**앤트로픽(Anthropic)**이 자사 초거대 언어모델 **클로드(Claude)**를 겨냥한 디스틸레이션(지식 증류) 공격으로 유출되는 데이터를 약 90~99%까지 줄였다고 밝히며, 중국 AI 기업 **Z.ai(즈아이·즈푸, Zhipu)**를 대표적인 모방 시도 사례로 실명 공개했다.
핵심 포인트
- 앤트로픽은 새 방어 체계로 디스틸러들이 클로드에서 빼가는 데이터를 약 90~99%까지 감소시켰다고 설명했다.
- 디스틸레이션 캠페인과 연계된 수만 개의 계정을 정지시켰다.
- Z.ai(즈푸)는 GLM-5.3 모델을 개발하는 과정에서 클로드를 디스틸링하려 시도한 것으로 지목됐다.
클로드 디스틸레이션 방어 체계
앤트로픽은 10월 12일(월) 공개한 연구 게시글에서 최근 수개월간 적용해 온 방어 조치의 효과를 설명했다. 회사는 게시글을 통해, 새로운 기법으로 디스틸러들이 가져가는 데이터 양을 약 90~99% 줄인 초기 정황이 포착됐다고 전하면서도, 이러한 효과가 얼마나 지속될지는 아직 단정할 수 없다고 선을 그었다. 이번 방어 전략의 핵심은 클로드가 답변 전에 작성하는 단계별 추론 과정, 이른바 ‘리저닝(Reasoning)’ 보호에 맞춰져 있다.
최신 버전인 Claude Fable 5.1과 Claude Opus 5.5에서는 8월 31일 이후 새로 개설된 API 계정이 더 이상 클로드의 이전 문맥을 수정할 수 없도록 했다. 앤트로픽은 이를 ‘보존된 사고(preserved thinking)’ 기능이라고 부른다. 여기에 2단계 분류기를 도입해 디스틸레이션 시도를 자동 차단하며, 오탐율은 0.1% 미만이라고 설명했다. 회사에 따르면 디스틸러들이 뽑아낼 수 있는 추론 토큰 수는 과거 대비 10~100분의 1 수준으로 줄었다.
앤트로픽은 디스틸레이션 공격에 동원된 연계 계정 수만 개를 적발해, 상당수는 개설 후 두 시간 이내에 정지 조치했다고 덧붙였다.
관련 기사: GPT-6.1 Sol 덕에 아사나 에이전트 비용 76배 절감…단 함정이 있다
Z.ai 겨냥한 디스틸레이션 의혹
디스틸레이션은 더 작은 모델을 더 강력한 상위 모델의 답변으로 학습시키는 기법이다. **오픈AI(OpenAI)**와 **구글(Google)**도 앤트로픽과 함께 이런 방식이 경쟁사들이 첨단 기능을 더 빠르고 저렴하게 베끼도록 만든다고 문제를 제기해 왔다. 이 과정에서 가장 가치가 큰 것은 바로 리저닝 전체 대본이다. 앤트로픽 자체 실험에서도, 클로드의 전체 추론 과정을 그대로 학습한 모델은 SWE-bench Verified 코딩 벤치마크에서 80.4%를 기록한 반면, 요약본만 학습했을 때는 71.8%에 그쳤다.
앤트로픽은 이런 ‘복제’가 안전성과 국가 안보 차원에서 위험을 키운다고 경고했다. 디스틸레이션으로 만들어진 모델 상당수가 원본 모델 수준의 안전장치 없이 대중에 공개된다는 이유에서다. 회사는 Z.ai(즈푸)가 GLM-5.3 모델을 개발하는 과정에서 Claude Fable 5를 디스틸링하려 시도했으며, 이후 사이버 보안 방어가 강화되자 더 오래된 클로드 버전과 다른 연구소 모델로 갈아탔다고 주장했다. Z.ai는 해당 의혹에 대한 논평 요청에 즉각 응답하지 않은 것으로 전해졌다.
다만 이런 수치들은 아직 외부 기관에 의해 검증되지 않았다. 앤트로픽 역시 방어 강화에 따른 손익 절충이 있었다고 인정했다. 디스틸레이션 차단으로 포기한 매출, 일부 개발자들의 서비스 연동 방식 수정, 정당한 요청까지 간헐적으로 차단되는 문제, 그리고 한때 중단했다가 9월 24일부터 재개한 ‘차단된 요청에 대한 과금’ 등이 대표적이다.
이번 발표는 수개월간 이어진 ‘중국발 모방 논란’의 연장선상에서 나왔다. 앤트로픽은 지난 2월 보고서를 통해 중국 AI 스타트업 딥시크(DeepSeek), 문샷 AI(Moonshot AI), MiniMax가 약 2만4,000개의 허위·위장 계정을 동원해 클로드와 1,600만 회 이상 상호작용하며 자사 모델을 고도화했다고 비판한 바 있다.
이어 9월 17일에는 미국 **국립표준기술연구소(NIST, National Institute of Standards and Technology)**가 평가를 통해 Z.ai의 GLM-5.3을 “현재까지 공개된 오픈웨이트(가중치 공개) 모델 중 사이버 역량이 가장 높은 모델”로 꼽았다. 다만 최신 미국 선두 모델들과 비교하면 여전히 약 4개월가량 뒤처진다는 분석을 내놨다.
