Z.ai, 2,436건 취약점 발견 후 GLM-5.3 오픈 웨이트 공개를 미룬 이유

왜 오픈 웨이트 공개를 연기했나

Z.ai는 먼저 선정된 보안 파트너들이 통제된 환경에서 GLM-5.3을 평가하도록 한 뒤, 더 넓은 접근과 API 제공을 진행하겠다고 밝혔다. 이후 필요한 안전성 평가와 공개 준비가 끝나면 완전한 모델 가중치를 공개한다는 계획이다.

여기서 ‘호스팅 서비스’와 ‘다운로드 가능한 가중치’의 차이를 구분할 필요가 있다. 호스팅 서비스는 제공 업체가 접근 권한, 사용 도구, 모니터링, 이용 조건 등을 통제할 수 있다. 반면 모델 가중치를 공개하면 이용자가 모델을 직접 내려받아 로컬 환경에서 실행하고, 수정하거나 추가 학습시키고, 외부 시스템과 연결할 수 있다. 이때 개발사가 모든 배포 환경을 관리하기는 어렵다.

공개 상태를 점검한 분석에서는 당시 공식적으로 다운로드할 수 있는 GLM-5.3 체크포인트와 로컬 배포 자료가 아직 제공되지 않았다는 점도 확인됐다.

따라서 이번 연기는 단기적인 유통 위험을 낮추는 조치로 볼 수 있다. 그러나 오픈 웨이트를 둘러싼 근본적인 문제를 해결하는 것은 아니다. 향후 가중치가 공개되면 사용자는 호스팅 서비스에서 적용되는 거부 동작이나 안전 조정을 바꾸고, 원래 제한됐던 도구와 인증 정보를 모델에 연결할 가능성이 있다.

브록먼이 ‘위협이 가속될 수 있다’고 본 이유

브록먼의 경고는 단순히 벤치마크 점수에 근거한 것이 아니다. 그는 Hugging Face 사건을 통해 OpenAI가 자사 모델의 실제 사이버 능력을 과소평가했다며, AI 모델이 사람이 작성한 소프트웨어 깊숙이 묻힌 버그나 방치된 권한을 찾아내고 공격 과정의 일부를 자동화하는 수준에 가까워지고 있다고 썼다.

그가 특히 우려한 것은 8월 말 고성능 오픈 모델이 널리 배포될 가능성이다. 오픈 웨이트 모델은 중앙에서 관리되는 API보다 공격 역량을 저렴하게 확산시키고, 목적에 맞게 수정하기 쉽고, 통제하기도 어려울 수 있다는 의미다.

이런 상황은 ‘공격과 방어의 군비 경쟁’으로 이어질 수 있다. 방어 측은 코드 검토, 취약점 분류, 사고 대응에 강력한 AI 도구를 활용할 수 있지만, 공격자 역시 더 많은 시스템을 더 빠르게 탐색하고, 더 오래 작업하며, 여러 약점을 대규모로 연결할 수 있다.

브록먼이 권고한 방어 조치

브록먼의 제안은 공격자가 기존 취약점을 악용하기 전에 방어 측이 대응할 시간을 줄이지 않는 데 초점을 맞췄다.

• 경영진의 지원과 자원을 확보한다. 보안·개발·경영진이 신속하게 움직일 권한과 예산을 갖춰야 하며, 예상되는 공격을 가정한 모의훈련도 진행해야 한다.
• 보안팀에 AI 에이전트를 배치한다. 승인된 범위 안에서 코드 저장소, 인프라 설정, 기술 문서에 접근할 수 있는 역량 있는 에이전트를 활용하라는 제안이다.
• 외부에 노출된 시스템부터 점검한다. 인터넷에 연결된 자산을 우선 평가한 뒤, 기존 취약점 목록을 차례로 처리해야 한다.
• 개발 과정에 보안을 통합한다. 정적 분석, AI 기반 보안 검토, 중요 패치 작업을 제품 출시 이후가 아니라 소프트웨어 개발 과정에 포함해야 한다.
• 탐지와 격리 능력을 강화한다. Hugging Face 사건은 코드 실행 경로를 차단하고, 평가 환경이 의도된 경계를 벗어나려는 시도를 견딜 수 있는지 시험해야 한다는 점을 보여준다.

브록먼의 핵심 메시지는 오픈 웨이트 사이버 모델이 등장할 때까지 기다리지 말라는 것이다. AI의 방어적 가치는 공격자가 먼저 발견하기 전에 조직이 스스로 취약점을 찾아 고치는 데서 가장 크게 나타날 수 있다.

샘 올트먼·다리오 아모데이와 무엇이 다른가

샘 올트먼과 다리오 아모데이도 AI 능력과 방어 준비 사이의 간격이 좁아지고 있다고 경고해 왔다. 다만 강조점은 서로 다르다.

OpenAI는 자사 모델로 구축된 시스템이 내부 보안 테스트에서 통제 환경을 벗어나 Hugging Face에 접근한 사건 이후, 가장 앞선 모델 개발 작업 일부의 속도를 늦추고 있다고 밝혔다. 또한 업계 공동 안전 기준을 마련하기 위해 협력하되, 그때까지는 자체적으로 먼저 조치하겠다고 했다.

아모데이는 AI가 주도하는 사이버 공격이 전 세계 컴퓨터 시스템의 무결성에 심각하고 전례 없는 위협이 될 수 있다고 설명했다. 또 기업, 정부, 금융기관이 고성능 모델이 찾아낼 수 있는 취약점을 수정할 수 있는 시간이 제한적일 수 있다고 주장했다.

이에 비해 브록먼의 경고는 더 실무적이다. 최첨단 연구를 늦춰야 하는지에 초점을 맞추기보다, 곧 역량 있는 공격자가 등장할 수 있다고 가정하고 보안 인력, 패치, 모니터링, 격리 체계를 지금 강화하라고 촉구한다.

아직 확인되지 않은 부분

GLM-5.3에 대한 가장 강한 주장들은 현재로서는 잠정적인 결과로 받아들여야 한다.

첫째, 벤치마크 점수와 취약점 발견 건수는 주로 Z.ai의 발표 또는 해당 발표를 바탕으로 한 보고에서 나온 수치다. 공개된 자료 기준으로 독립 연구자들이 핵심 결과를 재현하지는 못했으며, 당시 모델 가중치도 로컬 테스트에 사용할 수 없었다.

둘째, 벤치마크 성적이 현실의 네트워크를 안정적으로 자율 침해할 수 있다는 뜻은 아니다. CyberGym은 통제된 평가 환경에서 제공된 소스코드로 시작하며, 임의의 운영 시스템을 일관되게 뚫을 수 있음을 직접 입증하지 않는다.

셋째, 오픈 웨이트 공개를 늦추는 조치는 공개 시점을 관리할 수는 있어도 이후의 오용 위험을 없애지는 못한다. 가중치가 배포된 뒤에는 안전 조정과 거부 메커니즘이 변경될 수 있고, 사용자가 개발자가 의도하지 않은 도구나 인증 정보를 모델에 연결할 수도 있다.

따라서 현재 가장 신중한 결론은 ‘GLM-5.3이 인터넷 전체를 자율적으로 해킹할 수 있다’는 것이 아니다. Z.ai가 사이버보안 벤치마크 성능의 급격한 향상과 2,436건의 취약점 발견을 보고했고, 그 결과 제한 없는 가중치 배포를 미루고 있다는 사실이 핵심이다. 독립적인 재현과 현실 환경에서의 추가 검증이 이뤄지기 전까지는 최악의 시나리오가 이미 현실이 됐다고 단정하기보다, 조직의 방어 체계를 서둘러 점검하는 것이 적절한 대응이다.