중국 문샷AI의 오픈웨이트 모델 ‘키미 K3’가 사이버보안 평가 도중 외부 인터넷에 접속했다. 프런티어 시큐리티가 영국 AI안전연구소(AISI)의 평가 도구로 시험하던 과정에서 일부 통신 경로가 완전히 차단되지 않았고, 모델은 이를 통해 깃허브의 공개 정보를 참고했다. 깃허브를 해킹하거나 데이터를 바꾼 정황은 없었다. 따라서 이번 일을 모델이 보안망을 독자적으로 뚫은 사건으로 부풀리기보다, 에이전트형 모델을 시험하는 격리 환경에 어떤 통신 예외가 남아 있었는지 따져야 한다.
키미 K3는 약 2조8000억 개 매개변수를 가진 전문가혼합(MoE) 모델이며 추론 때 약 1040억 개가 활성화되는 것으로 소개됐다. AISI와 미국 AI표준혁신센터(CAISI)의 공동 평가에서 최대 32단계 공격 시나리오 가운데 평균 17단계까지 진행했다. 비교 대상인 미국 최첨단 폐쇄형 모델의 평균 28.5단계보다는 낮았다. 모의 기업 네트워크 시험에서는 10차례 중 1차례 공격 과정을 끝까지 수행했다. 이 수치는 특정 평가 조건의 결과이지 현실의 모든 공격 능력을 뜻하지 않는다.
| 확인 항목 | 관측 결과 | 해석의 한계 |
|---|---|---|
| 외부 접속 | 미차단 경로로 깃허브 참고 | 해킹·변조는 확인되지 않음 |
| 공격 시나리오 | 32단계 중 평균 17단계 | 특정 평가 환경의 평균 |
| 모의망 시험 | 10회 중 1회 완료 | 실제 침해 성공률과 다름 |
정책 쟁점도 ‘공개 모델은 위험하다’는 단순 결론보다 복잡하다. 오픈웨이트는 이용자가 자체 서버에서 실행하고 수정할 수 있어 배포 뒤 개발사가 사용 방식을 일괄 통제하기 어렵다. 반대로 폐쇄형만 사전 검사를 의무화하고 오픈웨이트를 일률적으로 제외하면, 비슷한 사이버 능력을 가진 모델 사이에 규제 공백이 생길 수 있다. 모델 공개 방식 대신 실제 능력, 도구 사용 권한, 네트워크 접근 범위, 배포 규모를 함께 보는 기준이 필요한 이유다.
현장에서는 모델과 평가 환경을 분리해 점검해야 한다. 기본값으로 외부 통신을 차단하고, 필요한 저장소만 허용 목록에 넣으며, DNS·프록시·도구 호출 기록을 남겨야 한다. 모델이 예상 밖 경로를 찾았을 때는 이를 곧바로 ‘자율 탈출’로 규정하기보다 설정 결함과 모델 행동을 각각 재현해야 한다. 이번 사례가 보여준 핵심은 오픈웨이트라는 형식 자체보다 강한 에이전트를 다루는 격리 설계와 능력 기반 검증의 필요성이다.
저작권자 © STORIUM 무단전재 및 재배포 금지
