'앤트로픽 차세대 모델 유출'은 가짜였다…허깅페이스 7.72TB 체크포인트, 텐서 이름만 넣으면 똑같이 나오는 난수로 드러나

'앤트로픽 차세대 모델 유출'이라는 말에 이틀 만에 수천 명이 몰렸다. 그런데 7.72TB짜리 파일 대부분은 학습된 가중치가 아니라 이름만 넣으면 똑같이 다시 만들어지는 '난수'였다. 11월 1일 해커뉴스 첫 화면과 X를 달군 허깅페이스 저장소 'burner22/numbat' 이야기다. 업로더는 이것이 앤트로픽의 '미토스(Mythos)급' 차기 모델을 사전학습 도중 빼낸 체크포인트라고 주장했지만, 커뮤니티 검증자들은 반나절 만에 생성 공식을 역산해 냈고, SSOK.AI도 직접 같은 결과를 재현했다.

핵심 정리

• 허깅페이스 저장소 'burner22/numbat'이 앤트로픽 차세대 모델의 유출 체크포인트(약 14조 매개변수, 772개 파일, 7.72TB)라고 주장하며 11월 1일 크게 확산됐다.
• 검증자들은 텐서 이름의 SHA-256 해시를 시드로 넣은 넘파이 난수만으로 가중치가 비트 단위까지 똑같이 재현된다는 사실을 밝혔다. 서명 비트 1억6224만여 개가 전부 일치했다는 추가 검증도 나왔다.
• SSOK.AI도 첫 번째 정규화 가중치 1만2288개 값을 같은 공식으로 생성해 원본과 100% 일치함을 확인했다.
• 허깅페이스 자체 집계는 14조가 아닌 약 6조8500억 매개변수이며, 앤트로픽은 아무런 입장도 내지 않았다.
• 저장소는 실행 시 자체 파이썬 코드를 돌리는 'trust_remote_code' 방식이라, 출처 불명 모델을 내려받는 관행에 경고등이 켜졌다.

무슨 일이 있었나

문제의 저장소는 10월 23일 허깅페이스에 만들어졌고 이튿날 업로드가 끝났다. 계정 이름부터 '버너(일회용)'를 뜻하는 burner22였다. 모델 카드는 이 파일이 "앤트로픽의 다음 미토스급 학습 실행"에서 나온 것이며, 약 196만 스텝 중 183만 스텝 지점의 사전학습 체크포인트라고 소개했다. 구조는 게이티드 델타넷(GDN)과 다중 헤드 잠재 어텐션(MLA)을 섞은 114층짜리 전문가 혼합(MoE) 모델로, 전문가 1,224개 가운데 48개와 공유 전문가 1개를 쓰고 엔비디아의 4비트 형식인 NVFP4로 양자화됐다고 적혀 있었다.

업로더가 내세운 근거는 사실상 하나였다. 'numbat'이라는 이름이 지난 3월 31일 npm 소스맵을 통해 새어 나간 클로드 코드 소스에 실제로 등장했다는 점이다. 당시 코드에는 "numbat을 출시하면 이 부분을 지울 것"이라는 주석이 있었다. 이 저장소는 11월 1일 해커뉴스 첫 화면에 오르며 폭발적으로 퍼졌고, SSOK.AI가 허깅페이스 API로 확인한 시점(11월 2일 오후)에 누적 다운로드 5,846회, 좋아요 216개를 기록하고 있었다.

어떻게 가짜임이 드러났나

결정타는 허깅페이스 토론 게시판 13번 글이었다. 이용자 FloxUnder는 "AI의 도움을 받아 재현 가능한 감사"를 했다며, 텐서 이름을 SHA-256으로 해시한 뒤 앞 8바이트를 넘파이 PCG64 난수 생성기의 시드로 넣으면 정규화 가중치 28개와 합성곱 커널 15개, 총 43개 텐서의 73만368개 값이 비트 하나 틀리지 않고 그대로 나온다고 공개했다. 미리 예측값을 기록해 둔 뒤 읽지 않았던 텐서 21개를 내려받아 대조했을 때도 모두 맞았다고 했다.

곧이어 19번 글이 파일 용량의 대부분을 차지하는 4비트 전문가 행렬까지 같은 방식으로 풀어냈다. 이 이용자는 772개 중 770개 파일의 텐서 5,503개를 대상으로 부호 비트 1억6224만6496개가 전부 일치했고, 2~108층에서 다시 만든 텐서 10개의 4비트 코드도 4억6556만여 개 중 사실상 전부가 같았다고 밝혔다. 그는 이 공식으로 설명되는 부분이 체크포인트의 약 99.6%라고 주장했다.

SSOK.AI도 직접 확인했다. 첫 번째 파일에서 'model.layers.0.input_layernorm.weight' 구간만 HTTP 범위 요청으로 읽어 온 뒤, 공개된 공식(이름 해시 시드, 표준정규분포 z, exp(0.06·z), BF16 반올림)으로 값을 생성해 비교한 결과 1만2288개 값이 모두 일치했다. 평균은 약 1.003, 표준편차는 약 0.060이었다.

기술 매체 시스노트(sysnote)의 분석도 같은 방향이다. 실제 학습된 모델인 큐원3-8B와 딥시크-V3의 정규화 가중치는 층마다 값이 크게 다르고 극단값이 튀는 반면, numbat은 첫 층부터 마지막 층까지 평균 1.0, 표준편차 0.06의 똑같은 종 모양 분포였다. 시스노트는 "학습이 93% 진행된 체크포인트가 모든 층에서 이렇게 평평할 수는 없다"며 "1 + 0.06×난수"로 만든 값처럼 보인다고 지적했다.

숫자로 보는 '정교한 가짜'

• 주장한 규모: 약 14조 매개변수, 114층, 전문가 1,224개, 772개 파일·7.72TB
• 허깅페이스 자동 집계: 약 6조8494억 매개변수(14조의 절반 수준)
• 커뮤니티 검증: 43개 텐서·73만368개 값 완전 일치, 부호 비트 1억6224만6496개 일치
• 실행에 필요한 메모리: 약 8TB 수준의 가속기 메모리(시스노트 추산)

허점은 숫자 밖에도 있었다. 해커뉴스와 레딧 이용자들은 모델 카드가 '트레이니엄2에서 평가하려고 NVFP4로 양자화했다'고 적었지만, AWS가 공개한 트레이니엄2 지원 형식에는 NVFP4가 없다고 짚었다. 학습 로그가 체크포인트 저장 구간까지 6~8초 간격으로만 기계적으로 흘러간다는 점, 아키텍처가 공개 논문의 기법을 이어 붙인 수준이라는 점도 지적됐다.

왜 이렇게까지 했을까

동기는 알려지지 않았다. 다만 시점이 공교롭다. 앤트로픽은 10월 26일 미국 증권거래위원회에 상장 신청서(S-1)를 공개하고 나스닥 'ANT' 상장을 준비 중이다. 토론 게시판에는 "상장 전 주가 조작 시도일 수 있다"는 추측도 올라왔지만 근거가 제시된 것은 아니다. 보안 연구자 에릭 파커는 X에서 하루 전에도 'AWS 버킷에서 앤트로픽 모델 파일 일부가 샜다'는 거짓 소문이 돌았다며, 코드명이 진짜라는 사실이 이 파일의 진위를 증명하지는 않는다고 했다. SSOK.AI가 확인한 범위에서 앤트로픽은 이번 건에 공식 입장을 내지 않았고, 저장소도 여전히 내려가지 않은 상태다.

다른 시각도 있다

모든 반박이 정확했던 것은 아니다. 토론 11번 글에서 모델 코드의 결함을 줄줄이 지적한 글에 대해, 다른 이용자는 "일부는 맞지만 NaN 발생이나 초기화 문제 같은 주장은 틀렸다"며 "코드 품질만으로 가짜라고 단정할 수는 없다"고 반박했다. 결국 진위를 가른 것은 코드에 대한 인상평이 아니라, 누구나 다시 돌려볼 수 있는 가중치 재현 실험이었다. 검증 블로그 에이전트빔(agentbeam)처럼 "직접 재현하지 않은 주장은 주장으로만 전한다"며 신중한 태도를 유지한 곳도 있었다.

국내 개발자·기업이 챙길 점

이번 소동은 국내 AI 개발자에게도 남의 일이 아니다. numbat은 트랜스포머스 라이브러리에서 'trust_remote_code=True' 옵션으로만 불러올 수 있는데, 이 옵션은 저장소에 든 파이썬 코드를 그대로 실행한다. 시스노트와 에릭 파커는 현재 코드에서 네트워크 호출이나 파일 조작을 찾지 못했다고 했지만, 저장소는 언제든 새 커밋으로 바뀔 수 있다. 해커뉴스는 해당 링크를 "악성코드 우려"로 내리기도 했다.

특히 요즘처럼 AI 코딩 에이전트에게 "이 모델 받아서 돌려 봐"라고 맡기는 환경에서는 출처 확인 없이 원격 코드가 실행될 위험이 커진다. 사내에서 오픈 가중치 모델을 시험하는 팀이라면 공식 조직 계정 여부, 매개변수 집계와 모델 카드의 일치 여부, 원격 코드 실행 필요성을 먼저 따지는 절차를 갖출 필요가 있다.

전망

이번 사건은 '유출' 주장이 얼마나 빨리 퍼지는지와 함께, 공개 검증이 얼마나 빨리 따라잡을 수 있는지도 보여 줬다. safetensors 파일은 머리 부분에 텐서 위치가 적혀 있어 수 TB짜리 파일도 필요한 조각만 읽어 확인할 수 있고, 검증자들은 AI 도구까지 동원해 반나절 만에 생성 공식을 찾아냈다. 프런티어 모델의 몸값이 커지고 상장까지 이어지는 만큼, 비슷한 가짜 유출 소동은 앞으로도 반복될 가능성이 크다. 독자에게 남는 교훈은 단순하다. 코드명이 진짜라는 사실이 파일이 진짜라는 증거는 아니다.

— SSOK.AI 그록기자

참고 자료

• Hugging Face, burner22/numbat 저장소 및 모델 카드: https://huggingface.co/burner22/numbat
• Hugging Face 토론 #13, "43 complete tensors exactly match name-seeded NumPy RNG output": https://huggingface.co/burner22/numbat/discussions/13
• Hugging Face 토론 #19, "Fake + larp": https://huggingface.co/burner22/numbat/discussions/19
• Hugging Face 토론 #11, "It is FAKE": https://huggingface.co/burner22/numbat/discussions/11
• sysnote, "The alleged Anthropic 'numbat' checkpoint on Hugging Face doesn't look trained": https://sysnote.net/news/the-alleged-anthropic-numbat-checkpoint-on-hugging-face-doesn-t-look-trained-eve
• agentbeam, "Alleged Mythos-Class 'numbat' Checkpoint on Hugging Face: Claimed vs Verified": https://agentbeam.com/blog/alleged-mythos-class-numbat-checkpoint-hugging-face-claimed-vs-verified
• Hacker News, "Alleged Mythos Class Anthropic Checkpoint Leak": https://news.ycombinator.com/item?id=50327240
• AI Timeline, X AI Daily 2026-11-02: https://aitimeline.news/en/Daily/2026-11-02-X%E6%97%A5%E6%8A%A5/
• SSOK.AI 자체 검증: Hugging Face API 메타데이터 및 model-00001-of-00772.safetensors 범위 요청 재현(2026-11-02)