중국 AI 6곳이 수십억 토큰을 추출했다…‘증류’와 탈취의 경계

미국 국가안보국(NSA)·연방수사국(FBI)·사이버보안·인프라보안국(CISA)은 2026년 9월 8일 중국 AI 기업 6곳이 미국 첨단 AI 모델에서 수십억 토큰을 추출했다고 경고했다. 미국 3개 기관의 공동 경보 는 DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun, Z.AI가 최소 2024년 말부터 Claude·GPT·Gemini·Grok 계열을 상대로 수백만 건의 요청을 보냈다고 명시했다.

기관들은 이 활동을 제한된 기능과 성능을 자사 모델 학습에 이용하려는 ‘산업 규모의 악의적 증류’로 규정했다. 다만 이는 미국 정부기관의 귀속 판단과 보안 경고이며, 법원이 6개 기업의 위법 행위를 확정한 판결은 아니다. 사건의 핵심도 증류라는 학습법 자체보다 허위·공유 계정, 지역 제한 우회, 요청 경로 분산과 메타데이터 은폐가 결합됐다는 주장에 있다.

6개 기업은 어떤 모델을 겨냥했나

공동 경보가 제시한 대상은 하나의 모델이나 단일 캠페인이 아니다. 기업별 시기와 목표 기능도 다르다. 문서에 따르면 DeepSeek는 R1과 V3를 훈련하기 위해 Claude Sonnet·Opus, GPT-4·5, Gemini 2·2.5, Grok 3 Mini·4 등의 추론과 전문 기능을 수집한 것으로 지목됐다.

Moonshot AI에는 Kimi-K2·K3 개발 과정에서 Claude, GPT, Gemini와 Grok 계열의 소프트웨어 공학, 수학, 도구 사용 및 에이전트 기능을 추출했다는 혐의가 제기됐다. Alibaba는 Qwen 계열의 소프트웨어 공학과 고객 대화, 에이전트 기능을 개선하기 위해 Claude 4 계열과 GPT-5를 이용한 것으로 적시됐다.

MiniMax는 M2 개발을 위해 Claude Code와 Claude Sonnet·Opus, Gemini 및 GPT-5 계열의 추론·코딩 기능을 수집한 것으로 지목됐다. StepFun은 Step 4의 코딩·에이전트 기능을 위해 Claude와 GPT-5 계열을, Z.AI는 추론 능력 개발을 위해 GPT-5.5와 Claude Opus 4.8 데이터를 증류했다는 것이 경보의 주장이다.

이 목록은 6곳이 공동 작전을 벌였거나 각 회사가 모든 미국 모델을 똑같이 복제했다는 뜻이 아니다. ‘수십억 토큰’ 역시 모델의 원본 가중치 파일이 서버에서 빠져나갔다는 의미가 아니다. 토큰은 모델이 문장을 처리하는 단위이며, 문서가 묘사한 행위는 API와 유료 서비스에 질문을 보내 응답을 모은 뒤 합성 학습 데이터로 이용하는 방식이다.

요청을 API·클라우드·중개업체에 분산했다

미국 기관이 정상적인 연구와 구별되는 정황으로 내세운 것은 단순한 호출량이 아니다. 관련 주체들이 공식 API, 원격 클라우드 제공자, 제3자 API 통합업체, 중계 서비스와 계정 풀을 오가며 전체 활동을 한 사업자에게 보이지 않게 만들었다는 설명이다.

Defense One의 9월 8일 보도 도 공동 경보를 인용해 6개사가 여러 경로로 요청을 분산했으며 일부 제3자 통합업체가 사용자 메타데이터를 자동으로 흐리게 했다고 전했다. 따라서 이 보도는 경보의 핵심 내용을 독립 매체가 확인해 전달한 것이지만, 원시 로그를 별도로 검증해 혐의를 확정한 자료는 아니다.

경보는 지역 제한을 우회해 첨단 모델 접속권을 재판매하는 회색시장 프록시를 ‘전송소’라고 불렀다. 대량 구매한 프리미엄 구독을 여러 개발자가 공유하고, 한 경로가 차단되면 다른 클라우드나 중개 경로로 자동 전환하며, 조직을 식별할 수 있는 값을 제거하거나 무작위화했다는 주장도 포함됐다.

질문 내용도 일반적인 챗봇 사용과 달랐다는 것이 기관들의 판단이다. 특정 지식 영역이나 코딩·도구 사용·에이전트 기능을 겨냥한 유사 프롬프트가 수천 건에서 수백만 건까지 이어졌고, 모델이 공개하지 않도록 설계된 내부 추론 과정을 단계별로 출력하게 만드는 프롬프트도 사용됐다고 문서는 적었다. 방어 조치 때문에 응답 품질이 달라졌는지 자동으로 평가하는 체계도 캠페인의 일부로 분류됐다.

증류가 곧 탈취는 아니다

지식 증류 자체는 합법적인 AI 연구에도 쓰이는 학습 기법이다. 성능이 높은 교사 모델의 출력이나 확률 분포를 이용해 더 작은 학생 모델을 훈련하면 연산비용과 지연시간을 줄이고 특정 업무에 맞출 수 있다. 미국 공동 경보도 증류를 유용하고 정당한 연구 기법으로 인정한다.

경계는 기술 명칭보다 출력에 접근한 권한과 제한을 피한 방식에서 생긴다. 제공자가 허용한 API·계약 범위에서 출력을 얻고 학습과 재사용에 필요한 권리를 갖췄다면, 많은 데이터를 처리했다는 사실만으로 이번 경보가 말하는 악의적 추출과 같아지지는 않는다.

반대로 서비스가 경쟁 모델 훈련, 자동 수집, 계정 공유 또는 지역 제한 우회를 금지하는데도 허위 계정과 프록시를 조직적으로 이용했다면 약관 위반과 접근통제 문제가 발생한다. 미국 기관들이 이번 활동을 ‘탈취’에 가까운 행위로 본 근거는 답변을 학습에 이용했다는 사실 하나가 아니라 제한 기능을 겨냥한 반복 요청, 경로 전환, 신원 은폐와 차단 회피가 함께 나타났다는 판단이다.

그렇다고 약관 위반이 곧바로 모든 관할권에서 동일한 형사범죄를 뜻하는 것도 아니다. 공개 문서는 보안 경보이지 기소장이나 판결문이 아니다. 구체적인 법적 책임은 적용 법률, 계약 관계, 접근 제한의 성격, 수집한 자료와 재사용 방식에 따라 별도로 판단돼야 한다.

한국 AI API에서 볼 탐지 신호

한국 AI API 사업자에게 직접 연결되는 쟁점은 계정별 호출량만으로 분산형 추출을 찾기 어렵다는 점이다. 하나의 조직이 여러 사업자와 계정을 이용하면 각 제공자에게는 정상 범위의 작은 트래픽처럼 보일 수 있다. 계정, 결제수단, IP 주소, 사용자 에이전트, 호출 시각과 프롬프트 유사도를 함께 연결해야 전체 패턴이 드러난다.

공동 경보가 제시한 주요 신호는 다음과 같다.

• 신규 계정이나 구독이 점진적인 적응 없이 즉시 최대 사용량에 도달하는 패턴
• 사람의 휴식이나 업무시간 변화 없이 하루 24시간 이어지는 균일한 호출
• 한 계정이 여러 IP·사용자 에이전트에서 공유되거나 여러 계정이 비슷한 등록 정보와 결제수단을 쓰는 현상
• 서로 다른 클라우드와 중개 경로에서 프롬프트 순서와 호출 시점이 함께 움직이는 경우
• 차단이나 정보 공유 직후 기존 메타데이터가 갑자기 사라지거나 무작위 값으로 바뀌는 변화

각 신호는 단독으로 악성 증류를 입증하지 못한다. 글로벌 교대근무, 승인된 부하 시험, 연구 프로젝트도 24시간 호출이나 높은 처리량을 만들 수 있다. 국적이나 특정 기업을 호출 패턴만으로 단정하지 않고 계약상 권한, 고객확인 자료와 여러 신호의 지속성을 함께 살펴야 하는 이유다.

미국 기관들은 이상 프롬프트·계정·네트워크·행동을 함께 탐지하고, 악성 증류로 신뢰도 높게 판정된 요청에는 응답을 제한하거나 조정하라고 권고했다. 모델 제공자, 클라우드 사업자와 API 통합업체 사이의 정보 공유도 제안했다. 한 사업자가 차단한 운영자가 즉시 다른 경로로 이동하면 단일 서비스의 로그만으로는 캠페인을 계속 추적하기 어렵기 때문이다.

중국은 부인했고 원시 자료는 공개되지 않았다

중국 정부는 미국의 규정을 받아들이지 않았다. AP의 9월 9일 보도 에 따르면 중국 상무부는 미국의 주장을 근거 없다고 일축하고 증류는 미국을 포함한 세계 AI 업계에서 쓰이는 일반적 기법이라고 반박했다. 중국 외교부도 자국 AI 발전은 기술적 자립의 결과라며 근거 없는 비난을 중단하라고 요구했다.

이 반박은 증류 기법 자체의 정상성을 강조하지만, 공동 경보에 적시된 허위 계정, 지역 제한 우회, 경로 분산과 메타데이터 은폐 의혹을 항목별로 해명한 것은 아니다. 반대로 미국 기관도 전체 원시 로그, 기업별 총요청·토큰 수와 귀속 판단 과정을 외부 연구자가 재현할 수 있는 형태로 공개하지 않았다.

현재 확인된 상태는 미국 3개 기관이 6개 중국 기업을 명시한 공동 보안 경보를 발표했고 중국 정부가 그 주장을 부인했다는 것이다. 향후 사실관계를 좁히려면 모델 제공자의 계정·결제·호출 기록, 지목된 기업들의 구체적인 답변, 계약 위반이나 접근통제 우회를 판단할 법적 절차가 필요하다. 따라서 이 사건은 증류라는 기술 전체가 탈취로 확정된 사례가 아니라, 미국 기관이 우회·은폐를 동반한 대규모 추출로 규정했고 중국이 그 규정을 다투는 단계에 있다.