미국의 AI 증류 경보, 중국 상무부 반박

미국 국가안보국(NSA)과 사이버보안·인프라보안청(CISA), 연방수사국(FBI)이 9월 8일 딥시크를 비롯한 중국 AI 기업 6곳이 미국 AI 모델의 능력을 대규모로 빼내 자사 모델 학습에 썼다는 합동 권고문을 냈습니다. 중국 상무부는 이튿날 근거가 없는 주장이라며, 미국이 이를 구실로 중국 기업을 누르면 대응 조치를 취하겠다고 밝혔습니다.

권고문이 지목한 기업과 수법

합동 권고문 AA26-251A가 지목한 곳은 딥시크, 문샷 AI, 알리바바, 미니맥스, 스텝펀, 즈푸AI입니다. 권고문은 이들이 중국 정부가 인지했을 가능성이 높은 상태에서 늦어도 2024년 말부터 클로드와 GPT, 제미나이, 그록 계열 모델에 수백만 건의 요청을 보내 수십억 토큰을 추출했다고 적었습니다. 토큰은 모델이 문장을 잘게 나눠 처리하는 단위입니다.

회사별 내용도 담겼습니다. 딥시크는 클로드와 제미나이, GPT, 그록의 여러 버전에서 뽑은 자료로 R1과 V3 모델을 학습시켰다고 적혔고, 권고문은 딥시크가 밝힌 560만 달러의 학습 비용이 오해를 부른다고 평가했습니다. 문샷 AI는 앤트로픽의 클로드 페이블 5에서 추출한 자료를 키미 K3 학습에 쓴 것으로, 미니맥스는 프롬프트 주입으로 클로드 코드를 속이려 한 것으로 기재됐습니다.

증류는 성능이 높은 모델에 질문을 대량으로 던져 받은 답변을 다른 모델의 학습 자료로 쓰는 기법입니다. 기업이 자사의 큰 모델로 작은 모델을 만들 때 흔히 쓰지만, 경쟁사 모델의 답변을 이용약관을 어기고 가져다 쓰면 그 회사가 학습에 들인 연산 비용의 상당 부분을 건너뛸 수 있습니다. 모델이 답을 내기까지 거친 추론 과정까지 끌어내면 학습 자료의 가치가 더 커지는데, 권고문은 이런 추론 과정 추출도 수법으로 꼽았습니다.

권고문에 따르면 이들은 이용자 정보를 감춘 계정을 대량으로 만들고, 중국에서 쓸 수 없는 서비스에 접속하기 위해 '중계소'로 불리는 회색시장 프록시를 거쳤으며, 여러 개발팀이 고급 구독을 한데 모아 썼습니다. 한 경로가 막히면 다른 경로로 자동 전환하는 방식도 확인됐다고 적었습니다. 탐지 지표로는 한 계정이 여러 IP 주소와 기기에서 쓰이는 경우, 쉬는 시간 없이 하루 24시간 사용량이 이어지는 경우, 새 구독이 가입 직후부터 최대 사용량에 도달하는 경우가 제시됐습니다.

차단 대신 응답을 흐리라는 권고

권고문에서 가장 구체적인 대응책은 의심 계정을 곧바로 막지 않는 방법입니다. 확신도가 높은 증류 요청에는 응답을 미묘하게 바꿔 증류로 얻는 이득을 줄이라고 권했고, 추론 깊이를 줄이거나 같은 정답을 다른 추론 과정으로 제시하거나 문체를 일관되지 않게 만드는 방식을 예로 들었습니다. 계정을 막으면 상대가 곧바로 새 계정을 만들지만, 응답 품질을 낮추면 상대는 탐지된 사실을 알기 어렵고 모은 자료의 품질도 떨어집니다. 기업들끼리 IP 주소와 도메인, 요청 패턴 같은 지표를 공유하라는 권고도 함께 담겼습니다.

이번 권고문에 앞서 앤트로픽은 2월 23일 자체 조사 결과를 공개했습니다. 딥시크와 문샷 AI, 미니맥스가 가짜 계정 약 2만 4,000개로 클로드와 1,600만 건이 넘는 대화를 주고받았고, 이 가운데 미니맥스가 1,300만 건 이상을 차지했다는 내용이었습니다. 한 프록시 네트워크가 가짜 계정 2만 개 이상을 동시에 관리한 사례도 적혔습니다. 반년 뒤 정부 기관이 대상 기업을 6곳으로 넓혀 같은 문제를 공식 권고문으로 다룬 것입니다.

중국 상무부의 반박

중국 상무부 대변인은 9일 기자 질문에 답하며 미국의 주장이 근거도 법적 근거도 없다고 밝혔습니다. 대변인은 증류가 AI 모델 사이에 흔히 쓰이는 상호 학습 방식이자 기술적으로 중립적인 수단이며, 일부 미국 기업도 중국 모델을 대량으로 증류했다고 공개한 바 있다고 주장했습니다. 미국의 조치는 연산 능력과 데이터의 독점을 유지하려는 것이라고 규정하면서도, 평등과 호혜를 바탕으로 한 전문적인 논의에는 열려 있다고 덧붙였습니다.

발표 시점도 겹칩니다. 트럼프 대통령과 시진핑 국가주석은 9월 24일 무렵 워싱턴에서 만날 예정이고, 의제에는 무역과 투자, 이란 전쟁, 대만과 함께 AI가 올라 있습니다.

권고문의 한계

권고문은 기업별로 추출한 토큰의 양이나 탐지 근거가 된 원자료를 공개하지 않았습니다. 중국 정부의 역할도 인지했을 가능성이 높다는 수준으로만 적었고, 제재나 수출통제 같은 법적 조치는 담기지 않았습니다. 정책 근거로는 백악관 각서 NSPM-11과 NSTM-4를 참조했습니다.

탐지 지표가 정상 이용자에게도 해당할 수 있다는 지적도 나옵니다. 한 기술 뉴스레터는 기업이 상시 돌리는 AI 에이전트의 사용 패턴이 권고문의 탐지 기준에 들어맞는다고 짚었습니다. 응답을 몰래 흐리는 방식이 잘못 적용되면 돈을 내고 쓰는 고객이 이유를 모른 채 품질이 낮은 답을 받게 됩니다.

중국 상무부가 제기한 이중잣대 문제도 논쟁거리입니다. 미국 기업들이 중국의 공개 모델을 가져다 쓰는 사례가 늘고 있다는 보도가 이어져 왔습니다. 다만 공개 가중치 모델은 라이선스가 허용하는 범위에서 누구나 내려받아 쓸 수 있고, 권고문이 문제 삼은 행위는 이용약관으로 막힌 유료 서비스의 응답을 가짜 계정으로 가져간 것이어서 두 경우는 법적 성격이 다릅니다.

칩 다음의 통제 대상

이번 권고문에서 눈여겨볼 대목은 통제 대상이 칩에서 모델 접근으로 넓어지고 있다는 점입니다. 미국은 지금까지 첨단 GPU와 반도체 장비의 수출을 막는 방식으로 중국의 AI 개발 속도를 조절해 왔습니다. 증류는 칩을 들여오지 않고도 미국 모델이 학습에 쓴 연산의 결과를 API 요청으로 가져갈 수 있는 경로이고, 권고문이 계정 확인과 지표 공유를 강조한 것은 AI 서비스 기업이 가입 단계에서 이용자의 신원과 사용 목적을 확인하는 부담이 커진다는 뜻입니다.

국내 기업에도 두 방향에서 영향이 있습니다. 미국 모델의 API로 서비스를 만드는 기업은 해외 이용자와 대량 사용 계정을 걸러내는 절차를 더 촘촘히 요구받을 수 있고, 소버린 AI 사업으로 자체 모델을 개발하는 곳은 학습 자료에 외부 모델의 출력이 섞였는지를 설명해야 하는 경우가 늘어납니다. 24일 무렵으로 예정된 미중 정상회담에서 AI 의제가 어떻게 정리되는지가 다음으로 확인할 지점입니다.

글 오레놀 대덕