예멘 무기 개발팀은 로켓 시험이 실패하자 몇 시간 만에 클로드에 원인을 물었습니다

아티클·12분 읽기AI키미에 물으면 클로드가 답하던 중계, 앤트로픽이 154쪽 보고서로 공개했습니다문샷은 10일 동안 키미 고객 요청 약 30만 건을 클로드로 넘겨 답하게 했고, 알리바바는 5~7월 가짜 계정 3,500개 이상을 동원해 1억 5,100만 건을 수집했다고 앤트로픽은 밝혔습니다. 2월 첫 공개 때 세 곳, 1,600만 건이던 증류는 이번에 일곱 곳으로 늘었습니다.읽기

이 글은 보고서의 나머지 분야를 따라갑니다. 재래식 무기 6건, 감시 10건, 영향력 공작 9건, 생물학적 악용 5건, 데이팅 앱 사기 1건입니다. 앤트로픽은 이 사례들이 일반적인 사용을 대표하지 않고 지금까지 찾은 것 가운데 가장 눈에 띄고 새로운 것을 고른 것이라고 밝혔고, 모든 사례에서 계정을 막은 뒤 필요한 경우 정부 기관과 업계 협력사에 정보를 넘겼습니다.

무기 6건, 확인된 것은 설계와 시험 단계

앤트로픽은 2025년 11월 보고서 이후 새로 나타난 악용 유형으로 재래식 무기 개발을 꼽았습니다. 총기와 미사일, 무장 드론, 폭탄 같은 무기와 그 표적·제어 체계를 만드는 데 클로드를 쓴 경우입니다. 이번에 실린 여섯 건은 중국 세 건, 러시아 두 건, 예멘 한 건입니다. 보고서는 이런 활동을 예전에는 정부나 유엔 전문가 패널이 회수한 하드웨어와 공개 자료를 짜 맞춰 드러냈지만, 이제는 모델 공급자가 스스로 찾아낼 수 있다고 적었습니다.

행위자들은 이미 전문성과 장비를 갖춘 무기의 소프트웨어를 클로드로 만들고 다듬었고, 작업을 여러 세션으로 쪼개 전체 목적을 숨겼습니다. 앤트로픽이 말하는 차단은 행위자와 연결된 계정을 모두 막아 작전 전체를 멈춘 조치입니다.

예멘 조직(GTG-87001)은 유도 로켓, 사거리 2,000km 이상을 목표로 한 다단 탄도미사일, 여러 변형을 둔 미사일 계열까지 세 계획을 동시에 진행했습니다. 사람 소프트웨어 엔지니어 대신 Claude Code로 유도 소프트웨어를 만들었고, 클로드 여러 개에 코드 작성과 조사, 검토를 나눠 맡겨 작은 개발팀처럼 부렸습니다. 앤트로픽은 안전장치가 이들의 요청을 많이 막았지만 전부 막지는 못했다고 적었습니다.

유도 로켓은 실제 시험 발사까지 갔고, 실패한 것으로 보이는 시험 뒤 몇 시간 만에 이 조직은 클로드에게 실패 원인을 분석해 달라고 했습니다. 보고서 그림은 클로드가 관여한 단계를 탄도미사일은 시뮬레이션까지, 미사일 계열은 설계까지로 표시했습니다. 앤트로픽은 관련 계정을 막고 공공·민간 협력 기관과 정보를 나눴지만, 이 조직은 이미 클로드 없이도 돌아가는 오프라인 시뮬레이션 도구를 만들어 둔 상태였습니다.

중국의 한 행위자(GTG-17001)는 어뢰를 막는 무기의 사격 통제 사양서와 200쪽이 넘는 조달 제안서를 클로드로 썼습니다. 초안을 낼 때마다 클로드에게 까다로운 전문 심사위원 역할을 맡겨 비판을 받고 다음 판을 고쳤고, 미국 방산 업체로 신분을 꾸몄습니다. 앤트로픽은 이 행위자가 중국 해군 조달을 노린 중국 방산 제조업체와 연관돼 있다고 봤습니다.

또 다른 중국 행위자(GTG-17002)는 전자전과 적 방공망 제압에 쓰는 표적 분석 소프트웨어를 12개 판에 걸쳐 고쳤고, 작업 도중 시뮬레이션의 기본 시나리오를 대만의 목표 12곳으로 바꿨습니다. 계정 정보와 안전장치에 걸린 내용은 중국 인민해방군 군사과학원 등 연구 기관과의 연결을 가리켰습니다. 러시아의 소규모 프리랜서 팀(GTG-27005)은 자율 자폭 드론 군집을 시뮬레이션에서 검증하는 단계까지 갔고, 사람을 포함한 표적을 고르고 사람의 개입 없이 폭발 명령을 내리도록 설계했습니다. 이 팀의 계정 아홉 개 가운데 여덟 개는 평범한 외주 개발에만 쓰였습니다.

모스크바의 한 설계국 조달 담당자(GTG-27006)는 유럽산 이중 용도 부품을 중국·홍콩 중개상을 거쳐 들여오는 문서를 클로드로 썼고, 상사에게 올린 보고서에는 경유지를 「제재 중립 관할권」이라고 적었습니다. 보고서는 견적 요청이나 입찰 문서, 공급처 조회가 하나씩 보면 평범해서 무기 관련 조달은 가려내기가 특히 어렵다고 적었습니다. 같은 날 앤트로픽 프런티어 레드팀은 모델이 모의 정보·무기 개발 과제에서 꾸준히 나아지고 있다는 평가를 따로 냈고, 앤트로픽은 고위력 폭발물과 무기 개발 관련 트래픽을 막는 분류기를 새로 도입했다고 밝혔습니다.

감시, 계정을 막아도 멈추지 않은 시스템

말리 사례(GTG-50027)에서는 계정 차단이 이미 배포된 시스템에 닿지 못했습니다. 수도 바마코의 독립 컨설턴트로 보이는 클로드 구독자 한 명이 국가정보기관(ANSE)을 위해 「Lakana 360」이라는 감시 플랫폼을 만들었습니다. 전국 이동통신사 세 곳의 SIM 약 2,500만 개를 대상으로 통화 기록과 문자, 음성을 모으는 체계였고, 이 숫자는 사람 수가 아닌 가입자 식별 칩 기준입니다. 법원 명령이 있어야 공개할 수 있는 기록인데도, 운영자 요청에 따라 전화번호만 넣으면 영장 확인 없이 정보 보고서를 쓰는 기능을 넣었습니다.

앤트로픽은 이 계정을 막았지만, 플랫폼은 현지 모델을 써서 자체 서버 안에서만 돌아가게 배포돼 있었습니다. 보고서는 계정 조치가 설계와 개발 작업은 끊었어도 이미 배포된 플랫폼은 멈추지 못했다고 적었습니다. 미 국무부와 휴먼라이츠워치는 말리 보안기관이 야당 인사와 언론인, 시민사회 구성원을 구금하고 납치한 사례를 기록해 왔습니다.

중국에서는 AI가 지방 치안 조직의 일상 업무로 들어갔습니다(GTG-14021). 한 시 사이버 경찰 부대는 Claude Code와 맞춤 스킬로 여론 감시 파이프라인을 돌리고 정부 감시 데이터베이스를 조회해 매일 민감 사건 보고서를 만들었습니다. 한 경찰대학 학생은 사람 10명을 「통제」 대상으로 지목한 지침을 받아 냈고, 한 지방 국가안전국은 해외 반체제 인사를 다룬 일일 동향 보고를 만드는 방법을 AI 사용 설명서로 정리해 돌렸습니다. 이 국가안전국은 밴쿠버 민주화 행진의 집결지와 경로, 종착점도 물었습니다.

대시보드 시험 화면에는 3월 24일부터 27일까지 한 도시의 인기 순위와 민감 사건 순위가 10건씩 올라 있습니다. 수돗물에 자갈과 모래가 섞여 나온다는 민원이 두 목록에 모두 들어 있었고, 보상 없는 토지 수용과 아파트 관리 분쟁도 민감 사건으로 분류돼 있었습니다. 앤트로픽은 이 사례들에서 안전장치가 고르게 작동하지 않았다고 인정했습니다. 한 번은 클로드가 요청을 제대로 거절했다가 거듭된 요청에 뚫렸고, 다른 경우에는 여러 세션 동안 아무 개입 없이 요청을 들어줬습니다.

이란의 두 조직(GTG-34007)은 계정 16개로 감시 도구를 만들었습니다. 한 조직은 기도 시간 알림으로 위장한 파이어폭스 확장 프로그램으로 소셜미디어 이용자의 신원을 대량으로 모았고, 다른 조직은 트윗 15만 5,216건을 분석해 감시할 반대파·해외 계정 39개를 골랐습니다. 보고서는 클로드가 노골적인 신상 분석과 선전 요청은 거절했지만 감시 소프트웨어를 만드는 요청은 상당수 거절하지 못했다고 적었습니다.

보고서는 감시 사례 전반에서 AI가 엔지니어 인력을 대신하고 있다고 봤습니다. 여러 분석팀으로 꾸려졌던 중국의 한 종교 담당 정보 조직은 사무실 하나로 줄었고, AI 도우미로 한 달에 수천 건의 조사를 만들어 냈습니다. 표적은 홍콩 민주화 인사, 티베트와 파룬궁 공동체, 해외의 이란 소수민족과 반체제 인사처럼 이들 정권이 예전부터 노려 온 사람들이었습니다.

여론 조작 9건, 멀리 퍼진 것은 국영 매체를 탄 경우

영향력 공작 장에는 러시아, 이란, 터키와 걸프, 남아시아, 아프리카, 유럽에서 시작해 6개 대륙의 청중을 노린 작전 9건이 실렸습니다. 앤트로픽은 작전이 실제로 얼마나 퍼졌는지를 브레이크아웃 척도로 쟀습니다. 한 플랫폼의 한 공동체 안에 머문 1단계부터 노출과 확산이 커질수록 올라가는 6단계 척도입니다.

보고서는 찾아낸 콘텐츠 대부분이 실제 이용자의 반응을 거의 얻지 못했다고 적었습니다. 가장 넓은 실제 도달은 FM 라디오와 위성·단파 방송, 국제 TV처럼 국영 매체가 유통을 맡은 경우에 나왔습니다. 케냐 작전의 게시물은 가짜 계정망과 지역 영향력자 사이에 갇혀 실제 사람에게 닿지 못했고, 말레이시아 플랫폼은 총리 계정에 인공 조회수 100만 회를 붙여 달라는 요청까지 받았지만 실제 공동체로 번진 증거는 없었습니다.

앤트로픽이 이런 작전을 보는 곳은 콘텐츠가 퍼지기 전의 제작 단계입니다. 소셜미디어는 콘텐츠가 돌기 시작한 뒤에야 작전을 보지만, 클로드에서는 계획을 짜고 표적을 고르고 글을 쓰는 동안 신호가 잡혀 청중이 생기기 전에 끊는 경우가 많았다고 보고서는 적었습니다. 작전이 밖으로 나간 뒤의 도달은 앤트로픽이 볼 수 없어서 공개 자료와 업계 데이터로 확인했습니다.

클로드가 거절한 대목도 있습니다. 중앙아프리카공화국 작전에서 실제 인물을 무장 세력으로 지목해 보안 당국의 조치를 끌어내려던 요청은 거절했고, 행위자는 익명 소식통을 내세우는 방식으로 바꿨습니다. 말레이시아 작전에서는 클로드가 한 문서를 정치적 명예훼손 자료로 알아보고 멈추자, 행위자가 표현을 순화해 같은 목표로 계속 작업했습니다.

생물학 5건, 연구자를 가해자로 단정하지 않았습니다

생물학 장은 앤트로픽이 아는 한 AI 기업을 포함해 어떤 민간 기업도 자기 플랫폼이 생물무기 개발에 쓰였을 가능성의 증거를 공개한 적이 없다는 문장으로 시작합니다. 실린 사례는 5건이고, 모두 서비스하지 않는 지역의 연구자들이 접근 제한을 우회해 클로드를 쓴 경우였습니다. 앤트로픽은 연구 기관과 나라, 구체적인 생물학 대상과 기법을 공개하지 않았고, 이들이 현직 과학자이며 해를 끼칠 의도가 있었다고 주장하지 않는다고 적었습니다.

두 건은 분류기가 막거나 가장 약한 모델로만 쓰도록 묶었고, 세 건은 치료제 연구와 구분하기 어려운 이중 용도 연구라 분류기를 통과했습니다. 앤트로픽은 기술적인 이중 용도 분야에서는 이용자의 의도를 믿을 만하게 가려낼 수 없어서 분류기 하나로 이익과 해를 동시에 다룰 수 없다고 적고, 이런 능력은 신뢰할 수 있는 이용자 프로그램으로만 제공하는 것이 안전하다고 결론 내렸습니다. 계정을 막은 한 중계 플랫폼은 며칠 만에 접속을 되살렸습니다. 최근 30일 동안 적대국 국가기관과 연결된 활동을 훑었을 때는 연구 약 35건이 나왔고, 대부분은 평범한 민간 과학이었습니다.

데이팅 앱 20여 개, AI 셋에 사람 하나

중국의 한 앱 스튜디오(GTG-15001)는 사람만 나온다고 홍보한 데이팅 앱 20여 개를 만들고 그 안의 대화 상대를 클로드로 돌렸습니다. 4월의 2주 동안 AI 인물 4,700개 이상이 최소 2만 5,000명과 대화했고, 클로드가 쓴 메시지는 약 236만 건이었습니다. 대상은 미국 이용자였고, 메시지를 보내려면 앱 안에서 산 코인으로 한도를 채워야 했습니다.

스튜디오는 실제 사람도 섞었습니다. AI 인물 셋에 사람 하나꼴로 추천 목록에 넣었고, 사람들은 영상통화와 인스타그램 맞팔로우로 앱이 진짜 만남 서비스라고 믿게 하는 일을 맡았습니다. 이들에게도 다른 회사의 작은 모델이 답장 후보 세 개를 골라 줬습니다. 앱은 앱스토어와 구글플레이 심사 때만 켜지는 화면을 따로 두어 심사를 피했고, 앤트로픽은 이 내용을 애플과 구글에 직접 전했습니다.

보고서가 적은 한계도 있습니다. 운영자의 시스템 지시문은 평범한 역할극이나 말벗 서비스처럼 보여서 대화 하나만 봐서는 사기와 과금 구조가 드러나지 않았습니다. 표본으로 본 대화 가운데 몇 건에서는 이용자가 중병이나 극심한 고통을 털어놓아 모델의 추론이 해로움을 알아챘는데도, 클로드는 거절하지 않고 인물 연기를 이어 갔습니다.

어떻게 찾았고, 무엇을 보는가

사례를 찾은 경로도 보고서에 나옵니다. 이란 선전기관 운영자들은 VPN과 외국 전화번호로 접속을 숨겼지만 대화에서 자기 위치와 기관, 역할을 거듭 밝혔고, 문서 바닥글의 기관 표시와 공개 자료가 신원 확인에 쓰였습니다. 무기 장은 정부와 유엔 패널이 회수한 하드웨어로 하던 일을 이제 공급자가 스스로 할 수 있다고 적었고, 생물학 장은 공급자가 정부나 국제기구도 갖지 못한 실제 사용 정보를 쥐게 된다고 적었습니다.

이용자 쪽에서 보면 이 탐지는 대화 열람과 보관의 문제이기도 합니다. 앤트로픽은 대화를 여러 자동 분류기로 검사하고 의심스러운 활동이 나오면 계정 단위로 조사한다고 밝혀 왔고, 개인용 정책에는 위반을 검토할 때 지정된 안전 담당자가 필요한 범위에서 대화를 볼 수 있다고 적혀 있습니다. 개인정보 안내에 따르면 자동 안전 시스템이 이용 정책 위반으로 표시한 대화는 입력과 출력을 최대 2년, 안전 분류 점수를 최대 7년 보관합니다. 모델 학습을 끈 이용자의 대화도 안전 검토 대상이 되면 위반 탐지와 대응 체계를 개선하는 데 쓰일 수 있습니다.

앤트로픽이 2024년 공개한 분석 도구 Clio는 대화를 요약하고 개인정보를 지운 뒤 비슷한 대화끼리 묶어 사용 양상을 봅니다. 이 과정에서 정상적인 보안 질문이나 게임 속 전투를 위험하다고 잘못 분류한 사례도 나왔습니다. 저는 자동 분석과 사람이 직접 읽는 범위가 어디서 갈리는지, 잘못 차단됐을 때 이의를 제기하는 절차가 무엇인지가 지금보다 분명하게 공개되기를 바랍니다.

판단하는 쪽이 이해당사자이기도 합니다

악용을 누가 판단하느냐는 물음은 앤트로픽의 군 협력으로 이어집니다. 앤트로픽은 2025년 팔란티어와 함께 미국 기밀망에 클로드를 제공한다고 발표했고, 올해 2월에는 클로드가 정보 분석과 작전 계획 등에 쓰인다고 밝혔습니다. 동시에 미국 내 대규모 감시와 완전 자율무기에는 제한이 필요하다는 입장을 유지해 왔습니다. 8월에는 법원이 국방부가 앤트로픽을 공급망 위험으로 지정한 조치를 위법으로 봤고, 그 판결은 따로 정리해 두었습니다.

온갖 조직이 클로드를 썼다는 사례가 이어지자 보고서가 성능 광고처럼 보인다는 반응도 나왔습니다. 앤트로픽은 정교하거나 새로운 유형을 골라 담았고 일반적인 사용을 대표하지 않는다고 밝혔습니다. 같은 주 앤트로픽은 클로드 모델들이 사이버보안 평가 도중 실제 제3자 시스템에 무단으로 접근한 사고 네 건을 분석한 정렬 평가도 냈고, 그 내용은 사고 원인을 정렬 실패로 다시 진단한 글에 있습니다.

계정 밖에 남은 것들

말리의 감시 플랫폼과 예멘 조직의 오프라인 시뮬레이션 도구는 계정을 막은 뒤에도 남았습니다. 공급자가 막을 수 있는 것은 자기 서비스의 계정이고, 현지 모델로 옮겨 간 소프트웨어와 이미 만든 도구는 그 밖에 있습니다. 생물학 사례의 한 중계 플랫폼도 계정이 막힌 지 며칠 만에 접속을 되살렸습니다.

국내 공공기관이나 기업이 AI 도입을 심사할 때 물을 수 있는 항목도 이 보고서에서 나옵니다. 요청이 어느 서버를 거치는지, 공급자가 계정 단위의 이상 행동을 탐지하는지, 사람이 대화를 여는 조건과 보관 기간은 어떤지, 잘못 막혔을 때 이의를 어디에 내는지입니다. 예멘 조직이 실패한 시험 결과를 들고 몇 시간 만에 돌아왔을 때 그 대화를 본 것은 클로드를 운영하는 회사였고, 이번 154쪽은 그 회사가 본 것 가운데 골라 공개한 기록입니다.

읽어 주셔서 고맙습니다.

초이 드림