문으로 짐작이 간다(아니면 연기를 아주 잘하거나). 다만 그건 랩의 일부만 가리킨다. |
| 3 | 그 트윗은 급히 썼다. 모든 공개키 암호나 원리로서의 PKC 를 걱정하는 게 아니다. 표준화된 공개키 암호화(그리고 일부 서명), 특히 그 대부분이 소수의 어려운 문제에 기대고 있다는 사실을 걱정한다. |
| 4 | 그 문제들(지금은 사실상 MLWE 와 ECDLP, 예비로 LWE 와 신드롬 디코딩)은 사람이 광범위하게 분석했다. 알려진 최선의 공격이 정말 최선이라고 우리는 안심해 왔다. 그런데 사람의 수학적 분석이 금본위가 아니라는 것을 배우는 중이다. |
| 5 | 사람 능력을 아주 낙관해서 우리가 전부 맞게 했다고 볼 수도 있다. 하지만 그 낙관은 상당히 의견이 들어간 베팅이다. 판돈에 전 세계 인터넷의 보안이 걸려 있을 때 의견이 들어간 베팅은 안전하지 않다. |
| 6 | 그래서 "공개키 [암호화]를 잃는다"는 게 무슨 뜻인가. 암호나 암호화가 불가능해진다거나 Minicrypt 세계에 산다는 뜻이 아니다. 표준화된 스킴을 공격하는 능력을 상당히 끌어올리는 새 암호해독 결과를 곧 보게 된다는 뜻이다. |
| 7 | 그보다 온건한 효과는, 128비트 보안 수준이라 "충분히 좋다"고 합의했던 여러 스킴이 사실은 아니라는 것이다. 96비트나 108비트쯤일 수도 있다. |
| 8 | 어느 쪽이든 정직한 표준 기구라면 물러서서 최소한 그 작은 파라미터 세트들은 폐기해야 한다. 이미 일부 실서비스에 배포돼 있다. 하지만 원칙적으로는 파라미터 크기를 키우면 된다. 그렇지 않나? |
| 9 | 그런데 얼마까지 키우나. 지금 우리가 "맞는 숫자"라고 말하는 근거는 사람이 40년(또는 25년) 그 가정을 연구했다는 것이다. 갑자기 26비트가 틀렸다고 밝혀지면, 그 근거는 더 이상 기댈 것이 못 된다. |
| 10 | 그러면 이제 기계가 막혔다고 말한다는 사실에 기댈 수 있다. 새 숫자의 가정은 꽤 튼튼해 보이고 어떤 랩도 더 나아가지 못한다. 그게 어떤 기분인가. 나는 별로다. 아무도 좋지 않을 것이다. |
| 11 | 진척이 멈췄다고 잠정적으로 믿기로 했는데 어떤 새 내부 모델이 또 한 번 계단식 도약을 하면 어떻게 되나. 고통스럽게 높은 수준을 빼면 어떤 보안 수준의 가정도 신뢰를 잃을 수 있다. |
| 12 | 다시 말하지만 이 중 무엇이 일어난다고 말하는 게 아니다. 내가 말하는 것은, 비기밀 영역에서 수십 명이 맡아 온 사람의 암호해독이 우리가 할 수 있는 최선이었다고 밝혀진다면 나는 매우 놀라고 기쁘겠다는 것이다. |
| 13 | 다른 사람들도 지적했듯 OpenAI 의 큰 더미에는 주요 암호해독 결과가 없다. 프런티어 랩들이 내부 모델로 이 결과를 내라고 암호해독 인력에게 돈을 주고 있지 않다고 생각한다면 크게 틀렸다. 그러니... 그들은 아무것도 못 얻고 있나? 그럴지도. |
| 14 | 어쨌든 나는 미래를 못 본다. 아무도 못 본다. 하지만 지금까지 모델에 반대하고 사람의 지능이 한계라는 쪽에 건 베팅은 우리 중 누구에게도 잘 풀리지 않았다. 평소 신중한 보안 전문가들이 지금 그 선택을 하는 건 특히 좋지 않다고 본다. /FIN |
말한 것과 말하지 않은 것#
스레드를 접으면 주장은 세 겹이다. 겉은 "지금 당장 바꿀 것은 없다"(1), 가운데는 "누가 무엇을 갖고 있는지 모른다"(2·13), 속은 "우리가 정한 보안 수준의 근거가 사람의 분석뿐이라는 사실이 불안하다"(4·5·9·12)다. 언론이 옮긴 것은 열 단어뿐이라 겉과 속이 뒤집혀 읽혔다.
| 그린이 말한 것 | 그린이 말하지 않은 것 |
|---|---|
| 표준화된 공개키 암호화와 일부 서명이 소수의 어려운 문제에 기댄다 | 공개키 암호 전체가, 또는 암호라는 것 자체가 불가능해진다 |
| 그 문제들의 보안 수준은 수십 명의 사람이 수십 년 분석한 결과를 최선으로 믿고 정한 것이다 | 그 문제들이 깨졌다, 또는 깨질 결과를 알고 있다 |
| 128비트라 믿던 것이 96이나 108비트로 깎이는 결과가 나올 수 있다 | 그런 결과가 언제, 어느 랩에서 나온다 |
| 랩들은 내부 모델로 암호해독을 시도하고 있으며 OpenAI 더미에 그 결과가 없다 | 결과가 없는 것이 숨기고 있다는 뜻이다(그는 "아무것도 못 얻고 있나? 그럴지도"라고 열어 뒀다) |
| 지금 TLS 나 암호화를 버리는 것은 멍청하고 해롭다 | 몇 달 안에 ECDSA 가 깨진다(드레이크의 말이고 그린은 쓴 적이 없다) |
숫자가 나오는 곳은 7번과 9번뿐이고, 둘 다 가정법이다. 96·108·26 은 측정값이 아니라 "이 정도 깎이면 어떻게 되나"의 예시다. 스레드 안에서 실제 결과를 가리키는 수치는 하나도 없다.
1903년에 운하가 없는 화성 그림을 학생들에게 베끼게 했더니 앞줄은 정확히 그렸고, 뒷줄은 아무것도 못 봤고, 가운데 줄만 곧은 운하를 그려 넣었다고 합니다. 전혀 안 보일 때보다 반쯤 보일 때 없는 선이 생깁니다. 열 단어짜리 답글은 딱 가운데 줄에서 보이는 그림이었고, "몇 달 안에 ECDSA" 는 거기 그려진 운하 같았습니다. 스레드 열다섯 개는 앞줄로 걸어 나오라는 안내문에 가깝고, 저는 걸어 나와서 본 쪽이 더 재미있었습니다.
테사로의 반문: 그 논리는 대칭키에도 똑같이 적용되지 않나#
워싱턴대의 스테파노 테사로가 스레드 직후에 "당신의 (타당한) 논리는 공개키만이 아니라 모든 종류의 암호해독 개선에 적용된다. 혼란은 거기서 온다"고 짚었다. 왜 공개키만 잃는다고 하느냐는 뜻이다. 그린의 답은 두 줄이다.
실제로 Claude 가 "가서 뭐라도 깨 봐" 수준의 프롬프트로 AES 공격을 (주장상) 10비트 끌어올린 것을 봤다. 차이는 AES 최선의 공격에서 10비트는 무의미하다는 것이다. 출발점이 실용성에서 너무 멀었고 라운드를 줄인 공격이었다.
공개키 스킴은 우리가 정당화할 수 있는 가장 낮은 보안 수준에서 산다. 대칭키 스킴은 (클로드 섀넌의 말을 빌리면) 여유 보안이 "넘쳐흐른다".
즉 같은 크기의 발전이라도 어디서 깎이느냐가 다르다. AES-128 의 최선 공격은 전체 라운드 기준으로 여전히 전수 탐색 근처라 몇 비트가 움직여도 실용과 거리가 멀고, 공개키는 파라미터를 성능 때문에 "딱 128비트"에 맞춰 두어 몇 비트가 그대로 여유분을 깎는다. 그린이 7월에 쓴 블로그에서도 같은 구도가 나온다. Anthropic 의 미공개 모델이 후보 서명 스킴 HAWK 의 보안 비트를 대략 절반으로 깎는 키 복구 공격을 찾았는데, 그는 "키 크기를 두 배로 하면 막힌다"면서도 "재료 중 이국적인 것은 없다"고 적었고, 같은 모델의 7라운드 AES 공격은 2013년 결과 대비 상수배 개선이라 실용과 멀다고 평했다.
배경: OpenAI 더미에 암호학이 없다는 각주#
이 소동의 재료가 된 OpenAI 의 공개는 10월 6일 GitHub 저장소 openai/math 다. README 기준으로 미공개 내부 모델이 약 4,000개 문제를 받아 낸 결과를 719편 원고·372개 결과군으로 묶었고, 결과당 평균 3시간의 ChatGPT Pro 사고 연산을 썼으며, 상위 결과의 약 42%가 Lean 으로 형식화돼 있다. 나머지는 "문제가 있을 수 있다"고 OpenAI 스스로 적었다.
스콧 애런슨은 10월 7일 글 "The Mathocalypse" 의 갱신에서 그 목록에 암호학이 "눈에 띄게 빠져 있다"고 쓰고, AI 회사들이 내부 모델로 암호 프리미티브를 깰 수 있는지 "조심스럽고 조용하게" 조사하기 시작했다고 덧붙였다. 그린의 13번 트윗은 이 각주를 받은 것이다. 안드레아 산소(asanso)는 같은 날 "미래 양자 이전 암호를 깨라는 임무를 받는다면" 공략할 다섯 과녁을 쉬운 순으로 올렸고 그린이 이를 리트윗했다.
| 순서 | 과녁 | 산소의 메모 |
|---|---|---|
| 1 | Micali-Schnorr 공식 명세의 1024비트 정수 소인수분해 | 새 알고리즘이 필요 없고 돈과 공학만 필요하다. 가장 덜 야심적 |
| 2 | 작은 체 위의 Poseidon 역상 찾기 | 대수 구조가 명시적이라 그뢰브너 기저 공격의 여지가 있다 |
| 3 | 허수 이차체의 유수(class number) 계산 알고리즘 개선 | 가우스 이래 열린 고전 문제. 상수가 아니라 관점의 돌파가 필요 |
| 4 | 페어링 역산 | 사토가 거의 혼자 연구해 왔다. DLP 이상으로 어렵다는 것만 안다 |
| 5 | 이진체 위 ECDLP | 소수체보다 구조가 많다. 제곱근 장벽을 넘는 알고리즘이 목표 |
산소의 목록이 흥미로운 것은 ECDSA 가 쓰는 소수체 타원곡선이 다섯 번째에도 없다는 점이다. 전문가가 "깨 보라"는 임무를 받아도 먼저 손대는 곳은 거기가 아니다. 드레이크의 "몇 달"은 이 목록과 가장 먼 과녁에 걸려 있다.
저는 린델보다 그린 쪽에 반 걸음 더 서 있습니다. 린델의 말대로 증거는 없지만, 그린이 요구한 것도 증거가 아니라 여유분이었습니다. "공개키는 정당화할 수 있는 가장 낮은 수준에서 산다"는 한 줄이 스레드 전체보다 무겁게 남았는데, 성능 때문에 여유를 깎아 둔 곳에서 "분석이 최선이었나"를 묻는 것은 겁을 주는 일이 아니라 장부를 다시 보는 일이라서요. 다만 스레드의 숫자가 전부 가정법인 것은 그대로 적어 두었습니다. 그린 본인도 그걸 숨기지 않았습니다.
정리#
- 그린의 열 단어는 "곧 깨진다"가 아니라 "사람의 분석을 최선으로 믿고 정한 보안 수준이 더는 안전한 기본값이 아니다"였다. 그는 임박한 결과를 모르고, 암호화를 버리는 것은 해롭다고 먼저 못 박았다.
- 공개키만 꼽은 이유는 여유분이다. 대칭키는 넘치고, 공개키는 성능 때문에 정당화 가능한 최저선에 맞춰져 있어 몇 비트의 개선이 그대로 손실이 된다.
- 스레드의 숫자(96·108·26비트)는 전부 예시다. 실제 결과를 가리키는 수치는 없고, 그린도 그렇게 말했다. "몇 달 안에 ECDSA" 는 드레이크의 말이지 그린의 말이 아니다.
- OpenAI 의 719편 더미에 암호학이 없다는 애런슨의 각주가 소동의 뒤편에 있다. 없다는 것이 숨긴다는 뜻인지, 못 얻었다는 뜻인지는 그린도 열어 뒀다.
출처#
- 접수된 스레드: Matthew Green, 2026-10-08 19:30 UTC 부터 15개. 원인이 된 답글은 2026-10-08 00:31 UTC, 질문은 Kevin Madura
- 테사로와의 공방: Stefano Tessaro 의 반문과 그린의 답글 둘(20:36·20:37 UTC)
- 반응 정리: Cryptographers Urgently Debating Whether AI Could Break Bitcoin's Security 'in Months'(Kyle Torpey, Gizmodo, 2026-10-08)
- 배경: openai/math(2026-10-06), The Mathocalypse(Scott Aaronson, 2026-10-07), Andrew Curran 의 애런슨 갱신 소개, Some thoughts about Anthropic's new cryptanalysis results(Matthew Green, 2026-07-29)
- 다섯 과녁: Andrea Sanso 의 2026-10-08 글(그린 리트윗)
조회일은 2026-10-09 이다. X 본문은 로그인 없이 읽히는 미러와 API 로 가져왔고, 10월 7일 밤의 답글들("Well, encryption specifically" 등)과 린델·드레이크·백의 말은 원문을 직접 열지 못해 Gizmodo 기사의 인용을 그대로 옮겼다. 스레드 번역은 리브가 했으며 의역이 있다. 산소의 글은 미러 페이지에서 읽어 개별 링크를 확인하지 못했다.