[태그:] 오픈 웨이트

누군가 AI 모델 파일을 한 번 내려받으면 그 순간 파일은 만든 회사의 손을 떠나요. 그 복사본을 두고 회사가 할 수 있는 일은 사실상 없어요. 계정을 막을 수도, 요청을 걸러낼 수도, 업데이트로 문제를 고칠 수도 없죠. 오픈 모델을 둘러싼 찬반 논쟁은 거의 전부 이 성질 하나에서 출발해요. 장점과 위험의 뿌리가 같다는 뜻이기도 하고요. 이 구조만 제대로 잡아 두면 “오픈 모델은 위험하다”와 “오픈 모델이 답이다”, 두 주장이 각각 어디까지 맞는지 직접 선을 그을 수 있어요.

오픈 웨이트는 ‘학습이 끝난 숫자 파일’을 공개한 모델

용어부터 짚고 갈게요. 여기서 헷갈리면 뒤의 논쟁도 엉뚱하게 읽히거든요. AI 언어 모델은 크게 네 덩어리로 나눠 볼 수 있어요. 모델 구조를 정의한 코드, 학습에 쓴 데이터, 학습을 돌린 코드와 설정, 그리고 학습 결과로 나온 가중치(weights). 가중치는 모델 내부 연결마다 붙어 있는 수치의 묶음이에요. 모델이 ‘아는 것’도, ‘답하는 방식’도 전부 이 숫자들 안에 들어 있다고 보면 돼요.

오픈 웨이트(open weights) 모델은 이 넷 가운데 가중치 파일을 공개한 모델이에요. 가중치와 구조 코드만 있으면 자기 서버나 PC에서 모델을 그대로 돌릴 수 있어요. 추가 데이터로 미세조정(파인튜닝)해서 성격을 바꾸는 것도 가능하고요. 정작 어떤 데이터로 어떻게 학습했는지는 공개하지 않는 경우가 많아요. 엄밀히 따지면 ‘오픈소스 모델’이라는 말과 구분해서 써야 하는 이유죠.

소프트웨어에서 오픈소스라고 하면 소스 코드를 보고, 고치고, 다시 배포할 자유를 뜻하잖아요. 이 잣대를 AI 모델에 그대로 대면 가중치만으로는 모자라요. 학습 데이터에 대한 충분한 정보와 학습 코드까지 있어야 같은 결과를 재현하거나 검증할 수 있으니까요. 흔히 ‘오픈 모델’이라 불리는 것 중 상당수는 실제로는 오픈 웨이트예요. 라이선스에 상업적 이용 조건이나 용도 제한을 걸어 둔 경우도 흔하고요. 모델 이름 옆의 ‘오픈’이라는 단어보다 라이선스 파일을 먼저 읽어야 하는 이유도 여기 있어요.

폐쇄형·오픈 웨이트·오픈소스, 공개 범위는 여기서 갈린다

세 방식을 같은 항목에 나란히 놓으면 차이가 또렷해져요. 아래 표는 일반적인 경우를 기준으로 했어요. 개별 모델은 라이선스 조건에 따라 세부 사항이 달라져요.

항목	폐쇄형(API 전용)	오픈 웨이트	오픈소스(완전 공개)
가중치 파일	비공개	공개	공개
학습 데이터·학습 코드	비공개	대체로 비공개	공개 또는 상세 정보 제공
실행 위치	제공사 서버	사용자가 고른 서버·PC	사용자가 고른 서버·PC
미세조정	제공사가 허용한 범위 안에서만	가능(라이선스 조건 안에서)	자유롭게 가능
제공사의 오용 차단 수단	요청 필터링, 계정 정지, 모델 교체	배포 후에는 거의 없음	배포 후에는 거의 없음
공개 후 회수	서비스 중단으로 가능	사실상 불가능	사실상 불가능

눈여겨볼 건 맨 아래 두 줄이에요. 폐쇄형은 제공사가 서버를 쥐고 있으니 문제가 터지면 사후에라도 개입할 수 있어요. 오픈 웨이트와 오픈소스는 파일이 퍼지는 순간 그 개입 수단이 사라지고요. 남의 서버에 기대지 않아도 되는 자유가 생기는 대신, 누구도 멈춰 세울 수 없게 돼요. 장점과 위험이 정확히 같은 줄에서 나오는 구조예요.

앤트로픽이 문제 삼은 건 성능보다 ‘수정 가능성’

앤트로픽이 중국 기업 Z.ai가 공개한 강력한 신형 모델을 두고, 큰 사이버 공격 위험을 안고 있다는 보고서를 냈다고 MIT 테크놀로지 리뷰가 전했어요. 앤트로픽이 무게를 둔 건 모델 성능 그 자체가 아니었어요. 그 모델을 누구나 자유롭게 내려받아 수정할 수 있다는 점이었죠.

‘수정’에 방점이 찍힌 이유는 안전장치가 어디에 붙어 있는지 보면 드러나요. 폐쇄형 서비스의 안전장치는 여러 겹이에요. 우선 모델 자체가 위험한 요청을 거절하도록 학습돼 있어요. 그 바깥에서 제공사 서버가 입력과 출력을 한 번 더 검사하고, 사용 패턴이 이상한 계정은 정지할 수도 있죠. 오픈 웨이트 모델을 내려받아 자기 장비에서 돌리면 바깥쪽 두 겹은 처음부터 없어요. 남는 건 모델 안에 학습된 거절 성향 하나. 이것마저 미세조정으로 약해질 수 있다는 점은 보안 연구 쪽에서 꾸준히 지적돼 왔어요.

사이버 공격에서 이게 유독 문제가 되는 건, 공격 작업 상당 부분이 ‘코드를 쓰고, 고치고, 시험하는’ 반복이라서예요. 코딩 실력이 뛰어난 모델은 방어하는 쪽에 든든한 도구예요. 하지만 같은 실력이 악성 코드 작성이나 취약점 탐색으로 향할 여지도 그만큼 커져요. 폐쇄형이라면 제공사가 이런 사용을 감지하고 막을 기회라도 있어요. 오프라인으로 돌아가는 복사본은 사정이 달라요. 누가 무엇에 쓰는지 아무도 보지 못해요.

함께 놓고 봐야 할 사실도 하나 있어요. 경고를 낸 앤트로픽은 가중치를 공개하지 않고 자사 서버를 통해 모델을 제공하는 회사예요. 경쟁 구도 속에서 나온 경고라는 점은 감안하고 읽어야 해요. 그렇다고 이해관계가 있다는 사실만으로 경고 내용이 틀렸다고 단정할 근거가 생기진 않아요. 판단의 무게를 정하는 건 보고서가 내놓은 구체적인 위험 시나리오가 얼마나 검증 가능한지예요. 회사의 입장보다 이쪽을 봐야 하는 이유죠.

공개를 지지하는 쪽은 ‘몇몇 회사만 쥔 AI’를 더 위험하게 본다

반대편 논리도 만만치 않아요. 오픈 모델을 지지하는 쪽은 강력한 AI를 몇몇 회사만 쥐고 있는 상태가 오히려 위험하다고 봐요. 모델에 접근하는 조건, 가격, 허용 용도를 소수 기업이 정하게 되고, 그 회사들의 판단이 틀렸을 때 바깥에서 검증할 길이 좁아지기 때문이에요.

실무에서 손에 잡히는 장점도 분명해요.

• 데이터 반출 없는 처리: 사내 서버에서 모델을 돌리면 고객 정보나 소스 코드를 외부 API로 내보낼 필요가 없어요.
• 공급자 종속 회피: API 제공사가 가격이나 이용 정책을 바꾸거나 특정 모델 제공을 끝내도, 이미 받아 둔 가중치는 계속 쓸 수 있어요.
• 도메인 맞춤: 의료, 법률, 사내 문서처럼 특수한 영역에 맞춰 직접 미세조정할 수 있어요.
• 외부 검증: 연구자가 모델 내부를 직접 들여다보며 편향이나 안전성 문제를 파고들 수 있어요. 폐쇄형 모델로는 API가 허락하는 범위 밖을 볼 수 없죠.

이 논쟁이 찬성·반대 두 줄로 정리되지 않는 데는 이유가 있어요. 우선 닫혀 있다고 안전한 게 아니에요. 폐쇄형 모델도 우회 프롬프트(탈옥)로 안전장치가 뚫리는 일이 있으니까요. 위험의 크기도 공개 여부만으로 정해지지 않아요. 모델의 능력 수준에 따라 달라지거든요. 논쟁의 과녁이 오픈 모델 전체가 아니라 성능이 가장 높은 ‘프런티어급’ 오픈 모델에 맞춰지는 것도 그래서예요.

계산이 까다로운 지점은 하나 더 있어요. 비슷한 능력의 모델이 이미 여럿 풀려 있다면, 하나를 더 공개해서 늘어나는 위험은 생각보다 작을 수 있어요. 반대로 처음 선을 넘는 모델이라면 그 하나가 결정적일 수 있고요. Z.ai 모델을 어떻게 볼지도 이 모델이 둘 중 어느 쪽에 해당하느냐에 크게 달려 있어요.

사내에 오픈 웨이트 모델을 들이는 팀이 챙길 다섯 가지

사내 챗봇이나 코드 보조, 문서 검색을 외부 API 없이 꾸리려는 팀이라면 오픈 웨이트 모델이 가장 먼저 후보에 오르죠. 이번 논쟁이 실무에 가져올 변화는 아직 추측의 영역이지만, 두 갈래로 짐작해 볼 수 있어요. 하나는 보안 심사에서 ‘이 모델은 누가 만들었나’라는 질문이 잦아질 가능성이에요. 앤트로픽처럼 영향력 있는 회사가 특정 국가 기업의 공개 모델을 위험 사례로 지목하면, 사내 보안팀이나 고객사가 모델 출처를 묻는 일이 늘어날 수 있어요. 다른 하나는 ‘공개 모델이니 그냥 써도 된다’는 분위기가 옅어지는 쪽이에요. 도입 전 점검 절차를 문서로 남기라는 요구가 커질 수 있죠.

어느 쪽으로 흘러가든 미리 챙겨 둘 항목은 정해져 있어요.

1. 라이선스 확인: 모델 저장소의 LICENSE 파일이나 모델 카드의 라이선스 항목을 열어 상업적 이용 가능 여부, 사용자 규모 제한, 금지 용도, 파생 모델 배포 조건을 확인해요.
2. 파일 출처와 무결성: 제작사 공식 계정이 올린 파일인지부터 봐요. 체크섬이 제공되면 내려받은 파일과 대조하고요. 같은 이름으로 누군가 고쳐서 다시 올린 파생본이 섞여 있을 수 있거든요.
3. 파일 형식: 일부 모델 파일 형식은 불러오는 순간 임의 코드를 실행할 수 있어요. 가능하면 순수 텐서 데이터만 담는 형식을 고르고, 출처가 불분명한 파일은 격리된 환경에서 열어요.
4. 실행 환경 통제: 모델을 띄운 서버의 외부 네트워크 접근은 막거나 최소한으로 줄여요. 모델이 코드 실행이나 웹 접근 같은 도구를 호출하게 만들 때는 권한을 좁게 주고요.
5. 입출력 기록: 폐쇄형 API가 대신 해 주던 감시 역할을 이제 직접 해야 해요. 누가 어떤 요청을 보냈는지 로그를 남기고, 민감 정보가 출력에 섞여 나오는지 점검해요.

무게가 실린 건 마지막 두 항목이에요. 오픈 웨이트 모델을 쓴다는 건 제공사가 지던 안전 책임 일부를 우리 팀이 넘겨받는다는 뜻이거든요. 앞에서 본 ‘바깥쪽 두 겹’의 안전장치를 우리 손으로 다시 세우는 일에 가까워요.

확인된 것과 아직 불확실한 것

확인된 것

• 앤트로픽이 중국 기업 Z.ai가 공개한 강력한 신형 모델을 큰 사이버 공격 위험으로 지목한 보고서를 냈다.
• 앤트로픽이 밝힌 핵심 우려는 해당 모델을 누구나 자유롭게 내려받아 수정할 수 있다는 점이다.
• 비판 측은 악의적 사용자의 오용을, 지지 측은 소수 기업의 기술 통제 방지를 주된 논거로 든다.

아직 불확실한 것

• 보고서가 제시한 구체적 위험 시나리오와 그 검증 방법
• Z.ai의 공식 반박 여부와 해당 모델의 라이선스 조건
• 이 경고가 각국의 오픈 모델 공개 규제 논의로 번질지 여부
• 공개 모델이 실제 사이버 공격에 악용된 사례의 규모

‘열렸냐 닫혔냐’보다 ‘누가 막을 수 있나’가 먼저다

오픈 모델 논쟁을 끝까지 따라가면 같은 질문에 닿아요. 모델이 위험한 방식으로 쓰일 때 그걸 막을 수 있는 사람이 누구냐는 질문이에요. 폐쇄형 모델에서는 제공사가 그 역할을 맡아요. 대가로 사용자는 제공사의 정책과 가격, 판단을 받아들이고요. 오픈 웨이트 모델에서는 그 역할이 모델을 내려받은 모든 사람에게 흩어져요. 선의의 사용자가 얻는 자유를 악의적 사용자도 똑같이 얻는 구조죠.

팀 입장에서 쓸 만한 기준은 오히려 단순해요. 다루는 데이터가 밖으로 나가면 안 되고, 운영 인력이 보안을 직접 챙길 수 있다면 오픈 웨이트가 맞는 선택이에요. 안전 관리를 직접 할 여력이 없고 최상위 성능이 중요하다면 폐쇄형 API 쪽이 덜 부담스럽고요. 어느 쪽을 고르든 ‘오픈’이라는 이름표가 안전이나 자유를 자동으로 보장해 주지는 않아요. 라이선스와 파일 출처, 실행 환경을 직접 확인하는 습관. 이름표보다 그쪽이 훨씬 믿을 만해요.

출처: MIT Tech Review AI