은시계 안의 돌 — 증류를 넘어 껍데기로 칼럼 썸네일

시작하며 - 시계를 든 사람은 시계 안에 무엇이 들었는지 몰랐다

『강철의 연금술사』에서 국가연금술사는 은시계를 받는다. 신분증이자 특권의 증표다. 이 시계를 지닌 자는 국가의 연구비와 기밀 자료, 소령급 권한을 얻는다. 대신 군에 복종해야 하고, 유사시에는 인간병기로 불린다.

2003년 애니메이션판은 이 시계에 설정을 하나 더 얹었다. 은시계가 단순한 신분증이 아니라 연성을 증폭시키는 장치라는 것이다. 시계를 쥔 연금술사는 자기 실력 이상의 연성을 해낸다. 그 증폭의 동력이 어디서 오는지를 두고는, 작중의 소문과 팬덤의 해석이 오래 유통됐다. 현자의 돌 조각이 들어 있는 것 아니냐는 것이다.

그럴듯한 해석인 이유는 이 작품의 근본 설정 때문이다. 현자의 돌은 인간의 목숨을 재료로 만들어진다. 등가교환을 건너뛰는 유일한 방법이 그것이다. 돌을 쥔 사람은 자기가 지불하지 않은 대가로 기적을 행한다. 대가는 이미 누군가가 지불했다. 다만 지불한 쪽은 그 사실을 말할 수 없는 상태다.

시계를 자랑스럽게 차고 다니던 연금술사 대부분은 그 안에 무엇이 들었는지 몰랐다. 아는 자는 위에 있었고, 모르는 자가 그 힘을 썼다. 이 작품의 잔인함은 괴물이 아니라 무지한 수혜자를 그린 데 있다.

2026년 9월, 이 구도가 AI 산업에서 반복됐다.

2026년 2월까지 중국 AI 랩과 미국 프론티어 랩 사이의 분쟁은 학습 데이터 문제였다. 남의 모델 출력을 긁어다 자기 모델을 훈련시켰다는 것. 도덕적으로 지저분하지만 기술적으로는 흔한 일이고, 법적으로도 회색지대다. 증류(distillation) 자체는 정당한 훈련 기법이다. 프론티어 랩들은 자기 모델을 증류해 경량판을 만드는 일이 흔하다.

2026년 9월 10일 Anthropic이 공개한 위협 인텔리전스 보고서는 새로운 충격을 우리에게 줬다. 보고서는 Moonshot AI가 자사 고객의 실시간 요청을 Claude로 넘기고, Claude의 답변을 Kimi의 답변인 것처럼 표시했다고 주장한다. DeepSeek도 같은 일을 했고, 방식은 더 선별적이었다.

이것은 더 이상 학습 데이터 문제가 아니다. 인공지능 경쟁에서 핵심 경쟁력인 AI의 퀄리티, 제품 정체성 문제다. 사용자가 Kimi를 골랐고, Kimi 요금을 냈고, Kimi UI와 API를 보고 있었는데, 실제로 답한 것은 Claude였다면, 그 사용자가 산 것은 모델이 아니라 껍데기다.

껍데기는 은시계다. 겉에는 Kimi의 문양이 새겨져 있고, 안에서 실제로 연성을 일으킨 것은 다른 데서 온 무엇이다. 그리고 그 대가는 시계를 든 사람이 아니라, 자기 프롬프트가 어디로 가는지 몰랐던 사용자들이 지불했다.

이 칼럼은 네 가지를 이야기할 것이다.

첫째, 보고서가 실제로 무엇을 주장했고 무엇을 주장하지 않았는지 정리한다.

둘째, 왜 이런 선택이 나왔는지 중국 AI 산업의 구조에서 원인을 찾는다.

셋째, 근거의 한계를 분명히 한다. 지금 유통되는 수치의 상당수는 보고서에 없는 숫자다.

넷째, 이 사건을 개인정보의 관점에서 다시 읽고, 중국의 인공지능 산업이 어디로 갈 것인지를 묻는다.

1. 보고서가 말한 것

문서는 Detecting and countering misuse of AI: September 2026이고, 154쪽 중 증류 챕터는 마지막 12쪽(143–154p)이다. 대상 기간은 2025년 12월–2026년 8월이며, 사이버 작전·영향력 공작·감시·사기·생물학·재래식 무기·증류 등 일곱 개 영역 중 증류는 마지막 항목이다. 언론이 헤드라인으로 뽑은 것과 달리, 분량상으로는 부록에 가깝다.

지목된 랩과 수치

랩 GTG 코드 측정 기간 교환 건수(하한) 계정 수
알리바바 (Qwen) GTG-16005 2026년 5~7월 1억 5,100만+ 피크 시 3,500+ / 1차 풀 약 5,000
Moonshot AI GTG-16002 2026년 5~7월 2,300만+ 10일 사례에서 5,380
DeepSeek GTG-16001 2026년 7월 중 14일 1,210만+ 미공개
Zhipu (Z.ai) GTG-16006 2026년 6~7월 중 17일 340만+ 273
Xiaomi GTG-16008 2026년 3~4월 중 20일 40만+ 1,500+
SenseTime GTG-16012 / 16003 미공개 수치 없음 미공개
MiniMax GTG-16012 / 16003 미공개 수치 없음 미공개

일곱 개 랩, 다섯 개 수치다. 세 개가 아니다.

세 가지 다른 행위를 구분해야 한다

보고서를 읽을 때 가장 많이 뭉개지는 지점이다. 성격이 전혀 다른 세 가지가 "증류"라는 한 단어에 들어가 있다.

(1) 추론 궤적 추출 — Claude는 원시 사고 과정(chain of thought)을 그대로 보여주지 않고 요약본과 암호화된 참조값(thinking signature)만 반환한다. 알리바바는 모든 요청에 고정 프롬프트를 주입해 추론을 인라인 태그 안에 쓰도록 유도했고, 쯔푸(Zhipu)는 확보한 궤적을 다시 Claude에 통과시켜 학습용으로 정제했다. 열흘간 77만 609건이 그 정제기를 지났다.

(2) 세션 간 재생 공격(cross-session replay) — 보고서에서 기술적으로 가장 정교한 수법이고, Moonshot과 DeepSeek에 귀속된다. 한 응답에서 받은 thinking signature를 저장해 두었다가 새 세션에서 그 값을 되돌려 원시 추론을 복원시키는 방식이다. 요약 처리로 가려졌어야 할 궤적이 통째로 빠져나갔다.

(3) 실시간 릴레이 — 이번 보고서의 새 주장 — 자사 고객의 요청을 Claude로 넘기는 것. Moonshot은 Kimi로 처리하지 않고 조용히 Claude로 보냈고, 대부분 Opus로 라우팅했으며, 답변을 사용자에게 그대로 표시했다. DeepSeek은 더 선별적이었다. 인바운드 요청의 문자열을 검사해 Claude Code, Claude Agent SDK, OpenCode 같은 코딩 하네스로 들어온 사용자를 태깅한 뒤, 그 중 일부만 Opus로 넘겼다.

Xiaomi는 별개로 봐야 한다. MiMo 사용자의 세션을 저장했다가 Claude에 재생해 학습 데이터를 만들었지만, Claude의 답을 사용자에게 되돌려줬다는 증거는 없다고 보고서가 명시했다. 국내 일부 보도가 이 구분을 지웠다.

2. 왜 UI와 인터페이스로 덮었나? — 네 가지 원인

원인 1 - 출시 시계가 기술 개발 주기보다 빠르다

2026년 여름 중국 AI 업계에서 "8주 5모델"이라는 말이 나왔다. Qwen3.8-Max, Kimi K3, DeepSeek-V4-Flash, GLM-5.2, Seedance 2.5가 연달아 나온 국면을 가리킨다. 이 속도에서 랩이 감당해야 하는 것은 연구가 아니라 살인적인 일정이다.

출시일은 고정돼 있고 벤치마크 점수는 나와야 하는데 모델은 아직 그 점수를 못 낸다. 이때 선택지는 세 개다. 연기하거나, 낮은 점수로 내거나, 다른 데서 빌려오거나. 앞의 두 개는 중국 AI 자본시장에서 치명적이다. 세 번째가 남는다.

원인 2 - 벤치마크가 자본 배분의 유일한 신호다

이게 승자독식 구조의 핵심이다. 중국 AI 섹터에서 벤치마크 순위는 단순한 마케팅 자료가 아니다. 지방정부 보조금, 국유기업 조달, 컴퓨트 할당, 후속 라운드 밸류에이션이 모두 그 숫자에 연동돼 있다. 1위와 3위의 차이는 점수 2점이 아니라 생존과 소멸이다.

백모대전(百模大戰)에서 살아남은 랩들이 지금의 6~7개다. 나머지 수십 개는 조용히 사라졌다. 살아남은 쪽이 배운 교훈은 명확하다. 정직한 2위는 죽고, 어떻게든 만든 1위는 살아 남는다. 이 학습 결과가 중국식 내권(內卷, involution) 경쟁의 최종 형태다. 모두가 같은 자원을 두고 제로섬으로 밀어붙이면, 규범을 먼저 어기는 쪽이 단기 우위를 갖고, 그 우위를 본 나머지가 따라 어긴다.

Anthropic이 2월 보고서에서 지목한 랩은 셋이었다. 9월에는 일곱이다. DeepSeek의 집계치는 2월 15만 건에서 9월 14일간 1,210만 건으로, Moonshot은 340만에서 2,300만으로 늘었다. 확산 속도 자체가 이 구조를 증언하고 있다.

원인 3: 정상 채널이 막혀 있다

Anthropic은 중국에 Claude를 판매하지 않는다. 그래서 이 모든 접근은 중개소(中轉站, transfer station)를 거친다. 보고서는 이들이 위조 신원, 도난 신용카드, 탈취된 API 키로 계정을 대량 생성한다고 설명하고 있다.

여기서 구조적으로 중요한 대목이 하나 있다. Anthropic이 알리바바의 1차 계정 풀 약 5,000개를 차단하자 트래픽이 2차 풀로 옮겨갔는데, 그 계정 일부는 DeepSeek과 Xiaomi의 요청도 함께 나르고 있었다. 같은 신용 정보의 프록시망을 여러 조직이 공유한다는 뜻이다. 이는 두 가지를 의미한다.

첫째, 중개소 생태계는 개별 랩의 일탈이 아니라 산업 공용 인프라다.

둘째, 계정 하나만 보고 어느 랩의 요청인지 단정할 수 없다 — 확인의 난이도가 그만큼 높다는 뜻이기도 하다.

원인 4: 릴레이가 증류보다 데이터 품질이 높다

이 부분이 기술적으로 가장 흥미롭다. 왜 굳이 자기 고객을 넘기나? 합성 프롬프트로 긁는 것보다 훨씬 위험한데도.

답은 데이터 분포다. 연구자가 만든 프롬프트 세트는 실제 사용자의 요청 분포와 다르다. 오타, 맥락 누락, 중간에 바뀌는 요구사항, 진짜 코드베이스, 진짜 업무 문서 — 이런 것이 섞인 실사용 프롬프트와 그에 대한 프론티어 모델의 응답 쌍은 지도학습 데이터로서 가치가 압도적으로 높다. 릴레이는 분포 일치 문제를 한 번에 해결한다. 게다가 사용자 만족도까지 동시에 올라간다. 부정행위 하나로 학습 데이터와 제품 품질을 같이 얻는 구조가 될 수 있다.

유저의 다양한 질문에 앞선 Claude의 대답을 고객도 만족하고, 그 답을 카피한 중국 모델도 발전하게 된다.

나루토의 기술 카피 닌자 하타케 카카시처럼, 카피는 가장 저렴한 전략이다.

3. 여파

보안 - 릴레이된 것은 프롬프트가 아니라 업무였다

증류와 릴레이의 결정적 차이가 여기서 나온다. 합성 프롬프트에는 비밀이 없지만, 실제 고객 요청에는 있다. 보고서가 든 사례들은 다음과 같다.

사용자 경유 Claude에 도달한 것
PLA 연계로 평가되는 사용자 Moonshot 청두 지역 수백 대 카메라에서 수집된 특정 인물 CCTV 아카이브
중국 대형 국유기업 엔지니어 Moonshot 여러 대기업의 내부 코드와 유효 자격증명
중국 기술기업 직원 DeepSeek 핵심 AI 프로그램의 사양·조직 구조·목표
러시아 국방 연계 기관 IT 운영자 DeepSeek 러시아 정부 DB 접속용 유효 자격증명
경찰 사건 시스템 개발팀 DeepSeek 주민번호로 이동 기록을 대조하는 도구

보고서는 라우터를 통해 들어온 한 사용자가 제약사의 2026~2028년 설비투자 추정치(호치민·쿠알라룸푸르·방콕·류블랴나 사이트)를 붙여넣은 사례, 다른 개발자가 디버깅 중 Telegram 봇 토큰과 Feishu appSecret, Notion 통합 키를 붙여넣은 사례도 인용한다. 두 사람 모두 제3의 랩이 자기 작업을 볼 거라고는 생각하지 않았다.

역설이 선명하다. 미국산 AI를 안보 이유로 경계하던 쪽이, 중국산 AI에 넣은 기밀을 뒷문으로 미국 랩에 보내고 있었다는 것이 Anthropic 주장의 요지다.

기술 - 안전장치는 복제되지 않는다

보고서의 논리 중 가장 무게가 실린 대목이다. 모델의 일반 추론 능력은 거의 모든 과제 성능을 끌어올리므로, 증류로 얻은 이득은 표적 영역 바깥으로도 번진다. 그런데 Claude의 안전장치는 복제본으로 이전되지 않는다. 능력만 복사되고 제동장치는 남는 구조다.

쯔푸 사례가 이 지점의 실증이자 경고다. Zhipu는 처음에 Fable의 사이버 능력을 노렸다가 안전장치에 막혀 포기했고, 이후 안전장치가 더 약하다고 판단한 Opus 4.6과 다른 미국 랩의 모델로 표적을 옮겼다. 최신 모델 방어는 작동했지만, 그 결과 공격이 여전히 판매 중인 구형 모델로 이동했다는 뜻이다.

산업: 모델 출처(provenance)가 조달 항목이 된다

이번 사건의 실질적 파급은 중국 랩 규제가 아니라 공급자 투명성이다. 릴레이된 트래픽의 상당수가 미국·유럽에서 흔히 쓰는 서드파티 라우터를 통해 들어왔다. 즉 이것은 "중국 모델을 쓰지 말라"는 교훈이 아니다.

기업이 지금 점검해야 할 항목은 다음과 같다.

  • 모델 치환 금지 조항 — 계약서에 "표시된 모델로 처리한다"와 "서브프로세서 전원 서면 고지"를 명시
  • 라우터·리셀러 실사 — 보존 기간, 로그 판매 여부, DPA 체결. 비정상적으로 싼 접근은 중개소일 확률이 높다
  • 키 관리 — 최소 권한, 지출 알림, 이상 사용 모니터링, 즉시 폐기 경로. 보고서에는 정상 기업의 탈취된 키로 남의 증류가 돌아간 사례가 나온다
  • 프롬프트 DLP — 자격증명·재무 추정치가 프롬프트에 들어가는 것을 스캐닝으로 차단

지정학 리스크 - 이미 협상 테이블 위에 있다

보고서 이틀 전인 9월 8일, FBI·NSA·CISA가 공동 권고 AA26-251A를 냈다. 중국 AI 기업 여섯 곳을 산업 규모 증류로 지목했고, 중국 정부가 이를 인지하고 있었을 가능성이 있다고 적었다. 두 문서에 공통으로 등장하는 곳은 다섯이고, StepFun은 정부 권고에만, Xiaomi와 SenseTime은 Anthropic 보고서에만 나온다.

중국 상무부는 9월 9일 미국 권고에 대해 근거 없다고 반박하며 AI 산업 독점 시도라고 규정했고, 증류는 미국을 포함해 전 세계가 쓰는 일반적 관행이라고 주장했다. 단, 이 반박은 정부 권고를 향한 것이지 Anthropic 보고서를 향한 것이 아니다.

4. 근거의 한계

Anthropic의 단일 리포트로 중국 인공지능 팀이 증류를 넘어 유저의 질문과 답을 릴레이하여 처리했다는 점은 심각한 문제로 전이될 사안이다. 하지만, 이 단일 리포트에서만 이 문제를 거론하고 있는 점에서 그 한계점을 살펴보아야 한다.

(1) 단일 출처다. 모든 수치는 Anthropic 자체 텔레메트리와 자체 귀속 판단이다. 외부 감사를 거치지 않았고, 지목된 일곱 곳 중 어느 곳도 공식 반박을 내놓지 않았다. Bloomberg·CNBC·SCMP 보도는 모두 같은 수치를 옮긴 것이라 독립 검증이 아니다. (SCMP는 알리바바가 소유주임을 기사에 공시했다.)

(2) 검증 방법 설명이 후퇴했다. 2월 공개 때는 IP 상관관계, 요청 메타데이터, 인프라 지표, 업계 파트너 확인 등 방법을 랩별로 설명했다. 9월 보고서는 "PRC 소재 특정 랩에 높은 신뢰도로 확인"이라는 한 문장으로 끝낸다. 사례별 검증 방법은 없다.

(3) "2억 건"은 보고서에 없는 숫자다. 1억 8,990만이라는 수치는 다섯 개 하한값을 기자들이 더한 것이다. 보고서는 총계를 정확히 숫자로 이야기하지 않았다. 게다가 각 값은 "~이상"이고 측정 창이 14일에서 3개월까지 제각각이다. 서로 다른 창의 하한값을 더한 합은 기간 총계도 아니고 비율도 아니다.

(4) 릴레이 수치는 딱 하나다. 이 점이 가장 중요하다. 공개된 릴레이 수치는 Moonshot의 10일간 약 30만 건 하나뿐이다. 하루 3만 건꼴이고, Moonshot에 귀속된 2,300만 건의 약 1.3%다. 5~7월 전체로 환산하면 일평균 25만 건 이상인데, 릴레이 사례는 그 일평균의 12% 수준이다. 즉 Moonshot과 DeepSeek에 귀속된 트래픽의 대부분은 "사용자 재라우팅"으로 설명되지 않는 부분이 있다. 비즈니스인사이더는 2,300만 건 전체를 재라우팅으로 옮겨 적었고, SCMP는 반대로 DeepSeek 규모를 미공개라고 썼다. 아직 얼마나 증류했는지, 얼마나 라우팅했는지 알 수 없다.

(5) 모델별 인과는 제시되지 않았다. 보고서는 어느 수치가 어느 모델을 훈련시켰는지 분해하지 않는다. Kimi K3는 보고서 본문에 아예 등장하지 않는다. K3가 최신 Claude로 불법 훈련됐다는 발언은 Anthropic 위협인텔리전스 책임자가 9월 3일 CNBC 인터뷰에서 한 것이지 보고서에 실린 내용이 아니다.

(6) 계정 산술이 문서 간에 맞지 않는다. 6월 상원 은행위 서한(4월 22일~6월 5일, 45일)은 알리바바에 대해 2,880만 건·약 2만 5,000 계정을 적었다. 9월 보고서는 더 긴 기간에 1억 5,100만 건·1차 풀 약 5,000 계정이다. 계정 수가 절반 기간에 다섯 배다. 집계 규칙이 달랐을 수 있지만 보고서는 그 규칙을 밝히지 않는다.

이 여섯 가지가 보고서의 가치를 희석시키지 않는다. 다만 "확정된 사실"과 "한쪽 당사자의 로그에 근거한 주장"은 다른 등급으로 취급해야 한다. 인용할 때는 "Anthropic이 자사 텔레메트리를 근거로 주장했고 해당 기업들은 응답하지 않았다"는 형태의 출처 귀속이 정확하다.

5. 개인정보의 관점 — 동의 없는 재위탁

지금까지의 논의는 기업 대 기업의 분쟁이었다. 그런데 이 사건에서 가장 확실하게 손해를 본 당사자는 소송을 걸 수도, 사실을 알 수도 없는 쪽이다. 바로 사용자다.

현자의 돌의 재료가 된 사람들은 자기가 재료가 됐다는 사실을 증언할 수 없다. 이 우화의 잔인함은 거기에 있다. 릴레이 사건도 같은 구조다. 프롬프트를 입력한 사람은 자기 요청이 어디로 갔는지 알 수 없고, 알았다 해도 그것을 입증할 로그가 자기 손에 없다.

동의의 범위가 무너졌다

개인정보 처리의 출발점은 동의의 범위다. 사용자는 Kimi에 자기 데이터를 맡기는 데 동의했다. 그 동의 안에 "Moonshot이 적절하다고 판단하면 미국 소재 제3의 AI 기업으로 내 프롬프트를 전송해도 좋다"는 항목은 없었다.

이것을 개인정보 법제의 언어로 옮기면 미고지 재위탁이자 미고지 국외이전이다. 한국 개인정보보호법은 처리 위탁 시 수탁자를 공개하도록 하고(제26조), 재위탁은 위탁자의 동의를 받도록 한다. 국외이전은 별도 고지와 동의를 요구한다(제28조의8). GDPR도 같은 구조다. 제28조는 하위 처리자를 사전 고지 없이 붙이지 못하게 하고, 제44조 이하는 제3국 이전에 별도 근거를 요구한다.

보고서 자체도 이 지점을 짚었다. 이런 관행이 각국 프라이버시 법과 해당 랩들 자신의 이용약관 모두에 부합하지 않을 가능성이 높다고 결론 냈다.

아이러니는 중국 법에도 걸린다는 점이다

중국 개인정보보호법(PIPL)은 세계에서 가장 엄격한 국외이전 규정을 가진 축에 속한다. 국외 제공에는 안전평가, 표준계약, 인증 중 하나를 거쳐야 하고, 개인별 별도 동의가 필요하다. 국가 안보 관련 데이터는 데이터안전법과 국가정보법의 통제를 받는다.

Anthropic이 든 사례 중 청두 지역 다수 카메라에서 모은 특정 인물의 CCTV 아카이브가 미국 랩 서버에 도달했다는 대목은, 중국의 관점에서 보면 미국 기업 문제가 아니라 자국 데이터 주권 사고다. 국유기업 엔지니어의 내부 코드와 유효 자격증명도 마찬가지다.

미국산 AI를 안보 이유로 막아 온 체계가, 국내 AI 서비스의 뒷문을 통해 그대로 뚫렸다는 구도다. 이 사안이 중국 내부에서 어떻게 처리되는지는 아직 공개되지 않았다.

개인정보만의 문제가 아니다

릴레이된 것은 개인식별정보에 국한되지 않는다. 제약사의 3개년 설비투자 추정치, 대기업 내부 코드, 살아 있는 API 토큰과 앱 시크릿이 함께 나갔다. 한국 법으로 보면 개인정보보호법이 아니라 부정경쟁방지 및 영업비밀보호법의 영역이다.

기업 입장에서 실질적 위험은 여기에 있다. 개인정보 유출은 규제기관 신고와 과징금으로 끝나지만, 설비투자 계획과 자격증명 유출은 경쟁 포지션과 시스템 무결성에 직접 꽂힌다. 그리고 두 번째 유형은 유출 사실을 인지할 방법이 없다. 자격증명이 로그에 남지 않고 제3자 서버로 넘어갔다면, 피해자는 그 키가 쓰이기 전까지 아무것도 모른다.

보고서가 답하지 않은 세 가지

프라이버시 관점에서 가장 불편한 질문들은 보고서에 답이 없다.

첫째, 데이터가 넘어간 기업들에게 통지했는가. 보고서는 당국 및 업계 파트너와 정보를 공유했다고만 적었다. 청두 CCTV 아카이브의 대상이 된 개인, 코드가 유출된 국유기업, 토큰이 노출된 개발자가 통지를 받았는지는 나오지 않는다.

둘째, Anthropic이 지금 보유한 그 민감 데이터는 어떻게 처리되는가. 이건 사소한 문제가 아니다. 릴레이 사건의 결과로, Anthropic은 자기가 요청한 적 없는 타국 기업의 내부 코드와 자격증명, 감시 영상 아카이브를 자기 로그에 갖게 됐다. 보유 기간, 접근 통제, 파기 정책에 대한 설명이 보고서에 없다.

셋째, 피해자는 자기가 피해자인지 알 수 있는가. 지금 구조에서는 알 수 없다. Kimi를 쓴 한국 개발자가 자기 프롬프트가 릴레이 대상이었는지 확인할 방법은 존재하지 않는다.

사용자가 지금 할 수 있는 것

법제는 느리게 따라온다. 그 사이 실무에서 통하는 통제는 계약과 기술 두 가지뿐이다.

  • 계약: 모델 치환 금지 조항, 서브프로세서 전원 서면 고지, 국외이전 명시, 제로 리텐션 옵션, 감사권. 규제를 기다릴 필요가 없다. 조달 문서 한 줄이면 된다.
  • 기술: 프롬프트 DLP로 자격증명과 재무 수치를 사전 차단, 최소 권한 키와 즉시 폐기 경로, 민감 워크로드의 온프레미스 분리.
  • 습관: 모델 제공자가 누구든, 프롬프트에 붙여넣는 순간 그것은 내 통제를 떠난다. 상용 API든 오픈웨이트 호스팅이든 마찬가지다.

6. 맺으며 — 산자이에서 프론티어까지, 중국식 산업 육성의 문법

이 사건에서 가장 오래 남을 교훈은 인공지능의 국적 문제가 아니다.

LLM 시장은 지난 2년간 브랜드가 곧 모델이라는 전제 위에서 굴러왔다. Kimi를 쓴다는 건 Kimi 가중치가 내 토큰을 처리한다는 뜻이고, 그래서 벤치마크 점수가 구매 결정의 근거가 될 수 있었다. 릴레이는 그 전제를 깬다. 브랜드와 추론 주체가 분리 가능하다면, 벤치마크는 내가 실제로 받는 것에 대해 아무것도 보증하지 않는다.

그리고 이건 중국 랩만 할 수 있는 일이 아니다. 같은 보고서에 러시아·우크라이나어 사용자 그룹 GTG-50021이 나온다. 싼 Claude 접근을 판다고 광고한 뒤 실제로는 다른 모델로 몰래 프록시하면서 가입자의 Anthropic 자격증명을 훔쳐 되팔았다. 구조는 똑같다. 다른 점은 규모뿐이다.

산자이(山寨)는 짝퉁이 아니라 경로였다

개혁개방 이후 중국은 복제 제품을 월마트 매대에 올려 시장 지배력을 키웠다. 이것을 산자이(山寨, 한국에서 흔히 산차이·샨자이로도 표기)라 부른다. 특허를 때론 무시하고, 로열티가 없는 제품으로 서구 시장을 성공적으로 교란했다.

그런데 산자이를 단순한 짝퉁으로만 읽으면 다음 단계를 놓친다. 선전의 산자이 휴대폰 생태계는 베끼는 데서 시작했지만, 듀얼심·초대용량 배터리·현지 언어 지원처럼 원본에 없던 기능을 아프리카와 동남아 시장에 맞춰 얹었다. 모방에서 출발해 현지화 개조를 거쳐 독자 진화로 넘어간 것이다. 트랜션(Transsion)이 아프리카 휴대폰 시장 1위가 된 경로가 정확히 여기다.

산자이의 본질은 복제가 아니라 학습 비용의 외부화다. 남이 지불한 R&D 비용을 건너뛰고 시장 검증된 설계에서 출발한다. 릴레이는 이 문법의 AI 버전이다. 프론티어 랩이 수십억 달러로 만든 추론 능력을, 자기 고객의 실제 질문을 매개로 저비용에 가져온다.

중국 산업정책의 공통 문법

산자이가 개별 기업의 전략이라면, 그 위에는 국가의 문법이 있다. 공유 자전거·자동차, 배달 앱, 숏폼, 전기차가 모두 같은 4단계를 지났다.

  1. 진입장벽을 낮춰 수백 개를 난립시킨다. 규제는 나중에 만든다.
  2. 보조금과 자본으로 출혈 경쟁을 방치한다. 이 단계에서 규범 위반은 비용이 아니라 속도의 일부로 계산된다.
  3. 살아남은 소수에 자원을 집중한다. 공유 자전거는 오포·모바이크 난립 뒤 정리됐고, 배달 앱은 메이퇀과 어러머로 수렴했으며, 숏폼은 더우인·콰이서우가 남았다.
  4. 그 승자를 글로벌로 내보낸다. 틱톡, BYD, 트랜션이 그 결과물이다.

전기차는 지금 3단계 중반이다. 한때 백 개를 훌쩍 넘던 업체가 보조금 축소와 가격 경쟁으로 정리되는 중이고, 정부는 살아남을 소수의 해외 진출을 밀고 있다.

AI 랩도 같은 곡선 위에 있다. 백모대전에서 6~7개가 남았고, 이들은 지금 2단계 끝과 3단계 사이에 있다. Anthropic 보고서가 포착한 것은 그 단계에서 규범이 어떻게 취급되는지다. 걸리면 그때 정리하고, 살아남으면 규범 준수 기업이 된다. 화웨이와 BYD가 지금 지식재산권 소송에서 원고 쪽에 서는 것처럼 말이다.

그러나 이번에는 선이 다르다

중국 AI 랩의 성장은 눈부시다. 체면을 가리지 않고 증류를 통해 탁월한 성과를 만들어낸 점은 인정할 부분이다. 벤치마크 격차는 실제로 좁혀졌고, 가격 대비 성능에서는 이미 우위다.

다만 이전 사이클과 결정적으로 다른 점이 하나 있다. 산자이 휴대폰은 남의 설계를 베꼈지, 남의 고객 데이터를 나르지는 않았다. 짝퉁 노키아를 산 사람의 통화 내용이 핀란드로 전송되지는 않았다.

릴레이는 모방이 아니다. 동의 없는 재위탁이다. 지식재산권 침해는 기업 간 분쟁으로 정리할 수 있지만, 이건 제3자인 사용자의 권리를 소모해 경쟁 비용을 조달한 것이다. 4단계 문법이 이번에도 작동해서 소수의 승자가 남고 그들이 규범 준수 기업으로 전환한다 해도, 그 과도기의 청구서는 이미 사용자가 프라이버시로 지불한 뒤다.

누가 청구서를 받는가?

『강철의 연금술사』에는 두 개의 결말이 있다.

2003년 애니메이션판에서 이슈발 학살에 가담한 국가연금술사들은 거의 아무도 좋은 끝을 맞지 못한다. 로이 머스탱은 눈 한쪽을 잃고 변방의 하사로 강등된다. 인기 캐릭터에게 작품이 직접 청구서를 내민 것이다.

원작 만화와 브라더후드는 다르다. 같은 인물이 무고한 사람들의 영혼이 담긴 현자의 돌로 눈을 되찾고, 더 높은 자리로 올라간다. 원죄는 같은데 청구서는 오지 않는다.

지금 AI 산업이 어느 쪽 결말로 가고 있는지는 아직 정해지지 않았다. 중국 상무부는 이미 반격을 예고했고, 지목된 일곱 곳 중 어느 곳도 응답하지 않았다. 미·중 정상회담 의제에 오르면 이 사안은 기술 윤리가 아니라 협상 카드가 된다. 그리고 협상 카드가 된 문제가 개인의 프라이버시 구제로 이어진 전례는 많지 않다.

산업 정리는 예정대로 진행될 것이다. 소수의 승자가 남고, 그 승자는 규범 준수 기업으로 전환할 것이다. 화웨이가 그랬고 BYD가 그랬다. 다만 그 전환의 비용은 이미 지불됐고, 지불한 쪽은 자기가 지불했다는 사실조차 모른다.

LLM은 엑셀이지 오라클이 아니다

LLM은 좀 더 효율적인 계산을 위한 엑셀이지, 모든 것을 예언하는 오라클이 아니다. 도구이므로 무엇이 들어가고 무엇이 나오는지 확인할 수 있어야 한다. 그런데 지난 2년간 우리는 그 확인을 벤치마크 리더보드에 외주 줬다. 릴레이 사건이 드러낸 것은 중국 AI의 도덕성이 아니라, 우리가 추론 주체를 검증할 수단 없이 구매해 왔다는 사실이다.

중국을 비롯해 어떤 LLM을 유료로 사용하든, 내가 입력한 데이터가 제3의 업체로 라우팅되거나 학습에 사용될 수 있다는 점을 잊지 말아야 한다. 인공지능을 사용하며 우리는 제3자가 엿볼 수 있다는 점을 인지하고 프라이버시를 고려해 사용해야 할 것이다.

그리고 기업이라면, 그 인지를 계약서 한 줄로 바꿔 놓아야 한다. 규제를 기다릴 이유가 없다.

시계를 받았다면, 최소한 뚜껑을 열어 볼 권리는 있어야 한다.

참고 자료

  • Anthropic, Detecting and countering misuse of AI: September 2026 (2026.09.10) — https://www.anthropic.com/threat-intelligence-report-september-2026 (PDF 154쪽, 증류 챕터 143–154p)
  • Anthropic, Detecting and preventing distillation attacks (2026.02.23)
  • CISA/FBI/NSA, 공동 사이버보안 권고 AA26-251A (2026.09.08)
  • Progressive Robot, "Anthropic Details Distillation Campaigns From Alibaba, Moonshot AI, and DeepSeek" (2026.09.11) — 보고서 원문 재검증 및 보도 오류 대조
  • CNBC, "Chinese AI labs secretly used millions of Claude exchanges to train their models" (2026.09.11)
  • CNBC, "Anthropic accuses Alibaba of campaign to brazenly and illicitly extract AI capabilities" (2026.06.24)
  • TechCrunch (2026.09.10), South China Morning Post (2026.09.11), Quartz (2026.09.11)
  • AP, 중국 상무부·외교부 반박 (2026.09.09)
  • 개인정보보호법 제26조(위탁), 제28조의8(국외이전) / GDPR 제28조, 제44조 이하 / 중국 PIPL 제38조~제39조
  • 아라카와 히로무, 『강철의 연금술사』(2001~2010) 및 2003년 애니메이션판. 은시계를 연성 증폭기로 묘사한 것은 2003년판 고유 설정이며, 원작과 브라더후드에서 은시계는 신분증 이상의 기능을 갖지 않는다. 시계 내부에 현자의 돌 조각이 들어 있다는 서술은 본편에서 확정되지 않은 작중 소문 및 해석의 층위다.

본 칼럼의 모든 수치는 Anthropic의 자체 측정과 자체 귀속에 근거하며, 독립 검증을 거치지 않았습니다. 지목된 기업 중 공식 반박을 내놓은 곳은 2026년 9월 13일 현재 없습니다. 법률 조항 해석은 일반적 설명이며 개별 사안의 법률 자문이 아닙니다.