중국 오픈 웨이트 AI가 확산되는 이유: 미·중 AI 경쟁의 다음 전선

중국의 AI 도전은 이제 미국의 최첨단 모델과 벤치마크 점수를 겨루는 데서 끝나지 않는다. 더 중요한 질문은 누가 더 많은 개발자·기업·정부에 유능한 AI를 더 낮은 비용으로 배포하느냐다.

딥시크(DeepSeek), 문샷AI의 키미(Kimi), 알리바바의 큐웬(Qwen)은 이 경쟁에서 오픈 웨이트 배포를 핵심 전략으로 삼고 있다. 스탠퍼드 연구진의 분석에 따르면 중국산 오픈 웨이트 모델은 성능과 채택률에서 미국 모델과의 격차를 빠르게 좁혔고, 일부 영역에서는 앞서거나 대등한 수준에 도달했다. 2025년 9월에는 큐웬 모델군이 허깅페이스에서 메타의 라마(Llama)를 제치고 가장 많이 다운로드된 대규모언어모델(LLM) 계열이 됐다. 18

이 흐름은 워싱턴에 난제를 던진다. 중국산 모델을 제한하면 민감한 환경에서의 노출을 줄일 수 있지만, 광범위한 금지는 오픈 개발의 층위를 중국에 내주고, 자체 서버에서 모델을 운영할 때 얻을 수 있는 투명성과 통제력까지 포기하게 만들 수 있다.

오픈 웨이트가 곧 완전한 오픈소스는 아니다

오픈 웨이트 모델은 학습이 끝난 모델의 파라미터, 즉 가중치를 내려받을 수 있게 한 모델이다. 제3자는 이를 직접 실행하거나 조정할 수 있다. 반면 폐쇄형 모델은 일반적으로 개발사가 관리하는 애플리케이션이나 API를 통해서만 이용한다. 33

하지만 가중치 공개만으로 다음 요소까지 제공되는 것은 아니다.

• 원래의 학습 코드
• 학습 데이터와 데이터 출처
• 재현 가능한 학습 방법
• 전체 평가 결과
• 상업적 이용·재배포에 대한 무제한 권리
• 필터링, 안전 조정, 개발 과정에 관한 투명한 정보

따라서 ‘오픈’이라는 표현은 모델 출시 건별로 따져봐야 한다. 다운로드는 가능하지만 재현이 어렵거나, 제한적인 라이선스가 적용되거나, 모델의 행동을 형성한 데이터가 공개되지 않을 수 있기 때문이다. 완전한 오픈소스 AI는 코드와 가중치뿐 아니라 연구·수정·재현에 필요한 정보에 의미 있게 접근할 수 있어야 한다는 더 강한 기준이다. 41

이 구분은 딥시크·키미·큐웬을 비교할 때 특히 중요하다. 세 모델의 공개 범위, 라이선스, 기술 문서는 출시 버전마다 다를 수 있으며, 모델의 현재 상태에 대한 공개 보도가 실제 변경 사항을 따라가지 못할 수도 있다.

중국은 벤치마크가 아니라 ‘채택’에서 경쟁하고 있다

중국 연구소들은 경쟁력 있는 성능에 낮은 가격, 효율적인 추론, 로컬 배포 가능성을 결합했다. 스타트업과 연구자, 기업은 값비싼 미국산 호스팅 API에 전적으로 의존하지 않고도 자체 환경에서 모델을 활용할 수 있게 됐다. 정책 연구와 보도는 저렴한 모델이 사용자를 끌어들이고, 사용자가 도구와 파생 모델을 만들며, 그 생태계가 다시 후속 개발을 앞당기는 순환 구조를 지적한다. 1720

전략적 효과는 챗봇 사용자의 숫자에만 있지 않다. 모델이 한 번 배포될 때마다 다음과 같은 파생 효과가 생길 수 있다.

• 특정 업무에 맞춘 미세 조정 모델
• 개발자 도구와 서비스 연동
• 새로운 벤치마크와 오류 보고
• 특정 모델군에 대한 개발자 친숙도
• 상업적 의존성과 기술적 기본값

스탠퍼드 분석에 따르면 2024년 8월부터 2025년 8월까지 허깅페이스 다운로드에서 중국 개발자가 차지한 비중은 17.1%로, 미국 개발자의 15.8%를 소폭 앞섰다. 18 비용 절감을 원하는 미국 기업들이 중국산 모델을 점점 더 활용하고 있다는 보도도 나왔다. 31

중국산 모델이 전 세계 소프트웨어, 기기, 정부 서비스, 산업 시스템에 깊숙이 들어가면 중국 정부와 기업이 기술적 기본값, 업데이트, 관련 공급망에 영향력을 행사할 가능성이 생긴다. 이는 잠재적인 지정학적 지렛대이지, 현지에서 운영되는 모든 모델이 손상됐다는 증거는 아니다.

‘중국산 AI 위험’은 서로 다른 네 가지 문제다

1. 호스팅 서비스의 데이터 접근

사용자가 중국에 기반을 둔 서비스에 프롬프트, 파일, 식별정보를 보내면 데이터는 사용자의 환경 밖으로 이동한다. 해당 정보는 서비스 제공자의 관할권과 관련 법률의 적용을 받을 수 있다. 따라서 정부·국방·보건·핵심 인프라·기업 기밀과 관련된 업무를 외부 서비스로 전송하려면 정식 위험 평가가 필요하다.

모델을 로컬 서버에서 운영하면 이러한 데이터 흐름 자체는 달라진다. 인프라를 적절히 구성하면 프롬프트와 문서를 조직 내부 네트워크에 머물게 할 수 있다. 다만 모델 패키지, 실행 소프트웨어, 연결된 도구까지 안전하다는 뜻은 아니다.

2. 검열과 편향, 모델의 행동

학습 데이터와 정렬 방식에 따라 모델은 정치적으로 영향을 받은 거부, 누락, 특정한 프레이밍, 허위정보를 보일 수 있다. 미국 의회 보고서는 딥시크의 호스팅 제품이 미국인의 데이터를 중국으로 이전하고 응답을 조작했다고 주장했다. 이는 의회 조사에서 나온 판단과 주장이지, 다운로드 가능한 모든 가중치 파일에 악성 코드가 들어 있다는 증거와 같은 의미는 아니다. 2

또한 호스팅 제품과 로컬에서 실행한 파생 모델의 행동은 다를 수 있다. 모델을 감싸는 애플리케이션, 시스템 프롬프트, 검열· moderation 계층, 검색·검색증강 도구, 업데이트 절차가 모두 결과에 영향을 준다.

3. 백도어와 공급망 공격

다운로드한 모델 패키지나 주변 소프트웨어에 취약한 로딩 코드, 오염된 행동, 숨겨진 트리거가 포함될 가능성을 이론적으로 배제할 수는 없다. 그러나 모델의 출신 국가만으로 백도어의 존재를 입증할 수는 없다.

보안팀은 출처, 해시, 서명을 확인하고 네트워크 동작을 점검해야 한다. 구성 요소를 샌드박스에서 실행하고, 전체 배포 스택을 대상으로 보안 테스트를 실시하는 것도 필요하다.

4. 폐쇄형 모델의 위험

폐쇄형 독점 모델에도 집중과 책임성 문제가 있다. 사용자는 일반적으로 가중치, 학습 데이터, 숨겨진 프롬프트, 텔레메트리, 필터링, 업데이트 과정을 직접 확인할 수 없다. 중앙집중형 API는 감시, 장애, 침해, 일방적인 정책 변경의 고가치 표적이 될 수 있다.

폐쇄형 접근은 오용 감시와 안전 업데이트, 무분별한 재배포 방지에는 유리할 수 있다. 그렇다고 폐쇄형 모델이 본질적으로 신뢰할 수 있다는 뜻은 아니다. 오픈 모델과 폐쇄형 모델은 위험의 종류와 통제 방식이 다를 뿐이다.

로컬 호스팅이 전면 금지론에 제동을 거는 이유

자체 호스팅은 조직이 위협 모델을 더 세밀하게 통제하도록 해준다. 보안팀은 특정 모델 버전을 고정하고, 파일의 서명과 해시를 검증하고, 외부 연결을 제한하고, 의존성을 검사하고, 서비스를 샌드박스에 격리하고, 레드팀 테스트를 진행할 수 있다. 민감한 프롬프트를 내부 인프라에 보관하는 것도 가능하다.

오픈 접근성은 독립 연구자가 오류를 재현하고 편향이나 숨은 트리거를 조사할 기회도 넓힌다. 다만 투명성이 자동으로 안전을 보장하는 것은 아니다. 대부분의 조직은 초대형 모델의 학습된 행동을 전부 감사할 수 없고, 추가 학습 과정에서 새로운 취약점이 생길 수 있다. 에어갭 환경도 전체 실행 스택이 올바르게 구성된 경우에만 데이터 외부 유출을 막는다.

실무적으로 중요한 것은 모델에 붙은 국가 라벨이 아니라 어떻게 배포했는가다. 중국에 호스팅된 API, 독립적인 감사를 거친 로컬 배포, 출처를 확인하지 않은 제3자 파생 모델은 서로 다른 위험을 가진다.

논쟁의 중심에 선 ‘증류’

**증류(distillation)**는 더 강력한 ‘교사’ 모델에서 얻은 정보를 활용해 작거나 새로운 ‘학생’ 모델을 학습하는 방식이다.

• 블랙박스 증류는 API 질의 등을 통해 관찰 가능한 출력값을 이용한다. 승인된 방식이라면 정당한 기술이 될 수 있지만, 대규모 추출은 서비스 약관을 위반하거나 안전장치를 우회하거나 독점적 행동을 복제할 수 있다.
• 화이트박스 증류는 가중치, 로짓, 은닉 상태 등 모델 내부 정보를 사용한다. 역량을 더 효율적으로 옮길 수 있지만, 이런 내부 정보에 접근하려면 일반적으로 승인이 필요하다. 무단 취득은 보안과 영업비밀 문제를 더 직접적으로 제기한다.

오픈AI와 앤스로픽은 딥시크를 포함한 중국 기업들이 모델 출력값을 학습에 활용했다고 비난했다. 미국·중국 경제안보검토위원회는 허위 계정과 프록시 서비스, 조직적인 추출과 관련된 의혹을 소개했고, 로이터는 딥시크가 미국 최첨단 모델의 역량에 ‘무임승차’하려 했다는 오픈AI의 주장을 보도했다. 이는 법원이나 다른 판단 기관에서 확정된 사실이 아니라 현재 제기된 의혹이다. 35

정책적으로 어려운 점은 블랙박스 추출이 정상적인 대규모 사용과 기술적으로 비슷해 보일 수 있다는 것이다. 반대로 공개적으로 입증하려면 민감한 조사 증거를 공개해야 할 수 있다. 그렇다고 모든 증류를 불법으로 규정해서는 안 된다. 승인된 증류는 일반적인 기술적 방법이기 때문이다.

실리콘밸리와 워싱턴에 미치는 영향

중국의 오픈 웨이트 출시는 고가의 독점 API를 중심으로 성장한 미국의 사업 모델에 압박을 가한다. 미국 기업들은 가중치를 비공개로 유지하는 것이 기술 격차를 지키는 길인지, 아니면 중국을 비롯한 경쟁자에게 개발자·연동 서비스·글로벌 유통망을 넘겨주는 선택인지 판단해야 한다.

큐웬이 라마를 다운로드 수에서 앞선 것은 오픈 모델 경쟁의 중요성을 보여주는 구체적인 신호다. 18 다만 현재 제공된 자료만으로는 엔비디아나 메타가 딥시크 V4 Pro 또는 키미 K3에 대해 어떤 구체적인 대응을 했는지 확인하기 어렵다. 기업별 대응을 주장하려면 날짜가 명시된 1차 자료가 필요하다.

워싱턴의 감시 강도는 높아지고 있다. 미국 하원 국토안보위원회와 중국공산당 관련 하원 특별위원회는 딥시크, 알리바바, 문샷AI 등이 개발한 저가 오픈 웨이트 및 API 접근형 모델의 확산과 관련해 국가안보·사이버보안 위험을 공동 조사한다고 발표했다. 14

미국이 제한 조치를 검토하고 있다는 보도도 있었지만, 제공된 근거만으로는 중국산 오픈 웨이트 모델에 대한 상업적 전면 금지가 이미 시행됐다고 볼 수 없다. 912

‘모두 금지’와 ‘아무것도 하지 않기’ 사이의 정책 선택지

보다 정교한 대응은 다음 수단을 조합하는 방식이 될 수 있다.

1. 고위험 용도를 통제한다. 국방·정보·핵심 인프라·민감한 정부 시스템과 고영향 데이터를 다루는 환경에서는 검증되지 않은 모델의 사용을 금지하거나 사전 승인을 요구한다.
2. 안전한 배포 요건을 마련한다. 민감한 환경에 쓰이는 모델에는 출처 기록, 서명된 패키지, 소프트웨어 구성요소 목록(SBOM), 독립 보안 테스트, 레드팀 결과, 네트워크 격리 기능을 요구할 수 있다.
3. 호스팅 서비스와 로컬 가중치를 구분한다. 중국에 호스팅된 API와 독립적으로 감사한 로컬 모델은 데이터 접근 위험이 다르다.
4. 무단 추출을 단속한다. 계정 인증, 질의량 모니터링, 오용 탐지, 모델 출처 확인 기술, 계약 집행을 강화하되 모든 증류를 절도로 간주하지 않는다.
5. 수출·투자 통제를 정밀화한다. 첨단 칩, 제조 장비, 클라우드 컴퓨팅 접근권, 군사·정보기관의 최종 사용과 신뢰성 있게 연결된 기업에 집중한다. 지나치게 광범위한 규제는 중국의 대체 기술 개발을 오히려 앞당길 수 있다.
6. 미국과 동맹국의 오픈 모델 생태계를 키운다. 안전하고 문서화가 잘된 모델, 다국어 평가 체계, 효율적인 추론 기술, 보안 배포 도구에 투자한다. 사용자의 선택지를 제한하는 것보다 중국의 채택 전략에 직접 대응하는 방법이다. 10

결론

중국의 오픈 웨이트 모델은 유능한 AI를 더 저렴하게 도입하고, 쉽게 맞춤화하며, 일단 배포된 뒤에는 통제하기 어렵게 만든다는 점에서 AI 경쟁의 판도를 바꾸고 있다. 전략적 중요성은 모델 품질만큼이나 생태계의 규모에 있다.

호스팅 서비스, 민감한 데이터, 공급망 무결성, 무단 증류와 관련한 보안 우려는 गंभीर하다. 그러나 국가 출신만으로 배포 안전성을 판단할 수 없고, 가중치를 공개하지 않는 미국산 모델 역시 위험이 없는 것은 아니다.

따라서 가장 방어 가능한 대응은 위험 기반 접근이다. 공급망을 검증하고, 민감한 용도를 제한하고, 모델 탈취 의혹에 대한 신뢰할 만한 증거를 조사하며, 미국과 동맹국이 성능뿐 아니라 배포 경쟁에서도 이길 수 있는 오픈 모델 생태계를 구축해야 한다.