오윤성 기자

앤트로픽이 클로드의 내부 추론을 빼내 경쟁 모델 학습에 쓰는 행위를 약관 위반 증류 공격으로 규정하고 새로운 방어 체계를 가동했다. 방어 도입 뒤 공격자가 확보한 추론 토큰이 종전보다 90~99% 줄었다는 자체 측정 결과다.

다만 이는 공격 요청 자체의 차단률이 아니라 앤트로픽 플랫폼에서 유출된 것으로 추정한 추론 토큰의 감소율이다. 회사는 고도화된 공격자를 상대로 장기간 검증한 결과는 아직 없다고 인정했다.

이번 조치는 미중 AI 모델 경쟁의 전선이 반도체와 벤치마크를 넘어 API 과금과 개발자 호환성으로 번지고 있음을 보여준다. 공격 비용을 높이는 과정에서 정상 개발자도 특정 분류 영역에서 차단된 요청의 비용과 코드 수정 부담을 떠안게 됐다.

앤트로픽은 12일 공개한 증류 방어 연구 게시물에서 추론 이동 통제, 2단계 분류기, 반복 공격 계정 제한을 결합했다고 밝혔다. 이 가운데 2단계 분류기는 클로드 소넷 5.5, 오퍼스 5·5.5, 페이블 5·5.1 등 현재 일반 제공되는 주력 모델에 적용된다.

추론 이동 통제에는 ‘보존된 사고’ 기능이 쓰인다. API는 이전 응답의 thinking 블록에 붙은 서명을 확인해 현재 모델이 해당 블록을 읽도록 허용된 고정 모델 목록에 속하는지 검사한다. 서로 다른 모델 계열 사이에도 일부 호환되며 이 모델 호환 검사는 모든 계정에 적용된다. 소넷 5.5와 하이쿠 5.5의 사고 블록에는 이를 생성한 계정이나 연결 계정에서만 사용할 수 있도록 별도의 계정 귀속 검사도 적용된다.

시스템 프롬프트와 도구, 앞선 메시지가 바뀌지 않았는지 확인하는 접두사 검사는 8월 31일 이후 만들어진 API 계정에 기본 적용된다. 이전 계정에서는 thinking.block_binding.prefix_mismatch_behavior를 설정한 요청에만 강제된다. 적용 대상 요청에서 세션 도중 시스템 프롬프트를 다시 만들거나 도구 목록을 바꾸고, 과거 대화를 자체 요약·삭제하면 400 오류가 발생하거나 기존 사고 블록이 제거될 수 있다. 앤트로픽은 개발자 문서에서 시스템·도구를 고정하고 메시지를 추가 전용으로 관리하라고 권고했다.

접두사 불일치 사고 블록을 자동 삭제하는 drop_block 옵션을 쓰면 비용이 다시 늘어날 수 있다. 클로드가 읽지 못한 추론을 새로 생성하기 때문이다. 앤트로픽 자체 다중 턴 코딩 시험에서는 매 턴 사고 블록을 삭제할 경우 최대 노력 설정의 출력 토큰이 67.1% 증가했다. 대화 기록을 자주 압축하거나 모델을 바꾸는 에이전트·라우터 사업자에게는 보안 패치가 곧 원가와 지연시간 문제로 이어지는 셈이다.

분류기는 추론 원문을 요구하거나 다른 언어로 번역하게 만드는 패턴을 두 단계로 탐지한다. 앤트로픽은 오탐률이 0.1% 미만이며 지난달 공개한 공격 기법을 모두 잡았다고 주장했다. 방어 적용 뒤 증류 관련 계정 수만 개를 차단했고, 일부는 공격 시작 후 2시간 안에 퇴출했다고 설명했다. 수치와 효과는 회사 내부 관측에 기반했으며 제3자 검증 결과는 공개되지 않았다.

과금 정책도 방어 수단이 됐다. 앤트로픽은 9월 24일부터 증류를 포함해 오탐률이 0.1% 미만인 특정 분류 영역에서 보호 장치가 응답 전에 차단한 요청에 다시 요금을 부과하고 있다. 수십만 개 계정을 돌려 다양한 우회 프롬프트를 시험하는 공격자가 실패 비용까지 부담하도록 만든 것이다. 반대로 이들 영역에서 정상 요청이 오탐으로 막혀도 이용자가 비용을 내야 한다.

배경에는 중국 AI 기업을 둘러싼 대규모 증류 공방이 있다. 앤트로픽은 지난 2월 딥시크·문샷AI·미니맥스가 약 2만4000개 허위 계정으로 1600만건 넘는 클로드 대화를 생성했다고 주장했다. 9월 위협 보고서에서는 알리바바 관련 트래픽만 5~7월 1억5100만건에 달했고, 추론 기록이 큐원 3.5·3.6·3.7 학습에 쓰였다고 밝혔다.

중국 정부는 미국 측의 산업적 증류 주장을 근거 없는 비난으로 규정했다. 중국 상무부는 증류가 세계 AI 업계의 일반적 기법이라며 미국이 이를 명분으로 중국 기업을 억압하면 대응하겠다고 밝혔다. 지목된 딥시크·알리바바·문샷AI·Z.ai는 당시 AP통신의 논평 요청에 답하지 않았다.

증류 자체는 작은 모델을 값싸게 만드는 합법적이고 보편적인 학습 방식이다. 쟁점은 경쟁사의 이용약관과 지역 제한을 우회해 대량으로 응답을 수집했는지, 사용자 동의 없이 대화와 기업 데이터를 제3자 모델에 넘겼는지에 있다. 앤트로픽이 해당 행위를 약관 위반 증류로 규정하는 이유도 기술보다 접근 방식과 계약 위반에 초점이 맞춰져 있다.

이번 방어는 클로드 API의 대화 상태를 모델별 호환 목록과 일부 모델의 계정 귀속, 접두사 변경 이력에 각각 묶는다. 보안에는 유리하지만 동일한 대화 기록을 여러 모델과 사업자 사이에서 자유롭게 옮기는 호환성은 떨어진다. 멀티모델 서비스를 만드는 개발자가 모델별 추론 블록 규칙과 과금 정책까지 따로 구현해야 한다면, API 선택 기준도 토큰 단가에서 상태 관리 비용과 공급자 종속 위험으로 이동한다.

결국 앤트로픽이 만든 방어선은 중국 모델의 추격 비용만 높이는 장치가 아니다. 오탐률이 0.1% 미만인 특정 분류 영역의 차단 요청에 값을 매기고 추론 기록의 이동 범위를 통제함으로써 프런티어 모델의 경쟁력이 가중치뿐 아니라 API 운영 규칙과 개발자 생태계에 있다는 점을 드러냈다. 미중 모델 경쟁이 이제 누가 더 좋은 답을 내놓느냐를 넘어 누가 추론의 유통 경로와 비용 구조를 통제하느냐의 싸움으로 바뀌고 있다.