러시아 정부기관 데이터베이스 접속 정보, 중국 군사시설 인근 CCTV 영상까지. 이 민감한 자료가 왜 미국 AI 클로드(Claude)로 흘러 들어갔을까요? 2026년 9월 10일 앤트로픽이 공개한 위협 인텔리전스 보고서가 그 이유를 밝혔습니다.
무슨 일이 있었나? 154페이지 보고서의 핵심
2026년 9월 10일 앤트로픽은 “Detecting and countering misuse of AI: September 2026” 보고서를 통해 2025년 12월부터 2026년 8월까지 클로드를 악용한 사례를 사이버 작전, 여론조작, 감시, 사기, 생물학적 위험, 재래식 무기 개발, 증류(distillation) 등 7개 영역으로 정리해 발표했습니다. 이 가운데 증류(distillation) 챕터가 특히 파장을 일으켰는데요, 해당 섹션만 154페이지 보고서 중 12페이지, 약 3,457단어 분량으로 7개 AI 랩을 지목했습니다.
증류 자체는 더 뛰어난 ‘교사’ 모델의 답변으로 ‘학생’ 모델을 학습시키는 업계의 정상적인 기법입니다. 문제는 앤트로픽이 이를 “무단 대규모 증류(illicit distillation)”로 규정했다는 점, 그리고 이 과정에서 개인 사용자, 다국적 기업, 국가 기관과 연관된 민감 정보까지 함께 흘러 들어갔다고 지적했다는 점입니다. 단, 이는 어디까지나 앤트로픽 자체 로그에 근거한 일방적 주장이며, 중국 상무부는 근거 없는 주장이라고 반박한 상태라는 점은 짚고 넘어가야 합니다.
문샷 AI(키미)의 실시간 우회 라우팅: “키미인 척하는 클로드”
가장 충격적인 대목은 키미(Kimi) 개발사 문샷 AI의 사례입니다. 앤트로픽이 GTG-16002로 추적한 이 사건에서, 문샷 AI는 자사 키미 모델 대신 고객 요청을 클로드로 몰래 전달하고, 5,380개의 가짜 계정을 통해 10일간 약 30만 건의 요청을 우회 전송했습니다.
- 사용자는 키미 화면을 보며 질문했지만, 실제 답변은 클로드(주로 Opus 모델)가 생성
- 앤트로픽은 중국 내 서비스를 제공하지 않기 때문에, 싱가포르·일본에 위치한 것처럼 보이는 계정 네트워크를 우회 경로로 활용했다고 분석
- 2026년 5~7월 사이 이런 방식으로 오간 교환이 2,300만 건 이상으로 집계
여기서 더 나아가 “사고 서명(thinking signature)”을 노린 정교한 수법도 확인됐습니다. 클로드는 내부 추론 과정을 그대로 넘기지 않고 압축된 참조 토큰인 사고 서명만 반환하는데, 문샷은 이 서명을 저장했다가 새 세션에서 다시 클로드에 보내 전체 추론 과정을 복원시키는 ‘교차 세션 재생(cross-session replay)’ 공격을 사용했다고 앤트로픽은 밝혔습니다.
딥시크 사례와 유출된 민감정보의 실체
딥시크(DeepSeek) 역시 유사한 구조로 적발됐습니다. GTG-16001로 추적된 딥시크 사례에서는 1,210만 건의 교환이 클로드 Opus로 프록시됐습니다.
이 과정에서 실제로 드러난 유출 사례가 눈길을 끕니다. 앤트로픽에 따르면 문샷의 우회 트래픽에는 중국 군과 연관됐을 가능성이 있는 사용자가 특정 인물의 CCTV 감시 영상을 분석하던 요청이 포함돼 있었고, 딥시크의 트래픽에는 러시아 국방부와 연관된 정부 데이터베이스의 실시간 접속 자격 정보, 그리고 중국 한 공안국의 사건 관리 시스템 개발 관련 내부 자료가 노출된 것으로 나타났습니다.
이 두 사건 모두 “클로드가 몰래 정보를 수집한 것”이 아니라, “중국 AI 서비스가 만든 우회 경로에 실제 고객 요청이 딸려 들어가면서 벌어진 부작용”이라는 점이 핵심입니다. 즉 의도적 스파이 행위라기보다는, 경쟁 모델의 능력을 빼내려던 파이프라인이 동시에 데이터 유출 통로가 된 셈입니다.
미국이 기업에 ‘해킹 면허’를 줬다? 2026 트럼프 사이버 각서 핵심 7가지 총정리
“학습에 사용하지 않는다”는 약속과는 다른 문제
많은 AI 서비스가 “고객 데이터는 모델 학습에 사용하지 않습니다”라고 안내합니다. 하지만 이번 사건은 그 약속과는 전혀 다른 층위의 문제를 드러냈습니다.
- 학습 재사용 여부: 내 데이터를 나중에 모델 개선에 다시 쓰는가 (기존 약속의 범위)
- 실시간 처리 경로: 지금 이 순간 내 질문이 어디로 전송되고, 누가 처리하며, 얼마나 보관되는가 (이번 사건의 핵심)
특히 AI 에이전트가 코드 오류를 고치거나 파일을 열람하는 에이전틱(agentic) 작업이 늘어날수록, 사용자가 직접 입력한 문장뿐 아니라 API 키, 서버 주소, 데이터베이스 구조까지 AI가 “함께 보게 되는” 범위가 넓어집니다. 앤트로픽 역시 이번 보고서에서 LLM이 자율적인 멀티 에이전트 프레임워크에 점점 더 깊이 통합되면서, 국가급 행위자와 소규모 행위자 사이의 기술 격차가 줄어들고 있다고 진단했습니다.
문샷 vs 딥시크 vs 알리바바, 규모 비교
| 구분 | 문샷 AI(키미) | 딥시크 | 알리바바(큐원) |
|---|---|---|---|
| 추적 코드 | GTG-16002 | GTG-16001 | GTG-16005 |
| 관찰 기간 총 교환 건수 | 약 2,300만 건 (5~7월) | 약 1,210만 건 | 1억 5,100만 건 이상 |
| 우회 계정 수 | 5,380개 | 별도 프록시 계정 운용 | 3,500개 이상 |
| 특징적 수법 | 실시간 답변 대리 + 교차 세션 재생 | 코딩 도구 경유 프록시 + 교차 세션 재생 | 고정 프롬프트로 사고 과정(CoT) 강제 노출 |
| 확인된 유출 정황 | 군 관련 추정 사용자의 CCTV 분석 요청 | 러시아 정부 DB 접속정보, 중국 공안 시스템 자료 | 기업 고객사 코드 및 내부 문서 다수 |
기업과 개인이 지금 확인해야 할 3가지
- 사용 중인 AI 서비스의 실제 처리 경로 확인: 화면에 보이는 브랜드와 실제로 응답을 생성하는 모델이 다를 수 있다는 점을 전제로, 서비스 약관과 데이터 처리 방침을 다시 살펴볼 필요가 있습니다.
- 민감 파일을 AI에 통째로 넘기는 습관 점검: 설정 파일, API 키, 접속 정보가 포함된 파일을 코딩 에이전트에 그대로 업로드하기 전, 민감 정보를 마스킹하거나 별도 파일로 분리하는 절차를 마련하는 것이 안전합니다.
- 기업 차원의 AI 사용 정책 재정비: 사내에서 어떤 AI 도구를, 어떤 데이터 범위까지 사용할 수 있는지 가이드라인을 세우고, 필요하다면 DLP(데이터유출방지) 솔루션이나 접근 권한 통제 시스템 도입을 함께 검토하는 것이 최근 보안 담당자들 사이에서 권장되는 흐름입니다.
자주 묻는 질문(FAQ)
Q1. 이번 사건으로 러시아 군사기밀이 미국으로 넘어갔다는 뜻인가요?
아닙니다. 노출된 것은 정부 데이터베이스에 접근할 수 있는 접속 자격 정보이며, 앤트로픽이 이 정보로 실제 데이터베이스에 접근했다는 내용은 보고서에 없습니다.
Q2. 문샷·딥시크는 이 혐의를 인정했나요?
보고서 발표 시점까지 문샷, 딥시크를 포함한 7개 랩 중 어느 곳도 공개적으로 혐의를 인정하지 않았습니다. 중국 상무부는 근거 없는 주장이라며 반박했습니다.
Q3. 일반 사용자도 이번 사건의 영향을 받았나요?
직접적으로는 문샷·딥시크 등 특정 중국 AI 서비스 이용자의 요청이 대상이었습니다. 다만 이 사건은 AI 에이전트에 민감 파일을 맡길 때 데이터가 어디까지 이동하는지 모든 사용자가 점검해봐야 한다는 경고로 받아들여지고 있습니다.
Q4. 클로드를 쓰면 이런 문제에서 안전한가요?
이번 사건에서 클로드는 무단 경로로 데이터를 ‘받은’ 쪽이며, 앤트로픽은 해당 취약점을 발견해 자체적으로 방어 체계를 강화했다고 밝혔습니다. 다만 어떤 AI 서비스도 데이터 처리 경로에 대한 사용자 확인 없이는 100% 안전을 보장하기 어렵다는 점은 동일합니다.
핵심 요약과 다음 행동
2026년 9월 앤트로픽 보고서는 문샷 AI와 딥시크가 자사 서비스로 위장해 고객 요청을 클로드로 우회 전송하고, 그 과정에서 정부 데이터베이스 접속 정보와 군사시설 인근 CCTV 자료 같은 민감 정보까지 함께 이동했다는 점을 보여줬습니다. 이는 단순히 중국 AI 업체만의 문제가 아니라, 에이전트 시대에 “내가 무엇을 입력했는가”만큼 “내 데이터가 어디까지 갔는가”를 확인해야 한다는 신호입니다.
지금 사용 중인 AI 서비스의 데이터 처리 방침을 한 번 더 확인해보시고, 민감한 파일을 다룰 때는 반드시 마스킹·분리 절차를 거치시길 권합니다.