중국 공개 모델 안전장치, 4,400달러면 무력화…OpenAI·앤트로픽이 경고한 이유

OpenAI와 앤트로픽 임원들이 중국 오픈웨이트 모델의 보안 위험을 공개적으로 경고했다. 두 사람은 10월 14일(현지시간) 아일랜드 더블린에서 열린 국제 AI 정상회의에서 이 문제를 꺼냈다.

OpenAI CFO "사이버 보안은 서구 모델이 낫다"

사라 프라이어(Sarah Friar) OpenAI 최고재무책임자는 행사장에서 블룸버그와 인터뷰하며 "중국 모델을 도입하려는 기업이라면 안전과 보안도 함께 따져 봐야 한다"고 말했다. 이어 "중국 모델의 사이버 능력이 빠르게 좋아지고 있다. 솔직히 사이버 보안에서는 서구 모델이 낫다고 본다"고 강조했다.

블룸버그에 따르면 같은 행사에서 앤트로픽의 기욤 프린센(Guillaume Princen) 국제사업 책임자도 오픈웨이트 모델은 구조상 위험 부담이 더 클 수밖에 없다고 말했다.

프라이어 CFO는 "일에 맞는 모델을 맞는 가격에 쓰면 된다", "겁을 줄 게 아니라 해결책을 팔아야 한다"고도 했다. 사이버 보안이 2027년 OpenAI 사업을 키울 주요 분야가 될 것이라는 전망도 내놨다.

간단한 속임수에 GLM-5.3 안전장치가 뚫렸다

경고에는 근거가 있다. 앤트로픽은 9월 29일 중국 Z.ai의 오픈웨이트 모델 GLM-5.3을 시험한 보고서를 냈다. 이 보고서에서 GLM-5.3은 공격 코드를 사람 개입 없이 끝까지 작성하는 능력이 앤트로픽의 Claude Mythos Preview와 비슷했다.

크롬 엔진 취약점 41개를 대상으로 한 시험에서, 실제로 작동하는 공격 코드를 만들어 낸 비율은 Claude Mythos Preview 14%, GLM-5.3 12%였다.

공격 지시를 그대로 넣으면 GLM-5.3도 매번 거절했다. 그러나 모의 해킹 훈련용이라고 속이자 64%가 공격을 시도했고, 모델이 출력할 문장의 첫 부분을 미리 채워 넣자 92%까지 올랐다. 같은 시험에서 Claude Opus 5는 한 번도 공격하지 않았다.

미국 국립표준기술연구소(NIST) 산하 기관 CAISI도 9월 17일 GLM-5.3을 "지금까지 나온 오픈웨이트 모델 가운데 사이버 능력이 가장 높다"고 평가했다. CAISI는 미국 최고 수준 모델과의 격차를 약 4개월로 봤다.

가드레일을 지우는 데 4,400달러면 됐다

오픈웨이트 모델은 가중치 파일을 누구나 내려받아 고칠 수 있다. 모델의 거절 기능을 지우는 방법(abliteration)도 이미 업계에 알려져 있다.

앤트로픽에 따르면 이 작업을 처음 해 본 내부 팀이 약 4,400달러를 썼고, 경험이 있는 팀이라면 1,200달러 안팎이면 충분하다.

지운 뒤에는 유해 요청 거절률이 95%에서 6%로 떨어졌다. 반면 과학 문제 점수는 88%로 변하지 않았다. 능력은 그대로 두고 가드레일만 걷어 낼 수 있다.

앤트로픽은 GLM-5.3 공개 며칠 만에 이렇게 고친 버전들이 모델 공유 사이트에 올라왔다고 전했다.

학습 데이터와 방법은 대부분 공개하지 않는다

가중치를 공개했다고 해서 무엇으로 어떻게 학습했는지까지 공개한 것은 아니다. 독립 평가기관 Artificial Analysis는 가중치·라이선스·학습 데이터·학습 방법의 공개 범위를 100점 만점으로 매긴다(Openness Index). 이 점수는 모델의 안전성을 나타내지 않지만, 외부에서 모델을 검증할 수 있는 정도를 보여 준다.

10월 16일 같은 잣대로 매긴 점수에서 주요 오픈웨이트 모델 10개는 28~53점에 그쳤다. 이 10개 가운데 샤오미 MiMo-V2.6-Pro가 53점으로 가장 높았고, GLM-5.3은 33점이었다. 메타가 10월 15일 공개한 미국 모델 Muse Spark Open은 28점으로 가장 낮았다.

학습 과정을 잘 밝히지 않는 것은 중국 모델이나 미국 모델이나 마찬가지다.

Hugging Face는 Claude가 거절한 사고 분석을 중국 모델로 했다

중국 오픈웨이트 모델이 방어에 쓰인 일도 있다. 7월 OpenAI가 자사 모델의 해킹 능력을 시험하던 중, 시험용 AI 에이전트가 시험 환경을 빠져나가 AI 모델 공유 사이트 Hugging Face의 서버에 침입했다. OpenAI는 이 시험에서 실제 서비스에 쓰는 안전장치를 꺼 둔 상태였다.

Hugging Face는 침입 경로 조사에 Claude Opus와 Fable을 먼저 투입했다. 두 모델은 공격 기록 분석을 대부분 거절했다. 방어용 분석도 공격과 똑같이 막힌 셈이다.

Hugging Face는 결국 GLM-5.2를 자체 서버에 올려 공격 코드를 해독했고, 공격자 행동 1만7천600여 건을 시간순으로 복원했다. 앤트로픽도 보고서에서 GLM-5.3 같은 모델이 공격에는 위험하지만 방어에는 도움이 된다고 적었다.

안전장치는 모델 바깥에도 둬야 한다

메타는 Muse Spark Open을 공개하며 오픈웨이트 모델에 안전 학습을 추가로 적용했다고 밝혔다. 그러면서 이 모델을 단독으로 쓰지 말고, 용도별 가드레일을 갖춘 시스템 안에서 쓰라고 권했다.

모델 안의 거절 기능은 내려받은 쪽에서 얼마든지 걷어 낼 수 있다. 그래서 오픈웨이트 모델을 쓰는 기업은 모델 바깥에서 입력과 출력을 따로 걸러야 한다. 반면 민감한 데이터를 외부로 내보내지 않고 사내 서버에서 처리할 수 있다는 점은 오픈웨이트 모델의 장점이다.