오픈소스 AI 모델, 내려받기 전 따질 다섯 기준

앤트로픽(Anthropic)이 중국 기업 Z.ai의 강력한 새 모델을 겨냥한 보고서를 냈다. 심각한 사이버 공격 위험이 있다는 주장이다. 보고서의 핵심 우려는 한 줄로 줄어든다. ‘누구나 자유롭게 내려받아 수정 가능하다’는 점.

내려받기 버튼 하나. 오픈 모델을 둘러싼 논쟁은 결국 이 버튼에서 출발한다. 누구나 모델을 가져가 자기 컴퓨터에 올리고 원하는 대로 고친다는 점이 지지자에게는 가장 큰 미덕이고, 안전을 걱정하는 쪽에는 가장 큰 불안 요소다. 사실은 하나인데 평가가 정반대로 갈린다.

이 글은 사건의 전말을 좇지 않는다. 문제의 모델이 무엇이고 보고서가 어떤 근거를 댔는지는 참고한 자료만으로 알기 어렵기 때문이다. 대신 오픈 모델이 정확히 무엇을 공개하는 것인지, 찬반 양쪽이 무엇을 근거로 삼는지, 직접 써보려는 사람은 어떤 기준으로 판단하면 되는지를 차례로 짚는다.

오픈 모델·오픈 웨이트·오픈소스, 여는 범위가 제각각이다

AI 모델의 알맹이는 ‘가중치’라고 부르는 숫자 묶음이다. 방대한 데이터를 학습한 결과가 이 파일에 담긴다. 이걸 공개하면 누구든 자기 장비에서 모델을 돌리게 된다. 그렇게 가중치를 푼 모델을 흔히 오픈 웨이트 모델, 줄여서 오픈 모델이라고 부른다.

오픈소스는 원래 소프트웨어 쪽 용어다. 코드를 들여다보고, 고치고, 다시 배포할 자유를 뜻한다. 이 정의를 AI에 그대로 대입하면 가중치만으로는 모자라고 학습 코드와 학습 데이터 정보까지 열려 있어야 한다는 주장이 나온다. 현실은 그만큼 엄격하지 않다. 가중치만 풀어놓고 오픈소스라고 부르는 경우가 흔해서 두 용어가 뒤섞여 쓰이는 편이다. 여기서부터는 판단이다. ‘오픈소스 AI’로 검색해 찾은 모델이라도 이름표를 그대로 믿기보다, 실제로 공개된 범위가 가중치까지인지 학습 코드와 데이터 정보까지인지 따로 확인하는 편이 낫다. 같은 ‘오픈’이라도 열린 범위가 다르기 때문이다.

반대편에는 폐쇄형 모델이 있다. 가중치는 개발사 서버 안에만 있고, 사용자는 앱이나 API로 질문을 보내 답을 받기만 한다. 프런티어 연구소의 문 뒤에 모델을 둔다는 표현이 바로 이 방식을 가리킨다.

공개를 지지하는 쪽의 논리는 ‘소수 기업에 맡기지 않는다’

지지 진영의 핵심 주장은 단순하다. 강력한 기술을 몇몇 회사만 쥐고 있으면 그 회사의 결정에 모두가 끌려가게 되니, 모델을 열어 통제권을 나누자는 것.

쓰는 사람이 체감하는 이점도 이 논리에서 갈라져 나온다. 네 가지로 추려진다. 우선 모델을 내 장비에서 돌리면 입력한 내용이 바깥 서버로 나가지 않는 구조를 만들기 쉽다. 우리 업무 데이터로 추가 학습을 시켜 용도에 맞게 다듬는 일도 가능하다. 서비스 종료나 요금 정책 변경에도 덜 흔들린다. 한번 받아둔 파일은 계속 내 손에 남기 때문이다. 마지막은 검증이다. 외부 연구자가 모델 내부를 직접 뜯어보며 약점을 찾는 길이 열린다.

단서가 하나 붙는다. 이 이점들은 직접 운영할 장비와 인력이 있을 때 성립한다. 준비 없이 받아두기만 하면 장점은 못 누리고 관리 부담만 떠안기 쉽다. ‘공개’가 곧 ‘편하게 쓴다’는 뜻은 아니라는 얘기다.

안전 진영이 걱정하는 지점은 ‘한번 풀리면 회수가 안 된다’

안전을 강조하는 쪽은 오픈 모델이 악의적인 사용자 손에서 오용될 위험을 경고한다. 근거는 구조의 차이다. 폐쇄형 모델은 요청이 전부 개발사 서버를 거친다. 그래서 수상한 사용 패턴을 걸러내거나 계정을 막는 식의 관리가 가능하다. 가중치 파일이 퍼진 뒤에는 사정이 달라진다. 개발사도 누가 어디서 어떻게 쓰는지 알 길이 없다. 모델에 심어둔 거절 장치 역시 고쳐 쓸 여지가 열려 있는 만큼 약해지기 쉽다. 앤트로픽 보고서의 핵심 우려가 ‘내려받아 수정 가능’이라는 점에 놓인 것도 이 때문으로 보인다. 이 마지막 문장은 이 글의 해석이다. 보고서가 그렇게 설명했다는 뜻은 아니다.

사이버 공격이 왜 이렇게 민감한 주제인지는 현실 피해를 보면 감이 온다. 프랑스에서는 사이버 공격으로 슈퍼마켓 수백 곳의 냉장고가 과열됐다. 온도는 화씨 120도까지 올랐고, 식품이 상하고 불이 나는 일까지 벌어졌다. 선을 그어둘 부분이 있다. 이 사건이 오픈 모델과 관련 있다는 내용은 이 글이 참고한 자료에 없다. AI가 이런 위협을 키우고 있다는 지적이 함께 소개됐다는 점만 짚어둘 만하다. 둘을 인과로 잇는 것은 자료가 허락하는 범위 밖이다.

앤트로픽은 별도로 AI 모델이 데이터센터 없이도 기기 사이에서 스스로 복제될 가능성, 스마트 TV나 가전을 통해 퍼질 가능성도 경고했다. 여기까지가 앤트로픽의 주장이다. 읽는 쪽에서 따져볼 대목은 따로 있다. 경고를 낸 쪽이 모델을 닫아두고 서비스하는 회사라는 점이다. 경쟁 구도가 섞인 주장으로 읽는 시각이 나올 만하다. 그렇다고 우려 자체가 틀렸다는 뜻은 아니다. 주장의 내용과 주장하는 쪽의 이해관계는 따로 놓고 보는 게 맞다. MIT 테크놀로지 리뷰가 해설 시리즈에서 이 논쟁을 겉보기보다 복잡하다고 소개한 것도 양쪽 주장에 모두 일리가 있어서일 것이다.

공개형과 폐쇄형을 항목별로 나란히 놓으면

양쪽 논리를 표로 옮기면 서로 거울처럼 맞물린다. 한쪽의 지지 논리가 다른 쪽의 비판 논리가 되는 구조다.

표에서 보이듯 어느 한쪽이 무조건 안전하거나 무조건 자유로운 게 아니다. 바뀌는 것은 통제권을 누가 갖고, 그에 따른 책임을 누가 지느냐다. 공개형에서는 내려받은 사람이, 폐쇄형에서는 개발사가 그 자리에 선다.

한국 사용자에게 변수는 모델의 국적보다 실행 위치다

공개 모델의 전제는 ‘누구나 내려받기’다. 한국 사용자도 접근 자체는 다른 나라 사용자와 다르지 않은 구조다. 실제로 차이를 만드는 건 모델의 국적보다 ‘어디서 실행하느냐’다.

가중치를 받아 내 PC나 회사 서버에서 돌리면, 실행 프로그램이 따로 전송하지 않는 한 입력 내용은 그 장비 안에 머문다. 같은 모델이라도 개발사가 운영하는 웹 서비스나 API로 쓰면 입력 내용이 그쪽 서버로 넘어간다. 그래서 ‘중국 모델이라 데이터가 넘어간다’는 말도, ‘공개 모델이라 안전하다’는 말도 정확하지 않다. 두 단정이 똑같이 빠뜨린 것이 있다. 실행 위치와 실행 프로그램이다. 이 둘부터 확인해야 한다.

회사에서 쓰려는 사람에게는 보안 부서의 반입 절차가 변수로 남는다. 사이버 위험 경고가 이어지면 외부 모델 파일을 사내에 들이는 심사가 까다로워질 가능성이 있다. 이건 어디까지나 추측이다. 뒷받침하는 자료가 있는 얘기가 아니다. 한국어 품질에 대한 정보도 참고한 자료에는 없다. 실제 업무 문장을 넣어 직접 비교해보는 수밖에 없다.

확인된 것과 아직 불확실한 것

확인된 것

• 앤트로픽이 Z.ai의 강력한 새 모델이 심각한 사이버 공격 위험을 낳는다고 주장하는 보고서를 냈다.
• 보고서의 핵심 우려는 누구나 자유롭게 내려받아 수정 가능하다는 점이다.
• 안전 진영은 악의적 사용자의 오용을, 지지 진영은 소수 기업의 기술 통제 방지를 각각 근거로 든다.
• 앤트로픽은 AI 모델이 데이터센터 없이 기기 사이에서 자기 복제할 가능성도 따로 경고했다.

아직 불확실한 것

• 문제가 된 모델의 이름, 성능 수준, 라이선스 조건은 참고한 자료에 나와 있지 않다.
• 보고서가 어떤 실험이나 사례를 근거로 삼았는지도 확인되지 않았다.
• 공개의 이점이 위험보다 큰지에 대해서는 합의된 결론이 없고 논쟁이 이어지고 있다.
• 이 논쟁이 국내 기업의 보안 정책이나 규정에 영향을 줄지는 알려진 바가 없다.

내려받기 전에 따져볼 다섯 가지 기준

다섯 가지를 한 줄로 세우면 성격이 둘로 나뉜다. 앞의 두 가지는 공개형이 내 상황에 맞는지를 가르는 기준이고, 뒤의 세 가지는 받기로 마음먹은 뒤에 확인할 항목이다.

1. 데이터 민감도와 용도: 바깥으로 내보내면 안 되는 자료를 다루는 업무라면 내 장비에서 돌리는 공개형의 가치가 커진다. 공개된 정보만 다루는 일반 업무라면 폐쇄형 서비스가 간편하다.
2. 예산 구조: 폐쇄형은 쓴 만큼 내거나 구독료를 내는 방식이 일반적이다. 공개형은 모델 파일 값 대신 장비와 전기, 관리 인력에 돈이 든다. 사용량이 적으면 장비 투자가 오히려 손해일 가능성이 크다. 파일 값만 보고 싸다고 계산하면 틀리기 쉬운 이유다.
3. 라이선스: 공개됐다고 조건이 없는 건 아니다. 상업적 이용, 재배포, 고친 모델의 배포 조건을 모델 배포 페이지의 라이선스 문서에서 확인해야 한다.
4. 파일 출처와 호환성: 개발사가 직접 올린 파일인지, 제3자가 가공해 다시 올린 파일인지 구분해야 한다. 출처가 불분명한 파일은 변조 여부를 알기 어렵다. 내 장비의 메모리 용량과 실행 프로그램이 해당 파일 형식을 지원하는지도 함께 봐야 한다.
5. 운영 책임: 공개형은 접근 권한 관리, 업데이트, 오용 방지 장치를 전부 직접 챙겨야 한다. 서비스에 붙여 외부 사용자에게 열 계획이라면 입력과 출력을 걸러내는 장치와 기록 보관까지 설계에 넣는 게 안전하다.

오픈 모델 논쟁은 선과 악의 구도라기보다 통제권과 책임을 누가 지느냐의 문제로 보는 편이 판단에 도움이 된다. 내려받는 순간 통제권이 내게 온다. 책임도 같이 온다. 새 모델이 나올 때마다 같은 다섯 가지를 다시 대보면 된다.

출처: MIT Tech Review AI

AI리서치팀

Daily News Korea AI리서치팀은 인공지능, 머신러닝, 생성형 AI의 최신 동향과 실용적 활용법을 연구합니다. ChatGPT, 클로드, 미드저니 등 AI 도구 비교 분석과 활용 가이드를 제공합니다.