미국 CISA·NSA·FBI가 공동 권고문을 통해, 중국 6개 AI 기업이 2024년 말부터 미국의 최첨단 AI 모델에서 수십억 개의 토큰을 대규모로 빼냈다고 밝혔습니다. DeepSeek·Moonshot AI·알리바바 등이 수백만 건의 API 요청을 통해 Anthropic·OpenAI·Google·xAI의 AI 모델 지식과 추론 방식을 무단으로 추출했으며, 이를 자사 모델 훈련에 활용한 것으로 보입니다. 이 기법은 'AI 증류 공격(distillation attack)'으로, 합법적인 기술이지만 API 접근 권한을 악용해 허위 계정과 프록시로 탐지를 우회하면 지식재산 침해가 됩니다. 미국 당국은 작전의 규모와 정교함을 근거로 중국 정부가 이를 인지하고 있을 가능성이 높다고 평가했습니다. AI 기업들에게는 비정상적 API 사용 패턴을 탐지하고, 의심 시 응답을 변조하며, 관련 정보를 공유하도록 권고했습니다.
중국 6개 AI 기업(DeepSeek, Moonshot AI, 알리바바, MiniMax, StepFun, Z.AI)이 2024년 말부터 수백만 건의 API 요청을 통해 Anthropic, OpenAI, Google, xAI의 최첨단 AI 모델에서 수십억 개의 토큰을 산업적 규모로 추출했다.
미국 AI 기업들의 핵심 지적재산(모델 지식·추론 논리)이 유출되어 중국 기업들이 훈련 비용과 개발 기간을 대폭 단축할 수 있게 됐으며, 미국 AI 경쟁력에 직접적인 타격을 줬다.
허위·공유 계정, 클라우드 서비스, API 집계 서비스, '전송 중계(transfer station)' 프록시를 분산 활용해 지리적 제한·사용량 제한·탐지 시스템을 우회했다. 자동화 시스템이 차단 시 공급자를 전환하고 방어 수준을 확인하는 정교한 대응 체계도 갖췄다.
CISA·NSA·FBI가 공동 권고문을 발표하고 AI 기업들에게 행동·인프라 차원의 탐지 강화, 증류 공격 의심 시 응답 변조, 관계 기관 간 정보 공유를 촉구했다.
AI 서비스 제공 기업은 ①신규 계정의 즉각적인 최대 사용량 도달, ②사람다운 유휴 시간 없는 연속 활동, ③다수 IP·사용자 에이전트에서 접근하는 공유 계정, ④복수 공급자에 걸쳐 동일한 프롬프트 반복, ⑤비정상적으로 높은 구독 대비 사용량 비율 등을 이상 징후로 모니터링해야 한다.
본문
미국 사이버보안·정보기관들은 중국 6개 AI 기업이 적어도 2024년 말부터 미국 최첨단 AI 모델을 대상으로 산업적 규모의 증류 공격(distillation attack)을 수행했다고 밝혔다.
CISA·NSA·FBI가 공동 발표한 권고문에 따르면, DeepSeek·Moonshot AI·알리바바·MiniMax·StepFun·Z.AI는 Anthropic·OpenAI·Google·xAI의 최첨단 AI 모델에 수백만 건의 요청을 보내 수십억 개의 토큰을 추출했다.
당국은 이 작전의 규모와 정교함을 볼 때 중국 정부가 인지하고 있을 가능성이 높다고 평가하며, 이 접근 방식이 해당 기업들의 핵심 개발 전략일 가능성이 크다고 언급했다.
AI 모델 증류는 '학생' 모델이 잘 훈련된 모델의 출력 결과를 학습하는 합법적인 기술로, 연구자와 개발자가 훈련 비용을 줄이고 AI 배포 속도를 높이는 데 활용된다.
그러나 Google이 2월에 경고한 것처럼, 증류 공격은 해당 기업들의 통제된 환경 밖에서도 발생할 수 있다. API 접근권을 악용해 강력한 모델의 지식과 논리를 추출하고, 훨씬 적은 훈련 비용으로 그와 경쟁하는 방식이다.
CISA 권고문은 중국 기업들이 지리적 제한·사용량 제한·탐지를 우회하기 위해 허위 또는 공유 계정, API, 클라우드 서비스, 집계 서비스, '전송 중계(transfer station)' 프록시에 걸쳐 API 요청을 분산한다고 설명한다.
사용된 프롬프트 중 일부는 제한된 체인-오브-소트(CoT, 단계별 추론) 추론을 노출시키려 시도했으며, 자동화 시스템은 차단 시 공급자를 전환하고 방어 측이 응답을 저하시켰는지 확인했다.
권고문은 이렇게 설명한다. "고도화된 산업적 규모의 증류 전술에는 체인-오브-소트(CoT) 추론 추출, 차단 시도 중 경로 간 자동 전환(automated failover), 그리고 방어적 대응 조치를 탐지하기 위한 정교한 품질 평가 프레임워크가 포함된다."
"미국 AI 모델을 대상으로 산업적 규모의 증류를 수행하는 중국 소재 AI 기업들은 AI 개발 기간을 크게 단축하고 최첨단 모델 훈련에 드는 재정 지출을 절감할 수 있다."
DeepSeek과 MoonShot AI는 Claude·GPT·Gemini·Grok 등 복수 모델을 증류한 최상위 가해자로 지목됐으며, Claude·Gemini·GPT 모델을 표적으로 삼은 MiniMax가 그 뒤를 이었다.
알리바바와 StepFun은 자사 제품 개선을 위해 Claude와 GPT 모델을 표적으로 삼았다는 혐의를 받고 있으며, Z.AI는 GPT-5.5와 Claude Opus 4.8을 표적으로 삼은 것으로 알려졌다.
권고문은 AI 기업들에게 행동 및 인프라 차원의 탐지를 개선하고, 증류 작전이 의심될 때 응답을 변조하며, 이 캠페인에 관한 정보를 모든 이해관계자와 공유할 것을 권고한다.
잠재적 이상 징후로는 신규 계정의 즉각적인 최대 사용량 도달, 정상적인 사람다운 유휴 시간 없는 연속 활동, 수많은 IP 주소 또는 사용자 에이전트에서 접근하는 공유 계정, 복수 공급자에 걸쳐 동일한 프롬프트 반복, 비정상적으로 높은 구독 대비 사용량 비율, 접근 경로 간 조율된 전환 등이 포함된다.
BleepingComputer는 중국 AI 6개사 모두에 입장을 요청했으며, 답변이 오면 추가할 예정이다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
