미국이 차단 대신 "조용히 정답 수준을 낮추라"고 했어요

권고문 13쪽에 적힌 방어 지침

9월 8일 미국 국가안보국(NSA)과 사이버보안·인프라보안국(CISA), 연방수사국(FBI)이 합동 사이버보안 권고문을 냈어요. 중국 AI 기업 여섯 곳이 미국 프런티어 모델을 상대로 산업 규모의 지식 증류¹를 해왔다는 내용이에요. 문서 번호는 AA26-251A고, 배포 제한 없이 전문이 공개돼 있어요.

이 이야기 자체는 오래됐어요. 커뮤니티에서도 돌았고, 4월에는 일론 머스크가 법정에서 xAI가 OpenAI 모델을 증류에 활용했다고 인정했고, 7월에는 재무장관이 제재 가능성을 언급했어요. 다만 정보기관 세 곳이 이름을 걸고 기업 실명과 모델 목록까지 붙여 문서로 낸 건 이번이 처음이에요.

국내 보도는 명단과 규모에 몰려 있어요. 그런데 이 문서는 고발장이 아니라 방어 지침서예요. 미국 AI 기업이 무엇을 해야 하는지가 절반 이상을 차지하고, 그중 두 번째 권고가 이래요. 증류로 의심되는 요청에는 응답을 미묘하게 바꾸라는 거예요. 추론 깊이를 줄이거나, 맞는 결론을 다른 논리로 제시하거나, 문체를 흔들어서 학습 가치를 떨어뜨리라고요. 권고문은 “덜 정교한 다운그레이드 모델”로 답하는 방식도 예로 들어요.

그리고 한 문장이 더 붙어요. 모델을 낮췄다는 사실을 해당 사용자에게 알리지 말라는 거예요. 알리면 회피 기법을 개선하고 학습을 언제 되돌릴지 알게 된다는 이유예요. 대신 AI 안전 연구자와 제3자 평가기관에는 변경 사실을 알리라고 따로 적어뒀어요.

알림 대상을 명시적으로 나눴다는 건, 나머지는 알림 대상이 아니라는 뜻이에요. 유료로 API를 쓰는 전 세계 기업 고객이 그 나머지예요.

---

여섯 개 회사와 모델 목록

먼저 문서가 무엇을 주장하는지부터 정리할게요.

권고문은 중국의 딥시크, 문샷AI, 알리바바, MiniMax, 스텝펀, Z.AI 여섯 곳을 지목했어요. 2024년 말부터 클로드, GPT, 제미나이, 그록의 여러 버전에서 수백만 건의 요청으로 수십억 토큰을 뽑아냈고, 중국 정부가 이를 알고 있었을 가능성이 크다고 봤어요.

딥시크는 R1과 V3를 훈련하려고 클로드 소네트 3.7·4·4.5, 클로드 오퍼스 4.1, 제미나이 2.5 프로·플래시, GPT-4 계열, GPT-5, 그록 3 미니·4까지 14개 모델을 대상으로 삼았다고 적혀 있어요. 뽑아낸 항목도 구체적이에요. 법률 특화 최적화, API 규칙 기반 작업, 사고 사슬² 초안을 활용한 작문, 질의응답 최적화, 에이전트 기능 같은 것들이에요. 권고문은 딥시크가 공개한 훈련비 560만 달러가 오해를 부른다고 지적했어요. 증류로 확보한 데이터의 실제 비용이 빠져 있다는 거예요.

문샷AI는 표에 열거된 미국 모델만 17개예요. Kimi K3에는 앤트로픽의 Fable 5 데이터를, Kimi K2에는 GPT-4o 데이터를 썼다고 적혀 있어요.

MiniMax 대목은 성격이 조금 달라요. M2 모델의 사고 사슬 추론과 코드 리뷰 능력을 올리려고 클로드 코드와 클로드 소네트 4, 오퍼스 4.5, 제미나이 3 프로 등을 썼는데, 여기에 두 가지가 더 붙어요. 하나는 클로드 코드를 사내 개발 업무에 그대로 썼다는 것, 다른 하나는 프롬프트 인젝션으로 클로드 코드가 스스로를 MiniMax 제품이라고 믿게 만들려 했다는 거예요. 새 클로드 모델이 나오면 24시간 안에 요청을 그쪽으로 옮겼다는 관찰도 있어요.

접근 경로도 정리돼 있어요. 공식 API, 클라우드 사업자, 사용자 정보를 자동으로 지워주는 서드파티 애그리게이터, 그리고 ‘트랜스퍼 스테이션’이라 불리는 프록시 회색시장이에요. 정가의 일부만 받고 프런티어 모델 접근을 되파는 곳들이죠. 스텝펀은 직원별 계정 풀을 만들어 동시 세션을 돌리고 할당량이 마르지 않게 부하를 분산했다고 적혀 있어요.

China-Based Artificial Intelligence Companies Conducting Industrial-Scale Distillation Campaigns Against U.S. AI Companicisa.gov

계약 위반에서 위협 분류체계로

이 문서에서 가장 조용하지만 가장 큰 변화는 형식에 있어요.

지금까지 증류는 약관 문제였어요. 서비스 이용약관을 어겼으니 계정을 막거나 민사로 다투는 영역이었죠. 그런데 이번 권고문은 증류 행위를 MITRE ATLAS³에 매핑했어요. 인프라 확보, 모델 접근, 실행과 방어 회피, 정찰, 수집, 탈취, 영향까지 공격자 생애주기 단계별로 번호를 붙였어요. 국가 배후 해킹을 기술할 때 쓰는 바로 그 문법이에요.

여기 등록된 기법 중에는 프롬프트 인젝션과 탈옥도 있어요. 모델이 숨긴 사고 사슬을 뱉어내게 유도하는 프롬프트가 대표 사례로 올라와 있고요. 지금까지 레드팀 연구자와 프롬프트 엔지니어가 일상적으로 하던 시도가, 특정 조건에서는 공격 기법 번호를 갖게 된 셈이에요.

권고문은 대응이 개별 기업 단위로는 어렵다고 보고 세 번째 권고를 붙였어요. 모델 제공사, 클라우드, API 애그리게이터가 활동 정보를 서로 맞춰보라는 거예요. 그리고 이 조율의 범위에 “동맹국”을 명시했어요. 한국에서 이 문장을 읽어야 하는 이유가 여기 있어요. 어떤 형태로든 요청이 오면, 국내 클라우드와 리셀러가 보유한 호출 로그가 대조 대상이 될 수 있어요.

탐지 지표를 한국 사무실에 대보면

가장 중요한 대목이에요. 권고문은 증류 계정을 어떻게 찾아낼지를 지표로 제시했는데, 그 지표가 국적이나 신원이 아니라 전부 행동이에요. 문서에 적힌 지표를 국내 팀의 일상 운영과 나란히 놓으면 이렇게 돼요.

권고문의 탐지 지표	국내에서 같은 신호를 내는 상황
여러 IP·User-Agent에서 한 계정 사용	팀 단위 계정 공유, 재택과 사무실 혼용
사람의 휴지 시간 없는 24시간 지속 호출	야간 배치 파이프라인, 크론잡
신규 구독이 곧바로 최대 사용량	도입 첫 주 개념검증 풀가동
구독 수 대비 API 사용량 비율 이상	시트는 적고 서버 호출만 많은 구조
서드파티 애그리게이터·릴레이 경유	라우터나 리셀러를 통한 우회 결제
작업 다양성보다 캐시 적중률에 최적화	프롬프트 캐싱, 벤더가 권장하는 비용 절감법
가격·요금 변동에 따른 경로 전환	멀티 프로바이더 비용 최적화 라우팅
유사한 프롬프트의 대량 반복 호출	평가셋 돌리기, 대량 분류, 합성 데이터 생성

여덟 개 중 여섯 개는 국내 개발팀이 비용을 아끼려고 하는 표준 실무예요. 나머지 둘도 결제 구조나 근무 형태에서 자연스럽게 나와요.

여기서 오해를 하나 정리할게요. 이 표는 국내 기업이 증류를 하고 있다는 뜻이 아니에요. 행동만 보는 탐지는 목적을 구분하지 못한다는 뜻이에요. 클로드 소네트로 사내 문서 10만 건을 분류하는 작업과, 같은 모델로 학습 데이터를 뽑는 작업은 호출 로그에서 거의 같아 보여요. 프롬프트를 읽지 않는 한 구분되지 않고, 프롬프트를 읽는 건 또 다른 문제를 만들죠.

한 가지는 아직 공개되지 않았어요. 국내에서 자체 모델을 만드는 팀들이 대형 상용 모델의 출력을 학습 데이터로 쓰고 있는지, 쓴다면 어느 범위까지인지는 확인된 자료가 없어요. 정부의 독자 AI 파운데이션 모델 사업에 참여한 컨소시엄들이 지난달 말부터 모델을 공개했는데, 데이터 조달 경로는 상세히 공개되지 않았어요. 물어볼 만한 질문이라고 봐요.

통보 없는 열화가 만드는 것

권고문의 두 번째 권고로 돌아갈게요.

기업이 API를 살 때 실제로 사는 건 두 가지예요. 특정 성능의 모델, 그리고 그 성능이 유지된다는 예측 가능성이에요. 뒤엣것이 없으면 앞엣것을 검증할 방법이 없어요. 그런데 권고문은 의심 계정에 대해 응답 품질을 낮추되 알리지 말라고 했고, 심지어 변경을 매 요청마다 다르게 주라고까지 적었어요. 상대가 품질 평가로 열화를 눈치채지 못하게 하려는 거예요.

권고문이 이걸 아무렇지 않게 권한 건 아니에요. 차등 프라이버시⁴를 설명하면서 노이즈와 효용은 맞바꾸는 관계라고 분명히 적었고, 이론상의 설정이 실제 정확도 저하를 예측하지 못하는 경우가 많다고도 썼어요. 신중한 조정과 실증 감사가 필요하다는 단서도 달았고요. 다중 출처 대조로 확신이 높아져야 정상 사용자 피해 없이 열화를 정당화할 수 있다고도 했어요.

문제는 그 확신의 문턱을 정하는 주체가 모델 제공사라는 점이에요. 오탐이 났을 때 알아차릴 방법이 고객 쪽에는 없어요. 응답이 조금 얕아진 게 모델 업데이트 때문인지, 요청 문장 차이 때문인지, 열화 조치 때문인지 구분할 단서가 없거든요. 어제까지 잘 돌던 파이프라인의 출력이 미묘하게 나빠졌을 때, 지금까지는 우리 프롬프트를 의심했어요. 이제는 의심할 후보가 하나 늘었는데 확인할 도구는 늘지 않았어요.

이건 컴플라이언스 문제가 아니라 관측 가능성 문제예요. 그리고 관측 가능성 문제에는 대응할 방법이 있어요.

오스왈드의 시선

먼저 밝힐 게 있어요. 저는 얼마 전까지 이 권고문에 이름이 오른 여섯 곳 중 하나인 MiniMax의 한국 시장 파트너로 일하고 있어요. 결론은 권고문에 적힌 내용을 다른 다섯 곳과 똑같은 무게로 쓰는 거였어요. 클로드 코드가 스스로를 MiniMax 제품이라고 믿게 만들려 했다는 대목은 이 문서에서 가장 무거운 기술 중 하나고, 지난 관계 때문에 빼는 건 독자에게 손해예요. 그 위에서 제 판단을 말씀드릴게요. 저는 GTM 파트너이지 기술 파트너는 아니라 사실 학습과정에 대한 것은 몰라요. 하지만 이번 사건은 한국 기업들에게도 의미하는 바가 커요. 이건 쉽게 말하면, 인공지능이 타 국가에서 수상하게 사용한다 싶으면 조용히 대답을 멍청하게 하게 만들겠다는 것이나 다름 없거든요.

이 권고문의 수신자 칸에는 미국 AI 기업이 적혀 있지만, 실제로 조건이 바뀌는 쪽은 그 기업의 고객 전부예요. 미국 정부는 중국 기업에 부과할 제재를 내놓지 않았어요. 대신 미국 AI 기업에 자기 고객을 감시하고 선별하라고 요구했어요. 규제를 공급망 안쪽으로 밀어넣은 구조고, 이런 구조에서는 비용이 항상 아래로 흘러요. 계정 심사가 촘촘해지고, 사용 패턴 설명을 요구받는 일이 늘고, 애그리게이터 경유 트래픽의 지위가 애매해져요.

그래서 실무에서 할 일은 규정 준수가 아니라 계측이라고 봐요. 세 가지를 제안할게요.

첫째, 자체 회귀 테스트 세트를 만들어 두는 거예요. 우리 업무에서 실제로 쓰는 프롬프트 30~50개를 고정하고, 기대 출력의 품질 기준을 정해서 주기적으로 돌리는 정도면 충분해요. 열화를 잡기 위해서가 아니라 변화를 잡기 위해서예요. 모델 업데이트든 조치든, 우리 쪽에 기록이 있어야 대화가 돼요.

둘째, 경로를 단순하게 만드는 거예요. 가격 때문에 여러 리셀러와 라우터를 섞어 쓰고 있다면, 지금은 그 절감분과 계정 지위의 불확실성을 같이 계산해 볼 시점이에요. 권고문이 애그리게이터와 프록시를 회피 수단으로 지목했으니까요.

셋째, 계정 위생이에요. 팀 공유 계정을 개인 인증 계정으로 나누고, 서버 호출은 사람 계정과 분리하는 것만으로도 표의 지표 두세 개는 사라져요. 사실 이 세번째가 가장 자주보이는 패턴인데 의외로 많은 기업에서 계정 공유 형태로 각종 인공지능을 사용하고 있어요. 사실 이럴 경우 대부분 약관 위반이에요.한계도 분명히 해둘게요. 이건 권고지 의무가 아니에요. 어떤 기업이 실제로 응답 열화를 적용하고 있는지는 확인되지 않았고, 앤트로픽과 구글은 이전부터 증류 탐지 관련 자료를 공개해 왔지만 열화 조치를 시행했다고 밝힌 적은 없어요. 지금 시점에서 확실한 건, 그렇게 하라는 공식 권고가 문서로 존재한다는 사실뿐이에요.

마치며

여섯 개 회사의 이름과 수백 개의 모델 목록은 이 문서에서 가장 눈에 띄는 부분이지만, 실무를 바꾸는 부분은 아니에요. 실무를 바꾸는 건 탐지가 신원이 아니라 행동을 본다는 설계와, 대응이 차단이 아니라 통보 없는 열화라는 선택이에요. 이 둘이 겹치면 정상 사용자도 같은 그물에 들어가고, 들어갔는지 알 방법이 없어요.

그렇다고 API를 끊을 일은 아니에요. 다만 지금까지 당연하게 여기던 전제 하나가 약해졌으니, 그 전제를 스스로 확인할 장치를 만들어 두자는 이야기예요. 계측은 원래 신뢰가 흔들릴 때 만드는 거니까요.

---

💬 구독자님은 최근에 같은 프롬프트인데 답이 얕아졌다고 느낀 적 있으세요? 어떤 작업이었는지 댓글로 알려주세요.

📨 팀 계정 하나로 API를 함께 쓰고 있다면, 그 동료에게 이 글을 보내주세요.

---

참고자료 & 더 읽기

핵심 출처

• NSA·CISA·FBI, “China-Based Artificial Intelligence Companies Conducting Industrial-Scale Distillation Campaigns Against U.S. AI Companies (AA26-251A)”, 2026년 9월 8일. ··· 이 글의 모든 인용과 표의 원천이에요. 18쪽 전문이 공개돼 있고, 11~14쪽의 탐지 지표와 완화 조치가 실무자에게 가장 중요해요.
• CISA, “CISA, NSA and FBI Warn of China-Based AI Companies Targeting US AI Models”, 2026년 9월 8일. ··· 권고문의 공식 보도자료예요. 세 가지 즉시 조치가 요약돼 있어요.

배경 지식

• CyberScoop, “Feds accuse China of ‘systematic’ distillation of U.S. AI models”, 2026년 9월 8일. ··· 권고문의 맥락과 6월 백악관 과학기술정책실의 유사 주장까지 함께 짚어요.

관련 지난 호

• 법정에 선 머스크 “모두가 그렇게 해요” (93호)
• 젠슨 황은 왜 중국 모델을 칭찬했을까 (158호)
• OpenAI가 투자한 법률 AI, 속은 중국 모델이에요 (208호)

발행 메모

키비주얼 프롬프트

필자 안광섭 (오스왈드)은 세종대학교 겸임교수, INLEVEL9 전략 컨설턴트입니다. 경력, 연구, 저서와 최신 활동은 저자 소개에서 계속 갱신합니다. 최근 소식 · 2026년 8월: 2026 세종도서 교양부문 우수도서 선정.

📝 용어 설명

각주

1. 지식 증류(Knowledge Distillation): 크고 성능 좋은 모델의 출력을 정답 삼아 작은 모델을 학습시키는 기법이에요. 정당한 연구 방법이지만, 남의 모델 출력을 대량으로 뽑아 쓰면 약관과 지식재산 문제가 생겨요. ↩

2. 사고 사슬(Chain of Thought, CoT): 모델이 답을 내기 전에 거치는 단계별 추론 과정이에요. 미국 프런티어 모델은 대체로 이 과정을 사용자에게 그대로 보여주지 않아요. ↩

3. MITRE ATLAS: AI 시스템을 노린 공격 기법을 단계별로 분류한 공개 체계예요. 사이버 공격 분류체계인 ATT&CK의 AI판이라고 보면 돼요. ↩

4. 차등 프라이버시(Differential Privacy): 출력에 계산된 잡음을 섞어 개별 정보가 역추적되지 않게 하는 기법이에요. 잡음을 키우면 보호는 강해지고 정확도는 떨어져요. ↩