AI 모델 증류(distillation) 공방 정리: 앤트로픽·오픈AI·구글의 지목과 그 이면

핵심 메시지

• 앤트로픽은 중국 AI 랩 세 곳이 가짜 계정 2만 4천여 개로 1,600만 건 규모의 요청을 보내 자사 모델의 능력을 추출했다고 주장했다.
• 오픈AI와 구글도 11일 사이에 비슷한 취지의 문서와 보고서를 내놓으며 같은 문제를 제기했다.
• 증류는 2015년에 형식화된 표준 기법으로, 원래는 큰 모델의 확률 분포를 작은 모델이 모방하게 하는 방식이다. 폐쇄 모델에서는 출력만 대량으로 모아 흉내 내는 약한 형태가 쓰인다.
• 이 방식의 전례는 오래됐다. 2023년 스탠퍼드의 알파카는 약 600달러로 상용 모델의 출력을 학습해 일부 과제에서 비슷한 성능을 냈다.
• 지목한 쪽도 데이터 취득 이력이 깨끗하지 않다. 앤트로픽은 2025년 9월 저작권 집단소송에서 15억 달러 규모의 합의를 했다.

쉽게 이해하기

앤트로픽은 딥시크, 문샷 AI, 미니맥스 세 곳이 자사 모델을 상대로 '산업 규모의 증류 공격'을 벌였다고 지목했다. 보고서에 따르면 수천 개의 가짜 계정과 상용 프록시 서비스로 묶인 계정망이 동원됐고, 한 프록시 네트워크는 2만 개 이상의 계정을 동시에 관리했다. 계정이 차단되면 다른 계정이 대체하고, 정상 트래픽에 추출 트래픽을 섞어 탐지를 어렵게 했다는 설명이다.

지목된 세 곳이 노린 것은 서로 달랐다. 딥시크는 전체 교환량의 1%도 되지 않는 15만 건 남짓을 썼지만 방식이 영리했다. 답변에 이르는 내부 추론을 단계별로 서술하게 유도해 학습용 추론 데이터를 만들고, 자사 모델의 출력을 상대 모델에 채점시켜 강화학습 신호를 얻었으며, 정치적으로 민감한 질의에 대한 '안전한 대안' 답변까지 생성하게 했다는 것이다. 미니맥스는 1,300만 건 이상으로 에이전트형 코딩과 도구 사용에 집중했고, 문샷은 340만 건 규모로 에이전트 추론과 컴퓨터 조작·비전 쪽을 겨냥한 것으로 지목됐다.

증류 자체는 새로운 것이 아니다. 2015년 제프리 힌턴과 오리올 비냘스, 제프 딘이 형식화한 기법으로, 큰 교사 모델이 각 후보에 얼마나 확신을 갖는지까지 학생 모델이 따라 배우게 하는 방식이다. 문제는 폐쇄 모델의 확률값이나 추론 과정을 외부에서 볼 수 없다는 점인데, 그래서 나온 우회책이 질문을 대량으로 던져 최종 출력만 모으고 그 패턴을 흉내 내는 것이다. 이론상 더 약한 형태지만 규모가 커지면 상당한 능력이 옮겨간다.

이 논쟁이 간단하지 않은 이유는 지목한 쪽의 이력 때문이다. 앤트로픽은 2025년 9월 저작권 집단소송에서 15억 달러 규모의 합의를 했는데, 불법 복제 데이터베이스에서 내려받은 도서가 문제였다. 법원은 합법적으로 구매한 책으로 학습한 것은 공정이용으로 봤지만 대량의 불법 복제본을 보관한 부분은 책임을 물었다. 실물 책을 대량 구매해 제본을 잘라 내고 고속으로 스캔한 뒤 원본을 폐기한 내부 작업의 존재도 재판 과정에서 드러났고, 2026년 1월에는 음악 퍼블리셔들이 2만 곡 이상의 침해를 주장하고 있다는 보도도 나왔다.

영상은 이 공방의 법적 토대가 생각보다 약하다고 짚는다. 미국 저작권청은 AI 출력물이 보호받으려면 충분한 인간의 창작이 있어야 한다고 보는데, 그렇다면 '증류는 절도'라는 주장은 지식재산권보다 이용약관 위반에 기대게 된다. 동시에 안전 측면의 문제는 실재한다. 위험한 분야를 다루는 추론 능력만 복제되고 거부 장치는 함께 복제되지 않는다면, 그것은 통상 분쟁이 아니라 안전 문제라는 것이다.

주요 인사이트

• 모델의 능력이 공개 API 뒤에 있는 한 출력만으로도 상당 부분 추출될 수 있다. 사업 관점에서 보면 모델 자체보다 그 주변의 제품과 워크플로, 도구 생태계가 더 안정적인 해자가 된다.
• 증류는 금지된 기술이 아니라 업계 표준이다. 저렴하고 빠른 소형 모델 상당수가 내부적으로 큰 모델에서 증류돼 나오며, 논란은 기법 자체가 아니라 남의 폐쇄 모델을 교사로 쓰는 지점에서 생긴다.
• 능력 복제 비용은 빠르게 떨어지고 있다. 영상은 특정 성능 수준을 재현하는 비용이 연 70% 안팎으로 내려간다고 전하며, 약관만으로는 이 흐름을 막기 어렵다고 본다.
• '훔쳤다'는 주장이 양방향이라는 점이 이 사안을 복잡하게 만든다. 웹과 도서를 대규모로 학습에 쓴 쪽이 자기 출력이 학습에 쓰인 것을 문제 삼는 구도이기 때문이다.
• 안전 정렬은 능력과 함께 옮겨가지 않는다. 출력만 흉내 내는 증류에서는 위험 요청을 거부하는 장치가 빠질 수 있어, 지식재산권과 별개의 위험이 남는다.

자주 묻는 질문

관련 AI 소식