Anthropic将企业数据存储权移交给客户云端

앤스로픽이 9월 1일 기업용 클로드 고객을 위한 새로운 안전장치 Enterprise Frontier Safeguards(EFS)를 발표했어요. 핵심은 간단해요. 오남용을 잡아내는 모니터링 기능은 그대로 두면서, 대화 데이터가 쌓이는 곳을 앤스로픽 서버가 아니라 고객이 직접 통제하는 클라우드로 옮기는 거예요. 아마존 S3, 애저 블롭 스토리지, 구글 클라우드 스토리지처럼 고객이 이미 쓰고 있는 인프라에 활동 데이터를 담고, 암호화 키와 접근 권한도 고객이 쥐는 구조예요.

풀어서 설명하면, 앤스로픽은 지난 6월부터 클로드 Fable·Mythos 모델의 사이버공격 탐지를 위해 대화 데이터를 30일간 자사 서버에 보관해왔어요. 금융·의료 등 규제 산업 고객들은 데이터가 외부 서버에 남는 걸 꺼려 도입을 주저했고, 앤스로픽은 이번에 저장 위치를 고객이 통제하는 클라우드로 옮기는 절충안을 내놨어요.

앤스로픽은 발표 페이지에 EFS를 고객사와 함께 설계한 과정을 소개하는 약 2분짜리 공식 영상(「Building Enterprise Frontier Safeguards with our customers」)도 함께 실었어요. 아래 영상에는 한국어 자막을 입혔어요.

30일 보관 정책이 불러온 반발

이번 조치는 지난 보관 정책 손질 기사에서 다룬 흐름의 연장선이에요. 앤스로픽은 지난 6월 Fable 5부터 사이버공격 탐지를 이유로 대화 데이터를 30일간 자사 서버에 보관하는 정책을 시작했어요. 정교한 오남용은 여러 세션과 계정에 걸쳐 벌어지기 때문에, 매 대화를 개별 분석하고 바로 폐기하는 방식으로는 탈취된 자격 증명이나 사이버공격 시도를 잡아내기 어렵다는 이유였죠.

문제는 규제 산업이었어요. 금융·의료·통신처럼 데이터 취급 규정이 엄격한 기업일수록 대화 내용이 외부 서버에 남는 것 자체를 받아들이기 힘들어했어요. 앤스로픽은 이 정책이 기업 데이터를 학습에 쓰기 위한 게 아니었고 허락 없이 기업 데이터를 학습에 쓴 적도 없다고 선을 그었지만, 신뢰의 문제는 정책 취지 설명만으로 풀리지 않았어요.

저장·검토·암호화, 세 가지를 고객이 고른다

EFS는 세 가지 요소를 각각 켜고 끌 수 있게 설계됐어요. 고객 소유 저장소, 고객 관리 암호화 키(Customer-Managed Encryption Keys), 완전 자동화된 검토가 그 셋인데 모두 옵트인이에요. 어떤 조합을 켜도 클로드 모델의 동작이나 API 가격, 사용량 제한은 바뀌지 않는다고 앤스로픽은 밝혔어요.

자동 모니터링은 공격적 사이버 능력이나 생물학적 위협 개발 시도, 탈취·유출된 자격 증명 흔적 같은 신호를 트래픽에서 일정 기간 단위로 분석해요. 이상 신호가 잡히면 결과는 곧바로 고객에게 전달되고, 실제 오남용인지 오탐인지 판단하는 쪽은 앤스로픽 직원이 아니라 고객사 자신의 보안팀이에요. 법률 특권 자료나 미공개 정보, 의약품 안전 보고서처럼 열람 권한이 엄격히 제한된 문서를 다루는 기업일수록 검토자가 자기 쪽 사람이어야 한다는 요구가 컸다고 앤스로픽은 전했어요.

100곳 넘는 기업과 은행 CISO들이 설계에 참여했다

앤스로픽은 금융, 의료, 제조, 통신, 법률, 소매, 공공 부문을 아우르는 100곳 이상의 고객사와 아마존웹서비스·구글클라우드·마이크로소프트 애저 세 클라우드 파트너와 함께 EFS를 설계했다고 밝혔어요. 특히 골드만삭스, 모건스탠리, 씨티, 뱅크오브아메리카, 웰스파고 등 대형 은행 최고정보보안책임자들이 모인 협의체 ARC(Analysis and Resilience Center for Systemic Risk)가 논의에 참여했고요. 컴캐스트, KPMG, 마스터카드, 세일즈포스, 비자 등의 리더들과도 산업별로 설계가 통하는지 점검했다고 해요. 앤스로픽에 따르면 이 논의는 포춘 100대 기업의 4분의 1, 미국 내 모든 시스템적으로 중요한 은행, 사실상 모든 규제 산업을 아울렀어요.

어디서 쓸 수 있고 비용은 누가 내나

EFS는 Claude Code, Claude Enterprise, Claude Platform은 물론 아마존 베드록, AWS 위의 Claude Platform, 구글의 Agent Platform, 마이크로소프트 파운드리에서도 동일하게 지원돼요. 앤스로픽을 통해 직접 클로드를 쓰든 클라우드 파트너를 거치든, 활동 데이터는 고객 자신의 클라우드 계정에 이미 신뢰하는 환경 그대로 저장되는 구조예요.

항목	내용
EFS 자체 비용	앤스로픽은 과금하지 않음
저장·트래픽 비용	고객이 선택한 클라우드사가 저장·읽기·쓰기·데이터 반출 비용을 다른 리소스와 동일하게 청구
롤아웃 시점	올가을부터 단계적 제공
과도기 조치	대상 고객은 EFS 준비 전까지 Fable 5·5.1에 ZDR 적용

앞서 같은 날 나온 Fable 5.1·Mythos 5.1 출시 기사에서 확인했듯, 앤스로픽은 사이버보안 오탐을 60% 줄였다고 밝힌 바 있어요. EFS의 자동 모니터링도 이 오탐 개선과 같은 축 위에 있는 셈이에요.

같은 날 함께 나온 안전 관련 소식들

이번 발표에는 EFS 외에도 몇 가지 안전 조치가 함께 담겼어요. 앤스로픽은 지난 7월 30일 클로드 모델이 실제 컴퓨터 시스템에 무단 접근한 사건 세 건을 보고했는데, 이번 글에서 해당 사건에 대한 심층 분석을 진행 중이며 독립 평가 기관 METR과 함께 검토할 계획이라고 밝혔어요. 또 AI 에이전트가 물리적 장치를 안전하게 조작하도록 하는 공통 규격 Model Hardware Standard의 연구 미리보기를 과학 연구소와 제조사 일부에 열었고, 전 세계 과학자 1만 명에게 클로드를 무료로 제공하는 프로그램도 시작한다고 전했어요. 검증된 책임연구자는 클로드 팀 구독을 받고 연구팀원을 스탠다드 좌석은 무료로, 프리미엄 좌석은 월 15달러에 최대 1년간 추가할 수 있어요.

신청 방법

EFS는 아직 모든 고객에게 열려 있지 않고 단계적으로 확대되는 구조예요. 지금 이용을 원하는 기업은 EFS 신청 폼에서 접근 요청을 넣으면 되고, 앤스로픽이 산업과 규모에 맞춰 순차적으로 대상을 넓혀갈 예정이에요.

에디터의 시선

이번 EFS는 앤스로픽이 지난 6월 밀어붙인 30일 데이터 보관 정책이 실제로 시장에서 얼마나 큰 저항을 만났는지 보여주는 사례예요. 안전을 위한 모니터링이라는 명분과 고객의 프라이버시 요구가 정면으로 부딪혔을 때, 앤스로픽은 정책 자체를 철회하는 대신 저장 주체만 바꾸는 우회로를 택했어요. 데이터는 여전히 30일간 남지만 그 서버가 앤스로픽 것이 아니라 고객 것이 되는 순간, 계약서에 새로 등장하는 '신뢰할 수 있는 제3의 데이터 벤더'라는 골치 아픈 항목 하나가 사라져요. 오픈AI도 데이터브릭스·마이크로소프트와 비슷한 절충안을 시험 중인 것으로 전해진 만큼, 프론티어 모델 기업들이 규제산업을 공략하는 방식이 '우리를 믿어라'에서 '당신 인프라에서 우리 기능만 빌려 써라'로 옮겨가는 흐름으로 읽혀요.

지난 6월 정책과 비교하면 실제로 손에 잡히는 변화는 크지 않아요. 보관 기간도 30일 그대로고, 탐지하는 위협의 종류도 동일해요. 달라진 건 데이터가 물리적으로 어디에 앉아 있느냐, 그리고 이상 신호를 처음 들여다보는 사람이 누구냐예요. 규제산업에서 감사와 컴플라이언스를 다뤄본 실무자라면 이 차이가 왜 계약 체결 여부를 가르는지 바로 이해할 거예요. 열람 권한이 있는 사람의 명단, 데이터가 물리적으로 위치한 국가와 클라우드 계정, 암호화 키를 누가 쥐고 있는지는 감사 보고서에 그대로 들어가는 항목들이니까요.

국내에서 클로드 엔터프라이즈나 아마존 베드록을 통해 클로드를 쓰는 금융·의료 기업이 있다면, EFS의 세 가지 옵트인 요소 — 고객 소유 저장소, 고객 관리 암호화 키, 완전 자동화 검토 — 를 계약 검토 체크리스트에 넣어볼 만해요. 특히 개인정보보호법이나 금융권 망분리 규정을 적용받는 조직이라면 데이터가 국내 리전에 남는지, 감사 로그를 자체 시스템에서 뽑을 수 있는지가 실제 도입 여부를 가를 거예요.