중국 군 연구진, 미국 AI 모델 ‘증류’해 국방 시스템 구축…기술 패권 갈등 격화

모델 증류는 간단히 말해, 강력한 '교사(teacher)' 모델의 공개 API(응용 프로그래밍 인터페이스)에 질의를 보내고 그 출력 값(질문과 답변 쌍)을 수집한 뒤, 이 데이터를 사용해 더 작고 저렴한 '학생(student)' 모델을 훈련시키는 방식이다. 학생 모델은 교사 모델의 추론 능력과 역량을 모방하는 법을 배운다 . 군사적 응용 측면에서 이는 처음부터 최첨단 모델을 구축하는 데 필요한 막대한 컴퓨팅 인프라 없이도 자체 하드웨어에 배포할 수 있게 해준다 .

입증된 군사적 응용 분야

로이터가 워싱턴에 본부를 둔 제임스타운 재단(Jamestown Foundation)과 함께 검토한 논문과 특허들은 증류 기술이 다양한 국방 관련 AI 시스템에 사용되고 있음을 보여준다 :

• 감시 시스템 — 정찰 및 정보 분석용 AI
• 사이버전 도구 — 자동화된 공격 및 방어 시스템
• 드론 및 전술 작전 — 자율 드론 떼와 전장 의사 결정 지원 도구
• 군용 차량 — 중국 국영 방산 기업 노린코(Norinco)는 증류를 통해 자체 구축된 딥시크(DeepSeek)를 동력으로 하는 군용 차량을 선보였으며, 시속 50km까지 자율 전투 지원 임무를 수행할 수 있다

중국 인민해방군(PLA) 96904부대의 한 논문에서는 미국 모델을 증류하여 국방 응용 분야에 적합한 '더 작고 더 안전한' 버전을 만드는 과정을 명시적으로 설명했다 . 베이징에 위치한 군사 정보 및 사이버전 부대인 PLA 96941부대의 또 다른 논문에서는 오픈AI의 GPT-3.5를 사용하여 민감한 군사 소스 코드를 처리한 것으로 나타났다 . PLA 국방과학기술대학의 2024년 논문에서는 증류 기술을 사용하여 이미지 처리 모델을 축소, 자원이 제한된 군용 하드웨어에 배포할 수 있도록 했다 .

저비용으로 중국 국방 AI를 가속화하는 기술

증류 방식의 핵심 전략적 이점은 경제성에 있다. 최첨단 AI 모델을 처음부터 훈련시키는 데는 수십억 달러의 비용과 수년 간의 연구 개발, 방대한 데이터 세트, 첨단 반도체 칩에 대한 접근이 필요하다. 증류를 통해 중국 연구자들은 이러한 투자의 거의 전부를 우회할 수 있다 .

API를 통해 최첨단 모델에 질의하고, 가짜 계정을 만들고 프록시 네트워크를 사용하여 요청 속도 제한을 회피함으로써 중국 개발자들은 극히 일부의 비용으로 동일한 역량을 추출할 수 있다. 앤트로픽의 조사 결과, 약 24,000개의 사기성 계정을 통해 Claude의 에이전트 추론, 도구 사용 및 코딩 능력을 표적으로 삼아 1,600만 건 이상의 상호 작용이 생성된 것으로 확인됐다. 중국 AI 개발사 미니맥스(MiniMax)는 이 중 1,300만 건 이상의 상호 작용을 단독으로 생성했다 .

'산업적 규모의 도난' 혐의와 미국 정부의 대응

이러한 증거는 점점 더 강력해지는 일련의 비난과 정책 대응을 촉발했다:

• 2026년 2월: 오픈AI, 앤트로픽, 구글은 각각 중국 기업 딥시크, 문샷 AI(Moonshot AI), 미니맥스에 의한 조직적인 증류 캠페인에 대한 증거를 발표했다 . 앤트로픽은 이를 의도적인 '증류 공격(distillation attack)' 작전이라고 설명했다 .
• 2026년 4월: 미국 하원 위원회 청문회에서 오픈AI가 작성한, 탐지를 피하기 위해 여러 API 계정, 프록시 네트워크 및 행동 모방을 사용하는 '정교한 다단계' 증류 파이프라인을 상세히 설명한 메모가 검토되었다 .
• 2026년 6월: 앤트로픽은 알리바바(Alibaba)가 자사 Claude 모델에 대해 사상 최대 규모로 알려진 위반 행위를 저질렀다고 비난했다. 이 증류 캠페인은 4월 22일부터 6월 5일까지 진행되었다 .
• 2026년 7월: 스콧 베센트(Scott Bessent) 미국 재무장관은 중국 AI 연구소 문샷이 앤트로픽의 고급 모델인 페이블 5(Fable 5)를 증류했다고 비난한 후 잠재적인 제재를 경고했다 . 상무부 산업안보국(BIS)은 또한 중국 기업들이 불법적으로 첨단 미국 칩에 접근하고 있는지 조사 중이다 .

증류의 치명적 한계

군사적 응용에 중요한, 증류 방식이 지닌 본질적인 기술적 한계는 다음과 같다:

• 지식의 한계: 증류된 학생 모델은 일반적으로 복사해 온 교사 모델의 능력을 넘어설 수 없다. 교사의 강점을 물려받지만 동시에 맹점과 오류 패턴도 함께 물려받는다 .
• 반복 증류에 따른 성능 저하: 증류가 반복될수록 정밀도가 떨어지는 경향이 있다. 세밀한 추론, 희귀 지식, 미묘한 안전 정렬은 세대를 거듭할수록 저하된다 .
• 안전 정렬 약화: 군사적 사용에 가장 우려되는 한계다. 학계 연구에 따르면 소프트 레이블(soft-label) 증류는 작업 성능을 유지하면서도 학생 모델의 안전 장치를 원래 교사 모델에 비해 최대 50%까지 감소시킬 수 있다 . 증류된 모델은 종종 최첨단 모델의 강력한 거부 행동 및 무해성 훈련이 부족하다 . 앤트로픽은 고 지적했다 .
• 방어 회피의 한계: 현재의 방어책(출력 교란, 데이터 포이즈닝, 속도 제한 등)은 다단계 파이프라인과 분산 추출 기술을 사용하는 결심한 공격자에게는 여전히 대체로 비효율적이다 .

보안 위험과 고조되는 AI 군비 경쟁

역량 도난과 안전성 저하의 결합은 위험한 역학 관계를 만든다:

• 안전하지 않은 AI의 확산: 안전 정렬이 제거된 증류 모델은 원래 미국 기업들이 이용 약관에서 명시적으로 금지하는 군사 및 감시 목적으로 배포될 수 있다 .
• 미국 기술 우위 상실: 증류는 적대국이 수년 간의 독점적인 연구 개발을 뛰어넘어 최첨단 AI 역량에서 미국의 리더십을 잠식하게 한다 .
• 탐지 어려움: 블랙박스 API로부터의 증류 공격은 일반적인 대규모 API 사용과 구별하기 어려워 책임 소재 규명과 규제 집행을 어렵게 만든다 .
• 맞대응 고조: 양측 모두 점점 더 공격적인 맞대응책을 배치하고 있다. 2026년 3월, 앤트로픽은 중국 사용자를 식별하기 위해 Claude Code에 추적 코드를 삽입했다 . 양측이 상대방의 AI 활동을 적대적인 것으로 간주하는 보안 나선형의 위험은 계속 증가하고 있다 .

미·중 기술 탈동조화의 광범위한 의미

계속되는 증류 전쟁은 여러 측면에서 AI 분야의 미·중 분리를 가속화하고 있다 . 첨단 칩에 대한 더 엄격한 수출 통제, 더 강화된 API 접근 제한, 개발자 계정에 대한 KYC(고객 확인) 요구 사항, 잠재적인 금융 제재 등이 모두 고려되고 있다 .

핵심적인 전략적 위험은 명확하다. 증류는 중국 군대가 극히 일부의 비용으로 방위 응용 분야를 위해 미국의 AI 투자에 효과적으로 기생하는 것을 가능하게 하는 반면, 이 과정에 내재된 안전성 저하로 인해 더 통제 불능에 가깝고 위험한 군사용 AI 시스템이 탄생할 수 있다는 점이다.