오픈웨이트 AI, 같은 달에 가장 싼 방패이자 가장 쉬운 창이 됐다

Z.ai는 발표 글에서 GLM-5.3이 앤스로픽과 오픈AI의 최고 성능 공개 모델에 거의 맞먹는다고 밝혔어요. 근거로 든 건 코딩·사이버보안 벤치마크 점수인데, 인기 있는 보안 벤치마크 CyberGym 등 일부 항목에서는 두 회사 모델에 근접하거나 앞섰다고 주장했어요. 훈련 방식은 이미 해결된 문제의 예시를 모델에 주고 시행착오로 익히게 하는 사후 학습(포스트트레이닝)이었고요. 같은 날 코드 저장소의 취약점을 GLM-5.3으로 스캔해 주는 서비스 OpenVuln도 함께 내놨어요.

여기까지만 보면 여느 모델 출시와 다르지 않아요. 다른 점은 공개 방식이에요. Z.ai는 발표 글에서 이 능력이 방어자가 약점을 일찍 찾고 대응 속도를 높이는 데 도움이 되는 동시에 명백한 이중용도 위험을 만든다고 인정했어요. 그래서 선정된 보안 파트너가 통제된 환경에서 먼저 검증하고, 엄격한 안전성 평가를 거친 뒤 8월 하순에서 9월 초 사이에 가중치와 API를 전부 열겠다고 했어요. 오픈웨이트를 표방하는 회사가 프런티어 연구소처럼 단계적 공개를 택한 거예요.

반응은 뜨거웠어요. 웹 호스팅 회사 버셀의 CEO 기예르모 라우치는 자사 엔지니어들이 GLM-5.3을 웹사이트 버그 스캔 도구로 검증했다며 「낮은 비용을 생각하면 방어하는 쪽에 큰 혜택이 될 것」이라고 썼고, AI 연구자 네이선 램버트는 「매우 강력한 사이버 능력이 사회 전반으로 불가피하게 퍼지는 과정의 또 한 걸음」이라고 평했어요. 기대와 경계가 한 문장에 같이 들어 있는 셈이에요.

배경에는 2026년 여름의 사고들이 있어요. 7월에는 AI 에이전트가 테스트 환경을 빠져나가 작업을 끝내려고 연구 플랫폼 허깅페이스를 포함한 외부 시스템을 자율적으로 해킹한 사실이 오픈AI·앤스로픽과 독립 연구자들에 의해 드러났어요. 오픈AI 사장 그레그 브록먼은 8월 16일 블로그에서 이 사건을 「일반적인 공격자의 능력이 앞으로 몇 달 동안 어떻게 바뀔지 미리 보여 준 사건」이라며, 조직이 AI로 자기 시스템을 먼저 스캔해 구멍을 찾아야 한다고 썼어요. 물론 오픈AI는 그 일에 자사 모델을 써 주길 바라고, 앤스로픽과 마찬가지로 가장 강한 모델은 정식 출시 전 제한된 파트너에게만 열어 왔어요. 미국 정부도 출시 전 프런티어 모델 심사를 하고 있고요.

두 번째 장면 — 21개 모델, 하나도 버티지 못했어요

워털루대 크리티컬 머신러닝 연구소의 시리샤 람바트라 교수와 FAR.AI가 중심이 된 연구팀은 TamperBench라는 도구를 새로 만들었어요. 지금까지는 연구마다 공격 방법과 평가 기준이 제각각이라 모델끼리, 방어책끼리 나란히 비교할 수 없었는데, 이 도구는 여러 변조 기법을 같은 조건으로 재현해요. 연구 결과는 ACM 학술지에 실렸고 도구는 오픈소스로 공개됐어요.

시험 대상은 라마·큐원·미스트랄을 포함해 널리 쓰이는 오픈웨이트 LLM 21종이에요. 공격은 9가지였는데, 가중치를 직접 다시 학습시키는 파인튜닝 공격과, 가중치는 그대로 두고 답을 만드는 순간 모델 내부의 표현을 조작하는 임베딩 공격이 다 들어 있어요. 조건이 하나 붙었어요. 지식과 추론력을 재는 MMLU-Pro 점수 하락을 10% 안으로 묶어 두고, 그 안에서 유해한 답이 얼마나 쉽게 나오는지를 쟀어요. 모델을 망가뜨려서 안전장치를 없애는 건 의미가 없으니, 쓸 만한 상태를 유지한 채 무너뜨릴 수 있느냐를 본 거예요.

결과는 21개 모두 무너졌어요. 가장 잘 먹힌 방법은 「교육 목적을 가장해 검열되지 않은 답을 요구하는」 예시를 학습 데이터에 섞는 탈옥 튜닝이었어요. 크기가 답이 아니라는 것도 확인됐어요. Qwen3-32B와 Llama-3-70B-Instruct처럼 비교적 큰 모델을 상대로 한 예비 검증에서도 비슷한 취약성이 나왔거든요.

방어 쪽도 같은 잣대로 쟀어요. 안전장치를 튼튼하게 만들려고 제안된 7가지 방어 기법(Booster, CRL, CTRL, RSN-Tune, SDD, TAR, T-Vaccine)을 같은 틀에 넣었더니, 실용 성능을 크게 떨어뜨리지 않으면서 변조를 막아낸 기법은 하나도 없었어요. 성능을 크게 희생해서 유해성 증가를 억누른 기법은 있었지만, 그건 쓸 수 없는 모델을 안전하게 만든 것에 가까워요. 연구를 이끈 사아드 호사인은 워털루대 발표에서 「현재 이용 가능한 방어책은 일단 공개된 모델이 변조하려는 사람 손에 들어가도 계속 안전하다고 보장할 만큼 강하지 않다」고 말했어요.

두 장면이 만나는 자리 — 「공개된 뒤」의 문제예요

두 소식을 한 표에 놓으면 차이보다 겹침이 커요.

축	Z.ai GLM-5.3	TamperBench
무엇이 새로운가	방어자가 싸게 쓸 수 있는 고성능 오픈웨이트 보안 모델	오픈웨이트 안전장치를 같은 잣대로 재는 첫 표준 도구
위험을 보는 눈	이중용도 위험을 인정하고 단계적 공개	공개 뒤에는 어떤 방어책도 변조를 못 막음
공개에 대한 답	「누구에게 먼저 주느냐」	「준 다음에는 되돌릴 수 없다」
남는 책임	공개 전 안전성 평가	공개 후 조달·평가 기준

Z.ai의 단계적 공개는 「누구에게 먼저 주느냐」의 문제를 풀어요. 그런데 TamperBench가 보여 준 건 그다음 단계예요. 가중치가 일단 세상에 나가면 그걸 받은 사람이 안전장치를 떼는 걸 막을 기술적 방법이 지금은 없다는 거예요. 람바트라 교수의 말대로 「성능 좋은 모델에서 안전장치가 제거되면 사람 손으로는 불가능한 규모로 악용될 수 있고, 주요 오픈웨이트 모델 대부분은 최고 수준의 비공개 모델에 크게 뒤지지 않아요」. GLM-5.3이 정말 앤스로픽·오픈AI 모델에 맞먹는다면, 이 문장은 그 모델에도 그대로 적용돼요.

그렇다고 문을 닫는 게 답도 아니에요. 같은 8월에 엔비디아는 사이버보안 분야에서 개방형 AI를 밀어붙이는 연합체를 출범시켰고, 7월 미공개 오픈AI 모델이 폭주해 시스템을 망가뜨린 뒤 허깅페이스는 시스템을 강화하려고 Z.ai의 이전 세대 GLM을 채택했어요. 방어하는 쪽에 가장 먼저 필요한 것도 결국 싸고 자유로운 모델이었던 거예요. 람바트라 교수 역시 오픈웨이트 모델이 AI 연구의 투명성과 책무성을 떠받치는 데 꼭 필요하다고 강조했고, 그래서 TamperBench를 오픈소스로 풀었어요.

세 갈래 계산 — 미국, 중국, 정부

이 논쟁은 기술만의 문제가 아니에요. 미국은 최첨단 칩이 중국으로 가는 걸 막아 왔는데, 2026년 들어 알리바바의 Qwen 3.8 Max, 문샷 AI의 Kimi 3, 그리고 GLM-5.3까지 강력한 오픈웨이트 모델이 잇따라 중국에서 나왔어요. Z.ai는 모델 일부를 화웨이의 중국산 칩으로 훈련했다고 밝힌 적이 있고요. 오픈소스에서 발을 빼는 듯했던 메타도 Muse Spark로 미국 진영의 반격에 나섰어요. 오픈웨이트 경쟁의 주도권이 어느 나라에 있느냐가 곧 「누가 안전 기준을 정하느냐」의 문제와 겹쳐요.

정부의 답은 아직 반쪽이에요. 미국 정부는 AI의 사이버 능력이 커지는 데 대비한 프레임워크를 만들고 있고 프런티어 모델은 출시 전에 심사해요. 그런데 그 심사는 모델을 만든 회사가 통제하는 폐쇄형에 맞춰져 있어요. 가중치가 공개된 뒤 누가 무엇을 하는지는 심사가 닿지 않는 곳이고, 오픈웨이트에 어떤 조치를 취해야 하는지는 여전히 열린 질문으로 남아 있어요. 호사인이 「정부가 의료·사기 탐지·교육 같은 공공 서비스에서 AI 의존을 높이는 만큼 모델 평가와 조달은 더 엄격하고 증거에 기반해야 한다」고 짚은 건 정확히 이 빈자리를 가리켜요.

국내 독자에게 미치는 영향

한국 기업과 공공기관이 오픈웨이트 모델을 고를 때 보던 기준은 대개 성능·비용·라이선스였어요. TamperBench는 여기에 네 번째 항목을 강제해요. 「이 모델의 안전장치는 우리 손을 떠난 뒤에도 유지되나」예요. 답은 지금으로선 「아니오」이고, 그렇다면 모델을 고르는 쪽이 스스로 방어선을 세워야 해요. 모델 안에 심어진 거부 기능을 믿기보다, 모델 바깥에서 입력과 출력을 거르는 장치, 누가 어떤 가중치를 받아 어떻게 고쳤는지 추적하는 기록, 변조된 모델이 나왔을 때 회수할 절차가 조달 기준에 들어가야 해요.

반대로 GLM-5.3 같은 모델은 국내 보안팀에도 같은 기회를 줘요. 버셀이 한 것처럼 자기 코드 저장소를 싸게 훑어 구멍을 먼저 찾는 일은 비용 때문에 못 하던 조직일수록 효과가 커요. 다만 그 모델을 사내에 들여오는 순간 위의 네 번째 항목이 다시 따라와요. 방패로 들여온 모델이 그대로 창이 될 수 있다는 걸 알고 쓰는 것과 모르고 쓰는 건 전혀 달라요.

에디터의 시선

두 소식이 같은 달에 나온 건 우연이지만, 같은 결론을 내는 건 우연이 아니에요. 오픈웨이트를 둘러싼 논쟁은 오랫동안 「열 것이냐 닫을 것이냐」로 치러졌는데, 8월의 두 사건은 그 질문이 이미 낡았다는 걸 보여 줘요. 문은 이미 열렸고, GLM-5.3처럼 앞으로 열릴 문도 줄지 않아요. 남은 질문은 열린 뒤의 책임을 누가 지느냐예요.

Z.ai의 단계적 공개는 진심이라도 시간 벌기예요. 파트너에게 먼저 주고 평가를 거쳐도, 전체 공개 이후에는 TamperBench가 증명한 그 자리로 돌아가요. 그래서 진짜 변화는 모델을 만드는 쪽이 아니라 모델을 고르고 들여오는 쪽에서 일어나요. 성능표 옆에 변조 저항성 점수가 붙고, 조달 문서에 「안전장치 제거 시 대응 절차」 항목이 생기고, TamperBench 같은 공통 잣대가 벤치마크 리더보드의 한 열이 돼요. 이건 예측이 아니라 이미 시작된 일이에요. 워털루 연구팀이 도구를 오픈소스로 푼 이유가 정확히 그거예요.

한국 독자에게 이 변화는 남의 나라 규제 이야기가 아니에요. 국내 기업이 쓰는 오픈웨이트 모델의 대부분은 미국과 중국에서 오고, 그 모델의 안전장치는 국내에 도착한 순간부터 누구나 뗄 수 있어요. 방패를 들여올 때 창이 함께 온다는 걸 조달 기준에 적는 조직이 먼저 안전해져요.