양자컴퓨터가 암호를 깼다는 말, 왜 대부분 사실이 아닐까
IBM 실제 양자컴퓨터로 암호 구조를 풀어낸 논문 하나를 뜯어봤습니다
"양자컴퓨터가 암호를 깼다."
이런 제목을 볼 때마다 저는 기사보다 먼저 원문을 찾아봅니다. 그리고 대부분의 경우, 논문은 그런 말을 한 적이 없습니다.
과장한 쪽은 대개 논문이 아니라 그 논문을 옮긴 사람입니다.
그런데 며칠 전 올라온 논문 하나는 조금 달랐습니다. 자기가 하지 않은 일을 먼저, 그것도 아주 길게 적어둔 논문이었거든요.
2026년 7월 20일 arXiv에 공개된 「Quantum Cryptanalysis on IBM Quantum Hardware」입니다. 한국의 AI 기업 비드래프트 연구진 7인이 썼습니다.
오늘은 이 논문을 함께 읽어보려 합니다. 수식은 하나도 쓰지 않겠습니다.
자물쇠 이야기부터 시작하겠습니다
세상의 모든 자물쇠를 한꺼번에 이야기할 수는 없으니, 연구자들은 가장 단순한 자물쇠를 먼저 만들어 놓고 연구합니다.
암호학에서 그 역할을 하는 것이 Even-Mansour(이븐-만수르)라는 구조입니다.
구조는 이렇습니다. 자물쇠 하나가 있고, 그 앞뒤로 비밀 숫자를 하나씩 붙입니다. 그게 전부입니다. 더 이상 뺄 것이 없을 만큼 단순합니다.
단순하기 때문에 "암호가 왜 안전한가"를 증명하기에 좋은 재료가 됩니다. 자동차 충돌 실험에 실제 승용차 대신 표준 시험체를 쓰는 것과 비슷합니다.
이 논문이 다룬 것이 바로 이 시험체입니다. 여러분의 은행 앱이 아닙니다.
양자컴퓨터는 무엇을 잘하나
양자컴퓨터가 암호에 위협이 되는 이유는 "빨라서"가 아닙니다. 잘하는 종류가 다르기 때문입니다.
그중 하나가 주기(週期)를 찾는 일입니다.
긴 벽지 무늬를 상상해 보십시오. 무늬가 어디서부터 반복되는지 알아내려면, 사람은 처음부터 끝까지 훑어야 합니다. 벽지가 길어질수록 시간은 배로 늘어납니다.
사이먼 알고리즘(Simon's algorithm)은 이 일을 다르게 합니다. 벽지 전체를 한 번에 겹쳐 보고, 겹쳐지는 지점을 읽어냅니다.
고전 컴퓨터가 지수적으로 힘들어지는 문제를, 양자컴퓨터는 다항식 시간에 풉니다. 1994년에 증명된 이야기입니다.
그리고 Even-Mansour 구조를 깨는 문제는, 수학적으로 정확히 이 "주기 찾기" 문제로 환원됩니다. 2010년대 초에 알려진 사실입니다.
그럼 이미 다 끝난 이야기 아닌가요
이론은 끝났습니다. 문제는 기계였습니다.
지금의 양자컴퓨터는 조용한 방이 아닙니다. 계산하는 동안에도 큐비트는 계속 흔들리고, 값이 저절로 어긋납니다. 회로가 조금만 길어져도 결과가 잡음에 묻힙니다.
그래서 이론상 가능한 일과 실제 기계에서 되는 일 사이에는 아주 큰 골짜기가 있습니다.
실제 양자 하드웨어에서 이 공격이 성공한 최대 크기는 그동안 N=4였습니다. 다른 연구팀은 N=5에서 도구의 한계로 막혔다고 보고했습니다.
숫자가 작아 보이시나요. 네, 작습니다. 그게 이 분야의 현실입니다.
이 논문은 그 선을 N=10까지 밀었습니다. IBM의 실제 양자 프로세서 ibm_kingston(Heron 세대)에서요.
여기서 이 논문이 정직해집니다
보통이라면 여기서 "N=10 달성"이라고 크게 쓰고 끝냅니다.
이 논문은 그러지 않았습니다. 어디까지가 깨끗한 성공이고 어디부터가 도움을 받은 것인지를 표로 나눠 적었습니다.
· N=5 — 큐비트 15개 — 정답이 31개 중 1위 — 깨끗한 복원
· N=6 — 큐비트 18개 — 정답이 63개 중 6위 — 하이브리드
· N=7 — 큐비트 21개 — 정답이 127개 중 3위 — 하이브리드
· N=8 — 큐비트 24개 — 정답이 255개 중 9위 — 하이브리드
· N=9 — 큐비트 27개 — 정답이 511개 중 15위 — 하이브리드
· N=10 — 큐비트 30개 — 정답이 1,023개 중 63위 — 하이브리드
읽는 법을 알려드리겠습니다.
N=5까지는 양자컴퓨터가 답을 바로 짚어냅니다. 31개 후보 중 정답이 1위로 나옵니다.
N=6부터는 양자컴퓨터가 답을 "좁혀주고", 최종 확인은 고전 컴퓨터가 합니다. N=10을 보시면, 1,023개 후보 중 정답을 63위 안으로 밀어 넣어준 것입니다. 찍는 것보다는 훨씬 낫지만, 바로 답을 짚은 것은 아닙니다.
이걸 "깼다"고 부를 수 있을까요? 논문의 답은 이렇습니다. 부분적으로만. 그래서 나눠 적었습니다.
한 가지 더 눈에 띄는 것이 있습니다. 이 팀은 매 실험마다 '정답이 아닌 키'로 한 번씩 더 돌렸습니다. 진짜 키와 가짜 키의 순위를 나란히 적어뒀지요. 우연히 잘 나온 것이 아님을 스스로 확인한 겁니다.
저는 이 표가 이 논문에서 가장 좋은 부분이라고 생각합니다. 숨기면 아무도 몰랐을 구분이거든요.
논문이 스스로 붙인 한계 여섯 줄
논문 5장의 제목은 「Limitations and Disclosure」, 한계와 공개입니다. 그 안에 이런 문장들이 있습니다.
양자 우위가 아닙니다. 이 공격들은 결국 생일 한계를 따릅니다. 고전 방식의 충돌 탐색과 비슷한 규모입니다.
AES-256도 RSA-2048도 아닙니다.
DES도 아닙니다. 3라운드 페이스텔은 DES 계열의 구조이지 16라운드 DES가 아닙니다. 이것은 "구조 분해"이지 "DES 해독"이 아닙니다.
세계 최초는 확인되지 않았습니다. "최대 보고치"라는 표현은 동료심사 전이며, 저희가 아는 범위에서 그렇다는 뜻입니다.
오류 정정이 아니라 오류 완화입니다.
Q2 오라클 모델을 가정합니다. 이 가정이 현실에서 항상 성립하지는 않는다는 점을 인정합니다.
마지막 줄이 특히 중요합니다.
Q2 모델이란 공격자가 암호 장치에 양자 중첩 상태로 질문을 던질 수 있다고 가정하는 것입니다. 쉽게 말하면, 공격자가 은행 서버 안에 손을 넣어 특별한 방식으로 물어볼 수 있다고 치는 겁니다.
현실에서는 잘 성립하지 않습니다. 논문도 그렇게 적었습니다.
그래서, 제 비밀번호는 안전한가요
네, 안전합니다.
이 연구는 여러분이 쓰는 어떤 암호도 깨지 않았습니다. 조금 더 구체적으로 말씀드리면 이렇습니다.
은행과 메신저가 쓰는 AES 암호는 영향받지 않습니다.
인터넷 접속에 쓰는 RSA도 영향받지 않습니다.
실험 대상은 실제 암호가 아니라 연구용 표준 시험 구조였습니다.
크기가 N=10입니다. 실제 암호는 128비트, 256비트를 씁니다.
숫자 감각을 위해 하나만 덧붙이겠습니다. 논문에 따르면 이 계산을 고전 컴퓨터로 흉내 내려 할 때 n=16이면 약 4.5페타바이트의 메모리가 필요합니다. n=32는 아예 불가능합니다.
지금 인류가 서 있는 지점은 N=10입니다.
그럼 이런 연구를 왜 하나요
당장 위험하지 않은데 왜 하느냐는 질문은 당연합니다. 세 가지로 답할 수 있습니다.
첫째, 이론과 기계 사이의 거리를 재기 위해서입니다.
"언젠가 양자컴퓨터가 암호를 위협한다"는 말은 20년 넘게 반복돼 왔습니다. 그 언젠가가 언제인지 알려면 지금 실제 기계로 어디까지 되는지를 재야 합니다. N=4에서 N=10으로 옮겨간 이 한 칸이 그 자(尺)입니다.
둘째, 암호를 바꾸는 데 시간이 오래 걸리기 때문입니다.
전 세계가 양자내성암호로 갈아타는 중입니다. 이 전환에는 10년 이상이 걸립니다. 위협이 도착한 다음에 시작하면 늦습니다. 지금 재두는 이유입니다.
셋째, 과장을 걷어내기 위해서입니다.
역설적이지만, 이런 논문이 많아질수록 "양자컴퓨터가 암호를 깼다"는 기사는 줄어듭니다. 진짜 숫자가 공개되어 있으면 부풀리기 어려워지니까요.
제가 이 논문에서 배운 것
기술 문서를 오래 읽다 보면, 무엇을 주장하는가보다 무엇을 주장하지 않는가가 그 팀에 대해 더 많은 것을 알려준다는 생각을 하게 됩니다.
이 논문은 자기 성과를 자를 수 있는 자리마다 잘랐습니다.
N=10을 달성했다고 쓸 수 있었는데 N=5까지만 깨끗하다고 나눠 적었습니다. 세계 최초라고 쓸 수 있었는데 "동료심사 전이며 아는 범위에서"라고 단서를 달았습니다. AES를 깨지 못했다는 말을, 아무도 묻지 않았는데 먼저 적었습니다.
그래서 저는 나머지 숫자들도 믿게 됐습니다.
정직함은 겸손이 아니라 전략이기도 하다는 것을, 이 논문이 잘 보여줍니다.
자주 묻는 질문
Q. 양자컴퓨터가 지금 암호를 깰 수 있나요?
아닙니다. 이 논문을 포함해 현재까지 공개된 어떤 실험도 실제 사용 중인 암호(AES, RSA)를 해독하지 못했습니다. 실험 대상은 연구용 축소 구조입니다.
Q. Even-Mansour가 뭔가요?
가장 단순한 형태의 블록 암호 구조입니다. 실제 서비스에 쓰이기보다는, 암호의 안전성을 수학적으로 증명하기 위한 표준 시험 구조로 쓰입니다.
Q. 사이먼 알고리즘은 뭘 하나요?
숨겨진 반복 주기를 찾는 양자 알고리즘입니다. 고전 컴퓨터가 지수적으로 오래 걸리는 이 문제를 다항식 시간에 풉니다.
Q. N=10이면 얼마나 큰 건가요?
매우 작습니다. 실제 암호는 128비트 이상을 씁니다. 다만 실제 양자 하드웨어에서는 기존 최대치가 N=4였기에, 실기 기준으로는 의미 있는 진전입니다.
Q. 그럼 지금 뭘 준비해야 하나요?
개인이 당장 할 일은 없습니다. 기관이라면 양자내성암호(PQC) 전환 로드맵을 점검할 시점입니다. 전환에는 통상 10년 이상이 걸립니다.
Q. 이 논문은 어디서 볼 수 있나요?
arXiv에 전문이 공개되어 있습니다. [2607.18340] Quantum Cryptanalysis on IBM Quantum Hardware: Extending Even--Mansour Period Recovery from $N=4$ to $N=10$
마치며
논문을 읽는 가장 좋은 방법은, 결론이 아니라 한계를 적어둔 장(章)부터 읽는 것이라고 생각합니다.
거기에 그 연구가 실제로 서 있는 자리가 적혀 있습니다.
이 논문의 그 자리는 N=10이었습니다. 작지만, 정직하게 표시된 자리였습니다.
논문 원문
Quantum Cryptanalysis on IBM Quantum Hardware: Extending Even-Mansour Period Recovery from N=4 to N=10
arXiv:2607.18340 · 2026년 7월 20일 공개 · 저자 7인 · CC BY 4.0
[2607.18340] Quantum Cryptanalysis on IBM Quantum Hardware: Extending Even--Mansour Period Recovery from $N=4$ to $N=10$
연구 주체
비드래프트(VIDRAFT) — 독자 파운데이션 모델, 양자컴퓨팅, 피지컬 AI를 연구하는 대한민국 AI 기업
https://vidraft.net