미국 사이버보안 기관(CISA)과 NSA, FBI가 공동 권고문을 발표했습니다. 중국 AI 기업들이 '지식 증류(knowledge distillation)'라는 기법을 대규모로 활용해 Claude, GPT, Gemini, Grok 등 미국의 주요 AI 모델의 능력을 무단으로 복제해왔다는 내용입니다. DeepSeek, 알리바바, Moonshot AI 등 여러 중국 기업이 수억 건의 API 요청을 통해 수십억 개의 데이터 토큰을 추출했으며, 이 활동은 중국 정부의 인지 하에 이루어진 것으로 평가됩니다. 이들은 지역 제한을 우회하기 위해 'API 대리 서버(transfer station)'라는 회색 시장을 이용하고 다수의 프리미엄 계정을 분산 운용하는 방식으로 탐지를 피했습니다. CISA는 AI 서비스 제공사들에게 즉각적인 탐지·대응 조치를 촉구했습니다.
중국 소재 AI 기업들(DeepSeek, Moonshot AI, 알리바바, MiniMax, StepFun, Z.AI)이 2024년 말부터 미국 프런티어 AI 모델에 수백만 건의 요청을 보내 추론·코딩 등 핵심 기능을 대규모 증류 방식으로 복제해왔다. 이 활동은 중국 정부의 인지 하에 이루어진 것으로 CISA·NSA·FBI가 평가했다.
미국 AI 기업들이 수년간 쌓아온 기술적 우위가 침식될 수 있다. DeepSeek의 경우 보고된 훈련 비용 560만 달러는 실제 증류로 획득한 데이터 비용을 반영하지 않아 사실상 저평가된 것으로 지적됐다. 미국 AI 모델 제공사들은 서비스 무결성과 지식재산 보호에 직접적인 위협을 받고 있다.
API 대리 프록시('transfer station')를 통한 지역 제한 우회, 다수의 프리미엄 계정 풀 활용, 요청 내 식별 정보 제거 등의 방법으로 탐지를 회피하며 산업적 규모의 증류 캠페인이 지속됐다.
CISA는 AI 제공사들에게 계정 본인 확인 강화, 비정상적 사용 패턴 모니터링, 의심 운영자에게 성능이 낮은 모델을 제공하는 방안, 차분 프라이버시(differential privacy) 적용, 악성 증류 활동 확인 시 응답 변조 등을 권고했다. IP 주소·도메인·쿼리 패턴 등의 지표 공유도 촉구했다.
AI 서비스 제공사는 24시간 중단 없는 API 사용, 구독 대비 비정상적 사용량, 계정 풀 간 협조된 행동 등 이상 징후를 모니터링해야 한다. 지식 증류 캠페인은 단순한 약관 위반이 아닌 국가 차원의 기술 탈취 활동으로 간주되어야 한다.
본문
CISA, NSA, FBI의 공동 사이버보안 권고문에 따르면, 중국 소재 AI 기업들이 대규모 지식 증류(knowledge distillation) 캠페인을 통해 미국의 주요 AI 모델 능력을 복제하고 있다.
지식 증류는 더 뛰어난 모델의 출력 결과를 활용해 또 다른 모델을 훈련하는 일반적인 AI 학습 기법이다. 미 정부 기관들은 중국 기업들이 이 기법을 산업 규모로 활용해 추론·코딩·기타 전문 기능을 포함한 제한된 역량을 추출했으며, 증류가 이들의 모델 개발 전략의 핵심이 되었다고 밝혔다.
CISA 대행 국장 Nick Andersen은 "미국 기업들이 이룩한 기술 격차를 위협하는 지식 증류 캠페인으로부터 플랫폼을 보호하기 위한 즉각적인 조치를 AI 기업들에 강력히 촉구한다"고 말했다.
표적이 된 기업 및 모델
DeepSeek, Moonshot AI, 알리바바 그룹(Alibaba Group), MiniMax, StepFun, Z.AI는 적어도 2024년 말부터 Claude, GPT, Gemini, Grok의 변형 모델을 포함한 미국 프런티어 AI 모델에 수백만 건의 요청을 보내 수십억 개의 토큰을 추출했다.
정부 기관들은 이 활동이 중국 정부의 인지 하에 이루어졌을 가능성이 높다고 평가했다.
DeepSeek은 추론·글쓰기·에이전틱 기능·질의응답·법률 업무 등 전문 과제에 초점을 맞춰 DeepSeek R1과 V3 훈련을 위해 미국 프런티어 AI 모델에서 데이터와 역량을 추출했다.
권고문은 DeepSeek이 보고한 560만 달러 훈련 비용에 의문을 제기하며, 해당 수치가 광범위한 증류를 통해 획득한 데이터의 실제 비용을 반영하지 않는다고 지적했다.
Moonshot AI는 적어도 2025년 중반부터 유사한 활동을 진행했으며, 미국 프런티어 모델을 활용해 자사 Kimi 모델의 소프트웨어 엔지니어링·수학·지도 미세조정(supervised fine-tuning)·강화학습 역량을 강화했다.
알리바바, MiniMax, StepFun, Z.AI는 미국 모델을 활용해 코딩·고객 서비스부터 추론·AI 에이전트까지 다양한 역량을 개발했다. 2026년 중반까지 Z.AI는 연쇄적 사고(chain-of-thought) 추론 역량 개발을 위해 GPT-5.5와 Claude Opus 4.8에서 수십억 토큰의 데이터를 증류해냈다.
증류 캠페인의 작동 방식
이 캠페인들은 자원 개발, AI 모델 접근, 실행, 권한 상승, 방어 회피, 탐색, AI 공격 준비, 수집, 데이터 유출, 영향력 행사 등 MITRE ATLAS 프레임워크에 매핑된 전술·기법·절차(TTPs)를 활용한다.
또한 프레임워크에 포함되지 않은 기법도 사용된다. 기업들은 '트랜스퍼 스테이션(transfer station)'으로 알려진 API 프록시 회색 시장을 활용해 지역 제한을 우회하고, 국가 출처를 은폐하며, 안전장치를 피하고, 추적 가능성을 낮춘다. 프리미엄 계정 풀을 통해 요청을 분산시켜 사용량 제한을 회피하고, 중앙화된 시스템이 가용성과 할당량에 따라 API·클라우드 공급자·애그리게이터 및 기타 서비스 전반에 트래픽을 라우팅한다.
운영자들은 요청에서 식별 정보를 제거하고 비용 절감을 위해 계정 및 서비스 사용을 최적화한다.
증류 캠페인 탐지 방법
탐지 지표로는 정상적인 인간의 사용 변동이나 유휴 시간 없이 24시간 연속 사용, 구독 대비 비정상적인 API 사용 비율, 최대 사용량에 급격히 도달하는 신규 구독, 계정 풀 간 협조된 행동, 식별 메타데이터의 급격한 변화 등이 있다.
정부 기관들은 강력한 계정 본인 확인과 기업 수준의 처리량 또는 기타 정상 사용 패턴 이탈을 보이는 개별 구독에 대한 면밀한 모니터링을 권고했다.
완화 조치 및 대응 전략
제공사들은 의심스러운 증류 캠페인의 가치를 낮추기 위해 응답을 변형하거나, 추론 깊이를 제한하거나, 다른 추론 경로를 통해 정확한 정보를 제공하거나, 문체의 불일치를 도입할 수 있다. 또한 의심 운영자를 통보 없이 성능이 낮은 모델로 유도할 수 있다.
악성 증류 활동이 확인된 경우, 제공사는 운영자에게 통보하지 않고 응답을 변조할 수 있다. 모델 변경이 발생할 경우 AI 안전 연구자와 제3자 평가자에게 알려야 한다.
차분 프라이버시(differential privacy)는 모델 출력에 통제된 노이즈를 추가해 추출을 더 어렵게 만드는 또 다른 방어 수단이다. 강력한 프라이버시 보호가 모델의 정확도와 유용성을 저하시킬 수 있으므로, 제공사는 차분 프라이버시를 속도 제한·응답 제어·모니터링과 결합할 수 있다.
IP 주소·도메인·제3자 서비스·쿼리 볼륨·타이밍 패턴 등의 지표를 공유하면, 모델 개발자·클라우드 공급자·API 플랫폼이 개별적으로는 고립된 것처럼 보이는 협조적 캠페인을 식별하는 데 도움이 된다.
안전 훈련과 적대적 훈련(adversarial training)은 프롬프트 인젝션(prompt injection)과 탈옥(jailbreak) 기법을 더 어렵게 만들어 추가적인 보호 계층을 제공할 수 있다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
