앤트로픽 경고 "소형 AI 모델, IoT 기기서 스스로 복제 가능"
앤트로픽이 소형 AI 모델이 IoT 기기를 스스로 감염시키고 복제하는 'AI 웜' 가능성을 실험으로 공개했다. 4GB 메모리 TV 박스 15대로 26B급 모델 추론이 가능했지만, 전체 복제 사이클을 완주한 경량 모델은 아직 없었다.
앤트로픽이 공개한 IoT 자가복제 실험
앤트로픽이 소형 AI 모델이 사물인터넷(IoT) 기기를 스스로 감염시키고 복제하는 이른바 'AI 웜' 가능성을 실험 결과로 공개했다. 회사는 최근 자사 블로그에서 값싼 안드로이드 TV 박스와 각종 IoT 하드웨어에 소형 오픈웨이트 모델을 실제 또는 시뮬레이션 환경에서 구동한 결과를 정리했다. 핵심 관찰은 모델 가중치 자체가 악성코드 페이로드의 일부가 될 수 있다는 것이다. 앤트로픽은 내년을 기점으로 소형 모델이 각종 IoT 기기에서 자율적으로 자기복제를 할 수 있게 될 것으로 내다봤다. 회사는 이번 결과가 그 가능성을 현실적인 검토 대상으로 끌어올렸다고 평가했다.
구체적인 수치도 함께 나왔다. Gemma4-26B-A4B 모델은 4GB 메모리만 갖춘 TV 박스 15대에 분산해 추론을 성립시켰다. Qwen3.5-9B는 9종 하드웨어 가운데 8종에서 다른 LLM이 돌아가도록 스스로 설정을 맞췄다. 앤트로픽은 이런 형태를 '소형 가중치 기반 복제자(small weight-based replicators)'라고 명명했다. 실험 대상은 저가·비주류 안드로이드 TV 박스와 여러 종류의 IoT 하드웨어였고, 일부는 실제 기기, 일부는 시뮬레이션으로 구성됐다.
공격 흐름은 네 단계로 요약됐다. 대상 탐색, 코드 실행 권한 확보, 추론 환경 구축, 새 호스트로의 전파다. 모델은 리버스 셸처럼 흔히 쓰이는 익스플로잇 도구에 접근할 수 있는 에이전트 형태로 구동됐다. 앤트로픽은 30B 파라미터급 모델이 이미 개별 복제 단계 상당수를 수행할 수 있지만, 단계를 이어 붙이면 실수를 한다고 밝혔다. 테스트된 경량 모델 가운데 처음부터 끝까지 복제를 완수한 사례는 아직 없다는 점도 함께 적었다.
왜 'AI 웜'이 보안 이슈가 되나
기존 IoT 악성코드와의 차이가 쟁점이다. 2016년 대규모 분산서비스거부(DDoS) 공격을 일으킨 미라이(Mirai) 봇넷은 기본 비밀번호를 그대로 쓰는 기기를 찾아 정해진 공격 코드를 심는 방식이었다. 반면 AI 웜은 대상 기기의 하드웨어와 소프트웨어 구성을 스스로 파악해 익스플로잇과 페이로드를 그때그때 맞춤 제작할 수 있다. 앤트로픽은 '논-AI 악성코드와 달리 낯선 기기를 스스로 알아낼 수 있다'고 설명했다. 미라이가 미리 준비한 코드를 복사해 넣는 방식이었다면, 이쪽은 대상마다 공격 코드를 새로 쓴다는 차이다.
차단 난이도도 달라진다. 앤트로픽은 블로그에서 “이런 복제자는 중앙에 차단할 지점이 없어서 셧다운이 어렵다”고 적었다. 확산 속도는 느릴 수 있고 두 배로 늘어나는 데 며칠이 걸릴 수 있지만, 끌 수 있는 스위치가 하나가 아니라는 점이 방어 비용을 밀어 올린다. 전통적인 봇넷은 명령제어(C2) 서버를 끊으면 와해되지만, 그런 단일 지점이 없는 구조를 상정한 것이다.
학습 능력도 변수다. 복제자가 특정 기기 침투에 실패하면 프롬프트와 코드, 메모 목록을 남겨 다음 복제자가 같은 시행착오를 반복하지 않게 한다. 공격자 입장에서는 캠페인이 길어질수록 효율이 올라가는 구조다. 방어자 입장에서는 한 번 뚫린 기기가 다음 공격의 학습 데이터가 된다. 앤트로픽이 이 기능을 전통적인 웜 대비 핵심 이점으로 꼽았다는 점이 이 대목을 뒷받침한다.
사용자와 제조사에게는 유지보수 책임 문제로 번진다. 펌웨어 업데이트가 끊긴 중저가 IoT 기기가 늘어날수록 공격 표면이 넓어진다. 원문에 직접 언급은 없지만, 기기마다 다른 환경 때문에 일괄 차단이 어렵다는 점은 결국 제조사별 패치 부담과 비용 문제로 이어진다고 해석할 수 있다. 반대로 보안 업계는 이번 공개로 IoT 자산 관리와 펌웨어 지원 기간을 재조정할 근거를 얻는다.
양자화·샤딩이 만든 소형 모델의 변화
배경에는 소형 모델의 경량화가 있다. 프런티어 모델과 달리 소형 모델은 훨씬 적은 연산 자원으로 돌아간다. 앤트로픽 연구진은 양자화로 모델을 표현하는 비트 수를 줄이고, 작업을 '샤드'로 쪼개 각 기기에 나눠 돌리는 방식으로 추론을 성립시켰다. 모델 가중치가 로드되고 출력이 생성되는 상태까지 도달한 것이다. 이는 값싼 하드웨어 여러 대를 묶으면 하나의 추론 인프라가 된다는 뜻이기도 하다.
이전에는 특정 하드웨어나 소프트웨어용으로 미리 작성된 악성코드만 동작했다. 이번 실험에서는 모델이 자신의 가중치를 이용해 테스트 대상 기기에 맞는 설정을 즉석에서 만들어냈다. 앤트로픽은 “가중치가 악성코드 페이로드의 일부가 된다”고 표현했다. 복제 과정에서 모델이 공개 허브에서 가중치를 다시 받아오는 방식도 가능하다고 회사는 덧붙였다. 같은 모델을 여러 기기에 옮겨 심는 것만으로 감염이 반복되는 구조인 셈이다.
가장 어려운 단계는 동적 추론 환경 구축이다. 호환 추론 소프트웨어 선택, 의존성 설치, 플랫폼별 버그 디버깅이 연쇄적으로 이어지고 실패하면 되돌리기 어렵다. 앤트로픽은 이 단계가 “가장 연구가 덜 됐고 아마 가장 어려운” 부분이라고 밝혔다. 각 단계가 직렬로 의존하기 때문에 중간에 한 번 어긋나면 뒤 단계가 전부 무너진다는 설명도 덧붙였다. 이 난이도가 지금의 억제 요인이라는 뜻이기도 하다.
연구진이 이 지점에 주목한 이유는 분명하다. 모델이 낯선 기기에서 스스로 추론 서버를 세울 수 있다면, 악성코드는 더 이상 특정 플랫폼용으로 미리 컴파일될 필요가 없다. 하드웨어 이질성이 큰 IoT 환경은 원래 일괄 공격이 어려운 영역이었는데, 그 이질성이 오히려 모델의 즉석 설정 능력이 활약할 여지로 바뀌는 셈이다.
지금 실제로 되는 것과 안 되는 것
현재 확인된 것은 가능성이지 현실의 위협이 아니다. 경량 모델은 개별 단계는 수행하지만 대상 발견부터 감염, 추론 서버 구성, 재확산까지 이어지는 전체 사이클은 완주하지 못했다. 앤트로픽은 이 과정을 대상 발견, 익스플로잇을 통한 접근, 페이로드 감염, 추론 서버 설정, 반복으로 풀어 설명했다. 속도도 실용성과 거리가 멀다. 15대의 TV 박스에 분산된 Gemma4-26B-A4B는 초당 0.39토큰을 생성하는 데 그쳤다.
추론 환경을 세우는 데 걸리는 시간은 최적화하지 않은 Gemma4-26B-A4B 기준 71~150시간, Qwen3.5-9B는 29~51시간이었다. 반면 대형 모델인 GLM-5.2는 이 과정을 안정적으로 수행할 수 있는 것으로 나타났다. 앤트로픽은 소형 모델이 지금 속도로 개선되면 연말까지 비슷한 제한적 결과에 도달할 수 있고, 그 직후 소형 가중치 기반 복제자가 가능해질 수 있다고 전망했다. 이는 측정값이 아니라 회사의 예측이다.
조건도 분명하다. 실험에 쓰인 안드로이드 기기들은 인증 없는 ADB(안드로이드 디버그 브리지)가 외부에 열려 있었다. 개발과 디버깅에 쓰는 도구로, 실제 서비스 환경에서는 절대 쓰지 말아야 하는 설정이다. 이 도구가 열려 있으면 공격자는 기기 스택 전체에 접근할 수 있다. 방어자가 기본 설정만 지켜도 이번 시나리오는 성립하지 않는다.
실험 구조 자체도 단순한 자율 복제와는 거리가 있다. 복제를 수행한 주체는 소형 모델이 아니라 전체 과정을 지휘한 GLM-5.2였고, 감염 대상 기기에서는 더 작은 라마 모델이 돌아갔다. 소형 모델의 능력과 실험 설계자의 개입을 분리해서 읽어야 하는 이유다. 실무적으로 확인된 것은 소형 에이전트 모델이 여러 기기에 걸친 복잡한 분산 추론 인프라를 세울 수 있다는 수준이다.
실험의 빈틈: ADB 노출과 오케스트레이션
앤트로픽 스스로 한계를 인정하는 대목이 있다. 원문에 따르면 회사 측은 실험 설계가 잘 짜였음에도 이번 연구만으로 소형 모델이 스스로 복제를 선택할 것인지 입증되지는 않는다는 취지의 지적을 전했다. AI 연구자 샤오한 푸는 인터뷰에서 모델에 주어진 정확한 프롬프트와 지시를 포함한 재현 가능한 에이전트 설정을 공개해야 커뮤니티가 결과를 평가할 수 있다고 말했다.
핵심 우려는 '복제 능력'과 '자율적 자기복제라는 위협'을 혼동하는 것이다. 실험은 사람이 설계한 파이프라인 안에서 모델이 특정 과업을 수행한 사례에 가깝다. 샤오한 푸는 이런 투명성이 특히 중요하다고 강조했다. 능력 입증과 새로운 위협의 등장은 같은 말이 아니다. 앤트로픽이 공개한 것은 어디까지나 과업 수행 능력이지, 모델이 스스로 감염을 시작했다는 관찰이 아니다.
다만 한계 지적이 위험 자체를 없애지는 않는다. 앤트로픽은 소형 모델이 현재 속도로 개선되면 연말까지 제한적 결과에 도달하고, 그 직후 '소형 가중치 기반 복제자'가 가능해질 수 있다고 본다. 이는 확인된 사실이 아니라 회사의 전망이다. 전망과 실측을 나눠 읽어야 과장도, 과소평가도 피할 수 있다. 전망을 사실처럼 인용하면 공포 마케팅이 되고, 실측을 무시하면 대비 시점을 놓친다.
실험 환경의 인위성도 반복해서 지적된다. 인증 없는 ADB가 열린 기기는 실제 인터넷 환경에서 흔한 기본값이 아니다. 이 전제를 일반 IoT 시장 전체로 확장하면 위험을 과대평가하게 된다. 반대로 이런 설정이 널리 퍼져 있다면 평가는 달라진다. 원문에 직접 언급은 없지만, 앤트로픽이 이번 실험을 공개한 시점과 자사 블로그라는 채널 선택도 안전 연구 역량을 보여주려는 목적과 무관하지 않다고 볼 여지가 있다.
다음 분기에 확인할 신호
첫 번째 신호는 30B급 모델의 단계 수행 정확도다. 앤트로픽은 30B 파라미터 모델이 이미 많은 개별 복제 단계를 완료하지만 연결하면 실수를 한다고 밝혔다. 어느 지점에서 실패율이 꺾이는지가 실질적인 분기점이 된다. 개별 단계 성공률보다 연결 성공률이 훨씬 중요하다. 네 단계가 직렬로 의존하는 구조에서는 앞 단계의 성공이 뒤 단계의 전제가 되기 때문이다.
두 번째는 취약한 IoT 기기의 실제 모집단 규모다. 실험은 인증 없는 ADB가 열린 기기를 전제했다. 이런 설정이 얼마나 흔한지, 제조사가 기본값을 바꾸는지가 실제 위험도를 좌우한다. 펌웨어 지원 기간이 끝난 기기의 비중도 함께 봐야 한다. 원문에 직접 언급은 없지만, 이 수치가 공개되지 않는 한 'AI 웜' 위협은 조건부 시나리오에 머문다.
세 번째는 투명성이다. 프롬프트와 설정, 재현 절차가 공개되지 않으면 외부 연구자는 능력과 위협을 구분하기 어렵다. 업계가 이번 실험을 안전 연구의 진전으로 볼지, 마케팅 성격의 경고로 볼지도 여기서 갈린다. 다음 분기 공개 자료에서 방법론이 얼마나 열리는지가 이 이슈의 신뢰도를 가를 것이다.
네 번째는 모델 크기별 격차다. GLM-5.2가 안정적으로 수행한 작업을 30B급이 얼마나 빨리 따라오는지가 관전 포인트다. 소형 모델의 추론 속도가 초당 0.39토큰 수준에서 얼마나 개선되는지도 함께 봐야 한다. 속도가 개선되지 않으면 확산 속도도 개선되지 않는다.
자주 묻는 질문
앤트로픽이 경고한 AI 웜이 뭔가요?
모델 가중치를 스스로 옮겨 다니며 IoT 기기에서 추론 환경을 구축하고 다른 기기로 전파되는 형태의 악성코드입니다. 앤트로픽은 이를 '소형 가중치 기반 복제자'라고 불렀고, 가중치가 악성코드 페이로드의 일부가 된다고 설명했습니다.
지금 실제로 작동하나요?
아닙니다. 테스트된 경량 모델 가운데 대상 탐색부터 재확산까지 전체 복제 사이클을 완주한 사례는 없었습니다. 추론 환경 구축에만 29~150시간이 걸렸고, 실험 기기들도 인증 없는 ADB가 열려 있는 통제된 조건이었습니다.
실험에는 어떤 모델이 쓰였나요?
Gemma4-26B-A4B와 Qwen3.5-9B 등 소형 오픈웨이트 모델이 대상 기기에서 구동됐고, 전체 공격 과정은 대형 모델인 GLM-5.2가 지휘했습니다. 감염된 기기 일부에서는 더 작은 라마 모델이 돌아갔습니다.
관련 기사
출처
원문 확인 2026-10-14