OpenAI 보호 추론 추출 시도 1만6000건, 암호 해독은 없었다

OpenAI는 2026년 9월 30일 공개한 조사에서 7월 24~25일 4000명 넘는 이용자가 자사 모델의 보호 추론을 끌어내는 패턴의 요청 1만6000건을 보냈고, 관련 활동을 7월 28일까지 차단했다고 밝혔다. 활동은 7월 1일 소규모로 시작됐으며, 추가 조사에서는 1만 5000명 넘는 이용자에게서 관련 프롬프트 패턴이 확인됐다. 핵심 활동 집단은 Kimi 개발사 Moonshot AI와 연관된 개인들로 판단됐지만, 관측된 운영자 모두가 같은 주체에 속했는지는 확인되지 않았다.

노린 대상은 다른 사람의 로그인 비밀번호나 저장된 대화 목록이 아니라 모델이 작업할 때 만드는 보호된 추론이었다. Tom's Hardware의 보도는 암호가 깨지거나 데이터베이스가 침해된 사건이 아니며 저장된 이용자 대화에 대한 직접 접근도 없었다고 전했다. 관측된 요청 건수는 추출 시도 횟수이고, 추론을 실제로 얼마나 확보했는지는 공개되지 않았다.

짧은 급증과 더 넓은 연관 계정

첫 관측 이후 활동량은 일정하지 않았다. 작은 규모로 이어지던 요청이 이틀 동안 급증했고, 조사 범위가 넓어지면서 같은 종류의 프롬프트 패턴을 쓴 더 큰 이용자 집단이 드러났다. 급증 기간에 요청을 보낸 집단과 전체 조사에서 연관 패턴이 잡힌 집단은 집계 기간과 기준부터 다르다. 앞의 요청 수를 피해자 수로, 뒤의 이용자 수를 추론 추출 성공 건수로 바꿔 읽을 수 없는 이유다.

한 이용자가 여러 요청을 보낼 수 있으므로 요청과 계정은 일대일로 대응하지 않는다. 또 연관 프롬프트가 확인됐다는 것은 그 계정에서 해당 패턴의 활동이 관측됐다는 뜻이지, 계정 주인이 타인에게 로그인 권한을 빼앗겼다는 뜻이 아니다. 조사 결과는 핵심 집단의 연관성을 제시하면서도 모든 요청을 단일 조직의 지시로 묶지는 않았다. 따라서 회사 이름을 전체 계정과 곧바로 연결하는 해석도 공개된 판단 범위를 벗어난다.

이 차이는 일반 이용자에게 돌아갈 영향의 범위를 정한다. 대량의 요청은 모델의 보호 장치를 겨냥한 조직적 활동을 보여주지만, 저장된 대화가 그만큼 열람됐다는 근거는 아니다. 특히 공격자가 시도한 행위와 실제로 손에 넣은 데이터의 양은 다른 지표다. 공개된 수치로는 개별 이용자 대화의 유출 규모를 산출할 수 없다.

보호 추론을 출력으로 끌어내려 한 방식

보호 추론은 모델이 과제를 처리하면서 만드는 내부 기록으로, 이용자에게 보이는 최종 답변과 구별된다. 최종 답변에서 제외된 내용이나 문제를 해결한 과정을 담을 수 있어, 이를 체계적으로 모으면 다른 모델을 학습시키거나 기존 모델의 역량을 재현하는 데 쓰일 수 있다. 이번 활동이 적대적 모델 증류의 양상과 일치한다고 판단된 까닭은 요청의 대상과 반복된 추출 패턴에 있다.

관측된 방식 중 하나는 한 대화의 암호화된 추론을 다른 대화로 옮긴 뒤, 모델에 그 안의 내용을 풀어 적으라고 요구하는 것이었다. 여기서 중요한 경로는 암호 알고리즘을 깨는 계산이 아니라, 모델이 받은 입력을 처리하고 답을 생성하는 과정이다. 보호되어야 할 내용이 요청자에게 보이는 문장으로 나오도록 유도하는 시도였으며, 정식 로그인 절차를 우회해 다른 이용자의 대화 목록을 여는 행위와는 구조가 다르다.

모델 증류는 한 모델의 출력이나 추론을 다른 모델의 학습, 재현 또는 개선에 쓰는 행위를 가리킨다. 계정 탈취는 타인의 로그인 권한을 얻는 일이고, 이용자 데이터 유출은 대화나 개인정보 같은 저장 정보를 외부로 빼내는 일이다. 세 경우는 표적 자산과 접근 경로가 다르다. 이번 조사에서 드러난 활동의 직접 표적은 모델의 보호 추론이므로, 관측된 계정 수를 탈취된 계정 수로 해석할 근거가 없다.

다만 보호 추론 자체가 언제나 개인정보와 무관한 것은 아니다. 암호화된 추론 블록을 이미 가진 사람이 이를 다른 맥락에서 재전송해 내용을 복원할 수 있었던 경로가 확인됐고, 대응 과정에서 그 경로가 차단됐다. 따라서 저장된 대화에 대한 직접 침입이 없었다는 사실과 추론 산출물의 이동에 따른 정보 노출 위험은 함께 이해해야 한다.

별도 연구의 개인정보 수치를 혼동하면 안 되는 이유

이동 가능한 추론 블록의 위험은 별개로 공개된 연구에서도 드러났다. 8월 10일 공개된 보안 연구는 공개 저장소에서 수집한 암호화 추론 블록 31만 5320개를 복원해 개인 식별 정보 흔적 367건과 자격증명 182건을 찾아냈다고 보고했다. 연구진이 분석한 것은 공개된 개발 기록이며, 조직적 캠페인의 요청 기록이나 그 캠페인에서 확보한 자료가 아니다.

연구에서 검토한 구조에서는 암호화된 추론 블록이 클라이언트로 전달되고 다음 요청에 다시 실릴 수 있었다. 블록을 만든 모델보다 보호가 약한 같은 제공업체의 모델에 이를 건네면, 그 모델이 내용을 평문으로 출력하도록 유도할 수 있었다. 연구가 보여준 것은 이런 재전송 경로가 실제 정보 노출로 이어질 수 있다는 점이다. 공개 저장소에서 발견된 자격증명을 이번 캠페인의 피해 수치에 더하면 조사 대상과 수집 경로가 다른 자료를 하나로 합치는 오류가 생긴다.

두 사건에는 보호 추론을 원래 대화 밖으로 옮길 수 있다는 공통된 기술 문제가 있다. 그러나 연구진의 분석 대상은 이미 공개된 기록이고, 캠페인의 관측 대상은 모델에 들어온 추출형 요청이다. 전자는 복원된 블록에서 무엇이 나왔는지를 세었고, 후자는 의심스러운 요청과 연관 계정을 셌다. 같은 기술 영역을 다룬다고 해서 두 숫자가 동일한 피해 규모를 가리키는 것은 아니다.

차단은 계정과 추론 재전송 경로에 적용됐다

대응은 계정 제재와 기술적 통제를 함께 진행하는 방식이었다. 부정 계정을 차단하거나 제한하고 가입 및 인프라 통제를 강화했으며, 관련 네트워크에 대한 감시를 확대했다. 타사 서비스를 거쳐 이뤄진 활동에 대해서는 해당 서비스 제공업체와 연루 계정을 식별하고 차단하는 작업을 진행했다. 이는 같은 패턴이 다른 접속 경로로 이어지는 것을 어렵게 하려는 조치다.

기술적 조치는 보호 추론이 다시 투입되거나 출력되는 지점에 맞춰졌다. 다른 이용자의 암호화된 추론을 가진 사람이 이를 재전송해 내용을 복원할 수 있었던 경로를 닫고, 추론을 드러낼 가능성이 있는 스트리밍 출력을 탐지해 전송을 보류하는 검사도 추가했다. 보호 조치는 이용자뿐 아니라 워크스페이스, 조직, 모델 계열 전반으로 확대됐다. 개별 프롬프트에 대한 거부만으로는 대화와 모델 사이를 오가는 산출물을 다루기 어렵기 때문이다.

조사 결과는 프런티어 모델 포럼과 정부 정보 공유 채널에도 전달됐다. 다음 과제는 파트너가 호스팅하는 배포 환경에 직접 제공하는 서비스와 같은 보호 조치를 적용하고, 일반 텍스트 밖의 도구 출력에 숨은 공격까지 검사하는 것이다. 그 작업이 완료되기 전까지는 암호화된 추론 산출물이 다른 대화나 서비스로 옮겨질 때의 경로가 이 사건의 핵심 감시 대상이다.

함께 읽기: