Anthropic 증류 캠페인에서 읽어야 할 공격 신호
AI 모델의 출력은 단순한 답변을 넘어 다른 모델을 훈련하는 고품질 데이터가 될 수 있다. Anthropic이 Alibaba, Moonshot AI, DeepSeek 관련 활동을 문제 삼은 핵심도 경쟁 모델의 출력을 대규모로 수집해 역량을 복제하려 했다는 데 있다.
증류 자체보다 허가 여부가 중요하다
모델 증류는 성능이 높은 모델의 출력을 이용해 더 작거나 성능이 낮은 모델을 훈련하는 기법이다. 개발사가 자체 모델을 더 작고 저렴하게 만드는 데 사용하는 것은 AI 업계의 일반적이고 합법적인 활용 방식이다.1
문제는 경쟁사의 모델을 허가 없이 반복 호출해 그 역량을 복제하는 경우다. Anthropic은 이를 ‘불법적 증류’로 규정한다. 독립적인 모델 개발에 필요한 시간과 비용을 줄이는 과정에서 이용 약관과 접근 제한까지 우회했다는 판단이다.2
다만 수집 대상이 모델의 내부 사고 과정 자체인 것은 아니다. Anthropic은 사용자에게 내부 사고 과정을 제공하지 않고 요약된 사고 블록을 표시한다. 그럼에도 최종 답변과 도구 사용 결과를 대량으로 모으면 특정 역량을 학습시키는 데이터로 활용할 수 있다.2
대규모 계정 네트워크가 수집을 가능하게 한다
Anthropic이 관찰한 증류 활동은 단일 계정의 과도한 사용과 달랐다. 캠페인 운영자들은 사기 계정과 프록시 서비스를 이용해 Claude의 접근 제한과 탐지를 우회했다.1
프록시 사업자는 트래픽을 여러 계정에 분산하고 차단된 계정을 교체하는 ‘히드라 클러스터’ 구조를 운영했다. 한 프록시 네트워크는 2만 개가 넘는 사기 계정을 동시에 관리했으며, 증류 요청과 일반 고객 요청을 섞어 탐지를 어렵게 했다.1
규모 역시 조직적 활동을 보여준다. Anthropic은 증류 공격과 연계된 5개 캠페인에서 약 2억 건의 교환을 관찰했다고 밝혔다. Alibaba 관련 캠페인은 2026년 5월부터 7월까지 3,500개 계정에서 1억 5,100만 건의 교환을 발생시켰고, 하루 교환량은 약 300만 건에 달했다. Moonshot AI 관련 캠페인은 열흘 동안 5,000개 계정을 통해 Claude에 약 30만 건의 요청을 보냈다.2
정상 사용과 공격은 패턴으로 구분한다
개별 요청만 보면 정상적인 사용과 증류 공격을 구별하기 어렵다. 판단에는 다음과 같은 신호를 함께 살펴야 한다.
요청이 좁은 역량이나 특정 작업에 집중되는가
비슷한 구조의 요청이 대량으로 반복되는가
여러 계정이 조직적으로 같은 패턴을 보이는가
프록시를 통해 트래픽이 분산되는가
증류성 요청이 일반 고객 트래픽과 섞여 있는가
핵심은 요청량 하나만으로 결론을 내리지 않는 것이다. 규모와 반복성, 집중도, 계정 간 연계성을 함께 분석해야 정상적인 대규모 이용과 역량 복제를 위한 수집을 구분할 수 있다.1
요약하면, Anthropic 사례가 보여주는 위험은 모델 증류 기술 자체가 아니다. 허가 여부와 계정 운영 방식, 요청의 규모·반복성·집중도를 함께 살펴야 합법적인 활용과 조직적인 역량 탈취를 구분할 수 있다.
1Detecting and preventing distillation attacks
2Chinese AI labs secretly used millions of Claude exchanges to train their models, Anthropic says
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.