앤스로픽이 중국 7개 랩의 클로드 증류 공격을 실명으로 지목한다

앤스로픽은 2026년 9월 10일 위협 인텔리전스 보고서에서 알리바바, 문샷, 딥시크, 즈푸, 샤오미, 센스타임, 미니맥스 등 중국 소재 7개 랩이 Claude를 상대로 벌인 불법 증류 캠페인을 실명으로 공개했다. 규모가 수치로 제시된 다섯 곳만 더해도 관측된 교환은 1억 9,000만 회에 육박한다. 알리바바 한 곳이 2026년 5월부터 7월까지 1억 5,100만 회를 넘겼고, 최고치는 3,500개가 넘는 부정 계정에서 하루 300만 회에 가까웠다. 이번 보고서가 이전 공시와 갈라지는 지점은 규모가 아니라 귀속이다. 앤스로픽은 익명의 위협 행위자가 아니라 회사 이름을 적었고, 각 캠페인에 GTG 16001부터 16012까지 추적 번호를 붙였다. ASAP은 앤스로픽 원문에서 확인되는 수치와 서술만으로 이번 공개의 구조를 정리한다.

2월 1차 공시와 이번 보고서를 가르는 것은 회사 이름 일곱 개다

앤스로픽이 이번에 공개한 문서의 제목은 'Detecting and countering misuse of AI: September 2026'이며, 2025년 12월부터 2026년 8월까지 차단한 활동을 사이버 작전, 영향력 공작, 감시, 사기, 생물학 오용, 재래식 무기, 증류 등 일곱 개 피해 영역으로 나눠 담았다. 증류 항목의 문장은 단정적이다. 앤스로픽은 2026년 2월 1차 공시 이후 중국에 기반을 둔 일곱 개 랩의 추가 증류 공격을 식별하고 차단했다고 적었다.

공격 대상은 일반 공개 모델에 한정됐다. 앤스로픽은 일반 이용자가 접근할 수 없는 Mythos 5와 Mythos Preview를 겨냥한 시도는 관측되지 않았다고 밝혔다. 보고서 서두의 표현도 같은 방향인데, 전체 오용 사례 가운데 Claude Fable이나 Mythos 계열이 쓰인 경우는 불법 증류 한 건뿐이었다.

보고서는 합법적 증류와 불법 증류를 먼저 구분한다. 큰 교사 모델의 출력으로 작은 학생 모델을 학습시키는 기법 자체는 표준적인 훈련 방법이다. 앤스로픽이 불법으로 규정한 것은 산업 규모의 은밀한 캠페인, 즉 도난 신용카드와 탈취 로그인 정보와 탈취 API 키로 만든 가짜 계정망을 동원해 승인 없이 모델의 능력을 추출하고 다른 모델에 복제하는 행위다.

알리바바 캠페인은 Opus 4.6과 4.7의 사고 흐름을 정면으로 겨냥했다

GTG 16005로 분류된 알리바바 캠페인은 앤스로픽이 지금까지 측정한 증류 공격 가운데 가장 규모가 크다. 표적은 Opus 4.6과 Opus 4.7의 사고 흐름 전사본이었다. 알리바바의 파이프라인은 모든 요청에 고정 프롬프트를 주입해 Claude가 최종 답변 앞에 추론 과정을 인라인 태그 안에 적도록 강제했고, 저장된 전사본을 지도학습 미세조정용 데이터로 변환했다. 앤스로픽은 이 데이터가 Qwen 3.5와 3.6과 3.7에 Claude의 능력을 증류하는 데 쓰였다고 적었다.

계정 운용 방식도 구체적으로 기술됐다. 알리바바는 두 개의 계정 풀을 썼고, 첫 번째 풀은 주거용 프록시와 일회용 이메일과 가상카드 결제로 접근 경로를 가린 부정 계정 약 5,000개로 구성됐다. 앤스로픽이 이 풀을 차단하자 트래픽은 곧바로 두 번째 풀로 옮겨 갔다. 일부 계정은 딥시크와 샤오미의 요청도 함께 실어 나르고 있었는데, 같은 프록시 서비스망을 여러 조직이 공유한다는 뜻이다.

증류 외의 용도도 확인됐다. 알리바바는 Claude를 자사 모델 개발 인프라 구축과 강화학습 환경 제작과 모델 아키텍처 연구에 활용했다. 표적 과제는 에이전트 작업, 소프트웨어 엔지니어링, 커널 개발, 장기 과제였다.

문샷과 딥시크는 자사 고객 요청을 Claude로 조용히 돌렸다

GTG-16002 문샷 사례의 성격은 앞의 것과 다르다. Kimi 계열 모델을 만드는 문샷은 고객 요청을 Kimi로 처리하지 않고 Claude로 조용히 전달한 뒤 Claude의 응답을 이용자에게 보여 줬다. 한 사례에서는 10일 동안 약 30만 건의 고객 요청이 앤스로픽으로 넘어왔고 대부분이 Opus로 라우팅됐다. 이때 쓰인 프록시망의 부정 계정은 5,380개였으며 대부분 싱가포르와 일본에 있는 것으로 나타났다.

기술적 우회 지점은 사고 서명이다. Claude는 원본 추론 대신 사고 서명을 돌려주고 후속 호출에서 이 서명으로 원본을 조회하게 해 무단 증류를 막는다. 문샷은 응답에서 서명을 저장한 뒤 새 세션을 열어 서명을 전체 추론으로 되돌리도록 유도하는 세션 간 재생 공격으로 이 통제를 우회했다. 앤스로픽은 이 수법에 대응하는 새 방어 기법을 도입한다고 밝혔다.

GTG-16001 딥시크도 같은 재생 공격을 썼다. 다만 대상 선별 방식이 정교하다. 딥시크는 인입 요청의 문자열을 검사해 Claude Code, Claude Agent SDK, OpenCode 같은 서드파티 하네스를 쓰는 이용자를 태깅했고, 선별된 이용자의 요청을 Claude Opus로 전달했다. 관측 규모는 2026년 7월 14일간 1,210만 회를 넘었고, 문샷은 같은 5월부터 7월 사이 2,300만 회를 넘었다.

즈푸는 Fable 공략을 포기하고 Opus 4.6으로 갈아탔다

GTG-16006 즈푸 사례에는 방어가 실제로 작동한 기록이 남아 있다. 즈푸는 GLM 5.3 출시를 앞두고 공개 취약점 데이터셋으로 캡처더플래그 문제를 만든 뒤, 이를 풀게 하는 방식으로 미국 선도 랩 최상위 모델을 상대로 증류 공격을 벌였다. 앤스로픽 모델은 상대 모델의 응답을 평가하고 채점하는 용도로 별도로 표적이 됐다.

주목할 대목은 표적 이동이다. 즈푸는 처음에 앤스로픽의 일반 접근 최상위 모델인 Fable의 사이버 능력을 노렸으나, 강화된 사이버 안전장치가 공격을 무력화하자 결국 포기했다. 그 뒤 즈푸 직원들은 안전장치가 더 약하다고 판단한 Opus 4.6과 다른 미국 랩의 최상위 모델로 옮겨 갔다.

규모는 다른 사례보다 작지만 밀도가 높다. 즈푸는 273개 부정 계정을 돌려 가며 Claude Opus 4.8을 상대로 사고 흐름 추출 파이프라인을 10일간 가동했고, 2026년 6월 10일간 추출 정제기를 통과한 교환은 770,609회로 집계됐다. 같은 기간 즈푸에 귀속된 전체 교환은 300만 회를 넘었으며, 6월과 7월 17일간 누적으로는 340만 회를 넘었다.

1억 5,100만과 40만을 나란히 놓으면 숫자를 잘못 읽는다

여기서부터는 ASAP의 해석이다. 이 보고서의 수치를 그대로 순위표로 만들면 오독이 발생한다. 관측 기간이 사례마다 다르기 때문이다. 알리바바 1억 5,100만 회는 5월부터 7월까지 약 석 달, 문샷 2,300만 회도 같은 구간이지만, 딥시크 1,210만 회는 7월 중 14일, 즈푸 340만 회는 6월과 7월 중 17일, 샤오미 40만 회는 3월과 4월 중 20일에 관측된 값이다.

기간으로 나누면 그림이 달라진다. 알리바바는 약 92일 기준 하루 약 164만 회, 딥시크는 14일 기준 하루 약 86만 회, 즈푸는 17일 기준 하루 약 20만 회, 샤오미는 20일 기준 하루 약 2만 회다. 총량으로는 알리바바가 딥시크의 12배지만 일평균으로는 2배 미만이다. 총량 순위가 곧 공격 강도 순위는 아니며, 앤스로픽이 각 사례에 서로 다른 관측 창을 적은 이유도 이 값들이 캠페인 전체가 아니라 탐지된 구간의 합계이기 때문이다.

계정 수도 같은 방식으로 읽어야 한다. 알리바바 3,500개 이상, 문샷 5,380개, 샤오미 1,500개 이상, 즈푸 273개라는 값에서 즈푸의 273개는 방어가 약해서가 아니라 계정당 처리량을 높이는 운용을 택했다는 신호로 읽힌다. 273개 계정으로 10일에 300만 회를 넘겼다면 계정당 하루 1,000회 이상이며, 이는 계정 수를 늘려 분산하는 알리바바식 전략과 반대 방향이다.

피해자 명단에 한국 개발자가 들어가는 경로는 모델 라우터다

이번 보고서에서 가장 실무적인 대목은 증류 규모가 아니라 데이터 노출 경로다. 앤스로픽은 딥시크와 샤오미와 문샷이 자사 모델과 이용자 사이의 대화를 Claude에 넣었다고 적었고, 그 교환에 개인 이용자와 다국적 기업과 국가 연계 행위자의 민감 정보가 포함돼 있었다고 밝혔다. 노출된 항목으로는 이름, 이메일 주소, 회사 데이터가 적시됐으며, 대상은 최소 12개 언어권의 수백 명이다. 앤스로픽은 이 교환 상당수가 미국과 유럽 이용자가 흔히 쓰는 서드파티 모델 라우팅 서비스에서 중계됐다고 덧붙였다.

한국 팀이 이 명단에 들어갈 수 있는 경로가 정확히 여기다. 국내 개발 조직에서도 여러 모델을 한 엔드포인트로 묶어 주는 라우팅 서비스는 널리 쓰인다. 보고서의 서술을 그대로 옮기면, 라우터에서 중국 랩 모델을 선택한 요청이 그 랩의 서버를 거쳐 Claude로 재전송됐고, 요청을 보낸 사람은 자기 프롬프트가 제3자에게 도달한 사실을 알 수 없었다. 딥시크 사례의 선별 기준이 Claude Code와 OpenCode 같은 코딩 하네스였다는 점은 노출 표본이 일반 챗봇 이용자보다 개발자 쪽에 쏠렸다는 뜻이다.

점검 항목은 세 가지로 좁혀진다. 첫째, 사내에서 쓰는 라우팅 서비스가 선택한 모델을 실제로 그 모델로 처리하는지 계약서와 데이터 처리 조항에서 확인한다. 둘째, 코딩 에이전트에 붙는 프롬프트에는 저장소 경로와 함께 자격 증명이 섞여 들어가기 쉬우므로 하네스 단계에서 비밀값 마스킹을 강제한다. 셋째, 무료 체험이 이례적으로 길게 연장되는 신규 모델은 트래픽 확보 자체가 목적일 수 있다는 점을 감안한다. 앤스로픽은 샤오미가 MiMo-V2-Pro를 무료 체험으로 내놓고 연장한 뒤, 체험이 끝나갈 무렵부터 증류 공격의 대부분이 시작됐다고 기록했다.

방어가 버전 경사면으로 작동한다는 사실은 양날이다

즈푸가 Fable을 포기하고 Opus 4.6으로 내려간 기록은 앤스로픽 안전장치의 성능 증명인 동시에 한계 증명이다. 안전장치는 벽이 아니라 경사면으로 작동했다. 최신 모델에서 막히면 공격은 사라지지 않고 한 세대 아래로 흘러내렸고, 그 아래에는 여전히 상용 트래픽을 처리하는 Opus 4.6과 4.7과 4.8이 있었다.

앤스로픽이 적은 방어 조치의 목록도 같은 구조를 보여 준다. 적대적 추출 탐지 분류기는 Fable 5 출시에 맞춰 강화됐고, 내부 추론을 요약해 응답하는 방식과 Fable 5.1의 보존된 사고 기능도 최신 세대에 붙었다. 보존된 사고는 신규 API 계정이 Claude의 추론 앞에 오는 시스템 프롬프트와 도구와 메시지를 변경하지 못하게 막는 기능인데, 문샷과 딥시크가 쓴 세션 간 재생 공격이 정확히 이 앞선 문맥을 조작하는 수법이었다.

그래서 이번 공개의 실질적 의미는 특정 캠페인 차단이 아니라 비용 구조 변경에 가깝다. 앤스로픽은 개별 계정을 하나씩 차단하는 대신 활동을 조직 단위로 귀속해 일괄 조치한다고 밝혔고, 중국과 러시아와 이란처럼 지원되지 않는 국가에서의 운용 신호가 잡히면 신원 확인을 요구하고 응하지 않는 계정을 차단한다고 덧붙였다. 계정을 새로 만드는 비용을 올리는 방식이며, 프록시망을 조직에 연결하는 귀속 작업이 실패하면 같은 방어가 곧바로 헐거워진다.

이 보고서의 모든 귀속은 앤스로픽 한쪽의 판단이다

이번 보고서의 검증 한계는 GTG 16001부터 16012까지 일곱 개 사례 전부에 걸쳐 세 갈래로 남는다. 첫째, 알리바바와 문샷과 딥시크와 즈푸와 샤오미와 센스타임과 미니맥스에 대한 귀속은 앤스로픽이 자사 로그와 내부 조사로 내린 판단이며, 보고서는 이를 높은 신뢰도라고 표현했으나 제3자 검증치나 지목된 기업의 반론은 담고 있지 않다. 둘째, 각 사례의 교환 수는 앤스로픽이 탐지한 값이므로 탐지되지 않은 트래픽은 이 숫자 밖에 있다.

셋째, 보고서가 제시한 위험 논거 가운데 하나는 앤스로픽 자체 연구에 근거한다. 앤스로픽은 프런티어 모델에서 증류한 모델이 생물학이나 사이버 영역의 위험한 능력에 도달하는 데 도움을 줄 수 있으며, 수집된 교환에 해당 주제가 거의 없어도 그렇다고 적었다. 이 연구의 실험 설계와 수치는 이번 보고서 본문에 제시되지 않았으므로, 위험 주장의 강도와 근거 공개 수준 사이에는 간격이 남는다.

넷째, 미니맥스와 센스타임 사례는 다른 사례와 증거 성격이 다르다. 센스타임은 서드파티 데이터 판매상에게서 Claude 대화 전사본을 구매한 경로가 지목됐고, 미니맥스는 앤스로픽과 오픈AI 모델만 제공하고 중국 모델은 제공하지 않는 프록시 서비스를 껍데기 회사를 통해 운영했다는 정황이 지목됐다. 교환 수치가 붙은 다섯 곳과 달리 이 두 곳에는 정량 지표가 제시되지 않았고, 미니맥스 건의 판단 근거는 서비스 구성이 시사하는 바에 기대고 있다.

정리하면 이번 보고서는 증류 공격의 존재가 아니라 그 산업화 수준을 문서로 만든 사건이다. 하루 300만 회, 계정 5,380개, 12개 언어권 수백 명의 데이터라는 값들은 개별 해커의 규모가 아니며, 앤스로픽이 회사 이름을 적기로 한 선택 역시 기술 조치만으로 이 문제를 다루기 어렵다는 판단을 담고 있다.

출처: 앤스로픽 위협 인텔리전스 보고서 'Detecting and countering misuse of AI: September 2026'(2026년 9월 10일) 불법 증류 항목