미국 기관들, 중국 AI 기업들이 Claude·GPT·Gemini·Grok 증류 공격 수행했다고 고발

미국 사이버보안·정보기관들이 중국 기반 인공지능(AI) 기업들이 증류(distillation) 공격을 통해 미국 프런티어 모델의 독점 기능과 역량을 "체계적으로 추출"했다고 고발했습니다.

이번 활동은 산업 규모로 이루어지고 있으며 중국 AI 개발 전략의 "핵심"을 이룬다고, 국가안보국(NSA), 사이버보안·인프라보안청(CISA), 연방수사국(FBI)이 공동으로 발표한 경보에서 밝혔습니다.

"'증류'는 AI 연구에서 합법적이고 유용한 기법으로 인정받고 있지만, 중국 기반 AI 기업들은 미국 프런티어 AI 모델의 제한된 독점 기능과 역량을 추출하기 위해 공격적이고 악의적이며 표적화된 증류 활동을 산업 규모로 수행하고 있습니다"라고 발표 기관들은 밝혔습니다.

공동 경보에 따르면 DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun, Z.AI 등 중국 AI 기업들은 적어도 2024년 말부터 Anthropic Claude, OpenAI GPT, Google Gemini, SpaceXAI Grok의 각 변형 모델을 포함한 미국 프런티어 AI 모델에서 수백만 건의 요청을 통해 수십억 개의 토큰을 추출했으며, 이는 중국 정부의 묵인 하에 이루어졌을 가능성이 높습니다.

"중국 기반 AI 기업들은 미국 AI 기업들의 프리미엄 구독을 개발자 팀 전체에 공유하는 방식으로 대규모 증류 캠페인의 비용을 절감하고 있습니다"라고 기관들은 밝혔습니다.

"고급 산업 규모 증류 전술에는 chain-of-thought(CoT, 사고 과정 단계별 추론) 추출, 차단 시도 시 경로 간 자동 전환, 그리고 방어 대응책을 탐지하기 위한 정교한 품질 평가 프레임워크가 포함됩니다. 미국 AI 모델을 대상으로 산업 규모의 증류를 수행하는 중국 기반 AI 기업들은 프런티어 모델 훈련에 걸리는 AI 개발 기간을 현저히 단축하고 재정 지출을 줄이고 있습니다."

NSA, CISA, FBI가 제시한 구체적 혐의 내용은 다음과 같습니다.

• DeepSeek: 2024년 말부터 2025년 중반 사이에 R1 및 V3 모델 훈련을 위해 추론 능력, 특수 최적화 기능, 도메인별 기능을 표적으로 한 조직적 캠페인을 수행
• Moonshot AI: Kimi-K3 모델 훈련을 위해 Claude Fable 5 데이터를, Kimi-K2 모델 훈련을 위해 GPT-4o 데이터를 대규모로 추출
• Alibaba: 2025년 말 소프트웨어 엔지니어링 역량, 고객 서비스 대화 기능, 이미지/캐릭터 생성 능력 및 RL·SFT·증류 통합 역량 향상을 위해 Claude-4, Claude Opus, Claude Sonnet, GPT-5를 증류
• MiniMax: 2025년 말 M2 모델 개선을 위해 Claude Code, Claude Sonnet 4, Claude Opus, Gemini 1, Gemini 2.5 Pro, Gemini 3 Pro에서 CoT 추론, RL, SFT, 소프트웨어 엔지니어링 역량을 증류
• StepFun: 2025년 말부터 2026년 초 사이에 Step 4 모델의 코딩 및 에이전트 기능 향상을 위해 Claude Opus 4.1·4.5, Claude Sonnet 4.5, Claude Haiku 4.5, GPT-5 Mini, GPT-5 Pro, GPT-5.1, GPT-5.1 Codex, GPT-5.2에서 데이터를 증류
• Z.AI: 2025년 중반 기준으로 자사 모델의 CoT 추론 역량 개발을 위해 GPT-5.5 및 Claude Opus 4.8 데이터 수십억 토큰을 증류

이러한 증류 요청은 미국 모델에 무단으로 접근하기 위해 다양한 방법을 통해 우회됩니다. 여기에는 API(응용 프로그램 인터페이스), 원격 클라우드 제공업체, 그리고 탐지를 피하기 위해 사용자 메타데이터를 숨기는 제3자 집계 서비스가 포함되며, 이는 이용약관을 위반하는 행위입니다.

주목할 점은 미국 프런티어 모델들이 공식적으로 중국에서 제한·판매 금지되어 있다는 것입니다. 이로 인해 중국 개발자들은 국내 시스템이나 VPN(가상 사설 네트워크), 우회 계정, 자동화된 에이전트 같은 대안적 접근 방법에 의존해 지리적 통제를 우회하고 있습니다.

이러한 활동은 중국 본토 외부에 서버를 둔 릴레이·중계 서비스를 제공하는 프록시 회색 시장(gray market)에 의해 보완됩니다. 이러한 서비스들은 중국 온라인 마켓플레이스인 타오바오(Taobao)와 셴위(Xianyu)에서 홍보되고 있습니다.

또한 중국 기반 AI 기업들은 감시를 피하기 위해 이 작업을 여러 제공업체와 플랫폼에 의도적으로 분산시키고, 자사 모델 훈련을 위해 각 미국 프런티어 모델의 최고 역량과 독점 기능을 선별적으로 증류하는 데 집중하고 있습니다.

이 위협에 대응하기 위해 기관들은 미국 AI 기업들이 포괄적인 탐지·완화 조치를 구현하고, 악의적인 증류 시도로 의심되는 경우 응답을 미묘하게 변경하며, 모델 제공업체·클라우드 플랫폼·API 집계 서비스 전반에 걸쳐 활동 상관관계를 분석해 분산 캠페인을 식별하도록 권고했습니다.

중국 기업들이 불법 증류 공격에 가담했다는 지적이 나온 것은 이번이 처음이 아닙니다. 올해 2월에 Anthropic은 DeepSeek, Moonshot AI, MiniMax가 Claude의 역량을 무단으로 추출해 자사 모델을 개선하기 위한 산업 규모의 캠페인을 수행했다고 밝혔습니다.

가장 최근인 이번 주에는 Google 위협 인텔리전스 그룹도 Google AI 모델을 표적으로 한 증류 캠페인이 급증했으며, 일부는 1억 회 이상의 프롬프트를 포함하고 시각·음성 이해, 이미지 생성, 동영상 생성에 집중했다고 밝혔습니다.

"공격자들은 프록시 인프라를 배치해 대규모 자동화 공격을 조율하며, 다양한 제품 채널에서 수천 개의 침해된 자격 증명과 사기 계정에 걸쳐 쿼리를 순환시켜 출처를 숨기고 표준 보안 통제를 우회합니다"라고 Google은 밝혔습니다.

Arctic Wolf의 위협 연구·인텔리전스 담당 부사장 이스마엘 발렌수엘라(Ismael Valenzuela)는 이번 보안 경보를 합법적 접근의 남용으로 해석해야 한다고 말하며, 정교하고 자원이 풍부한 공격자들에 맞선 조율된 대응의 필요성을 강조했습니다.

"증류는 연구 환경에서 특별한 것이 아니지만, 이번 경고는 해당 기업들이 분산된 자격 증명 스터핑(credential stuffing)이나 결제 사기에 관여하는 공격자들이 사용하는 회피 전술과 유사하게 광범위한 글로벌 AI 생태계 전반에 의도적으로 작업을 분산시키고 있다고 밝히고 있습니다"라고 발렌수엘라는 말했습니다.

"공격자들이 미국 AI 기업들을 구속하는 법률과 규정을 준수하지 않고도 이 기업들의 고급 추론 및 에이전트 행동을 복제할 수 있다면, 방어자들은 그 활동을 합법적인 플랫폼과 구별하기 어려워지고, 탐지되지 않고 진행될 수 있는 공격적 사이버 작전, 영향력 캠페인 또는 자율 도구에 문이 열리게 됩니다."

"프런티어 AI 모델과 직접적인 연관이 없는 기업들은 이 캠페인이 국가 안보 문제이기 때문에 자신들과 무관하다고 여길 수도 있지만, 고객이나 파트너에게 모델 접근 권한을 노출하면 API 키와 서비스 계정이 귀중한 표적이 되며, 그러한 모델에 대한 접근 남용이 합법적인 것처럼 보이게 됩니다"라고 발렌수엘라는 덧붙였습니다.