Kimi K3: 오픈 모델의 도약과 사이버 보안의 사각지대
Moonshot AI가 공개한 Kimi K3는 2.8조 매개변수 규모의 Mixture of Experts(MoE) 모델로, 코딩과 지식 작업 등 일반 추론 능력에서는 미국 최상위 모델과 어깨를 나란히 한다1. 2026년 7월 16일 출시된 이 오픈 모델은 7월 27일 전체 가중치 공개를 앞두고 있다. 그런데 최근 UK AISI(영국 AI 안전 연구소)와 CAISI(미국 사이버 AI 안전 연구소)의 공동 평가는 예상치 못한 비대칭성을 드러냈다. Kimi K3가 사이버 공격 능력에서 미국 선도 모델들과 극명한 격차를 보인 것이다2. 이 결과는 오픈 모델의 역량과 위험을 어떻게 평가할 것인지에 대한 중요한 질문을 던진다.
사이버 역량은 어떻게 측정되나: ExploitBench와 TLO
격차를 이해하려면 먼저 평가 도구를 이해해야 한다. UK AISI와 CAISI는 Kimi K3의 사이버 능력을 두 가지 지표로 측정했다.
ExploitBench는 Carnegie Mellon University가 개발한 공개 벤치마크다. 소프트웨어 취약점 정보가 주어졌을 때 모델이 엔드투엔드 익스플로잇을 얼마나 잘 개발하는지 평가한다. 구체적으로는 Chrome V8 엔진에서 2023년 이후 발견된 취약점 41개를 활용하며, 커버리지 및 충돌 재현, 임의 읽기/쓰기, 제어 흐름 탈취, 그리고 최종 단계인 임의 코드 실행(ACE)까지 소프트웨어 익스플로잇 개발의 여러 단계를 측정한다2.
TLO(The Last Ones) 는 4개의 서브넷과 약 20개의 호스트로 구성된 32단계 시뮬레이션 기업 네트워크 공격 시나리오다. 인간 전문가가 완료하는 데 약 20시간이 걸리는 이 훈련장은 의도된 공격 경로를 따라가도록 설계되었으며, 능동적 방어자나 보안 경보 패널티가 없다는 점에서 실제 환경과는 차이가 있다.
점수는 말해준다: 어디서 격차가 벌어지는가
Kimi K3는 ExploitBench에서 32.2%를 기록했다. 반면 미국의 가장 사이버 능력이 뛰어난 모델들은 평균 76.2%에 도달했다2. 더욱 주목할 만한 지점은 최종 단계다. Kimi K3는 41개 취약점 중 단 하나에서도 임의 코드 실행(ACE)에 성공하지 못했다(0/41). 미국 모델들은 평균 20개 취약점에서 ACE에 도달했다2.
TLO 시뮬레이션에서도 패턴은 유사하다. Kimi K3는 32단계 중 평균 17단계에 그쳤고, 미국 선도 모델들은 평균 28.5단계에 도달했다2. 참고로 중국의 또 다른 오픈 모델인 GLM-5.2는 평균 11단계로 더 낮은 성과를 보였다2. Kimi K3도 10번의 시도 중 1번은 전체 공격 경로를 완주했지만, 평균적인 공격 심도에서 차이가 분명했다.
참고로 Kimi K3의 전체 사이버 능력 점수는 단일 벤치마크(ExploitBench)에 기반해 추정되었기 때문에, 다른 모델들보다 신뢰 구간이 더 넓다는 점도 감안해야 한다.
왜 사이버 영역에서만 뒤처질까: 증류 가설과 그 너머
일반 추론과 코딩에서는 최상위권이면서 사이버 공격 능력에서만 급격히 약해지는 이 비대칭 패턴은 어떻게 설명할 수 있을까. 유력한 가설 중 하나는 '증류(distillation)' 논쟁과 연결된다. 미국 측은 Moonshot AI가 Anthropic의 Claude 모델 출력을 학습에 활용했을 가능성을 제기해 왔다3.
논리는 이렇다. Anthropic은 안전 장치를 통해 고급 사이버 공격 관련 쿼리를 원천 차단한다. Kimi K3가 Claude의 출력을 주로 학습했다면, 일반 추론 능력은 흡수하되 사이버 공격 지식은 거의 습득하지 못했을 것이다3. Kimi K3가 보여준 비대칭적 성능은 이 가설과 정합적으로 보인다.
물론 다른 가능성도 열려 있다. Moonshot AI가 자체 판단으로 사이버 보안 학습 데이터를 의도적으로 배제했을 수 있고, 미국 연구소들이 보유한 방대한 사이버 보안 데이터셋에 대한 접근이 제한되었을 가능성도 배제할 수 없다.
평가가 남긴 함의: 통제되지 않는 중간 수준의 위험
Kimi K3가 미국 모델들에 크게 못 미친다는 점은 분명하지만, 위험 평가에서 중요한 것은 '최고 성능'이 아니라 '실질적 피해 가능성'이다. 영국 UK AISI와 미국 CAISI는 Kimi K3가 "방어가 취약한 소규모 기업 시스템을 자율 공격할 수 있다"고 결론 내렸다2. 정교한 방어 체계를 갖춘 조직에는 미치지 못하더라도, 현실의 많은 중소 조직들이 이 수준의 자율 공격에 노출될 수 있다는 뜻이다.
더 우려되는 지점은 따로 있다. Kimi K3의 안전 장치는 사이버 공격 수행을 전혀 차단하지 못했다3. 7월 27일로 예정된 전체 모델 가중치 공개는 이 문제를 증폭시킨다. 가중치가 완전히 공개되면, 모델의 사이버 공격 능력은 누구나 수정·강화·악용할 수 있는 상태가 된다.
Kimi K3 사례는 오픈 모델 생태계의 비대칭적 위험을 선명하게 보여준다. 코딩과 생산성 도구로서의 가치는 분명하지만, 통제되지 않은 사이버 공격 능력의 확산은 다른 차원의 문제다. 증류 여부와 무관하게, 방어가 취약한 조직에 실질적 피해를 줄 수 있는 수준의 자율 공격 능력이 자유롭게 유통된다는 사실 자체가 정책 입안자들에게 새로운 질문을 던진다. 모델의 '일반 성능'만이 아니라 '특정 위험 영역에서의 실질적 임계값'을 평가하고 규제하는 프레임워크가 필요한 시점이다.
1Kimi K3: Open Frontier Intelligence
2UK AISI / CAISI Preliminary Assessment of Kimi K3's Cyber Capabilities
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.