OpenAI의 Astra, 중국 AI 연구소의 주요 모델 증류 표적이 됐다는 보도
중국 AI 연구소들이 증류 작업을 Anthropic의 Claude에서 OpenAI의 Astra로 옮기고 있다는 보도가 나오면서 모델 탈취 방어를 둘러싼 새로운 의문이 제기되고 있다.
Anthropic이 Claude의 방어 체계를 강화한 이후 OpenAI의 Astra가 중국 AI 연구소들의 모델 증류 활동에서 주요 표적이 된 것으로 알려졌다. The Information의 보도를 The Decoder가 인용해 전했다.
이 보고서는 DeepSeek와 Moonshot AI를 Kimi K3.1 Pro 및 V4.1-Flash 1017로 식별된 제품을 포함한 최신 모델을 개발하는 과정에서 Astra의 출력에 크게 의존한 것으로 알려진 조직으로 지목한다. 제공된 증거만으로는 이러한 주장을 독립적으로 확인할 수 없었으며, The Decoder가 요약한 보도에서 두 회사 모두 공개적인 답변을 내놓지 않았다.
이 사안이 중요한 이유는 한 프런티어 모델 제공업체가 더 강력한 보호 장치를 도입해도 추출 시도가 끝나는 것이 아니라 다른 제공업체로 방향을 바꿀 수 있음을 시사하기 때문이다. 모델 개발자와 기업용 AI 구매자에게 이번 사례는 고급 시스템을 대규모로 반복 질의할 수 있을 때 독점적인 역량을 보호하기가 얼마나 어려운지도 보여준다.
Claude에서 Astra로
모델 증류는 더 뛰어난 모델의 응답을 활용해 성능이 낮거나 경쟁 관계에 있는 시스템을 개선하는 방식이다. 이번에 보도된 활동은 일부 프런티어 모델이 내부적으로 사용하는 숨겨진 추론 단계까지 포함해 상세한 답변을 얻으려는 시도와 관련된 것으로 보인다.
Anthropic의 Claude는 이전부터 이러한 활동의 선호 표적으로 묘사됐다. The Decoder는 Anthropic이 이후 방어 체계를 강화했고, 이에 따라 중국 AI 연구소들이 OpenAI의 Astra에 더 집중하게 됐다고 전했다. 이 보고서는 Astra를 GPT-6 Astra로 식별한다.
현재 이용 가능한 증거만으로는 이 변화가 중국 AI 업계 전반에서 얼마나 광범위한지, Astra 데이터가 얼마나 수집됐는지, 또는 해당 활동이 특정 모델을 실질적으로 개선했는지를 알 수 없다. 다만 무단 모방을 막으려는 모델 제공업체와 더 낮은 비용으로 고급 역량을 재현하려는 연구소 사이의 경쟁 구도가 변하고 있음을 보여준다.
OpenAI는 Moonshot과 연관된 사람들이 참여했다고 밝힌 조직적인 증류 캠페인도 보고했다. The Decoder가 전한 회사의 반응에 따르면 OpenAI는 이 문제를 심각하게 받아들이고 있지만, 새로운 보호 장치가 도입될 때 공격자들이 방법을 바꾸는 현상을 확인했다.
증거가 보여주는 것과 보여주지 않는 것
이 사안에 관한 가장 강력한 보도는 The Information에서 나왔지만, 제공된 자료에는 전체 기사 내용이 포함되지 않았다. The Decoder는 이 내용을 전하면서 핵심적인 발견을 사안에 정통한 사람들의 말로 전하고 있다. 따라서 Astra의 사용 의혹은 중요한 보도된 사건이지만 DeepSeek나 Moonshot AI가 공개적으로 확인한 사실은 아니다.
The Decoder에 따르면 Moonshot은 논평을 거부했고, DeepSeek는 논평 요청에 응답하지 않았다. 이러한 무응답은 의혹을 확인하지도 부인하지도 않는다. 이용 가능한 증거에는 기술 로그, 데이터 세트, 질의량, 학습 기록, 독립적인 벤치마크 결과가 포함되지 않았다.
Anthropic은 새로운 방법을 통해 공격자가 추출할 수 있는 데이터 양을 90~99% 줄였다고 주장했지만, 이는 회사가 보고한 결과다. 자료는 테스트 조건, 추출된 데이터의 정의, 해당 감소폭이 서로 다른 공격 전략에 동일하게 적용되는지를 설명하지 않는다. 따라서 이 수치는 일반적인 보안 척도가 아니라 공급업체의 주장으로 취급해야 한다.
또한 보도는 OpenAI의 Astra가 Claude보다 보편적으로 더 취약하다는 사실도 보여주지 않는다. 겉으로 보이는 변화는 상대적인 접근성, 모델 품질, 계정 통제, 가격, 출력 행동 또는 공격자 전술의 변화에서 비롯됐을 수 있다. 이러한 요인들은 여전히 해결되지 않았다.
AI 개발자에게 중요한 이유
프런티어 모델 기업의 관점에서 이번 활동은 모델 출력에 대한 접근을 제품 기능인 동시에 보안 문제로 만든다. API 통제, 속도 제한, 계정 심사, 이상 탐지, 거부 행동, 모니터링은 모두 모델 역량을 보호하는 요소가 된다. 방어 체계는 요청을 여러 계정으로 분산하거나 프롬프트를 바꾸거나 평범해 보이는 질의를 결합해 대규모 수집을 시도하는 공격자도 고려해야 한다.
소규모 AI 개발자에게 증류는 경쟁력 있는 성능에 도달하는 비용을 낮출 수 있지만, 다른 회사의 출력에 의존하면 법적·운영적·기술적 위험이 발생한다. 외부 모델로 집중 학습된 시스템은 해당 모델의 사각지대, 거부 패턴, 편향 또는 형식 규칙을 물려받을 수 있다. 제공업체가 접근 규칙을 바꾸거나 출력 제한을 도입하면 취약해질 수도 있다.
기업 구매자는 모델 모방에 관한 주장을 신중하게 해석해야 한다. 공급업체가 유사한 벤치마크 점수를 보여주더라도 실제 업무 흐름, 도구 사용, 긴 컨텍스트 작업, 안전 처리, 도메인별 정확도에서 같은 신뢰성을 제공하지 못할 수 있다. Astra 관련 의혹은 증류된 시스템이 동등한 성능을 제공한다는 것을 보여주지 않으며, 그러한 시스템을 사용하는 조직이 무단 추출에 고의로 참여했다는 점도 입증하지 않는다.
이번 사건은 경쟁 측면에서도 의미가 있다. 방어 체계가 단순히 관심을 Claude에서 Astra로 옮길 뿐이라면 모델 제공업체들은 일회성 해결책이 아니라 지속적인 대응책의 순환에 직면할 수 있다. 이는 고성능 모델 제공 비용을 높이고, 제공업체가 더 엄격하게 통제되는 인터페이스, 출처 신호 또는 차등화된 접근 등급을 제공하도록 유도할 수 있다.
앞으로 지켜볼 것
첫 번째 신호는 OpenAI가 Moonshot과 연결된 캠페인에 대해 추가 세부 정보를 공개적으로 밝히는지 여부다. 여기에는 탐지한 방법과 이후 도입한 통제 수단이 포함될 수 있다. 기술적 증거가 있으면 표적화된 악용과 중국 AI 연구소들에 관한 광범위한 주장을 구분하는 데 도움이 될 것이다.
두 번째 신호는 Anthropic이 추출 데이터가 90~99% 줄었다는 주장을 독립적으로 검증한 테스트를 공개하는지 여부다. 공격 가정, 측정 방법, 적응형 공격자에 대한 성능에 관한 세부 정보가 그 수치의 의미를 결정할 것이다.
연구자와 플랫폼 운영자는 DeepSeek와 Moonshot AI의 이름이 언급된 모델 출시작에서 응답 구조, 역량 프로필 또는 행동에 이례적인 유사성이 있는지도 살펴봐야 한다. 이러한 유사성만으로 증류를 입증할 수는 없지만 학습 데이터의 출처와 평가 방법을 더 면밀히 조사하게 만들 수 있다.
마지막으로 API 제공업체들은 고객 확인, 사용 모니터링, 출력 워터마킹, 자동 수집 제한에 대해 더 많은 정보를 공개하기 시작할 수 있다. 지나치게 공격적인 통제는 실험과 개방형 연구를 어렵게 만들 수 있으므로, 이러한 조치는 합법적인 개발자와 보안팀 모두에게 중요하다.
Creati.ai의 관점
Claude에서 Astra로의 이동은 한 제공업체가 시스템 통제력을 확실히 잃었다는 증거라기보다 모델 행동에 대한 접근을 둘러싼 군비 경쟁으로 이해하는 것이 가장 적절하다. 현재 증거는 의혹이 제기된 추출의 규모나 그 결과로 만들어진 모델의 역량을 확정하기에는 너무 제한적이다.
그럼에도 이 이야기는 개발자에게 실질적인 경고를 준다. 출력 보안은 모델 배포 전략과 분리할 수 없다. 제공업체는 변화하는 공격 패턴에 적응하는 방어 체계를 갖춰야 하며, 구매자는 벤치마크의 유사성이 진정한 역량 동등성을 입증한다고 가정하지 말고 출처, 접근 정책, 독립적인 성능을 평가해야 한다.
