중국 AI 6곳 지목한 미국 합동 권고, 대응책은 '알리지 않는 응답 품질 저하'

AI 요약

• NSA·CISA·FBI가 DeepSeek 등 중국 AI 6곳의 산업 규모 증류를 지목했습니다.
• 권고된 대응은 차단이 아니라 알리지 않는 응답 품질 저하입니다.
• 탐지 지표 4종은 24시간 도는 프로덕션 에이전트와 구분되지 않습니다.

미국 국가안보국(NSA), 사이버보안·인프라보안국(CISA), 연방수사국(FBI)이 2026년 9월 8일 합동 사이버보안 권고 AA26-251A를 냈습니다. DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun, Z.AI 여섯 곳이 2024년 말부터 Claude, GPT, Gemini, Grok에서 "수백만 건의 교환과 요청에 걸쳐 수십억 토큰"을 빼내 자사 모델을 훈련했다는 내용입니다.

여기까지는 예고된 이야기입니다. Anthropic은 이미 2026년 2월에 DeepSeek과 Moonshot AI, MiniMax를 지목한 보고서를 냈습니다. OpenAI와 xAI를 비롯한 주요 제공사는 자사 출력으로 경쟁 모델을 훈련하는 것을 이용약관에서 금지합니다. 이번 문서가 새로 만든 것은 미국 정부가 권한 대응 방식입니다. 의심 계정을 끊으라는 게 아니라, 알리지 말고 응답 품질을 낮추라고 적었습니다.

증류가 무엇이고 왜 문제라는 건가

증류(distillation)는 성능이 좋은 모델에 질문을 잔뜩 던져서 그 답을 모아 작은 모델을 가르치는 방법입니다. 시험 잘 보는 학생의 답안지를 대량으로 복사해 다른 학생을 훈련시키는 것에 가깝습니다. 권고문 자신도 증류가 "AI 연구에서 정당하고 유용한 기법으로 인정된다"고 먼저 적습니다. 문제로 삼은 것은 규모와 우회 방식입니다.

권고문이 기업별로 적은 내용은 다음과 같습니다.

• DeepSeek: 2024년 말부터 2025년 중반까지 Claude, Gemini, GPT, Grok 계열 12개 모델에서 증류해 R1과 V3를 훈련. 목록에는 Claude Opus 4.1, Gemini 2.5 Pro Preview, GPT-5, Grok 4가 실명으로 들어 있습니다
• Alibaba: 산업 규모 증류로 Qwen 계열 개선
• Moonshot AI: 적어도 2025년 중반부터 Claude와 GPT-5 계열 대상
• MiniMax, StepFun, Z.AI: 2025년 말부터 2026년 초 사이

권고문은 DeepSeek이 공표한 훈련 비용 560만 달러를 "오도하는 수치"라고 못 박았습니다. 악의적 증류로 확보한 데이터의 실제 비용이 빠져 있다는 이유입니다. 다만 이 판단을 뒷받침하는 원 데이터는 문서에 실리지 않았습니다.

우회 수단으로는 "중계소(transfer stations)"라 불리는 회색 시장 API 프록시가 지목됐습니다. 프론티어 모델 접근을 공식 가격의 일부 값에 되파는 업자들입니다. 업계 공개 자료 기준으로 이런 프록시망이 수만 개의 부정 계정을 동시에 운영하며, 정상 고객 요청 사이에 증류 요청을 섞어 넣는다고 적혀 있습니다. StepFun 항목에는 직원들이 여러 세션을 동시에 돌리고 할당량이 마르지 않게 부하를 분산했다는 서술이 붙었습니다.

알리지 말고 응답 품질을 낮춰라

제공사에 권한 즉시 조치는 세 가지입니다. 비정상 계정과 행동을 탐지할 것, 의심 건에 응답을 변형할 것, 제공사끼리 활동을 대조할 것. 두 번째가 이 문서에서 가장 눈에 띕니다.

원문이 제시한 방법은 증류 요청에 "덜 정교한 열등한(downgraded) 모델"로 답하는 것입니다. 구현 지침에는 그 방법이 이렇게 적혀 있습니다.

악의적 증류 캠페인이 의심될 때는 요청마다 응답 변형 폭을 다르게 해 응답 품질 평가를 어렵게 하되, 그 미묘한 변화가 명백한 경보를 울리지 않도록 하십시오. 추론 깊이를 줄이거나, 옳은 정보를 다른 추론으로 제시하거나, 문체를 불일치시키는 방법이 탐지를 피하면서 훈련 유용성을 떨어뜨릴 수 있습니다.

증류 캠페인 혐의가 있는 중국 AI 기업 사용자에게 열등한 모델로 전환됐다는 사실을 알리지 마십시오. (중략) 대신 확인된 사용자에게는 알리지 않은 채 응답을 변형하십시오.

두 문단을 이어 읽으면 설계 의도가 분명합니다. 품질이 떨어졌다는 사실 자체를 상대가 측정하지 못하게 만드는 것이 목적입니다. 같은 절은 AI 안전 연구자와 서드파티 평가자에게는 모델 변경을 알려야 한다고 덧붙입니다. 알려야 할 대상 목록에 일반 API 고객은 들어 있지 않습니다.

탐지 지표를 내 계정과 대조하면

권고문은 새로운 TTP 네 가지를 정의하고 각각에 탐지 지표를 달았습니다. 이 지표는 전부 행위 기반입니다. 해시나 IP 대역 같은 포렌식 표식이 아니라 사용 패턴을 봅니다. 그리고 그 패턴은 잘 굴러가는 프로덕션 에이전트와 겹칩니다.

네 번째 줄은 특히 뼈아픕니다. 프리픽스 캐시를 최대한 살려 비용을 깎는 것은 제공사들이 직접 권장하는 최적화입니다. devlery도 캐시 적중률 99.82%를 낸 코딩 에이전트 사례를 다룬 적이 있고, 같은 파일을 470턴 동안 다시 청구당해 PR 하나에 41달러를 쓴 사례도 정리했습니다. 캐시를 안 쓰면 돈이 샙니다. 쓰면 권고문의 지표에 걸립니다.

권고문에 오탐 주의 문구는 한 줄도 없습니다. 정상 연구·기업 사용과 악의적 증류를 어떻게 갈라야 하는지에 대한 기준도 없습니다. 문서는 확신이 높은 건에만, 확인된 사용자에게만 응답을 변형하라고 적습니다. 그런데 그 확신에 도달하는 방법으로 제시한 도구가 위 지표뿐입니다. 자기 계정을 미리 예외로 등록할 방법도 문서에 없습니다.

한국 개발자에게 지금 무엇이 달라지나

셋을 나눠 보면 이렇습니다.

항목	내용
법적 성격	권고(advisory)이지 규정이 아닙니다. 제공사가 따를 의무는 없습니다
한국 적용	미국 기관 문서라 한국 개발자에게 직접적 효력은 없습니다. 다만 Anthropic·OpenAI·Google API는 한국에서도 같은 회사가 서비스하고, 권고문에 지역 예외 조항이 없어 탐지 정책을 켜면 한국 계정도 같은 기준을 받습니다
중국 모델 사용	권고문은 DeepSeek이나 Qwen을 쓰지 말라고 하지 않습니다. AI를 사용하는 조직을 위한 권고 항목 자체가 없습니다

세 번째가 자주 오해되는 지점입니다. 이 문서의 수신자는 모델 제공사이지 고객이 아닙니다. MIT 라이선스로 풀린 GLM-5.3-Flash를 자체 서버에 올려 쓰든 K2 Horizon 계열 오픈 웨이트를 쓰든, 권고문에는 그런 이야기가 없습니다. 한국에서 2025년 2월 국방부와 외교부 등이 DeepSeek 앱 접속을 막은 것은 개인정보 전송이 이유였고, 이번 권고문과는 다른 사안입니다.

정작 조용히 바뀔 수 있는 쪽은 미국 모델을 쓰는 계정입니다. 제공사가 이 권고를 받아들이면, 이용약관 위반으로 계정을 끊는 대신 응답을 흐리게 만드는 선택지가 하나 늘어납니다. Anthropic은 대규모 증류로 의심되는 계정을 이미 차단합니다. 다만 상대가 계정을 쪼개고 전술을 바꾸면 플랫폼 단속만으로는 한계가 있다는 입장을 밝혀 왔습니다. 그 한계를 메우라고 정부 기관이 권한 방법이 통보 없는 품질 저하입니다.

회귀 세트를 지금 만들어 둘 이유

권고문 TTP 목록을 열어 놓고 지금 쓰는 API 키의 사용 패턴이 몇 줄에 걸리는지 세어 보는 것으로 시작하면 됩니다. 야간에도 도는 배치가 있고 캐시 프리픽스를 고정해 두었고 단가에 따라 제공사를 바꾸고 있다면 이미 세 줄입니다. 걸린다고 계정이 어떻게 된다는 뜻은 아닙니다. 다만 걸리는지 아닌지 모르는 채로 두는 것과는 다릅니다.

걸리는 줄이 있다면 고정 프롬프트 20개에서 30개로 회귀 세트를 만들어 주 단위로 같은 입력을 돌리고 출력 길이와 추론 단계 수를 기록해 두십시오. 권고문이 권한 변형 방식이 "요청마다 다르게, 경보를 안 울리게"이기 때문에, 기준선 없이 사후에 품질 저하를 입증하는 것은 사실상 불가능합니다. 이번 문서가 개발자에게 남긴 실질적인 변화는 중국 AI 기업 여섯 곳의 이름이 아니라, 응답 품질을 스스로 계측해 둘 이유가 처음으로 생겼다는 것입니다.