오픈웨이트에는 다른 통제 문법이 필요하다
2026년 6월 12일 미국 상무부는 Anthropic의 Fable 5와 Mythos 5에 수출통제 조치를 내렸다. 외국인이 두 모델을 이용하려면 허가를 받도록 하자 국적을 실시간으로 가려내기 어려웠던 Anthropic은 두 모델을 전 세계에서 비활성화했다. 이후 일부 기관과 파트너가 예외를 인정받았지만 정부가 폐쇄형 서비스의 이용자를 계정과 API 단위로 통제할 수 있다는 사실이 이 사건으로 드러났다.
반면 오픈웨이트는 다르다. Anthropic의 모델이 중단된 다음 날, 중국 Z.ai는 다운로드 가능한 GLM-5.2를 공개했다. 두 사건이 같은 주에 이어지면서 폐쇄형 서비스 하나를 막는다고 비슷한 수준의 능력까지 통제할 수는 없다는 사실이 분명해졌다.
중국 모델은 이미 연구와 제품 개발에 깊이 들어와 있다. Hugging Face에서 2025년 다운로드의 약 41%를 차지했고 같은 해 9월에는 Qwen이 Llama를 제치고 가장 많이 내려받은 LLM 계열이 됐다. 규제 대상은 미래의 모델만이 아니라 지금 쓰이는 기반 기술이기도 하다.
2025년 AI 확산 프레임워크도 훈련 연산량이 10²⁶ FLOP을 넘는 모델을 통제하면서 공개 가중치는 예외로 뒀다. 널리 복제된 파일은 중앙에서 회수하기 어렵기 때문이다. 상무부는 그해 5월 이 규칙을 철회했지만 모델 능력과 수출 허가를 연결하는 정책 수단은 남았다. Anthropic 조치는 원격 API도 수출로 볼 수 있다는 선례까지 더했다.
다음 오픈웨이트 모델이 Mythos급 능력에 다가서면 증류 단속과 프런티어 통제가 한 묶음으로 엮일 수 있다. 문제는 폐쇄형 서비스에 맞춘 허가 절차다. 폐쇄형은 심사 뒤 계정별로 재개할 수 있지만 오픈웨이트는 가중치가 미러와 파생 모델로 퍼지면 되돌리기 어렵다. 같은 사전 심사가 공개 모델에만 긴 출시 지연이나 사실상의 봉쇄가 될 수 있다.
모방의 의심만으로 시장을 막을 것인가
지식 증류는 큰 ‘교사 모델’의 출력을 작은 ‘학생 모델’이 배우게 하는 기법이다. 추론 비용과 하드웨어 부담을 낮출 수 있어 프런티어 연구소도 소형 제품을 만들 때 쓴다. 요즘은 교사 모델이 만든 문답이나 추론 기록을 학습 데이터로 활용하는 것까지 넓게 증류라고 부른다. 백악관 과학기술정책실(OSTP)도 합법적인 증류가 경쟁력 있는 오픈 모델을 만드는 데 필요하다고 인정했다.
증류라고 해서 모두 같은 행위는 아니다. 화이트박스 증류는 교사 모델의 파라미터와 내부 표현을 이용하고 블랙박스 증류는 API의 입출력만 모은다. 폐쇄형 모델의 외부 개발자가 시도할 수 있는 건 주로 후자다.
2025년 Microsoft와 OpenAI가 조사한 것도 DeepSeek와 연계된 것으로 의심되는 계정의 API 사용 패턴이었다. 대량 수집 가능성은 제기됐지만 서버 침입이나 가중치 유출, 실제 증류는 확인되지 않았다.
물론 접근 통제를 조직적으로 피했다면 이야기가 달라진다. Anthropic은 중국 연구소 세 곳이 약 2만4천 개의 부정 계정으로 Claude와 1천600만 회 넘게 문답했다고 밝혔다. 허위 신원과 프록시로 차단을 피했다면 단순히 학습 기법을 택한 게 아니라 접근 제한을 우회했다. 그래도 증류 자체와 우회 수단은 법적으로 다른 문제다.
정당한 이용 조건 안에서 결과물을 참고해 비슷한 모델을 만드는 것과, 접근 통제를 뚫고 내부 정보를 빼내는 것은 다른 문제다. 전자는 이용 조건의 문제이고 후자는 침입과 영업비밀 침해의 문제다. 모방이 의심된다는 이유로 관련 없는 사업자까지 함께 제한해서는 안 된다.
집행 기준도 세 단계로 나눌 수 있다.
- 자체 모델이나 허용된 라이선스 안에서 이뤄진 증류는 일반적인 모델 개발로 본다.
- 허위 계정과 프록시로 API 제한을 피한 대량 수집은 계약 위반과 부정경쟁, 접근 통제 위반으로 다룬다.
- 가중치 유출과 내부망 침해에는 형사법과 영업비밀 보호 규정을 적용한다.
블랙박스 증류는 접속 기록과 결제 내역이 남아 탐지할 수 있다. 그런데 중국 오픈웨이트 전반을 ‘증류의 산물’로 묶으면 개별 증거 없이도 수입과 조달을 막을 수 있다. 이는 안보를 넘어 연구소의 API 매출과 독점 데이터까지 보호한다. 부정확한 규제는 합법적인 경쟁을 막고 소수 기업의 힘을 키울 수 있다. 모델의 국적이나 배포 방식이 위반 행위의 증거를 대신해서는 안 된다.
모델보다 배포 환경을 보라
폐쇄형 API에는 안전 정책과 계정 차단 장치가 있다. 그렇다고 악용이 사라지는 것은 아니다. 2025년 AI 보안 업체 HiddenLayer는 하나의 프롬프트 변형으로 OpenAI, Anthropic, Google, Microsoft 등 주요 모델의 안전 장치를 우회했다고 보고했다. 모델 구조와 정렬 방식이 달라도 같은 공격이 통했다.
오픈웨이트도 탈옥에 취약하다. 일부 멀티턴 대화 실험에서는 공격 성공률이 90%를 넘었다. 그렇다고 ‘공개 모델은 위험하고 폐쇄형 API는 안전하다’고 나눌 수는 없다. 안전성은 모델 평가, 배포 환경, 권한 설계, 사후 탐지에도 달려 있다.
2026년 7월 Hugging Face는 자사 인프라를 노린 자율 에이전트형 공격을 공개했다. 보안팀은 1만7천 건이 넘는 기록에서 공격 명령과 자격 증명, C2(공격자가 원격으로 시스템을 조종하는 명령, 제어 서버) 흔적을 찾아야 했다. 하지만 상용 프런티어 API는 악성 페이로드가 들어오자 요청을 거부했다. 결국 Hugging Face는 GLM-5.2를 자체 서버에서 돌려 포렌식을 마쳤다. Hugging Face가 공개한 이 사고 경위를 보면 가드레일이 공격자가 아니라 합법적인 대응을 막을 수도 있다.
사이버 사고를 조사하려면 공격 명령과 악성 코드를 직접 읽어야 한다. 범용 API는 이를 내용만 보고 차단하기 쉽지만 자체 운영 모델은 기관의 권한과 감사 절차를 작업 환경 안에 반영한다. 중국 오픈웨이트를 일괄 제한하면 이미 미러나 제3국 서버를 쓰는 공격자보다 조달, 감사 의무를 지키는 기업과 연구기관이 더 큰 비용을 치른다.
사전 허가제도 마찬가지다. 심사 때마다 공개가 늦어지면 오픈웨이트의 갱신 주기는 API보다 길어진다. AI 확산 프레임워크가 공개 가중치를 통제 대상에서 제외한 이유도 퍼진 파일을 중앙에서 관리하기 어렵기 때문이다. 통제 가능성이 다른 배포 방식에 같은 절차를 씌우면 부담은 한쪽에 쏠린다.
오픈웨이트에도 배포 전 평가와 악용 감시는 필요하다. 다만 폐쇄형 API의 가드레일이 모든 답은 아니다. 공격자는 우회 계정이나 내려받은 모델을 쓴다. 정책이 규정을 지키는 방어자의 도구만 줄인다면 안전 지표는 좋아져도 실제 방어력은 약해진다.
국적 대신 행위를 규제하라
증류 규제는 모델의 국적보다 접근 권한과 수단을 기준으로 삼아야 한다. 허용된 모델과 라이선스로 만든 데이터는 학습에 쓰도록 허용하고 허위 계정과 프록시를 동원한 수집은 별도로 단속하면 된다. 내부망 침해나 가중치 유출에는 형사법과 영업비밀 규정을 적용할 수 있다. 중국에서 개발됐거나 가중치를 공개했다는 이유만으로 이 모든 행위를 한데 묶을 근거는 부족하다.
위험 평가는 같은 잣대를 쓰되 후속 조치는 배포 방식에 맞춰야 한다. 사이버, 생물학, 자율 행동 능력을 공통 시험으로 측정하고 오픈웨이트는 가중치를 단계적으로 공개하며 악용 감시 결과를 내놓는 방식이 현실적이다. 증류와 유출은 능력 상한이 아니라 API와 계정, 내부 시스템이 있는 접근 단계에서 처리하는 문제다.
중국 오픈웨이트는 이미 외부 제품이 아니라 개발 기반의 일부다. 2025년 중반 Qwen 기반 파생 모델은 11만3천 개를 넘어 Llama 기반 모델의 네 배를 웃돌았다. 기반 모델을 빼면 미세조정 모델과 도구, 평가 자산도 함께 잃는다.
규제만 손본다고 오픈 생태계가 유지되지는 않는다. 프런티어급 모델을 꾸준히 공개할 후원자도 필요하다.
기업은 보완재의 가격을 낮춰 본제품의 수요를 키운다
는 소프트웨어 기업가 조엘 스폴스키의 설명처럼, Meta는 앱 생태계, Microsoft는 클라우드, 반도체 기업은 하드웨어에서 이익을 얻을 수 있다. 이들은 API의 희소성을 지켜야 하는 폐쇄형 연구소와 이해관계가 다르다.
이 기업들이 프런티어급 오픈웨이트를 내놓지 않으면 미국산 대안은 사라진다. 반대로 미국이나 동맹권의 동급 모델이 에이전트 작업과 사이버 방어에서 성능을 입증한다면 국가별 전면 차단의 비용도 분명해진다.
Hugging Face와 클라우드 사업자, 보안팀, 연구기관의 이해관계는 흩어져 있다. 이들이 함께 평가 공개, 단계적 배포, 악용 감시 원칙을 제시해야 오픈웨이트에 맞는 제도가 구체화된다. 대형 AI 기업 중심의 규제가 진입 장벽을 높일 수 있다는 우려 역시 공동 대응을 뒷받침한다.
정책도 사안별로 나눠야 한다. 계정 우회에는 접속 기록을, 가중치 유출에는 침해 증거를 요구해야 한다. 수입 금지와 능력 상한의 효과도 따로 따져야 한다. 증류, 중국 기원, 공개 가중치, 고성능을 하나로 엮으면 개별 위반과 무관한 생태계 전체가 제한된다.
오픈웨이트는 성능 경쟁에서 밀릴 때만 이등 시민이 되는 게 아니다. 증류 단속과 국가안보, 프런티어 심사가 한 묶음이 되고 동급 모델을 후원할 기업이 침묵할 때도 같은 결과가 생긴다. 무단 행위는 접근 권한과 수단을 기준으로 가려내고 안전성은 배포 방식과 관계없이 평가해야 한다. 그래야 합법적인 방어자가 공격자보다 적은 도구를 갖는 역설을 피할 수 있다.