중국 이용자들이 미국 주요 AI 서비스의 지역 차단을 우회하도록 돕는 중계 서버(릴레이 서버)가 8만 개 이상 확인됐습니다. 이 서버들은 여러 AI 계정을 묶어 자체 접속 키를 발급하는 방식으로 운영되며, AI 제공사 입장에서는 실제 사용자가 누구인지 파악하기 어렵습니다. 가장 우려되는 악용 사례는 '모델 증류(Model Distillation)'로, 고성능 AI에 대규모 질의를 보내 그 답변을 수집한 뒤 별도의 저비용 AI 모델을 학습시키는 방식으로 기술을 사실상 복제하는 행위입니다. 미국 CISA·NSA·FBI는 이달 초 중국 AI 기업들이 이러한 대규모 증류 캠페인을 벌이고 있다고 공동 경보를 발령한 바 있습니다. 보안 기업 Team Cymru는 확인된 중계 서버 IP 목록을 피해 AI 기업들과 공유하고 추가 탐지를 이어가고 있습니다.
Team Cymru가 중국 이용자의 미국 AI 서비스 지역 제한 우회를 위한 중계 서버 8만 개 이상을 확인했다. sub2api 등 오픈소스 소프트웨어를 활용해 AI 계정을 풀링하고 자체 API 키를 재판매하는 생태계가 구축되어 있다.
Anthropic 등 AI 기업의 이용 약관 위반 및 수익 손실, 모델 증류를 통한 AI 기술 탈취 가능성, 사기·불법 활동 조장. 8일간 특정 클러스터에서만 업로드 14TB·다운로드 7TB 규모의 트래픽이 발생했다.
GitHub에 공개된 중계 소프트웨어(sub2api, Claude Relay Service)가 8,000회 이상 포크되어 상업적으로 운영되고 있으며, 계정 판매자들은 프로모션 악용과 자격증명 도용 등으로 AI 계정을 대량 확보하는 것으로 추정된다.
Team Cymru가 확인된 중계 서버 IP를 피해 AI 제공업체에 공유하고 지속적인 탐지를 예고했다. CISA·NSA·FBI는 중국 AI 기업의 대규모 모델 증류 캠페인에 대한 공동 권고문을 발령했다.
AI 서비스 제공업체는 비정상적인 API 사용 패턴(단일 IP에서의 대량 요청, 업·다운로드 비율 이상 등)을 모니터링하고, 중계 서버 IP 차단 목록을 최신 상태로 유지해야 한다. 기업 내 AI API 키 관리 정책도 점검이 필요하다.
본문
보안 기업 Team Cymru에 따르면, 8만 개 이상의 중계 서버가 중국 이용자들이 미국 주요 AI 모델의 지역 제한을 우회하도록 돕고 있다.
Team Cymru의 수석 수석 엔지니어 Scott Fisher는 "우리가 밝혀낸 것은 프론티어 모델 제공사들의 이용 약관을 명시적으로 위반하기 위해 설계된 전체 생태계로, 사기 및 불법 활동을 가능하게 한다"고 말했다.
이달 초 CISA, NSA, FBI는 공동 권고문을 통해 중국 AI 기업들이 미국 주요 모델의 역량을 빼내기 위한 대규모 지식 증류(Knowledge Distillation) 캠페인을 벌이고 있다고 경고한 바 있다.
AI 중계 네트워크의 운영 방식
'전송 스테이션(Transfer Station)'으로 불리는 이 중계 서버들은 AI 계정을 묶어 자체 키를 고객에게 발급함으로써, 여러 이용자가 같은 서버를 통해 프론티어 모델에 접근할 수 있게 한다. AI 제공사 입장에서는 중계 서버만 보일 뿐 실제 사용자가 누구인지, 어디에 있는지 알 수 없어 지역 차단 집행, 사용량 추적, 악용 탐지가 더욱 어려워진다.
전송 스테이션 시스템 운영 방식 (출처: Team Cymru)
Fisher는 모델 증류를 이러한 악용 중 가장 심각한 형태로 꼽는다.
"프론티어 모델을 구축하는 데 필요한 연구·데이터·컴퓨팅을 직접 개발하는 대신, 공격자는 더 강력한 '교사(Teacher)' 모델에 대규모로 질의하고 그 출력값을 수집해 저비용 '학생(Student)' 모델을 개선하는 데 사용할 수 있다. 이를 통해 교사 모델의 역량 일부를 독자 개발보다 훨씬 낮은 비용으로 이전할 수 있으며, 이것이 바로 주요 프론티어 모델 제공사들이 자사 출력값을 경쟁 모델 학습에 활용하는 것을 금지하는 이유다."
중계 서버 대부분은 Claude Relay Service 또는 그 후속 버전인 sub2api를 실행한다. 두 도구 모두 'Wei-Shaw'라는 개발자가 GitHub에 공개했다. 최신 버전에는 사용자 관리, 이용자별 과금, 구독을 API 접근으로 전환하는 레이어, 프롬프트 감사 기능이 포함되어 있다.
sub2api 프로젝트는 8,000회 이상 포크되었으며, 텔레그램 채널 구독자 수는 7,000명에 가깝다.
sub2api GitHub 페이지에는 26개의 상업 스폰서가 등록되어 있다. 그 중 15개는 중계 서버를 통해 AI 모델 접근 권한을 판매하고, 7개는 주거용 프록시를 판매하며, 2개는 AI 서비스 계정을 판매한다. 나머지 2개는 각각 중계 트래픽용으로 구축된 콘텐츠 전송 네트워크와 이미지·영상 생성 서비스 리셀러다.
Team Cymru에 따르면, 계정 판매자들은 프로모션 혜택 악용 및 자격증명·토큰 탈취 등의 방법으로 계정을 확보하는 것으로 보인다.
수천 개의 중계 서버, 테라바이트 규모의 트래픽
연구팀이 8일간의 스캐닝 데이터를 분석한 결과 10,867개의 중계 서버를 확인했으며, 이후 그 수는 8만 개 이상으로 늘어났다. 최초 확인된 10,867개 중 9,456개는 sub2api를, 1,353개는 구버전인 Claude Relay Service를 실행하고 있었다.
중계 서버들은 457개 서로 다른 네트워크에 분산 호스팅되어 있었으며, 단일 호스팅 사업자의 비중은 11%를 넘지 않았다.
연구팀은 미국 내 일부 VPS 제공업체에 호스팅된 클러스터 하나를 집중 분석했다. 중국 및 홍콩의 4,000개 이상의 주소가 해당 클러스터의 304개 중계 서버에 접속했으며, 8월 말 8일 동안 약 14TB를 업로드하고 7TB 이상을 다운로드한 것으로 나타났다.
17개의 중계 서버는 트래픽을 Anthropic의 API로 직접 전송했으며, 약 81GB를 업로드하고 약 1.4GB를 다운로드해 약 58:1의 업·다운로드 비율을 보였다.
Anthropic API로 전송된 대용량 데이터는 자동화된 대규모 질의와 일치할 수 있다. 그러나 연구팀은 프롬프트나 모델 응답 내용을 직접 확인할 수 없어, 해당 활동이 모델 증류인지 다른 형태의 악용인지는 단정할 수 없었다.
Team Cymru는 확인된 중계 서버 IP 주소를 피해 AI 제공업체들과 공유했으며, 새로운 중계 서버 탐지를 지속할 것이라고 밝혔다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
