미국이 차단 대신 "조용히 정답 수준을 낮추라"고 했어요

권고문 13쪽에 적힌 방어 지침

9월 8일 미국 국가안보국(NSA)과 사이버보안·인프라보안국(CISA), 연방수사국(FBI)이 합동 사이버보안 권고문을 냈어요. 중국 AI 기업 여섯 곳이 미국 프런티어 모델을 상대로 산업 규모의 지식 증류¹를 해왔다는 내용이에요. 문서 번호는 AA26-251A고, 배포 제한 없이 전문이 공개돼 있어요.

이 이야기 자체는 오래됐어요. 커뮤니티에서도 돌았고, 4월에는 일론 머스크가 법정에서 xAI가 OpenAI 모델을 증류에 활용했다고 인정했고, 7월에는 재무장관이 제재 가능성을 언급했어요. 다만 정보기관 세 곳이 이름을 걸고 기업 실명과 모델 목록까지 붙여 문서로 낸 건 이번이 처음이에요.

국내 보도는 명단과 규모에 몰려 있어요. 그런데 이 문서는 고발장이 아니라 방어 지침서예요. 미국 AI 기업이 무엇을 해야 하는지가 절반 이상을 차지하고, 그중 두 번째 권고가 이래요. 증류로 의심되는 요청에는 응답을 미묘하게 바꾸라는 거예요. 추론 깊이를 줄이거나, 맞는 결론을 다른 논리로 제시하거나, 문체를 흔들어서 학습 가치를 떨어뜨리라고요. 권고문은 “덜 정교한 다운그레이드 모델”로 답하는 방식도 예로 들어요.

그리고 한 문장이 더 붙어요. 모델을 낮췄다는 사실을 해당 사용자에게 알리지 말라는 거예요. 알리면 회피 기법을 개선하고 학습을 언제 되돌릴지 알게 된다는 이유예요. 대신 AI 안전 연구자와 제3자 평가기관에는 변경 사실을 알리라고 따로 적어뒀어요.

알림 대상을 명시적으로 나눴다는 건, 나머지는 알림 대상이 아니라는 뜻이에요. 유료로 API를 쓰는 전 세계 기업 고객이 그 나머지예요.

여섯 개 회사와 모델 목록

먼저 문서가 무엇을 주장하는지부터 정리할게요.

권고문은 중국의 딥시크, 문샷AI, 알리바바, MiniMax, 스텝펀, Z.AI 여섯 곳을 지목했어요. 2024년 말부터 클로드, GPT, 제미나이, 그록의 여러 버전에서 수백만 건의 요청으로 수십억 토큰을 뽑아냈고, 중국 정부가 이를 알고 있었을 가능성이 크다고 봤어요.

딥시크는 R1과 V3를 훈련하려고 클로드 소네트 3.7·4·4.5, 클로드 오퍼스 4.1, 제미나이 2.5 프로·플래시, GPT-4 계열, GPT-5, 그록 3 미니·4까지 14개 모델을 대상으로 삼았다고 적혀 있어요. 뽑아낸 항목도 구체적이에요. 법률 특화 최적화, API 규칙 기반 작업, 사고 사슬² 초안을 활용한 작문, 질의응답 최적화, 에이전트 기능 같은 것들이에요. 권고문은 딥시크가 공개한 훈련비 560만 달러가 오해를 부른다고 지적했어요. 증류로 확보한 데이터의 실제 비용이 빠져 있다는 거예요.

문샷AI는 표에 열거된 미국 모델만 17개예요. Kimi K3에는 앤트로픽의 Fable 5 데이터를, Kimi K2에는 GPT-4o 데이터를 썼다고 적혀 있어요.

MiniMax 대목은 성격이 조금 달라요. M2 모델의 사고 사슬 추론과 코드 리뷰 능력을 올리려고 클로드 코드와 클로드 소네트 4, 오퍼스 4.5, 제미나이 3 프로 등을 썼는데, 여기에 두 가지가 더 붙어요. 하나는 클로드 코드를 사내 개발 업무에 그대로 썼다는 것, 다른 하나는 프롬프트 인젝션으로 클로드 코드가 스스로를 MiniMax 제품이라고 믿게 만들려 했다는 거예요. 새 클로드 모델이 나오면 24시간 안에 요청을 그쪽으로 옮겼다는 관찰도 있어요.

접근 경로도 정리돼 있어요. 공식 API, 클라우드 사업자, 사용자 정보를 자동으로 지워주는 서드파티 애그리게이터, 그리고 ‘트랜스퍼 스테이션’이라 불리는 프록시 회색시장이에요. 정가의 일부만 받고 프런티어 모델 접근을 되파는 곳들이죠. 스텝펀은 직원별 계정 풀을 만들어 동시 세션을 돌리고 할당량이 마르지 않게 부하를 분산했다고 적혀 있어요.

China-Based Artificial Intelligence Companies Conducting Industrial-Scale Distillation Campaigns Against U.S. AI Compani