Anthropic의 테스트, 저가 기기를 통한 소형 인공지능 모델의 자기 복제 임박 가능성 경고

Anthropic의 Frontier Red Team은 약 825달러를 들여 제작한 저가 Android TV 기기 15대에서 인공지능 모델을 실행했다. 이번 실험은 소형 인공지능 모델이 인터넷에 연결된 기기 사이에서 스스로를 복제할 수 있는 능력에 얼마나 가까워졌는지를 조사하기 위한 것이었다. 이 하드웨어는 초당 0.39토큰의 속도로 작동한다. 일반적인 상호작용에는 느린 속도지만, 사용자의 대기 없이 작동하는 소프트웨어에는 충분할 수 있다.

이번 연구가 Anthropic이 공용 인터넷을 통해 자동으로 확산할 수 있는 인공지능 웜을 만들었다는 뜻은 아니다. 실험은 격리된 환경에서 진행됐고, 기기에 쉽게 접근할 수 있도록 하는 지름길과 가정을 포함했다. 그러나 연구자 William Zhou와 Daniel Freeman이 발표한 결과는 남아 있는 일부 기술적 장애물이 일시적일 수 있음을 시사한다.

복제 사슬의 네 단계

연구는 소프트웨어 웜이 스스로를 복제하기 위해 필요한 네 가지 작업을 제시한다. 대상 찾기, 대상에 대한 접근 권한 확보, 추론 실행, 그리고 다른 기기로 이동하는 것이다. 연구자들은 소형 모델이 이미 악용에 필요한 일부 능력을 보였다고 판단한다. 반면 낯선 하드웨어와 운영체제, 의존성에서 모델을 실행하는 것이 가장 큰 과제다.

테스트에서 Qwen3.5-9B는 Jetson Nano, Mac 기기, RTX 4090 그래픽카드가 장착된 컴퓨터를 포함한 9가지 하드웨어 유형 중 8가지에서 Llama3.1-8B 모델로 작동하는 추론 서버를 설정하는 데 성공했다. GLM-5.2는 더 안정적이고 처리량도 높았지만, 대상 기기에서 직접 실행하기에는 너무 컸다.

방화벽으로 보호된 Google Cloud 환경에는 Android 에뮬레이터를 실행하는 8개 노드가 포함됐다. GLM-5.2는 5번의 시도 중 4번에서 8개 노드 모두에 도달했고, 다섯 번째 시도에서는 7개 노드에 도달했다. GLM-5.2를 실행하기 위해 별도의 서버를 사용했으며, 웜은 대상 기기에 더 작은 8B 모델을 설치했다. 또한 문서화되지 않은 Android Debug Bridge 포트가 열린 상태로 남아 있었는데, 이는 실제 네트워크 환경을 반드시 반영하는 요소는 아니다.

기억이 복제 가능성을 높였다

이전 시도가 남긴 메모를 후속 세대가 읽을 수 있게 되자 에이전트가 추론을 설정하는 능력이 향상됐다. Qwen3.5-9B를 20개 계통으로 실행하고 각 계통을 6세대 동안 유지하자 성공률은 1세대의 45%에서 이후 세대의 61%~84% 범위로 상승했다.

연구자들은 모델을 재훈련하지 않고도 한 복제본에서 다른 복제본으로 경험이 전달된다는 점에서 이 방식을 ‘라마르크식 유전’이라고 불렀다. 반면 Qwen3.5-9B가 더 강력한 Opus 4.8 모델에 조언을 요청할 수 있도록 해도 통계적으로 유의미한 개선은 나타나지 않았다. 소형 모델이 어떤 질문을 해야 하는지 항상 알고 있지는 않았기 때문이다.

실질적으로 무엇이 달라지는가?

현재의 역설은 전체 복제 과정을 수행할 수 있는 모델이 대개 해킹된 기기에서 실행하기에는 너무 크다는 점이다. 반면 이러한 기기에 적합한 소형 모델은 작업을 충분히 안정적으로 수행하지 못한다. 연구자들은 4GB 용량의 TV 기기가 4개 이상의 장치에 분산된 9B 모델과 10개 이상의 장치에 분산된 26B 모델을 실행할 수 있다고 추정한다. Anthropic의 15대 기기로 구성된 클러스터는 Gemma4-26B-A4B 모델을 실행한다.

이러한 종류의 기기에서 한 번의 추론을 설정하는 데는 모델에 따라 28시간에서 150시간이 걸릴 수 있다. 그러나 소프트웨어 에이전트에게 인간과 같은 인내심은 필요하지 않으므로, 막대한 수의 기기 사이에서 느리게 확산되는 것은 기존의 빠른 공격과는 다른 가능성이 된다.

대부분 저가 Android TV 기기인 200만 대 이상의 기기를 감염시킨 Kimwolf 네트워크를 바탕으로 연구자들은 비슷한 수의 기기를 15대씩 클러스터로 나누면 약 13만 3천 개의 모델 복제본이 생성될 수 있으며, 총 처리 속도는 초당 약 8만 토큰에 이를 것으로 계산했다. 이는 Nvidia H100 약 40개의 처리 능력에 해당하지만, 다른 당사자가 소유한 기기와 운영 비용을 활용한다는 대가가 따른다.

위험의 한계와 탐지 방법

이번 결과는 인터넷에서 자기 확산하는 웜이 존재한다는 사실을 입증하기에는 여전히 거리가 있다. 테스트는 열린 포트와 통제된 환경에 의존했으며, 2026년 말에 대한 연구자들의 추정도 모델 능력의 일반적인 추세에 근거한 것일 뿐 실제 복제 과정에서 동일한 성능을 보장하지 않는다.

반면 확산에 필요한 조건은 이러한 유형의 악성 소프트웨어를 탐지할 수 있게 만들 가능성이 있다. 수 기가바이트 규모의 모델을 기기 사이에서 전송하면 인터넷 서비스 제공업체가 모니터링할 수 있는 네트워크 트래픽이 발생하기 때문이다. 연구는 감염된 가입자를 격리하는 조치가 1차 방어선이 될 수 있다고 지적한다. 실제로 Mirai 네트워크에 대응하는 과정에서 한 서비스 제공업체의 조치로 14일 만에 감염의 92%가 제거됐다. 그러나 복제본을 완전히 제거하려면 감염된 기기가 포함된 네트워크를 보유한 모든 서비스 제공업체 간의 조정이 필요하다.