A Scenario-Based Evaluation of CRQC+AI Vulnerability Spectrum for TLS 1.3 Cryptographic Dependencies

1. 서론

• 키 설정과 디지털 서명에 대해 명시된 연방 PQC 전환 기한은 각각 December 31, 2030과 December 31, 2031이다.이 기한은 국가안보시스템을 제외한 연방 고가치 자산과 영향 수준이 높은 시스템에 적용된다. 논문은 PQC 도입만으로 충분하다고 보기보다 암호 민첩성을 갖춘 하이브리드 프레임워크 안에서 교체 가능한 PQC를 운용할 것을 권고한다.출처: §1 · pp. 2, 3, 5
• HHL은 LWE에 내재한 행렬 밀도와 조건수 문제에 직면한다. 기하학적 단순화는 여전히 반증 가능한 가설이며, PQC 해독 메커니즘은 입증되지 않았다.HHL은 확립된 해독법이 아니라 다항식 가속을 위한 시도로 다룬다. 더 넓은 조사 범위에는 양자 가속 AI와 AI로 강화한 양자 기법, 양자 어닐링, 변분 양자 고유값 해법, 부채널 접근법이 포함된다.출처: §1 · pp. 3–4
• 핵심 기여는 공격 실행 시간과 확률이 50%를 넘는 시점을 추정하고 매개변수 재보정 규칙을 명시한 재현 가능한 시나리오 추정 도구다.명시적 매개변수, 의사코드, 민감도 분석, 반증 기준을 통해 외부 검증을 지원한다. 향후 관측값이 모델 곡선을 따르거나 벗어나는 양상에 따라 특정 매개변수를 수정한다.출처: §1 · p. 4
• RSA/ECC에 대한 Shor 알고리즘의 위협은 메커니즘에 근거한다. 격자 기반 암호의 위험은 입증되지 않은 구조적 붕괴를 전제로 하며, 해시 기반 암호와 대칭키 암호의 위험은 여전히 가설 수준에 머문다.논문은 현재 표준화된 PQC 알고리즘에 알려진 해독 사례가 있다고 주장하지 않는다. 근거 등급의 상향·하향 조정 기준은 신뢰도를 변경할 조건을 명시할 뿐, 그 조건이 실제로 발생하리라는 예측은 아니다.출처: §1 · pp. 4–5

1.1 범위와 제외 사항

• 이 도구는 전체 IT 자산의 마이그레이션 준비도가 아니라 TLS 1.3 암호 기본 요소의 안전성 약화를 측정하며, 최선의 시나리오에서 얻은 결론을 다른 프로토콜에 그대로 적용할 수는 없다.분석 대상은 RSA-2048, ML-KEM768/1024, ML-DSA-44, SLH-DSA, AES-256이다. TLS는 임시 키와 키 교체, 알고리즘 협상, 유효기간이 짧은 인증서를 지원한다. 조직의 아키텍처, 자산 목록, 키 교체 권한, 변경 통제는 범위에서 제외한다.출처: §1.1 · pp. 5–6

1.2 접근법과 도구 구성

• 서로 연계된 세 도구가 하드웨어 자원 예산을 도출하고, 실행 시간과 실현 가능성 곡선을 생성하며, 격자·해시 기반 암호의 조건부 위험을 명시적인 암호분석 단위로 표현한다.채널 모델은 큐비트 수, 게이트 충실도, 코드 효율, 디코더 지연 시간을 추적한다. 역량 곡선에는 하드웨어와 AGI 조건부 소프트웨어의 지수함수를 사용한다. 도구들이 차원 붕괴 가정을 공유하므로, 도구 간 일치는 독립적인 뒷받침이 아니라 일관성을 뜻한다.출처: §1.2 · p. 6

2.1 Harrow-Hassidim-Lloyd 배경

• 수정하지 않은 HHL은 LWE를 깨지 못한다. 조밀하고 조건수가 나쁜 행렬, 잡음이 있는 복호, 좌표별 비밀값 복원은 지수적 가속의 전제 조건을 무너뜨린다.하드웨어가 개선되어도 이러한 구조적 장애물은 제거되지 않는다. HHL과 LCHS의 효과는 내부 선형대수 단계의 다항식 수준 가속에 한정된다. 2024년에 제기된 LWE의 다항 시간 양자 해법 주장은 오류가 확인된 뒤 철회되었다.출처: §2.1 · pp. 6–7

2.2 저차원 기하대수 배경

• 기하학적 양자 최적화, 양자 학습, AI 기반 표현 탐색은 공격에 활용할 수 있는 격자 구조를 발견하기 위한 추측적 접근에 머물며, 그러한 구조가 존재한다는 증거는 아니다.비구조적 문제에서 규모 확장에 따른 성능 우위가 입증되지 않았으므로, 최적화 알고리즘에는 아직 알려지지 않은 임베딩이 제공하는 구조가 필요하다. 양자 학습은 학습 가능성과 고전적 시뮬레이션의 한계에도 직면하며, 표준화된 PQC에 적용한 사례는 입증되지 않았다.출처: §2.2.1 · p. 7, §2.2.4 · p. 8, §2.2.5 · p. 8

2.2.5 공격 경로로서의 매개변수화된 기하학

• β → β(1 − ρ), ρ ∈ [0, 1)는 추측에 기반한 격자 난도의 기하학적 감소를 매개변수화한 것이며, 표준화된 PQC에 대한 입증된 공격이 아니다.이 가설에는 유용한 구조를 드러내면서 효율적으로 계산할 수 있는 저차원 임베딩이 필요하지만, 표준화된 LWE 격자에서 양의 ρ를 달성하는 구성은 없다. 이 논문은 달성 가능성을 주장하는 대신, 모델이 제시한 2032–2035년의 격자 위험 임계치 도달에 필요한 붕괴 정도를 정량화한다.출처: §2.2.2 · pp. 7–8, §2.2.5 · p. 8, §2.2.3 · p. 8

2.3.1 양자 어닐링의 핵심 특성

• 양자 어닐링은 에너지가 낮은 Ising/QUBO 해를 찾지만, 스펙트럼 간극이 지수적으로 좁아지면 폭이 좁은 장벽에서의 터널링 이점에도 불구하고 지수적 실행 시간이 필요할 수 있다.단열 진화는 최소 스펙트럼 간극의 제곱의 역수에 비해 충분히 느리게 진행되어야 한다. D-Wave 시스템 을 비롯한 특수 목적 초전도 어닐러는 임의의 양자 알고리즘이 아니라 최적화를 목표로 한다.출처: §2.3.1 · p. 9, §2.3.2 · p. 10

2.3.3 양자 어닐링의 응용

• 어닐링의 최적화 이점은 문제 사례에 따라 달라지며, 기계학습 실증은 여전히 소규모에 머물고 표준 벤치마크에서는 고전적 방법이 우세하다.하드웨어 임베딩은 큐비트를 소모하며, 희소한 연결성과 아날로그 잡음은 규모 확장을 제약한다. 학습에서는 어닐러를 최적화기나 근사 샘플러로 사용하지만, 유효 온도는 알려져 있지 않고 문제 사례에 따라 달라진다. 암호 분석에 기여하더라도 독립적인 공격 능력이 아니라 처리 과정의 일부 구성 요소를 지원하는 역할에 그칠 것이다.출처: §2.3.3 · p. 10, §2.3.3.2 · pp. 10–11

2.3 양자 어닐링 배경

• 양자 어닐링은 암호학적 매개변수에 가까운 조건에서 고전적 소인수분해나 격자 공격 대비 규모 확장에 따른 성능 우위가 입증되지 않았으며, 단독으로 암호를 무너뜨리는 수단이 아니다.소규모 소인수분해 실증에는 상당한 고전적 전처리가 필요하며, 격자 문제의 정식화는 규모 확장 성능의 증거가 아니라 존재성 결과에 머문다. 방어적 응용에는 침입 탐지를 위한 특징 선택, 자원 배치, 취약점 분석이 포함된다.출처: §2.3 · p. 8, §2.3.3.2 · p. 11

2.4.1 VQE의 작동 원리

• VQE는 하이브리드 최적화로 바닥 상태 에너지를 추정하지만, 소인수분해·이산로그·격자 문제로부터의 환원은 확립되지 않았다.양자 회로가 해밀토니안 항을 측정하고 고전적 최적화기가 회로 매개변수를 갱신한다. 기울기가 지수적으로 작아지면 암호학적 규모에서 변분 학습이 비현실적이 될 수 있다.출처: §2.4.1 · pp. 11–12, §2.4 · p. 11

2.4.2 VQE의 주요 장점

• VQE의 얕은 하이브리드 회로, 상대적인 잡음 내성, 유연한 ansatz는 단기적으로 이용 가능한 하드웨어에 적합하지만, 암호 분석 능력을 입증하지는 않는다.오류 완화는 잡음이 있는 장치에서 적용 범위를 넓힐 수 있다. 그러나 얕은 회로, 휴리스틱 최적화, 학습 가능성의 한계는 암호 분석 공격에 필요한 깊고 구조화된 계산을 제약하기도 한다.출처: §2.4.2 · p. 12

3.1 현재의 시간 전망

• 모형이 생성한 위험 구간은 CRQC+AI의 선형 및 지수 외삽을 포괄하며, 상한은 2028년 말까지 AGI가 등장할 확률이 유의미하다고 가정한다.이 절은 단일 Q-Day보다 알고리즘별 위험 스펙트럼을 중시한다. Mosca에 근거한 전환 논리는 기밀 유지 기간과 전환 소요 시간 에 HNDL 노출 을 함께 고려하며, 양자 해독 시점을 미리 알 필요는 없다.출처: §3.1 · pp. 12–13

3.1.1 PQC 전환의 역사적 유사 사례: 2008년 금융위기와 Y2K

• 미국 5대 은행 중 한 곳의 Fedwire 접속을 양자 기술로 하루 동안 공격하는 시나리오에서 GDP 위험 노출액은 $2.0조~$3.3조로 모형화된다.직접 비용 추정치는 약 $730십억~$1.95조다. 이는 특정 시나리오의 노출액 추정치이며, 경제 전체의 총손실은 아니다. 따라서 저자들은 시스템 전반의 위기 전염을 설명하는 유사 사례로 2008년 금융위기를 택하고, Y2K는 주로 기한에 맞춘 대응의 교훈으로 활용한다.출처: §3.1.1 · pp. 13, 14, 16

3.1.1 PQC 전환의 역사적 유사 사례: 2008년 금융 위기와 Y2K

• PQC 위협에 대한 대중 인지도는 25 to 30% 로, Y2K에 대한 대중의 우려가 >85%였던 것과 대조되며, 침해 발생 전 보완 조치를 이끄는 주된 요인은 규제다.Figure 4A는 실측 시계열이 아니라 검증 가능한 예시적 재구성을 사용한다. 기한이 고정되어 있던 Y2K와 달리, PQC의 2031년 시점은 규제 기한을 근사하며 기존 RSA/ECC는 2035년에 사용이 금지된다. 예상한 2032년 침해 사고가 공개되더라도 2035년까지 전환은 완료되지 않는다. 국가 행위자의 침해는 공개될 가능성이 낮으며, 은밀한 침해에는 모형상 대응 증가 효과가 없다.출처: Figure 4A · p. 14, §3.1.1 · p. 15

3.1.1 PQC 전환의 역사적 유사 사례: 2008년 금융위기와 Y2K

• Moody’s에 따르면 PQC 전환에 기업 IT 예산의 2.5%가 소요될 수 있다. 상업 시장 전망은 총전환 비용을 측정하지 않는다.전 세계 Y2K 대응 비용은 $300B~$500B+로 추정된다. 반면 상업용 PQC 시장은 2025년 약 $1.9B에서 2035년 $12.4B로 성장할 것으로 전망된다. 두 수치는 서로 다른 양을 측정하며, 전환에는 자산 식별, 재개발, 인증서 교체, 시험, 규제 준수, 하드웨어 교체 및 배포도 수반된다.출처: §3.1.1 · p. 16

3.1.2 RSA/ECC 취약성 스펙트럼

• 구글은 May 2025에 RSA-2048 해독에 필요한 큐비트를 20백만 개로 본 2021년 추정치를 20X 축소하는 방안을 제안했고[82], March 2026에 추가 축소안을 발표했다[20].2023년 당시 RSA/ECC Q-Day는 2030년대 중후반으로 전망되었다. 구글은 March 2026에 PQC 전환 시한을 2030년에서 2029년으로 앞당겼다. 추정치로는 RSA-2048에 물리 큐비트 100,000개 미만[84], ECC-256에 논리 큐비트 1,193개가 제시되었으나, 물리 큐비트 수에는 오류 정정 오버헤드가 포함되므로 직접 비교할 수 없다.출처: §3.1.2 · pp. 17–18

3.1.3 격자 기반 PQC의 취약성 스펙트럼

• BKZ 블록 크기 β ≈ 877에서 Kyber-1024에 필요한 연산량은 고전 연산 2^256회, 양자 연산 2^232회로 추정된다. 더 이른 해독을 주장하려면 c 또는 β가 감소해야 한다.core-SVP 모형은 비용 ≈ 2^(c·β)를 사용하며, 고전 체질에서는 c = 0.292, 양자 체질에서는 c = 0.265다. NIST는 격자 기반 PQC의 위협 도래 시점을 공식적으로 예측하지 않았으며, 수십 년간의 안전성에 대한 기대는 비공식적인 것으로 기술된다.출처: §3.1.3 · p. 19
• 격자 공격 추정치는 전체 공격의 오버헤드를 생략하고 QRAM을 이상화한다. 또한 기존의 인간 암호분석 성과를 고려하면 AGI가 추가로 줄일 수 있다고 보는 지수의 폭에는 한계가 있다.양자 체질 지수 0.2563은 가정된 AGI 등장 시점인 2028년보다 앞서 제시되었으므로(Bonnetain, Chailloux, Schrottenloher and Shen, EUROCRYPT 2023), 더 이른 해독은 모형의 붕괴 매개변수가 뒷받침해야 한다. QRAM 사용량을 줄인 알고리즘은 메모리 비용에 대한 반론을 완화하지만, 인용된 하한에 따르면 해당 가정 아래에서는 QRAM 없이 양자 가속이 불가능하다(Cho, Hhan, Kim, Lee and Shen, IACR ePrint 2024/1700). 생략된 격자 기저 축약 호출 역시 실제 연산량을 core-SVP 추정치보다 높인다.출처: §3.1.3 · p. 20

3.2.1 CRQC+AI를 위한 AI의 발전

• 최첨단 AI의 소프트웨어 취약점 발견 은 기반 역량의 진전을 보여줄 뿐, 표준화된 PQC에 대한 암호분석의 진전을 입증하지는 않는다.다른 사례로는 AI를 활용한 AI 모형 개선 [94]과 평면 단위 거리 문제에 관한 80년 된 Erdős 추측을 반증했다는 OpenAI의 보고 가 있다. 이 사례들은 잠재 역량에 대한 논의를 뒷받침하지만 PQC 해독을 입증하지는 않는다.출처: §3.2.1 · pp. 20–21, §3.1.3 · p. 20

3.2.2 CRQC+AI를 위한 양자컴퓨팅의 발전

• Rose의 법칙은 발전 범위의 대략적인 윤곽만 제시할 뿐 암호분석에 필요한 자원 수를 제공하지 않는다. 하드웨어 측 동인은 대신 플랫폼에 구애받지 않는 내결함성 논리 연산 용량을 사용한다.Rose의 법칙은 양자 어닐러의 큐비트에 관한 것으로, Shor, Grover 또는 격자 체질에 필요한 자원을 직접 알려주지 않는다. 검토된 기반 기술의 발전은 대부분 실용적 암호분석에 간접적으로 영향을 주며, 일부는 아직 초기 단계다. 그럼에도 논문은 선형 성장 가정을 전환 의무와 암호 민첩성을 무시할 근거로 삼는 것을 배제한다.출처: §3.2.2 · pp. 21–22

3.2.3 CRQC+AI를 위한 양자 알고리즘의 발전

• AI를 활용한 양자 알고리즘 발견은 연구를 가속할 수 있는 수단으로 제시되지만, 여기서 인용한 자율적 알고리즘 개선의 입증 사례는 고전 정렬에 관한 것이다.검토된 연구에는 AI로 개선한 격자 기저 축약 과 복호화 양자 간섭법 같은 향후 양자 최적화 접근법 [130]이 포함된다. 이들은 탐구의 동기를 제공하지만 양자 암호분석의 돌파구가 입증되었음을 뜻하지는 않는다.출처: §3.2.3 · p. 22

3.2.4 부채널 공격; 3.2.5 키 복구 공격; 3.2.6 하이브리드 공격

• 2035년 이전에는 구현 취약점을 통한 침해가 격자의 구조적 해독보다 가능성이 높은 것으로 평가되며, 양자컴퓨터가 필요하지 않고 모형의 비용 산정 범위에도 포함되지 않는다.검토된 구현 공격에는 난수 생성 결함 과 마스킹된 ML-KEM에 대한 선택 암호문 공격 이 포함된다. 키 복구 및 하이브리드 연구에는 Oracle MLWE 근방 탐색, ML-KEM에 대한 hybrid-adaptive-LDPC 공격, 희소 LWE에 대한 primal hybrid 공격 이 포함된다.출처: §3.2.4 · p. 23, §3.2.5 · p. 23, §3.2.6 · p. 23

3.3 AI가 단축하는 시간 전망을 위한 가속 계수 모형; 3.3.1 가속 계수가 조정하는 것과 조정하지 않는 것

• AI는 구체적으로 식별 가능한 공학적 작업을 가속할 뿐, Shor의 복잡도나 내결함성 임계값, 결맞음 한계를 바꾸지는 않는다. 이름과 근거가 명시된 매개변수는 이 경계를 검증 가능하게 한다.대상 작업에는 복호화, 게이트 보정, 소재 탐색, 코드 발견, 회로 최적화가 포함된다. 공학적 계수 A_i는 하드웨어 준비도를, R은 암호분석 연구를 좌우한다. 모형은 내결함성 Shor의 구현을 가속하며, 양자 어닐링이나 변분 방법만으로 독립적인 해독을 만들어내지는 않는다.출처: §3.3.1 · p. 23, §3.3 · p. 23, §3.3.4 · p. 26

3.3.2 네 경로와 각 기준치; 3.3.3 가속 계수의 실증적 근거

• 독립적으로 보정한 네 공학적 경로는 발표된 기준치와 실측 기계학습 개선치를 사용하며, 측정치가 없으면 가속 없음으로 설정한다.RSA-2048 추정치는 2019년 물리 큐비트 약 이천만 개로 약 여덟 시간[79]에서 2025년 큐비트 백만 개 미만으로 일주일 미만[82]으로 바뀌어, 목표 자원 규모도 계속 변한다. 매직 상태 증류는 독립적인 병목임이 실증되지 않는 한 코드 효율 및 논리 큐비트 채널에 포함된다.출처: §3.3.2 · pp. 24–25, §3.3.3 · p. 25

3.3.4 경로별 추정에서 도달 시점의 분포로

• 경로별 소요 시간은 τ_i = ln(F_i)/(A_i · r_i)를 따르며, 가장 느린 경로가 도달 시점을 결정하고 매개변수 범위는 단일 Q-Day가 아닌 도달 확률을 산출한다.모든 A_i를 일로 설정하면 하한이 산출된다. 높은 가속 범위와 공격적인 자원 추정치를 결합하면 상한이 산출되며, 기밀 유지 기간 내 도달 확률이 영이 아니라면 Mosca 부등식에 따라 전환의 근거가 된다. 기준 속도는 초기 진척에 집중된 로드맵을 평균한 값이며, 큐비트 수와 코드 효율의 결합으로 인해 독립 채널 처리는 병목 채널에 대해 보수적인 접근이 된다.출처: §3.3.4 · pp. 25–26
• 계산 예시에서 가속 없음, 중간 가속, 높은 가속에 따른 CRQC 도달 연도는 각각 약 2032년, 2031년, 2029년이며, 원래 확보 가능한 논리 큐비트 수가 병목이다.중간 및 높은 가속 계수는 각각 A_1 = 1.3과 A_1 = 2.0이다. 큐비트 수 자체의 확장 가속을 뒷받침하는 직접 증거는 가장 약하다. 대신 실증된 개선은 필요한 큐비트 수를 줄여 준비 시점을 간접적으로 앞당길 수 있다.출처: §3.3.4 · p. 26

3.3.5 반증 조건과 추적 지표

• 재현 가능한 곡선과 외부 전망과의 부합에도 결과 검증은 향후 관측을 기다려야 한다. 매년 경로별로 재보정하면 전망을 검증하고 수정할 수 있다.July 2026 기준, 독립적인 전망 다섯 건, 표준 일정 및 로드맵과의 일치는 뒷받침 근거이지 증명은 아니다. 다섯 가지 지표로 더 이른 검증이 가능하지만, 역사적인 체질 지수 개선 속도는 2033년까지 모델의 하한에 도달하기에 약 일곱 배 느리다. 연례 갱신에서는 F_i, r_i 또는 A_i를 재추정하고 교차 시점 분포를 다시 계산하며, 이전 전망을 보정 자료로 보존하는 버전별 재실행 결과를 공개한다.출처: §3.3.5 · pp. 27–28

4. AI를 활용한 CRQC+AI 취약성 확대 전망

• 네 가지 트랙은 AGI 기반 소프트웨어 역량을 없음부터 높음까지 달리 설정하고, 이를 하드웨어 성장과 결합해 저자가 통제하는 하나의 재현 가능한 모형으로 구성한다.Claude Fable 5는 초안 작성과 시각화를 지원하며, 가정과 계산은 저자가 통제한다. 실행시간 곡선은 R0를 공유하며, 동일 암호 방식 내의 추세와 교차 시점 분석을 뒷받침하지만 서로 다른 방식 간 공격 비용의 절대 비교를 뒷받침하지는 않는다.출처: §4 · p. 29

4.1 RSA-2048의 CRQC+AI 취약성 추정: 메커니즘 기반 등급

• RSA-2048 모델링은 TLS 1.3의 키 전송이 아니라 인증서 인증과 레거시 노출을 다룬다. 직접적인 키 교환 및 인증 메커니즘은 각각 ECDHE와 ECDSA다.RSA 인증서 서명은 RSASSA-PSS를 사용한다. TLS 1.3에서는 RSA 키 전송이 제거되었다.출처: §4.1 · p. 29

4.2 ML-KEM Kyber-768/1024의 CRQC+AI 취약성 추정(FIPS 203): 조건부 등급

• 하이브리드 ML-KEM-768을 무력화하려면 격자 암호와 X25519를 모두 깨야 하며, 단독 ML-KEM-1024는 CNSA 2.0이 요구하는 보안 강도에 해당한다.하이브리드 및 단독 방식의 TLS 명세는 아직 최종 RFC가 아닌 Internet-Drafts 상태다. CNSA 2.0은 하이브리드 키 설정을 일괄적으로 금지하지 않는다.출처: §4.2 · pp. 31–32

4.4 SLH-DSA(FIPS 205)와 AES-256(FIPS 197)의 CRQC+AI 취약성 추정

• 이 모형에서 SLH-DSA와 AES-256에는 메커니즘 기반 또는 조건부 근거에 따른 위험 노출이 없으며, Appendix C의 곡선은 가설에만 근거한 스트레스 시험 사례다.SLH-DSA에는 붕괴시킬 격자가 없다. 깊이가 제한된 Grover 알고리즘의 비용은 고전적 수준에 가깝게 유지되며, 모형의 하드웨어 예산은 2045년 무렵에야 그 수준에 도달한다. 반면 약 2036년(Track 3)과 2041년(Track 2)의 교차 시점에는 가설로 설정한 새로운 공격이 필요하다.출처: §4.4 · pp. 35, 37

4.5 암호분석 비용 모형과 차원 붕괴의 조건부 가정

• 별도의 비용 모형 재표현은 (0.265 − ∆) · β · (1 − ρ) ≤ B(t)를 검토하는 것이며, 역량 곡선을 독립적으로 뒷받침하는 것은 아니다.∆는 지수를 낮추고, ρ는 유효 격자 차원을 줄이며, B(t)는 예산 내에서 수행 가능한 양자 연산 수의 밑이 2인 로그다. 경계 0.265 − ∆ ≥ 0.2075는 특정 알고리즘 계열의 시빙 메모리 자원 하한을 반영하며, 최적성이 증명된 시간 지수는 아니다.출처: §4.4 · p. 35
• 예시 예산 B(2033) = 80 bits에서는 단독 Kyber-1024에 ρ ≥ 0.66, 하이브리드 Kyber-768에 ρ ≥ 0.52가 필요하다.지수 감소만으로는 2033년 예산을 충족할 수 없으며, 연산 횟수 예산에는 필요한 시빙 메모리가 포함되지 않는다. AGI가 없는 기준 시나리오에서는 모든 격자 및 해시 암호의 무력화가 분석 기간 밖에 놓인다.출처: §4.4 · pp. 36–37
• 2033년까지 추정된 지수 하한에 도달하려면 과거 양자 시빙 개선 속도의 약 일곱 배가 필요하며, 그 경우에도 차원 붕괴 없이는 충분하지 않다.보고된 지수는 2015년 약 0.2653에서 2023년 0.2563으로 감소했다(Laarhoven; Chailloux and Loyer, ASIACRYPT 2021; Bonnetain, Chailloux, Schrottenloher and Shen, EUROCRYPT 2023). 이 과거 개선 속도를 외삽하면 2074년 무렵에야 하한에 도달한다.출처: §4.4 · p. 36, Figure 8C · p. 37

4.3 ML-DSA-44의 CRQC+AI 취약성 추정(FIPS 204): 조건부 등급

• β를 약 420, B(2036) ≈ 92 bits로 설정할 때, 예시로 제시한 2036년 ML-DSA-44 교차에는 ρ ≥ 0.17이 필요하다.이 곡선들은 아직 발견되지 않은 유효 차원 붕괴 메커니즘을 가정하며, 현재 그러한 메커니즘은 알려져 있지 않다.출처: §4.3 · p. 35, §4.4 · p. 37

4.4 SLH-DSA(FIPS 205)와 AES-256(FIPS 197)의 CRQC+AI 취약성 추정

• 메모리 제약은 조건부 교차 시점을 늦추며, 누락된 비용과 AGI 출현에 종속시킨 기여도 귀속은 비용 모형의 한계다.구조적 붕괴는 블록 크기뿐 아니라 메모리 요구량도 줄여야 하므로, 제시된 붕괴 규모는 이 가설에 필요한 조건을 과소평가한다. 비용에 반영하지 않은 효과에는 쌍대 공격, 다중 표적 간 비용 분산, 디캡슐화 실패 공격, 임베딩 발견, AGI 이전의 고전적 기법 발전이 있다. 이러한 발전을 연간 0.04의 AGI 출현 종속 요인에 포함하면 AGI의 설명 기여도를 과대평가하게 된다.출처: §4.4 · p. 38
• 시빙 지수 0.265와 0.292는 필요한 차원 붕괴 비율을 다르게 산출하며, 이는 이상화된 QRAM과 더 현실적인 메모리 접근 및 회로 깊이 비용의 차이를 반영한다.지수를 높이면 필요한 ρ는 ML-KEM-768에서 0.5170에서 0.5616으로, ML-KEM-1024에서 0.6558에서 0.6876으로, ML-DSA-44에서 0.1734에서 0.2498로 증가한다. ML-DSA-44의 상대적 증가율은 약 44%다. 이 비율은 ρ = 1 − B/(c·β)에 따라 계산하며, β = 625/877/420을 각각 적용하고 예산은 2033년 ML-KEM에 B = 80, 2036년 ML-DSA-44에 92를 적용한다.출처: §4.4 · p. 38

4.6 CRQC와 AI의 발전 시간표

• 모형상 RSA-2048의 교차 시점은 Track 3에서 약 2030년, 하드웨어만 고려한 Track 0에서 약 2032년이며, 격자 암호의 위험 노출은 주로 AGI 주도 시나리오를 필요로 한다.Kyber-768/1024의 교차 시점은 Track 3에서 약 2032년, Track 2에서 약 2035년이며, ML-DSA-44는 각각 약 2033년과 2036년이다. Kyber의 교차 시점이 같은 것은 모형상 결합 강도를 같게 설정했기 때문이지 난도가 같기 때문은 아니다. Kyber-1024는 Track 1에서 간신히 교차하며, 그 시점은 2045.9다.출처: Figure 9 · p. 38, §4.6 · p. 39
• 2028년으로 가정한 AGI 출현이 2년 지연되면 Track 2와 Track 3의 교차 시점은 약 1.5–2년 늦어지지만, 하드웨어 주도의 RSA Track 0은 변하지 않는다.메커니즘 기반 위험은 Shor 알고리즘을 통한 RSA와 ECC에만 적용되며, 나머지 교차 시점은 예측이 아닌 조건부 시나리오다. SLH-DSA와 AES-256은 특정 교차 연도 없이 가설에만 근거한 구간으로 제시되며, AES-256은 평가한 암호 프리미티브 중 내성이 가장 높다.출처: §4.6 · p. 39

4.6.1 하드웨어 주도의 CRQC 확장과 초기 RSA/ECC 위험 노출

• 초기 하드웨어 주도 단계는 하이브리드 양자·고전 컴퓨팅의 보편적 도입을 가정하며, HHL과 저차원 기하 연구는 격자 취약성을 탐색하지만 입증하지는 않는다.하이브리드 프레임워크는 입증된 격자 공격의 증거가 아니라 양자컴퓨팅 역량을 발전시키는 원천으로 제시된다.출처: §4.6.1 · pp. 39–40

4.6.2 RSA/ECC 붕괴와 최초 격자 암호 무력화 가능성(Track 3)

• ML-KEM-1024의 하드웨어만 고려한 Track 0에서 교차 시점의 중앙값은 2048.8이며, 2035년까지 위험 노출 확률은 사실상 0이다. 격자 암호의 무력화에는 입증되지 않은 기하학적 붕괴가 필요하다.임베딩이 발견되면 양자 기하학적 개념 증명 공격을 시도할 수 있고 산업계의 재평가로 이어질 수 있지만, 붕괴 ρ가 영이 아니어야 침해 단계가 발생한다. 소규모 HHL 시연만으로는 조밀하고 조건수가 나쁘며 암호에 쓰이는 규모의 LWE 문제에 대해 실용적인 지수적 우위가 입증되지 않는다.출처: §4.6.2 · p. 40

4.6.4 해시 기반 서명의 위험 노출 가능성과 최초의 대칭키 계층 위협

• 확장 가능한 HHL 및 LCHS 기반 CRQC+AI 암호분석에는 기하학적 단순화의 실현이 필요하며, 실서비스에 도입된 격자 기반 PQC의 무력화는 여전히 그 돌파구가 마련된다는 조건에 달려 있다.무력화가 발생할 경우, 이 시나리오는 NIST 및 국제 표준의 신속한 개정과 뒤이은 산업계의 빠른 도입을 상정한다.출처: §4.6.4 · p. 40

4.6.5 대칭키 계층의 잔여 위험 노출과 AGI 이후 전망

• Table 4는 시나리오 범위를 발표된 시간표, 하드웨어 로드맵, 전환 의무와 비교해 맥락을 제공하며, 이를 예측으로 제시하거나 전문가 설문보다 정밀하다고 주장하지 않는다.이 모형은 증거가 축적됨에 따라 수정하도록 설계되었으며, 명시적인 수정 규칙은 Section 3.3.5에 제시되어 있다. AGI 이후 전망에서는 복원력 유지를 위해 동적인 암호 민첩성과 하이브리드 운용을 요구한다.출처: §4.6.5 · p. 41, Table 4 · p. 41

한계

• 교차 시점은 실측 없이 설정한 하드웨어 및 소프트웨어 민감도에 좌우된다. 재현성은 예측 검증이 아니라 시나리오 재생성을 뜻한다.2028년 AGI 출현 가정은 소프트웨어에 의한 교차 시점에 가장 큰 영향을 미치는 입력이다. AGI 출현이 상당히 늦어지면 해당 교차 시점도 대략 그만큼 늦어진다.출처: §5 · pp. 41–42
• 실행 시간 축은 실제 실행 시간이 아니라 정규화된 지표다. 모델은 새로운 암호분석법을 발견하는 것이 아니라 양자 알고리즘을 고정해 둔다.공학적 진전과 AI 지원에 따른 진전이 어느 정도면 암호 무력화 시점을 앞당길 수 있는지를 다룬다. 근거 수준 간의 질적 구분은 유지되며, 격자 기반·해시 기반·대칭키 암호의 교차 시점은 알려진 공격을 나타내지 않는다.출처: §5 · p. 42

모델이 틀릴 수 있는 조건

• AI에 의한 암호분석 개선이 지속되지 않아 소프트웨어 결합 계수가 사실상 0이면, 격자 기반·해시 기반·대칭키 암호 계열은 분석 기간 내에 교차하지 않는다.이 조건에서는 메커니즘에 근거한 RSA와 ECC의 위험 노출만 남는다.출처: §5 · p. 42
• 유효 차원 붕괴나 이에 준하는 격자 관련 구조적 진전이 없다면 조건부 위험 단계는 성립하지 않는다.이 조건에서는 비용 모델의 ρ가 0으로 유지된다. Harrow-Hassidim-Lloyd 및 관련 양자 선형대수 기법을 잡음이 있는 LWE의 제한 거리 복호화에 계속 적용할 수 없다면, 가정된 핵심 메커니즘 하나가 배제된다.출처: §5 · p. 42
• 양자 하드웨어의 확장 정체는 RSA 교차 시점마저 늦추며, 내결함성 오류 정정이 불충분하면 알고리즘의 진전과 무관하게 메커니즘에 근거한 위협의 도달 시점이 늦어진다.r_hw가 1에 가까워질수록 하드웨어 발전 효과가 정체되며 RSA 교차 시점이 수년 뒤로 밀린다.출처: §5 · p. 42
• 관측 가능한 실패 조건과 주요 진척 지표 추적을 통해 특정 매개변수를 선별적으로 갱신하고, 버전을 관리하며 모델을 반복 실행할 수 있다.하드웨어의 주요 진척 지표, 오류율 추세, 디코더 지연 시간, 자원 추정치 변화에 따라 특정 가속 계수를 갱신한다. 명시된 실패 조건이 충족되면 해당 곡선은 배제해야 한다.출처: §5 · pp. 41–42

6.1 통제 목표로서의 암호 민첩성

• 암호 민첩성은 암호 자산 목록, 자산 소유권, 교체 권한, 변경 통제, 예외 처리, 증거 보존을 포괄하는 거버넌스 역량이다.민첩한 배포 환경은 사용하는 암호 프리미티브를 빠짐없이 파악하고, 권한을 가진 책임 주체를 식별하며, 통제된 교체를 수행하고 증거를 보존해야 한다. 전환 권한은 프로토콜이 아니라 암호 자산 목록의 관리 책임자에게 있다.출처: §6.1 · pp. 42–43

6.2 부문별 데이터 수명 스펙트럼(Mosca의 X와 Y)

• Mosca의 X + Y > Z에는 부문별 비밀 유지 기간과 전환 소요 기간이 필요하다. 이 논문은 Z를 모델링하지만 X나 Y의 값은 제시하지 않는다.대표적인 X 값은 국가안보 정보의 비밀 해제, 장기간 유지되는 변호사–의뢰인 간 비밀유지 특권, 건강정보의 기밀성, 결제정보 보존 을 반영한다. Y에는 10년에서 20년 이상에 이르는 운영기술 및 임베디드 시스템의 수명주기를 반영한 공학적 추정치를 사용한다. 부문 간 차이를 고려하면 획일적인 전환 일정은 적절하지 않다.출처: §6.2 · p. 43

6.3 주권과 관할권

• 국가별 요구사항이 달라 암호 민첩성은 이미 법적 필수 요건이다. 조직은 외부에서 정한 일정에 따라 알고리즘, 신뢰 앵커, 키 보관·관리 체계를 변경해야 한다.CNSA 2.0은 미국 국가안보 시스템에 단독 ML-KEM-1024 사용을 명시한다. 이는 널리 배포된 ECDHE–ML-KEM 하이브리드 방식뿐 아니라 유럽 및 호주의 서로 다른 입장과도 대비된다. 이 근거에는 입증되지 않은 암호분석 메커니즘이 필요하지 않다.출처: §6.3 · p. 43

6.4 발급기관, 신뢰 앵커 및 인증서 수명주기

• 양자내성 인증서 체인에는 이를 지원하는 발급기관, 호환되는 경로 검증, 장기 사용 클라이언트까지 도달하는 신뢰 앵커 배포가 필요하다. 이러한 의존성에는 별도의 전환 계획이 필요하다.CA 키와 내장된 신뢰 앵커는 수년에서 수십 년간 사용되며, 갱신 주기는 인증서 이용 주체의 통제 밖에 있다. 인증서 체인의 전환은 대체로 협상 기반 키 교환의 전환보다 늦다. 현재 존재하는 이러한 생태계 차원의 위험 노출은 암호 프리미티브의 보안성 약화 평가 도구의 범위 밖에 있다.출처: §6.4 · pp. 43–44

6.5 상호운용성과 협상

• 하이브리드 키 교환에는 양쪽 종단점의 지원과 우선 선택이 필요하다. 호환되지 않는 미들박스, 세션 재개 캐시 또는 라이브러리는 협상 실패나 고전적 키 교환으로의 드러나지 않는 다운그레이드를 일으킬 수 있다.draft-ietf-tls-ecdhe-mlkem 예시는 ML-KEM과 타원곡선 키 교환을 결합한다. 모델은 종단 간 양자내성 또는 하이브리드 방식의 협상을 가정하며, 상호운용성과 다운그레이드 저항성은 별도의 배포 통제 항목으로서 범위에서 제외한다.출처: §6.5 · p. 44

6.6 엔트로피와 키 출처

• 모델의 모든 보장은 양질의 엔트로피에 달려 있다. 취약한 난수성과 통제되지 않는 키 출처는 양자 기술의 발전과 무관하게 구현상의 위험을 초래한다.엔트로피 품질, 자원 제약 장치의 시드 설정, 키 생성 위치·모듈·보증 수준은 평가 도구의 범위 밖에서 별도로 검토해야 한다. 운영자의 통제 밖에서 생성되거나 보관되는 키는 사후 복호화에 대한 노출을 확대하며, 키 출처는 지금 수집해 나중에 위조하는 공격의 위험에도 영향을 미친다.출처: §6.6 · p. 44

7. 결론

• RSA 관련 금전적 손실이 시작될 것으로 예측되는 가장 이른 시점은 2030년이다. PQC는 격자에 대한 아직 입증되지 않은 구조적 돌파구를 전제로, 2032년부터 조건부로 위험에 노출될 수 있다.RSA/ECC의 위험 노출은 쇼어 알고리즘이라는 공격 원리에 근거하지만, PQC의 예측 시점은 조건부 시나리오의 산출값이다. AGI+CRQC+AI는 공격을 가속하고 적용 범위를 넓힐 수 있으며, 잠재적 금전적 손실의 범위를 한정하기는 어렵다.출처: §7 · pp. 44–45
• 암호화 키가 유출되면 실시간 통신, 저장된 민감 데이터, 과거 백업본이 노출될 수 있다.백업 암호화 키에 접근하면 능동적으로 감시하지 않는 과거 데이터를 변조할 수도 있다.출처: §7 · p. 45
• 유출된 키는 메시지 가로채기와 변조, 신원 사칭, 서비스 중단, IoT 장악, 스마트 계약 조작을 가능하게 할 수 있다.악성 데이터 주입으로 서비스가 중단될 수 있으며, IoT 침해는 사생활이나 물리적 보안에 위험을 초래할 수 있다. 거래 서명용 개인 키를 획득하면 스마트 계약 조작과 금융 사기가 가능해질 수 있다.출처: §7 · p. 45
• 지속적인 가치를 지닌 기여는 향후 관측을 반영해 위험 시간표를 수정할 수 있도록 감사 가능한 갱신 절차를 갖춘, 재현 가능하고 매개변수화된 시나리오 도구다.매개변수를 바꿔 모델을 다시 실행하고 새롭게 관측되는 주요 진전에 맞춰 재보정할 수 있어, 자원 추정 연구와 전문가 의견 수렴 조사를 보완한다. 새로운 실증 데이터는 생성하거나 분석하지 않았으며, 도표는 공개된 매개변수화 모델에서 도출했다.출처: §7 · pp. 45–46
• PQC 전환은 전환의 종착점이 아니라, 연구와 NIST가 권고하는 하이브리드 암호 접근법 을 바탕으로 암호 민첩성을 갖춘 배포 를 촉진하는 계기가 되어야 한다.계층형 TLS 위험 점수화 모델은 조직이 전환 과정에서 위험에 가장 크게 노출된 연결을 우선 처리하도록 도울 수 있다.출처: §7 · p. 45
• 모든 저자는 EnQuanta와의 고용 또는 자문 관계를 공개하며, 이에 따라 논의된 암호 민첩성 및 하이브리드 접근법과 관련된 금전적 이해관계가 있다.EnQuanta는 상용 양자내성 암호 및 암호 민첩성 기반 암호 제품과 서비스를 개발한다.출처: §7 · p. 46

부록 A. 하드웨어·소프트웨어 통합 역량 모델의 재현성

• 단일 하드웨어·소프트웨어 통합 역량 모델이 명시적 방정식과 매개변수로 실행 시간과 실현 가능성 곡선을 생성한다.이 모델은 Figures 6A/6B부터 8A/8B까지, Figure 9, Appendix C Figures C1A/C1B 및 C2A/C2B를 생성한다.출처: Appendix A · p. 47
• AI는 Shor 알고리즘의 다항식 스케일링을 바꾸거나 내결함성 오류 정정 임계값을 낮추거나 결맞음 한계를 제거하지 않으면서, 공학적 구현과 공격 기법의 발견 및 최적화를 가속한다.모델에서 양자 알고리즘은 고정한다.출처: Appendix A · p. 47
• 역량 모델은 Section 3.3의 별도 채널 모델과 Section 4.5의 비용 모델을 보완한다. 이 두 모델은 곡선을 생성하는 대신 같은 문제에 대한 경계를 설정한다.출처: Appendix A · p. 47

부록 A.1. 지배 방정식

• 암호해독 역량 C(a, k, t)는 하드웨어와 소프트웨어의 가중 기여분을 합산해 공격 실행시간의 감소 폭을 밑이 10인 로그 단위로 측정한다.C(a, k, t) = α(a) · D_hw(t) + β(a, k) · D_sw(k, t). 하드웨어 민감도 α는 RSA에서 크고 격자 기반·해시 기반·대칭키 암호 방식에서는 거의 0이다. β는 트랙별 소프트웨어 공격에 대한 민감도를 나타낸다.출처: Appendix A.1 · p. 47
• 하드웨어 발전은 AGI와 무관하게 Track 0을 포함한 모든 트랙에서 가속되며, 2026년 이전에는 지수를 0으로 고정한다.D_hw(t) = A · (r_hw^(t − t0) − 1) / (r_hw − 1)이며, A = 0.34, r_hw = 1.20, t0 = 2026이다.출처: Appendix A.1 · p. 47
• 소프트웨어 발전은 인간에 의한 소규모 발전 항과 2028년부터 시작되는 트랙별 AGI 향상분을 결합하며, AGI 도입 전에는 해당 지수를 0으로 고정한다.D_sw(k, t) = 0.04 · (t − t0) + B_k · (r_k^(t − tAGI) − 1) / (r_k − 1)이며, tAGI = 2028이다.출처: Appendix A.1 · p. 47
• 실행시간 지수 R(a, k, t) = R0 − C(a, k, t)는 각 암호 방식 내의 발전을 추적하며, 방식 간 상대적 공격 비용을 나타내지는 않는다.초 단위 시간의 밑이 10인 로그 축에서 R0 = 10은 다섯 방식 모두에 공통인 시각적 기준선이지, 방식별 경험적 실행 시간 추정값이 아니다.출처: Appendix A.1 · p. 47
• 모델상 실행 가능성 50%는 실행시간이 1개월 임계값에 처음 도달하는 해에 달성되며, 이는 역량이 약 3.585에 도달하는 시점과 같다.P(a, k, t) = 100 / (1 + exp(−(MON − R(a, k, t)) / 0.85))이며, MON = log10(2.6 × 10^6) ≈ 6.415이다. 모든 임계값 도달 연도는 사전에 정한 값이나 외부 수치가 아니라 이 방정식들에서 도출된다.출처: Appendix A.1 · p. 47

부록 A.2. 매개변수와 출처

• 50% 교차점은 정규화된 축에서 역량 C ≈ 3.585(자릿수 단위)에 나타나며, 실제 공격 소요 시간을 한 달로 예측한 값이 아니다.상수는 t0 = 2026, tAGI = 2028, R0 = log10(10^10) = 10, MON = log10(2.6 × 10^6) ≈ 6.415이며, 로지스틱 폭은 0.85다. 축은 초 단위 시간의 밑이 10인 로그로, 초부터 세기까지의 범위를 나타낸다. R0는 공통 시각화 기준선이며, 개별 암호 방식의 2026년 공격 소요 시간 추정치가 아니다.출처: Appendix A.2 · pp. 47–48
• 모든 트랙은 유효 양자 자원의 연간 약 20% 누적 증가에 의해 구동되며, 하드웨어 매개변수는 A = 0.34와 r_hw = 1.20이다.이 가속적 하드웨어 동인은 논문의 로즈의 법칙 기반 성장 모형과 채널 모형을 세분화한 요소다.출처: Appendix A.2 · p. 48
• AGI 이전 인간 주도 진전의 기울기는 연간 0.04이며, 여기에 트랙별로 AGI 이후에만 활성화되는 소프트웨어 성장이 더해진다.성장률과 상한의 쌍 (r_k, B_k)은 트랙 0 (1.01, 0.00), 트랙 1 (1.10, 0.16), 트랙 2 (1.17, 0.26), 트랙 3 (1.30, 0.30)이다. 트랙 3의 성장률 1.30은 강한 볼록성을 띠는 붕괴 곡선을 만든다.출처: Appendix A.2 · p. 48
• 알고리즘별 하드웨어 민감도 α와 소프트웨어 공격 민감도 β는 측정된 상수가 아니라 시나리오 매개변수다.β를 트랙 0–3 순으로 나열하면, RSA-2048은 α = 0.92, β = (0, 1.15, 1.75, 2.55), Kyber-1024는 α = 0.05, β = (0, 0.06, 0.95, 1.45), ML-DSA-44는 α = 0.04, β = (0, 0.05, 0.78, 1.18)이다. SLH-DSA는 α = 0.03이고 모든 β = 0이며, AES-256은 α = 0.020이고 모든 β = 0으로, 두 알고리즘의 위험을 가설 수준으로만 다루는 방식과 일치한다. 하이브리드 X25519 + Kyber-768은 동일한 격자 결합계수를 사용하며 두 구성요소가 모두 무너질 때만 무너지므로, 먼저 무너지는 X25519 때문에 교차점은 Kyber와 일치한다.출처: Appendix A.2 · p. 48
• ±25% 민감도 범위에서는 RSA–격자 간 순서 역전이 없으며, 격자 기반 기법의 교차점이 먼저 나타나려면 공개된 값을 크게 벗어나는 결합계수가 필요하다.순서가 역전되려면 격자 하드웨어 결합계수가 RSA의 0.92를 넘어야 하며, 이는 RSA보다 Shor 알고리즘에 더 민감함을 뜻한다. 또는 트랙 3에서 ML-KEM1024 소프트웨어 결합계수가 공개된 1.45의 약 세 배인 4.48 정도여야 하며, 이는 RSA의 2.55 대비 1.76×다.출처: Appendix A.2 · p. 48
• 2032.5, 2031.4, 2030.5, 2029.9는 각각 트랙 0–3에서 모형이 산출한 RSA2048의 50% 교차점 연도다.Kyber-1024는 트랙 1–3에서 각각 2045.9, 2035.0, 2032.3에 교차점에 도달하며, ML-DSA-44는 트랙 2–3에서 각각 2035.9, 2032.9에 도달한다. SLH-DSA, AES-256 및 나머지 트랙에서는 분석 시한인 2046년까지 실행 가능한 공격이 나타나지 않는다.출처: Appendix A.2 · p. 48

부록 A.3. 그림 재생성 절차(의사코드)

• 2026년을 하드웨어 성장의 기준 연도로 삼으며, A = 0.34와 r_hw = 1.20이 누적 하드웨어 구동항을 제어한다.e = max(t - t0, 0)일 때, D_hw(t) = A * (r_hw^e - 1) / (r_hw - 1)이다.출처: Appendix A.3 · pp. 48–49
• 알고리즘별 하드웨어·소프트웨어 결합 계수가 역량을 결정하며, 이 역량은 범위가 제한된 실행 시간 지표를 낮추고 로지스틱 실현 가능성 점수에 반영된다.실행 시간은 clamp(R0 - capability, -0.4, R0)이며, R0 = log10(1e10)이다. 실현 가능성은 100 / (1 + exp(-(MON - runtime)/0.85))이며, MON = log10(2.6e6)은 한 달 내 실행 가능성을 나타낸다.출처: Appendix A.3 · pp. 48–49
• 모형에서 AGI가 등장하는 시점은 2028년이며, 이후 네 가지 소프트웨어 경로가 공통 선형 소프트웨어 성분에 서로 다른 성장항을 더한다.공통 성분은 0.04 * max(t - 2026, 0)이다. 각 경로는 B * (r^e - 1) / (r - 1)을 더하며, e = max(t - 2028, 0)이다. 경로별 (r, B) 쌍은 0:(1.01,0.00), 1:(1.10,0.16), 2:(1.17,0.26), 3:(1.30,0.30)이며, 알고리즘별 결합 계수는 Appendix A.2에 명시되어 있다.출처: Appendix A.3 · pp. 48–49
• 2026–2046년을 600단계로 나누어 알고리즘·경로별 실현 가능성 점수가 처음 50에 도달하는 연도를 찾고, 분석 기간 내 임계값 도달이 없으면 NONE을 반환한다.임계값 도달 시점 계산 루틴은 각 알고리즘·경로 조합을 개별적으로 평가한다.출처: Appendix A.3 · p. 49
• 공개 스크립트로 몬테카를로 표본 40,000개를 사용하면 결정론적 임계값 도달 연도를 정확히 재현하고, Table 7의 백분위수를 약 0.2년 이내의 오차로 재현한다.공개 자료에는 역량 모형, Table 7과 Figure A2용 몬테카를로 코드, 그림 생성 스크립트가 포함된다. 고정 기본 시드 20260731에 셀 인덱스만큼 오프셋을 적용하여 각 알고리즘·경로 셀을 독립적으로 재생성할 수 있다.출처: Appendix A.3 · p. 49
• Figures 4A and 4B는 측정 계열이 아니라 도식적 재구성이며, Figure 5의 큐비트 추정치는 글로벌위험연구소의 원자료 표 확인을 기다리는 대략적 판독값이다.공개 자료의 설명에 이러한 단서가 명시되어 있다.출처: Appendix A.3 · p. 49

부록 A.4. 민감도 분석

• 하드웨어가 RSA-2048의 교차 시점을 좌우하는 반면, 격자·해시·대칭키 방식의 교차 시점은 주로 소프트웨어 결합계수, 트랙별 속도와 상한에 달려 있다.각 방식은 역량이 약 3.585자릿수 증가하는 지점에서 교차한다. RSA는 하드웨어 결합계수 α = 0.92에 따라 모든 트랙에서 교차하며, 시점 차이는 약 2.5년이다. 다른 방식은 Track 0–1에서 사실상 교차 시점이 움직이지 않으며, 예외는 2045.9에 교차하는 Kyber-1024 Track 1이다. RSA Track 0은 하드웨어 진폭, 가속률, 결합계수에만 반응한다.출처: Appendix A.4 · pp. 49–50
• AES-256의 소프트웨어 결합계수를 0으로 설정하면 해독되지 않은 대조군으로 돌아간다. 모델상 Track 2와 Track 3의 해독에는 확립된 암호분석 메커니즘이 없기 때문이다.AES-256에 적용한 추측적 입력값은 α = 0.020이며, β = 0.155는 Track 2에, 0.210은 Track 3에 해당한다.출처: Appendix A.4 · p. 49
• RSA-2048 Track 0과 Kyber-1024 Track 3의 민감도 시험에서 변화 범위를 넓혀도, 단일 매개변수 변화에 따른 교차 시점 이동은 약 3.6년 이내다.스트레스 시험 범위는 Appendix A.5에서 보정한 Monte Carlo 범위의 약 두 배다. 이 시험은 매개변수 간 상호작용이 아니라 개별 효과를 분리한다. 반면 해독 순서는 Appendix A.2의 결합 역전 임계값에 달려 있으며, 이 임계값은 확대된 범위조차 벗어난다.출처: Figure A1 · p. 50, Appendix A.4 · p. 50
• AGI 출현이 2028에서 2030으로 늦어지면 소프트웨어가 좌우하는 교차 시점은 약 1.8년 지연되지만, RSA Track 0은 2032.5에 머문다.Kyber-1024 Track 3은 2032.3에서 2034.1로, AES-256 Track 3은 2038.6에서 2040.4로 이동한다. Kyber-1024 Track 3의 민감도는 AGI 출현 시점이 가장 크게 좌우하며, 소프트웨어 결합계수 β와 트랙 상한 B_k가 그 뒤를 잇는다.출처: Appendix A.4 · pp. 49–50
• 하드웨어 속도가 1.05로 낮아지면 RSA Track 0의 교차 시점은 2032.5에서 2035.3으로 바뀌지만, 소프트웨어가 좌우하는 교차 시점은 거의 변하지 않는다.반면 모든 소프트웨어 결합계수를 20% 줄이면 격자 기반·해시 기반·대칭키 암호의 교차 시점이 약 0.6–1.0년 늦어진다.출처: Appendix A.4 · p. 50
• AES-256 Track 3의 속도가 1.30에서 Track 2의 값인 1.17로 낮아지면 교차 시점은 2038.6에서 2041.8로 바뀐다.붕괴 곡선이 가파른 볼록 형태를 띠는 유일한 원인은 Track 3의 속도다. 이 값을 낮추면 교차 시점이 늦어지고 해당 곡률이 사라진다.출처: Appendix A.4 · pp. 49–50

목적

• 결합 표본추출은 매개변수를 하나씩 바꾸는 분석에서 놓치는 상호작용을 포착하고 P(T ≤ year)를 추정하여 Mosca 부등식에 필요한 공격 역량 확보 시점의 입력값을 제공한다.이 틀에서는 기밀 유지 기간 내에 확률질량이 조금이라도 존재하면 지금 마이그레이션을 추진하고 암호 민첩성을 확보하는 것이 합리적이다.출처: Appendix A.5 · p. 51

표본추출

• 알고리즘·경로 조합별 셀마다 40,000회 독립 추출로 매개변수 범위를 함께 표본추출하며, 셀별 결정론적 시드를 사용하고 2060년 이후의 교차 시점은 중도절단 처리한다.대부분의 입력값은 균등분포에서 추출한다. 반면 Track 1–3의 AGI 출현 시점은 범위가 2027–2031년이고 최빈값이 2028년인 삼각분포에서 추출한다. Track 0에는 소프트웨어 구동 요인이나 AGI 의존성이 없다.출처: Appendix A.5 · p. 51

결과

• Track 3에서 Kyber-1024의 모형상 누적 교차 확률은 2033년까지 약 0.52, 2035년까지 약 0.98이다.Kyber-1024의 교차 시기는 Track 3에서 대략 2032년부터 2035년, Track 2에서 2034년부터 2038년이며, 후자의 경우 P(≤2035) ≈ 0.28이다. ML-DSA-44는 약 일 년 뒤에 교차한다. Track 0과 1에서 격자 기반 암호의 교차 시점 중앙값은 여전히 2040년대 후반이다.출처: Appendix A.5 · p. 51
• 중앙값은 Appendix A.2의 점추정치에서 약 1년 이내로 이동한다. 결합 불확실성은 교차 시점 구간을 다소 넓히지만 정성적 순서는 바꾸지 않는다.소프트웨어가 주도하는 모든 교차 시점에서 AGI 출현 시점은 여전히 분산의 지배적 원인이다.출처: Appendix A.5 · p. 51

해석

• 몬테카를로 분석은 증거를 추가하는 것이 아니라 실측하지 않은 채 설정한 결합 관계의 불확실성을 전파하며, 입력 범위를 바꾸면 확률 곡선도 달라진다.해시 기반 및 대칭키 암호 기본요소는 가정된 교차 메커니즘에 암호분석적 근거가 없어 제외한다. 여기에 확률을 부여하면 모형의 가정을 보정된 발생 확률로 오인하게 된다.출처: Appendix A.5 · pp. 51–52

결과

• AGI가 없는 Track 0에서도 2035년까지 RSA-2048 공격이 가능해질 확률은 모형상 약 95%이며, 교차 시점의 중앙값은 2033년 무렵이다.따라서 메커니즘에 근거한 RSA의 위험 노출은 모형에서 AGI 출현 여부가 달라져도 유지된다.출처: Table 7 · p. 51, Appendix A.5 · p. 51, Figure A2 · p. 52

부록 B. 표기와 기호

• Table 8은 세 모델 구성 요소의 기호를 모아 정리하고 β의 서로 다른 두 용법을 구분한다.이 구성 요소는 각각 Section 3.3(가속 계수 기반 접근), Section 4.5(비용 모델), Appendix A(역량 모델)에 제시된다.출처: Appendix B · p. 52, Table 8 · p. 53

• 모델링 대상 기간 내에 SLH-DSA나 AES-256을 위협하는 양자·고전·알고리즘 공격은 알려진 바 없다.출처: Appendix C · p. 53
• Track 2와 Track 3의 교차 시점은 고도화된 AI가 현재 알려지지 않은 유형의 구조적 공격을 발견하는 경우에만 나타난다.출처: Appendix C · p. 53
• 이 사례들은 가장 낮은 근거 수준에 해당하며, 메커니즘에 근거한 예측 및 특정 조건을 전제로 한 예측과 구분되고, Section 5의 반증 가능성 조건을 따른다.Figure 9에 포함되어 있고, 암호 프리미티브를 위험 대상에서 배제하는 것 역시 분석이 충분한 검토를 거쳤음을 뒷받침하므로 이 사례들을 유지한다.출처: Appendix C · p. 53

부록 C.1. SLH-DSA의 CRQC+AI 취약성 추정(FIPS 205)

• SLH-DSA에는 붕괴 매개변수 ρ가 영향을 미칠 격자 구조가 없으며, 보수적으로 설정된 매개변수에 이미 Grover 유형 공격에 대한 노출이 반영되어 있다.따라서 취약성 평가는 명시적으로 가설 수준에만 한정한다.출처: Appendix C.1 · p. 53
• 특정 시점을 제시했던 기존 Track 2와 Track 3 전망은 근거 없는 가상의 신종 공격에 의존했으므로 철회하고, 시점을 명시하지 않는 가설 수준의 평가로 대체한다.출처: Appendix C.1 · p. 53
• SLH-DSA의 소프트웨어 결합도는 0으로 설정하며, 모형의 분석 기간 내 교차점은 보고되지 않는다.Figures C1A and C1B는 네 가지 가정 시나리오에서 취약성 트랙별 공격 실행 시간과 모형상 실현 가능성을 평가한다.출처: Appendix C.1 · pp. 53–54

부록 C.2. AES-256의 CRQC+AI 취약성 추정 (FIPS 197)

• 가설만을 전제로 한 분석에서 AES-256은 Grover 알고리즘에서도 128비트 유효 보안 강도를 유지하므로, 전망 기간 내 어느 경로에서도 실현 가능한 해독 공격이 없다.AES-256을 무력화하는 양자·고전·알고리즘 공격은 알려져 있지 않다.출처: Appendix C.2 · pp. 54, 57
• 시점을 명시한 Track 2와 Track 3 추정치는 전적으로 추측성 가정에 의존했으므로 철회하며, AES-256의 소프트웨어 결합도는 0으로 설정한다.대체 분석은 AES-256의 보안이 깨질 시점을 예측하지 않고 시점을 미지정 상태로 둔다.출처: Appendix C.2 · pp. 54–55

Appendix C.2. AES-256의 CRQC+AI 취약성 추정 (FIPS 197)

• 128비트 양자 보안은 명시된 기준으로, AES 키 길이 중 AES-256만 이를 충족하여 CNSA 2.0 권고의 근거가 된다.부록에서는 AES-256을 NIST가 승인한 보안 기능으로도 명시한다.출처: Appendix C.2 · p. 56

부록 C.2. AES-256의 CRQC+AI 취약성 추정 (FIPS 197)

• Grover 알고리즘의 순차 연산과 낮은 병렬화 효율은 탐색 복잡도를 제곱근 수준으로 줄이는 이점을 제한하므로, AES 보안 강도가 명목상 절반으로 줄어든다는 평가는 보수적인 위협 추정이다.이 부록은 현실적인 회로 깊이 제약 아래에서 AES-256의 보안 강도가 고전 환경의 전체 보안 강도에 가깝게 유지된다고 설명한다. 따라서 Track 0과 Track 1에서는 기본 전수 탐색이나 AGI로 강화한 전수 탐색으로도 실현 가능한 해독 공격이 나타나지 않는다.출처: Appendix C.2 · p. 56
• AES-256의 추측성 취약화 시점은 아직 발견되지 않은 AGI 기반 구조적 공격을 가정하며, 부채널 공격이나 구현 침해를 암호 자체의 무력화와 동등하게 취급한다.Shor 알고리즘에 근거한 RSA/ECC 전망과 달리, 이러한 가정에는 현재 암호분석적 근거가 없다. 반면 격자 기반 암호의 취약화 시점은 추측에 불과한 유효 차원 붕괴를 전제로 하며, HHL은 내부 단계에 기껏해야 다항식 수준의 가속만 제공한다.출처: Appendix C.2 · p. 57