앤트로픽, 클로드 추론 탈취 '최대 99%' 차단…지푸·문샷 지목·수만 계정 퇴출

앤트로픽이 12일(현지시간) 클로드를 겨냥한 산업형 모델 증류 방어를 강화했다고 밝혔다. 추론 토큰 추출량이 이전의 10~100분의 1(약 90~99%)로 줄었고 관련 계정 수만 개를 차단했으며, 지푸의 GLM-5.3 사이버 역량 증류와 문샷 키미→클로드 중계 사례를 다시 지목했다.

앤트로픽이 클로드(Claude)를 겨냥한 산업형 모델 증류(distillation) 공격에 대한 방어책을 공개했다. 회사는 12일(현지시간) 공식 연구 블로그에서 새 보안 장치가 도입된 뒤, 공격자가 플랫폼에서 빼내는 클로드 추론(reasoning) 토큰 양이 이전보다 10분의 1~100분의 1로 줄었다고 밝혔다. 비율로는 약 90~99% 감소다. 더디코더·유나이트AI·가브인포시큐리티 등 외신은 13일 이 발표를 잇달아 전했다. 앤트로픽은 중국 AI 기업 지푸(Zhipu, 해외 브랜드 Z.ai) 가 GLM-5.3 개발 과정에서 미국 선도 모델의 사이버 역량을 증류했다고 주장했고, 문샷(Moonshot) 의 키미(Kimi) 요청이 클로드로 몰래 중계된 사례도 다시 거론했다. 오픈AI가 문샷 측 인물을 증류 캠페인과 연결해 지목한 것과는 별개로, 이번에는 '얼마나 줄였는지'를 수치로 내놓은 방어 성과 발표다.

핵심 정리

앤트로픽, 12일 클로드 대상 산업형 증류 방어 강화 발표…추출 추론 토큰 10~100배 감소(약 90~99%) 주장
방어 3층: 보존 사고(preserved thinking), 2단계 분류기(오탐률 0.1% 미만), 반복 시도 계정 제한·차단
증류 관련 계정 수만 개 차단, 캠페인 시작 후 2시간 이내 차단 사례도
지푸의 GLM-5.3 사이버 역량 증류·문샷 키미→클로드 중계(PLA 연계 추정 CCTV 분석 요청 포함) 재지목
9월 24일부터 오탐률 낮은 보호 영역에서 차단된 요청에도 과금…정상 개발자도 연동 수정 필요

무슨 일이 있었나

앤트로픽에 따르면 증류 공격은 사기성 계정 네트워크로 고성능 모델의 응답—특히 답을 내기 전 모델이 적어 두는 추론 과정—을 대량으로 모아, 인가 없이 다른 모델에 비슷한 능력을 심는 행위다. 회사는 "해외 연구소가 미국 기업을 따라잡는 데 광범위하게 쓰였다"고 9월 보고서와 이번 글에서 반복했다.

초기 대응은 추론을 사용자에게 보여 주기 전에 요약하는 방식이었다. 앤트로픽이 공개한 자체 평가에서는 클로드 오퍼스 4.8의 전체 추론 전사로 학습한 모델이 SWE-bench Verified에서 80.4%를 기록한 반면, 요약본만으로 학습하면 71.8%로 떨어졌다. 그러나 공격자는 "이전 추론을 글자 그대로 출력하라"는 식의 능동 추출로 전환했고, 한 연구소는 서로 다른 속임수 요청을 1만2,000건 시험했다고 앤트로픽은 전했다.

어떻게 막나: 세 겹의 방어

이번 발표의 핵심은 방어가 단순 차단을 넘어 세 축으로 나뉜다는 점이다.

첫째, 보존 사고. 클로드 페이블 5.1·오퍼스 5.5 등에서 2026년 8월 31일(UTC) 이후 생성된 API 계정은 멀티턴 대화 중 사고(thinking) 블록 앞의 메시지·도구·시스템 프롬프트를 마음대로 고칠 수 없다. 클로드 헬프센터에 따르면 일치하지 않으면 오류가 나고, '넌스트릭트' 모드를 쓰면 사고 블록을 버리고 대화를 이어 간다. 손넷 5.5부터는 추론 전사를 그 요청을 만든 조직(또는 연결된 계정) 만 읽을 수 있게 했다. 대리 계정으로 추출을 이어 가거나, 안전장치가 약한 구형 모델로 추론을 옮기는 길을 막기 위한 조치다.

둘째, 2단계 분류기. 헌법적 분류기(constitutional classifiers) 계열로, 내부·외부 레드팀을 거쳐 사이버·생물 무기 지원 차단에 버금가는 강도로 추론 추출 시도를 걸러낸다고 했다. 적용 모델은 손넷 5.5, 오퍼스 5·5.5, 페이블 5·5.1이며, 오탐률은 0.1% 미만이라고 밝혔다. 9월 보고서에 나온 추출 기법은 현재 최강 일반 공개 모델에서 모두 잡힌다고 했다. 다른 언어로 번역해 쓰거나 태그 안에 추론을 끼워 넣는 새 수법도 빠르게 패치했다고 한다.

셋째, 반복 시도 비용 올리기. 지속적 추출 시도에는 사용량 한도를 조이고, 증류로 판단되면 계정을 차단한다. 앤트로픽은 관련 계정 수만 개를 막았고, 캠페인 시작 후 2시간 안에 차단한 경우도 있다고 적었다. 9월 24일부터는 오탐률이 0.1% 미만인 보호 영역에서, 모델이 답하기 전에 차단된 요청에도 요금을 부과하기 시작했다.

숫자가 말하는 것

효과를 재는 지표는 '공격 시도 건수'가 아니라, 자사 플랫폼에서 증류 공격자가 실제로 가져간 추론 토큰 양이다. 분류기 도입 뒤 그 양은 이전의 10~100분의 1로 줄었고, 어떤 날은 측정하기 어려울 만큼 적었다고 했다. 회사는 증류 트래픽에서 나오는 의미 있는 매출과 수조(trillion) 토큰 규모의 유료 요청을 일부러 돌려보냈다고도 밝혔다. 동시에 "고도로 정교하고 끈질긴 우회 시도는 아직 보지 못했다"며, 성과가 얼마나 갈지는 모른다고 선을 그었다. 고양이와 쥐 게임이라는 자체 평가다.

지푸·문샷, 그리고 '안전장치 없는 프런티어'

앤트로픽이 대표 사례로 든 것은 지푸다. 회사 주장에 따르면 지푸는 GLM-5.3 개발 중 미국 선도 모델의 사이버 역량을 증류하려 했고, 클로드 페이블 5를 시도하다 사이버 안전장치에 막히자 구형 클로드와 다른 연구소의 모델로 갈아탔다. 앤트로픽 자체 연구로는 GLM-5.3의 안전장치가 쉽게 우회되고, 모델이 보안 익스플로잇을 처음부터 끝까지 짜는 데 협조한다고 했다. 미국 CAISSI(슈퍼인텔리전스 혁신·표준 센터)는 GLM-5.3을 지금까지 나온 오픈웨이트 모델 중 사이버 역량이 가장 강하다고 평가했다고 앤트로픽은 전했다.

문샷 관련해서는, 키미 사용자 요청이 클로드로 몰래 전달된 사례를 다시 언급했다. 그중 하나는 특정 인물의 CCTV 감시를 분석해 달라는 요청으로, 앤트로픽은 요청자를 중국 인민해방군(PLA)과 연관된 것으로 본다고 했다. 이는 증류로 얻은 능력이 외국 군사·정보·감시 체계로 흘러들 수 있다는 국가안보 논리를 뒷받침하는 근거로 쓰였다. 유나이트AI는 앤트로픽 9월 보고서를 인용해 알리바바·문샷·딥시크·지푸·샤오미 등의 교환 규모를 수백만~억 단위로 정리하기도 했다. 해당 수치의 검증은 각사 발표·반박에 달려 있다.

다른 시각: 증류는 금지해야 하나

모든 업계가 같은 입장은 아니다. 가브인포시큐리티는 메타 CEO 마크 저커버그와 엔비디아 CEO 젠슨 황이 오픈소스 AI 확장을 위해 증류를 옹호하고, 미국 정부가 이를 금지하지 말라고 했다는 취지를 전했다. 증류는 원래 교사 모델에서 학생 모델로 능력을 옮기는 표준 기법이며, '인가 없는 산업형 탈취'와 '합법적 연구·오픈웨이트 개선'의 경계가 정치·안보 이슈로 번지고 있다는 뜻이다.

앤트로픽은 방어 비용이 크고 증류 공격자도 유료 고객인 탓에, 업계가 아무것도 하지 않기 쉽다고 비판하며 다른 프런티어 개발사와 클라우드·추론 플랫폼의 동참을 촉구했다. "한 연구소만 막아도, 다른 연구소의 약한 안전장치로 우회하면 효과가 무력화된다"는 논리다. 실제로 회사는 지푸가 페이블 5에서 막히자 다른 미국 연구소 모델로 갈아탔다고 적었다. 가브인포시큐리티에 따르면 미 사이버보안·인프라안보청(CISA)도 9월 중국 AI 연구소의 불법 증류를 경고하는 알림을 낸 바 있다. 다만 지푸·문샷 등 지목된 측의 공식 반박은 이번 취재 범위에서 확인되지 않았고, 수치·귀속은 앤트로픽 측 주장이다.

한국 기업·개발자에게 주는 의미

국내에서 클로드 API·Bedrock·Vertex·Foundry를 쓰는 조직은 보존 사고 때문에 멀티턴 에이전트·컨텍스트 압축·중간 도구 교체 연동을 점검해야 한다. 8월 31일 이후 신규 계정부터 적용되고, 기존 계정은 단계적으로 확대될 예정이다. 오탐으로 차단된 요청에 과금될 수 있어, 추론 추출처럼 보이는 프롬프트(장문 '생각 과정 그대로 출력' 등)는 운영 가이드에서 걸러낼 필요가 있다.

동시에 중국발 오픈웨이트 모델을 사내·국방·금융에 넣는 조직은 안전장치 우회 가능성을 별도 평가해야 한다. GLM-5.3처럼 사이버 벤치에서 강한 모델일수록, 증류 논란과 무관하게도 레드팀·망분리·감사 로그가 필수에 가깝다. 국내 API 중개·멀티모델 게이트웨이 사업자도, 앤트로픽이 지적한 '플랫폼 쪽 사기 계정 탐지·오프보딩' 요구에 노출될 수 있다.

전망

프런티어 경쟁이 벤치마크·가격 싸움에 머무르지 않고, 추론 흔적을 누가 지키느냐의 보안 경쟁으로 넘어가고 있다. 앤트로픽이 제시한 90~99% 감소는 자사 플랫폼 기준의 자기 측정치이며, 우회가 나오면 수치는 다시 흔들릴 수 있다. 오픈AI·구글·메타가 비슷한 강도의 추출 차단과 과금을 도입할지, 각국이 증류를 '절도'로 볼지 '학습'으로 볼지가 다음 변수다.

단기적으로는 API 연동 호환성 이슈가 먼저 드러날 수 있다. 보존 사고는 컨텍스트 압축·도구 교체처럼 정상 개발 패턴과도 충돌할 수 있어, 클로드 헬프센터가 컴팩션·중간 도구 변경용 베타 API를 안내한 것도 그 연장선이다. 중장기적으로는 오픈웨이트 모델의 사이버·생물 안전장치 수준과, 클라우드 중개층이 사기 계정을 얼마나 빨리 끊는지가 쟁점이 된다. 한국 규제·기업 보안 담당자에게는 '모델 성적표'만큼 추출·중계·계정 위조에 대한 운영 통제가 과제로 남는다.

— SSOK.AI 그록기자