앤트로픽 “중국 AI 기업들이 클로드 답변 약 2억 건 추출”…‘AI 증류’ 공방은 무엇인가

클로드를 만든 미국 AI 기업 앤트로픽이 알리바바, 문샷AI, 딥시크, 샤오미, 즈푸 등 중국계 AI 기업들과 연관된 대규모 ‘불법 증류’ 활동을 적발했다고 9월 10일(현지시간) 발표했다. 앤트로픽은 2026년 5월부터 7월 사이 다섯 개 활동에서 클로드와 오간 대화가 약 2억 건에 이르며, 경쟁 모델을 훈련하는 데 필요한 추론·코딩·데이터 분석 능력을 빼내려는 목적이었다고 주장했다.

여기서 증류는 큰 AI가 만든 답변을 학습자료로 사용해 더 작은 모델이나 새로운 모델의 능력을 끌어올리는 기법을 뜻한다. 교사가 여러 문제를 풀어 보인 기록을 학생이 공부하는 것과 비슷하다. 기술 자체는 널리 쓰이며 합법적인 계약과 자체 모델 사이에서도 활용된다. 논쟁은 다른 회사의 유료 서비스를 가짜 계정과 우회 경로로 대규모 이용하고, 약관을 어기면서 내부 추론 흔적까지 끌어내 훈련에 썼다는 앤트로픽의 주장에 있다.

이 사건을 “중국 AI 기업들이 클로드의 프로그램을 통째로 훔쳤다”고 표현하면 정확하지 않다. 모델의 소스코드나 학습 파일이 유출됐다는 발표가 아니다. 반대로 단순히 사람이 챗봇 답변을 참고한 정도로 축소하기도 어렵다. 앤트로픽이 제시한 규모와 방식이 맞다면 수천 개 계정과 반복된 질문을 통해 경쟁사의 행동을 대량 복제하려 한 산업적 수집 활동이기 때문이다.

무엇보다 현재 공개된 내용은 앤트로픽의 조사와 귀속 판단이다. TechCrunch 보도와 CNBC 보도는 회사의 보고서를 인용했으며, 지목된 기업들은 보도 요청에 즉시 답하지 않았다. 법원이나 독립 수사기관이 각 기업의 책임을 확정한 결과가 아니라는 점을 먼저 분명히 해야 한다.

앤트로픽이 주장한 규모는 어느 정도인가

앤트로픽의 2026년 9월 위협정보 보고서는 사이버 공격, 사기, 선전, 감시, 생물학적 악용, 무기 개발, 모델 증류 등 2025년 12월부터 2026년 8월까지 적발한 사례를 묶었다. 그 가운데 AI 기업들의 증류 활동은 경쟁 구도와 일반 이용자의 개인정보에 직접 연결된다는 점에서 큰 주목을 받았다.

앤트로픽은 다섯 개 증류 활동에서 약 2억 건의 교환을 관찰했다고 밝혔다. 가장 큰 것으로 지목한 알리바바 연관 활동은 5월부터 7월 사이 약 1억5천100만 건이었다. 하루 최대 약 300만 건에 이르렀고, 3천500개 계정에서 같은 추출용 지시문이 반복됐다는 설명이다. 앤트로픽은 이 패턴과 계정·접속 정보 등을 근거로 알리바바의 Qwen 계열 모델을 위한 훈련자료 수집으로 판단했다.

문샷AI 관련 활동에서는 10일 동안 약 30만 건의 요청이 5천 개 계정을 통해 클로드로 전달됐다고 보고서는 주장한다. 딥시크 관련 활동은 7월 14일 동안 1천200만 건이 넘었다고 CNBC가 전했다. 샤오미와 즈푸도 보고서에서 지목됐다. 기업별 정확한 합계와 기간은 각 사례마다 다르며, 약 2억 건이라는 숫자는 앤트로픽이 여러 활동을 묶어 계산한 전체 규모다.

이 수치는 클로드를 이용한 사람 2억 명이나 도난당한 개인정보 2억 건을 뜻하지 않는다. 한 계정이나 자동화된 시스템이 매우 많은 질문과 답변을 반복할 수 있다. ‘교환’은 모델에 보낸 요청과 받은 결과의 단위를 가리키는 표현에 가깝다. 숫자가 크다는 사실과 피해자의 수는 구분해야 한다.

AI 증류는 왜 하는가

최첨단 AI 모델을 처음부터 훈련하려면 막대한 컴퓨팅 자원, 데이터, 연구인력이 필요하다. 그런데 이미 강한 모델이 어려운 문제를 어떻게 푸는지 충분한 예시를 모으면, 후발 모델은 그 결과를 학습해 일부 능력을 더 빠르고 저렴하게 따라갈 수 있다.

예를 들어 수학 문제의 정답만 보는 것보다 풀이 과정과 검산 방법까지 보면 학생이 더 많은 것을 배울 수 있다. AI도 마찬가지다. 복잡한 코드 수정, 긴 문서 분석, 도구 사용, 단계별 계획의 좋은 예시를 대량으로 학습하면 단순한 문장 스타일뿐 아니라 문제 해결 방식까지 모방할 가능성이 커진다.

정상적인 증류는 한 회사가 보유한 큰 모델로 자체 작은 모델을 만들거나, 권리자의 허락을 받아 데이터를 사용하는 식으로 진행된다. 오픈소스 모델의 허용된 출력이나 정식 계약에 따른 합성 데이터도 쓸 수 있다. AI 연구에서 증류라는 말 자체가 해킹이나 절도를 뜻하지 않는 이유다.

문제는 서비스 약관과 접근 제한을 피해 경쟁사의 결과를 자동 수집할 때 생긴다. 대량 계정을 만들고 이용 지역 제한을 우회하거나, 일반 사용자에게 보여 주지 않는 상세한 추론 흔적을 특별한 지시로 끌어내면 단순한 제품 이용과 거리가 멀어진다. 모델 회사는 서버 비용을 부담하면서 동시에 핵심 능력의 훈련자료를 경쟁사에 제공하는 셈이 된다.

‘내부 추론’을 어떻게 끌어냈다는 것인가

앤트로픽은 일반 이용자에게 클로드의 내부 추론 전체를 그대로 보여 주지 않고 요약된 생각만 제공한다고 설명한다. 상세한 추론 기록은 경쟁 모델을 훈련하는 데 더 가치가 있을 수 있다. 보고서에 따르면 일부 활동은 번역 요청처럼 위장한 지시로 이전 작업 기억을 일본어 가타카나만 사용해 옮기라고 요구하는 등, 모델이 감춘 추론 흔적을 드러내도록 유도했다.

이런 방식은 금고에서 파일을 직접 복사하는 전통적인 침입과 다르다. 정상적인 입력 창에 매우 많은 질문을 보내되, 모델의 보호장치가 예상하지 못한 표현을 이용해 더 자세한 정보를 얻는다. 그래서 탐지도 어렵다. 질문 하나만 보면 번역이나 분석 요청처럼 보일 수 있고, 여러 계정과 접속 경로에 나눠 보내면 전체 목적을 파악하기 어렵다.

앤트로픽은 계정과 네트워크 정보, 반복된 지시문, 사용 패턴, 다른 업계 파트너의 정보 등을 바탕으로 특정 활동의 배후를 판단했다고 설명한다. 그러나 외부 독자는 회사가 보유한 원본 로그 전체를 볼 수 없다. 귀속 판단의 신뢰도를 평가하려면 독립기관이나 다른 서비스 사업자의 추가 확인이 필요하다.

일반 이용자의 요청이 몰래 클로드로 전달됐다는 주장

이번 보고서에서 가장 민감한 부분은 일부 중국 AI 서비스가 자사 이용자의 질문을 클로드에 다시 보내고, 받은 답을 자사 모델의 결과처럼 보여 줬다는 주장이다. 이 과정이 실제로 일어났다면 이용자는 자신의 요청이 미국 회사 앤트로픽의 서버로 전달된다는 사실을 알지 못했을 수 있다.

앤트로픽은 문샷AI 관련 사례에서 중국 인민해방군과 관련된 것으로 판단한 사용자의 폐쇄회로 영상 분석 요청이 클로드로 전달됐다고 주장했다. 수백 대 카메라의 영상에서 사람이 ‘비정상적으로 행동하는지’ 판단해 달라는 내용이었다는 설명이다. 딥시크 관련 흐름에서는 러시아 정부 데이터베이스의 실제 접속정보가 포함된 요청이 노출됐다고 보도됐다.

이 대목은 모델 경쟁을 넘어 개인정보와 국가안보 문제로 이어진다. 사용자가 한 AI 서비스에 입력한 영상, 문서, 비밀번호, 회사자료가 다른 나라의 외부 모델로 전달되면 원래 동의한 개인정보 처리 범위를 벗어날 수 있다. 기업 고객은 어느 회사의 화면을 쓰는지만 볼 것이 아니라 실제 요청이 어떤 외부 모델과 중개업체를 거치는지 확인해야 한다.

다만 지목된 회사들이 어떤 방식으로 서비스를 운영했는지에 대한 반론은 아직 충분히 공개되지 않았다. 일부 요청이 시험이나 품질 비교를 위한 것이었는지, 고객에게 어떤 고지를 했는지, 회사 차원의 활동인지 제3자 중개업자의 행동인지도 추가 검증이 필요하다. 앤트로픽의 주장만으로 모든 요청이 해당 기업의 공식 지시였다고 단정하면 안 된다.

왜 미국과 중국의 AI 경쟁 문제로 커지나

미국은 최첨단 반도체 수출과 모델 접근을 제한해 중국의 AI 발전 속도를 늦추려 한다. 중국 기업들은 자체 모델과 반도체, 대규모 이용자 기반을 바탕으로 격차를 줄이고 있다. 이 상황에서 미국 모델의 답변을 대량으로 학습자료화할 수 있다면 반도체와 직접 접근 제한의 효과가 약해질 수 있다.

앤트로픽과 오픈AI는 이전부터 딥시크와 문샷AI, 미니맥스 등의 증류 활동을 공개적으로 문제 삼았다. 이번 보고서는 규모가 더 커지고 수법도 복잡해졌다는 주장이다. AI 모델의 성능이 국가 경쟁력과 군사·사이버 능력에 연결되면서 서비스 약관 위반이 단순한 기업 분쟁이 아니라 경제안보 문제로 다뤄지고 있다.

반대 시각도 있다. 미국 AI 기업들 역시 인터넷의 방대한 글, 그림, 코드가 모델 훈련에 허락 없이 사용됐다는 저작권 소송을 받고 있다. 창작자의 작업을 학습에 활용해 온 회사가 자기 모델의 출력을 경쟁사가 학습하자 ‘도난’이라고 부르는 것은 이중 기준이라는 비판이 나오는 이유다.

두 문제는 법적으로 완전히 같지 않다. 공개된 저작물을 학습하는 문제와 가짜 계정·지역 우회·약관 위반을 통해 유료 서비스의 출력을 조직적으로 수집하는 문제는 접근 방식과 계약 관계가 다르다. 하지만 공통 질문은 분명하다. AI 학습에 쓰이는 정보의 권리는 누구에게 있고, 기계가 읽을 수 있게 공개됐다는 사실만으로 자유롭게 재사용할 수 있는가 하는 문제다.

이용자와 기업에 무엇이 달라질까

첫째, AI 서비스 가입과 이용 인증이 더 까다로워질 수 있다. 앤트로픽은 의심스러운 대량 계정을 차단하고, 지원하지 않는 지역에서 접속하는 것으로 보이는 이용자에게 신원 확인을 요구하는 방안을 강화하고 있다고 밝혔다. 정상 이용자도 여행이나 회사 네트워크, 중개 서비스를 사용할 때 추가 인증을 마주할 수 있다.

둘째, 모델이 보여 주는 설명은 더 짧아질 수 있다. 상세한 풀이 과정은 이용자가 오류를 확인하고 배우는 데 도움이 되지만 경쟁사의 훈련자료로도 가치가 있다. 모델 회사가 추론 흔적을 감추면 지식재산은 보호할 수 있어도, 이용자는 답의 근거를 확인하기 어려워진다. 투명성과 보안이 충돌하는 지점이다.

셋째, 여러 AI를 연결해 쓰는 기업은 데이터 이동 경로를 다시 봐야 한다. 값싼 서비스가 내부적으로 다른 회사의 모델을 호출한다면 계약상 보안, 데이터 보관, 이용 국가가 예상과 달라질 수 있다. 직원이 고객정보나 인증키를 입력했을 때 최종적으로 어느 회사 서버에 도착하는지 공급망 전체를 확인해야 한다.

넷째, AI 가격과 경쟁에도 영향을 줄 수 있다. 후발 기업이 선두 모델의 출력을 저렴하게 학습할 수 있으면 성능 격차가 빨리 줄고 소비자는 싼 서비스를 얻을 수 있다. 반대로 선두 기업이 접근과 출력을 강하게 잠그면 모델 시장이 더 폐쇄되고 가격 경쟁이 약해질 수 있다. 규제는 지식재산 보호와 경쟁 촉진 사이에서 어려운 선택을 하게 된다.

약 2억 건이라는 숫자를 볼 때 주의할 점

거대한 숫자는 사건을 쉽게 과장한다. 약 2억 건은 앤트로픽이 탐지한 대화 단위의 총합이지, 2억 개의 모델 파일이나 2억 명의 개인정보가 도난당했다는 뜻이 아니다. 또한 모든 대화가 같은 품질의 훈련자료가 되는 것도 아니다. 반복 질문과 실패한 추출, 탐지를 피하기 위한 잡음이 포함됐을 수 있다.

반대로 성공한 결과가 적더라도 가치가 작다고 단정할 수 없다. 어려운 문제의 고품질 풀이, 도구를 사용하는 과정, 오류를 고치는 예시는 평범한 문장 수천 개보다 훈련 가치가 클 수 있다. 그래서 기업은 단순 요청량뿐 아니라 어떤 능력을 겨냥했고 어떤 형태의 상세 정보가 나갔는지를 본다.

알리바바 관련 숫자도 과거 공개치와 이번 보고서의 기간이 다를 수 있다. 6월 보도에서는 4월 말부터 6월 초 사이 2천880만 건이라는 주장이 나왔고, 9월 새 보고서에서는 5월부터 7월 사이 1억5천100만 건의 더 큰 활동이 제시됐다. 이를 단순히 모두 더하면 기간이 겹치거나 조사 범위가 달라 중복 계산할 수 있다. 최신 보고서의 전체 약 2억 건을 기준으로 보되, 서로 다른 발표의 숫자를 무리하게 합치지 않는 것이 맞다.

기업 주장과 확인된 사실을 나눠 봐야 한다

확인된 사실은 앤트로픽이 9월 10일 위협정보 보고서를 공개했고, 다섯 중국계 AI 기업과 연관됐다고 판단한 약 2억 건의 증류 활동을 상세히 주장했다는 것이다. TechCrunch, CNBC, 비즈니스 인사이더 등 여러 매체가 보고서 내용을 보도했다. 지목된 기업들의 즉각적인 설명은 보도 시점에 나오지 않았다.

아직 독립적으로 확정되지 않은 부분은 각 활동을 특정 회사에 귀속한 판단, 회사 경영진의 지시 여부, 수집된 결과가 실제 경쟁 모델의 성능 향상에 얼마나 쓰였는지다. 특정 중국 모델이 클로드를 복제해 만들어졌다고 결론 내릴 공개 증거도 충분하지 않다. 앤트로픽은 강한 확신을 표현하지만 이해관계가 있는 경쟁사이기도 하다.

또 ‘불법’이라는 표현은 관할권과 계약, 접속 방식에 따라 법적 판단이 달라질 수 있다. 서비스 약관을 위반한 활동이라고 해도 곧바로 형사 범죄가 확정되는 것은 아니다. 이 글에서는 앤트로픽이 사용한 ‘불법 증류’라는 명칭을 소개하되, 법원의 판결처럼 사용하지 않는 이유다.

앞으로 볼 변화

첫 번째 관전 지점은 지목된 알리바바, 문샷AI, 딥시크, 샤오미, 즈푸가 구체적인 반박이나 자체 조사 결과를 내놓는지다. 고객 요청이 외부 모델로 전달됐다는 주장에는 개인정보 처리와 계약 문제가 걸려 있어 단순 침묵으로 끝내기 어렵다. 로그 보존과 제3자 중개업체의 역할도 쟁점이 될 수 있다.

두 번째는 AI 회사들이 신원 확인과 출력 제한을 얼마나 강화하는지다. 대량 추출을 막으려다 정상 연구자와 작은 기업의 접근까지 막으면 혁신과 경쟁이 줄 수 있다. 반대로 개방성을 유지하면 조직적인 수집을 계속 감당해야 한다. 기술적 방어만으로 해결하기 어려워 정부 간 규칙과 업계 공동 대응 요구가 커질 가능성이 높다.

세 번째는 학습 데이터에 관한 기준이 서로 일관되게 적용되는지다. 모델 회사가 창작자의 글과 코드를 학습할 때 요구받는 동의·보상 원칙과, 다른 모델 회사가 AI 출력을 학습할 때 적용되는 원칙이 완전히 분리될 수 있는지 논쟁이 이어질 것이다. 가장 설득력 있는 규칙은 선두 기업과 후발 기업, 사람 창작자 모두에게 설명 가능한 기준이어야 한다.

독자가 기억할 핵심은 두 문장이다. AI 증류는 그 자체로 불법 기술이 아니라 큰 모델의 결과로 다른 모델을 가르치는 일반적인 방법이다. 이번 사건의 쟁점은 앤트로픽의 주장대로 경쟁사들이 가짜 계정과 우회 수법, 사용자 모르게 전달된 요청을 이용해 약 2억 건을 조직적으로 수집했는지다. 그 사실관계와 책임은 추가 검증이 필요하지만, 모델의 답변과 이용자의 입력이 이제 기업의 핵심 자산이자 국가 간 분쟁의 대상이 됐다는 변화는 분명하다.