중국발 오픈 웨이트 AI 모델 위험성 종합 조사

조사 기준일: 2026년 10월 10일 (토) | 대상: DeepSeek, Qwen, GLM, Kimi, MiniMax 외 중국발 공개 웨이트 모델

이번 조사에서는 오픈 웨이트(open-weight) 모델을 로컬에서 실행하더라도 사라지지 않는 위험이 여러 독립적인 연구를 통해 실증되었음을 확인할 수 있었다. 다만, 이를 의도적인 백도어(backdoor)로 단정할 증거는 별개의 문제이다.

NIST는 DeepSeek R1, R1-0528, V3.1 및 Kimi K2 Thinking을 평가하며 정치적으로 민감한 질문에서 편향성을 확인했다. 이는 단순히 개발사 API의 개인정보 보호 문제가 아니다.

CrowdStrike는 정치적으로 민감한 구절을 포함하는 조건에서 중대한 취약점을 가진 코드가 생성될 확률이 최대 50% 증가하는 현상을 보고했다. 의도적인 파괴 공작이라고까지 입증하지는 않았다.

NIST의 모의 환경에서는 DeepSeek R1-0528 기반 에이전트가 비교 대상 미국 모델보다 평균 12배, 악의적인 지시에 따르기 쉬웠다. 모의 공격에는 인증 정보 유출이나 악성코드 실행도 포함된다.

GLM 개발사인 Zhipu AI(智譜AI)에게는 미국 BIS의 Entity List 등재가 확인되었다. 한편, DeepSeek의 MIT 라이선스와 Tencent Hunyuan의 지역/용도 제한 라이선스는 이용 조건이 근본적으로 다르다.

'해독(decontamination)'은 단일한 처치로 성립되는 것이 아니다. 네트워크 차단은 외부 전송을 막을 수 있지만, 가중치(weight)에 내재된 출력 경향은 바꾸지 못한다. 파인튜닝(fine-tuning)은 관찰된 편향을 완화할 가능성이 있으나, 잠재적인 백도어까지 완전히 제거했다고 증명하는 기술은 확립되지 않았다.

특히 중요한 것은 다음 세 가지 신뢰 경계(trust boundary)를 분리하는 것이다.

제1 경계: 배포물의 신뢰 — 가중치, 토크나이저, 설정, 코드, 양자화 버전, 모델의 출처
제2 경계: 추론 환경의 신뢰 — 런타임, 호스트 OS, 네트워크, 클라우드 운영자
제3 경계: 모델 출력의 신뢰 — 답변, 코드, 검색 판단, 도구 호출, 외부 시스템에 대한 조작

같은 모델이라도 가중치를 단순한 데이터로 로드하는 경우와 배포처의 Python 코드를 실행하는 경우에서는 감수해야 할 위험이 다르다. 마찬가지로, 문장을 표시만 하는 경우와 모델에게 MCP를 통해 파일 조작/코드 실행/인증 정보 접근을 허용하는 경우도 다른 리스크 구분이다.

또한 '발현 조건(manifestation condition)'은 위험이 반드시 발생하는 조건이 아니라, 연구에서 사용된 조건 또는 공격이 성립하는 데 필요한 조건을 나타낸다.

CrowdStrike의 A-03은 특히 중요하다. 일반적인 정치적 답변 거부뿐만 아니라, 정치적인 문맥이 다른 업무인 소프트웨어 개발의 안전성까지 영향을 미치는 현상이기 때문이다. 다만, 동사(同社) 자신도 의도적으로 취약한 코드를 작성하도록 훈련했다고 단정하지 않으며, 학습이나 정렬(alignment) 과정에서 부차적으로 발생했을 가능성을 제시하고 있다.

반대 증거로, DeepSeek 개발팀은 Nature 게재 논문에서 자사 안전성 평가를 제시하며 R1의 안전 수준을 대체로 중간 정도로 평가했다. 이 평가와 NIST의 평가는 사용된 벤치마크나 공격 조건이 다르기 때문에 수치를 직접 비교할 수는 없다.

A-01에 대해서는 Anthropic이 2024년에 특정 연도를 이용해 위험한 코드를 생성하도록 설계된 실험 모델을 사용하여, 일반적인 안전 재훈련 후에도 해당 행동이 지속될 수 있음을 보여주었다. 하지만 이는 중국 기업의 공개 모델에서 의도적인 '슬리퍼(sleeper)'를 발견했다는 의미는 아니다. 현재 시점에서는 대상 모델 실물에 의도적인 슬리퍼가 존재하는지 확인할 수 없었다.

B 구분은 A 구분과 엄격하게 분리할 필요가 있다. A는 추론 결과로 나타나는 모델의 행동이며, B는 모델을 로드하는 과정 자체가 공격 경로가 되는 문제이다.

특히 강력한 증거가 있는 것은 B-03과 B-04이다. 2025년 12월 1일자 vLLM 보안 정보에서는 모델 설정의 auto_map을 통해 다른 리포지토리의 Python 코드가 실행되고, trust_remote_code=False 지정이 무력화되는 취약점을 공개했다. 또 다른 취약점 CVE-2026-27893 역시 vLLM 0.18.0에서 수정되었다.

또한, llama.cpp의 2026년 3월 12일자 보안 정보에서는 GGUF 파서의 정수 오버플로우를 이용하여 연구자가 임의 코드 실행에 도달한 것이 명시되어 있다. 수정된 버전은 b8146 이후로 알려져 있다. 따라서 GGUF는 pickle보다 실행 코드 혼입을 억제하기 쉽지만, 안전성이 보장된 형식은 아니다.

이러한 문제들은 중국 제조 모델에 고유한 취약점은 아니다. 하지만 중국 제조 모델을 제3자가 양자화하여 배포하는 경우에도 그대로 적용되는 공격 경로이다.

⚠️ [IMG:N] 형식 토큰은 이미지 placeholder 입니다. 번역하지 말고 원래 위치에 그대로 유지하세요.

미국 상무부 BIS는 2025년 1월 16일, Beijing Zhipu Huazhang Technology Co., Ltd. 및 여러 관련 법인을 Entity List에 추가했다. EAR 대상 품목을 등재 법인으로 수출/재수출/이전할 경우, 원칙적으로 허가 심사가 필요하게 된다. 한편, 이 등재로 인해 이미 정당하게 확보한 GLM의 가중치(weights)를 일본 국내에서 로컬 추론하는 것까지 일률적으로 금지되는 것은 아니다. Entity List와 OFAC의 자산 동결 제재도 혼동해서는 안 된다.

Tencent의 Hunyuan-A13B는 2025년 6월 27일자 공식 라이선스에서 EU, 영국, 한국을 허가 지역에서 명시적으로 제외하고 있다. 게다가 모델 출력을 Hunyuan 외 다른 AI 모델 개선에 사용하는 것도 금지하고 있다. 이는 로컬 실행에서도 사라지지 않는 계약상의 제약이다. 일본 국내 이용은 지역 제외에 해당하지 않지만, 다른 조건의 적합성이 필요하다.

2026년에는 계열 내 라이선스 차이가 더욱 중요해졌다. Qwen3-235B-A22B는 Apache 2.0이지만, Qwen3.8-2.4T-A95B에는 자체적인 Qwen3.8-Max License가 붙는다. 이 라이선스에 따르면, MaaS나 AI 업무 비서 사업을 수행하는 자가 관련 기업을 포함하여 연속 12개월간 매출이 5천만 달러를 초과할 경우, 상업적 이용에 별도의 허가가 필요하게 된다. 다만, 제3자에게 모델이나 출력을 제공하지 않는 사내 이용에는 이 추가 허가 조건의 예외가 있다.

Kimi K3 역시 Kimi K2와 달리 일정 규모의 라이선시에게 별도 계약을 요구하는 조건을 가지고 있다. 따라서 'Qwen이라면 Apache', 'Kimi라면 MIT'와 같은 계열명 단위의 라이선스 관리는 부적절하다.

정부 규제에 대해서도 구분이 필요하다. 호주 연방 정부는 2025년 2월 4일, DeepSeek 제품 등을 정부 기기에서 배제하는 방침을 정했다. 그러나 빅토리아주의 지침에서는 코드 전체를 검사 가능하고, 정부 시스템 내에 로컬 배치하며 적절한 대책을 마련한 오픈소스 LLM은 금지 대상인 DeepSeek 제품에서 제외하고 있다. 같은 국가에서도 로컬 가중치를 어떻게 다룰지에 대한 규정이 다르다.

중국의 '생성형 인공지능 서비스 관리 잠정 방안'은 원칙적으로 중국 국내의 대중을 대상으로 하는 생성 AI 서비스를 겨냥한다. 이를 근거로, 일본 국내에서 완전 오프라인 실행하는 모든 중국산 모델에 중국 국내 검열 의무가 직접 부과된다고 단정할 수는 없다. 반대로, 국내 법령 적용이 없다고 해서 학습된 편향이 가중치에서 사라지는 것도 아니다.

DeepSeek-V3.2-Speciale에 대해서도, 2025년 12월 공개 시점에는 임시 전용 API 엔드포인트가 설정되어 모델의 위치나 배포 상태가 일반 버전과 달랐다. 다만, 그 이후 공개 상황은 변할 수 있으므로 '영구적으로 API 전용'이라고 인정하지 않는다.

공개된 가중치(weight)가 개발사 측의 업데이트에 의해 원격으로 변경되는 것은 아니다. 다만, 동일한 모델 이름을 따라 자동 업데이트할 경우, 가중치, 라이선스, 템플릿, 실행 코드가 바뀔 수 있다. 따라서 업데이트 중단이나 공개 중단으로 인한 공급 위험과, 이미 확보된 바이너리(binary)의 동작 위험은 별도로 평가해야 한다.

F-02에는 중대한 의혹이 있다. Anthropic은 2026년 2월 23일, DeepSeek, Moonshot, MiniMax에 귀속된다고 주장하는 조직적인 Claude 능력 추출을 발표하며, 총 약 24,000개의 비정상 계정과 1,600만 건 이상의 대화를 언급했다. Anthropic은 IP 주소나 요청 메타데이터 등에 근거하여 높은 확신도로 귀속시켰다고 밝혔다. 그러나 외부 감사 가능한 완전한 증거는 공개되지 않았으며, 해당 데이터가 어떤 공개 가중치의 어느 버전에 통합되었는지도 확인할 수 없다. 따라서 구체적인 가중치 오염이 입증되었다고 간주하지 않는다.

파생 버전의 동작에 대해서는 'R1dacted'가 로컬 버전의 검열 경향을 실험적으로 조사하고 있다. 이는 파생 모델에서도 원래의 경향이 남아있을 수 있다는 증거이지만, 모든 추출 모델에서 반드시 계승되는 보편적인 법칙은 아니다.

더 나아가, 공개 가중치를 확보하더라도 학습 데이터 전체, 학습 당시 코드, 후처리 과정, 강화학습(RL) 보상, 평가에서 제외된 실패 사례까지 볼 수는 없다. 공개된 것이 가중치뿐이라면, 검증할 수 있는 것은 주로 그 가중치가 보여주는 관찰 가능한 동작과 내부 표현의 일부로 한정된다.

'공개 가중치이므로 안전성을 완전히 감사할 수 있다'는 주장은 현 기술로는 성립하기 어렵다.

지금까지의 실험 증거를 평가할 때 특히 중요한 점이 있다. NIST의 DeepSeek 평가는 Hugging Face에서 가중치를 가져와 NIST 자체 클라우드 서버에서 실행한 것이며, DeepSeek API도 제3자의 추론 API도 이용하지 않았다. 따라서 A-04나 C-01을 단순히 중국 측 서버의 동작으로 설명할 수는 없다.

다음 표의 '확인 위험 ID'는 해당 버전에서 실증된 거동, 확인된 라이선스/규제, 그리고 그 배포 방식과 직접적으로 관련된 위험을 나열한 것입니다. 여기에 기재되지 않았다고 해서 안전하다는 의미는 아닙니다. A-01, A-02, G-01과 같은 일반적이고 미검증의 위험은 모든 모델에서 별도로 고려해야 합니다.

GLM-4.5의 MIT 표시는 공식 모델 카드에서 확인할 수 있습니다. 따라서 BIS 게재와 MIT에 의한 가중치(weight) 사용 허가는 별개의 사실입니다. Qwen3의 Apache 2.0, ERNIE 4.5의 Apache 2.0, Step-3.5-Flash의 Apache 2.0 역시 각 공식 배포 페이지에서 확인했습니다.

Baichuan2에 대해서는 'Apache 2.0'이라고만 표시하는 것은 불충분합니다. 공식 모델 카드는 추가적인 커뮤니티 라이선스 준수를 요구하며, 상업적 이용에 대해 신청/심사/철회가 가능한 허가를 규정하고 있습니다. 대상 조건에는 일일 활성 사용자 수나 서비스 사업자인지 여부도 포함됩니다.

제1부 D 구분(Part I D section)에 임베딩 모델 사용과 직접적으로 관련된 다음 1건을 추가합니다.

BAAI는 2025년 3월 28일에 Entity List에 추가되었고, Footnote 4도 적용되었습니다. BGE-M3은 MIT로 공개되어 있지만, GLM과 마찬가지로 모델의 저작권상 이용 허가와 게재 법인과의 수출 관리상의 거래 제한은 구분할 필요가 있습니다.

한국의 조치에 대해서도 당국이 문제 삼은 것은 구체적인 개인정보 처리였습니다. 특정 앱이나 서비스의 제한을 가중치 자체의 보유/실행 금지로 해석할 수는 없습니다.

'해독(detoxification)'을 단순히 출력 수정이 아니라, 각 위험의 발현 경로를 차단할 수 있는지라는 관점에서 판정합니다.

여기서 '사라진다(disappear)'는 기재된 수단을 엄격하게 이행한 결과, 그 이용 방식에서는 해당 공격 경로가 존재하지 않게 됨을 의미합니다. '줄어든다(decrease)'는 발생 확률 또는 피해 범위가 축소되는 것을 의미하며, '남아있다(remain)'는 주요 위험이 지속하는 것을 의미하고, '불명(unknown)'은 효과에 대한 충분한 실증이 없음을 의미합니다.

다음은 기존 연구에서 도출한 기술적 판정이며, 각 모델에 모든 대책을 적용하여 측정된 결과는 아닙니다.

<table><thead><tr><th>해독 수단</th><th>A-01</th><th>A-02</th><th>A-03</th><th>A-04</th><th>A-05</th><th>A-06</th><th>A-07</th></tr></thead><tbody><tr><td>완전 오프라인</td><td>남음</td><td>남음</td><td>남음</td><td>남음</td><td>남음</td><td>남음</td><td>남음</td></tr></tbody></table><p>판단 이유: 로컬화나 통신 차단은 가중치(weights)를 변경하지 않는다. A-03과 같은 코드 품질의 저하, A-04 및 A-05의 정치적 편향성은 오프라인에서도 남아있다. 사람이나 다른 AI에 의한 검사는 관측 가능한 오류를 발견할 가능성이 있지만, 미지의 트리거에 대한 보장은 아니다. 재학습(relearning) 또는 abliteration의 효과는 대상이 되는 행동이나 재학습 데이터에 의존한다.</p><br><table><thead><tr><th>해독 수단</th><th>B-01</th><th>B-02</th><th>B-03</th><th>B-04</th><th>B-05</th><th>B-06</th></tr></thead><tbody><tr><td>완전 오프라인</td><td>남음</td><td>줄어듦</td><td>남음</td><td>남음</td><td>남음</td><td>남음</td></tr></tbody></table><p>판단 이유: B-01부터 B-04는 모델이 첫 번째 답변을 내놓기 전에 발현될 수 있다. 따라서 출력 검토(output review)는 효과가 없다. 통신 차단은 외부 전송을 막지만, 임의 코드 실행이나 로컬 파일 파괴 자체를 막지는 못한다. 해시 고정(hash fixing)으로 줄일 수 있는 것은 검증된 배포물로부터의 갑작스러운 변경에 한정된다. 처음에 악의적인 파일을 채택해 버리면, 그 해시를 고정해도 안전하지 않다.</p><br><table><thead><tr><th>해독 수단</th><th>C-01</th><th>C-02</th><th>C-03</th></tr></thead><tbody><tr><td>완전 오프라인</td><td>줄어듦</td><td>줄어듦</td><td>줄어듦</td></tr></tbody></table><p>판단 이유: C-02와 C-03의 '사라짐'은 모델이 직접적 또는 간접적으로 실행 권한을 전혀 갖지 못하고, 자동 처리 하류(downstream)에도 연결되지 않는다는 것을 전제로 한다. 만약 다른 프로그램이 모델의 문장을 자동으로 실행한다면, '권한을 주지 않았다'고 할 수 없다. 또한 C-01의 경우, 툴 실행을 금지해도 공격 지시를 통해 답변 내용이 조작될 위험은 남아있다.</p><br><table><thead><tr><th>해독 수단</th><th>D-01</th><th>D-02</th><th>D-03</th><th>D-04</th><th>D-05</th><th>D-06</th><th>D-07</th><th>D-08</th><th>D-09</th></tr></thead><tbody><tr><td>완전 오프라인</td><td>남음</td><td>남음</td><td>남음</td><td>남음</td><td>남음</td><td>남음</td><td>남음</td><td>남음</td></tr></tbody></table><p>판단 이유: 기술적인 해독은 법률이나 계약의 허가(permission)를 대체할 수 없다. 라이선스 조건이 있는 모델을 증류(distillation), 양자화(quantization), 검열 제거하더라도, 원칙적으로는 원 모델의 계약상 제한을 임의로 없앨 수는 없다. 다만, D 구역의 '남음'은 모든 이용자가 위반한다는 의미는 아니다. 예를 들어 일본에서 Hunyuan을 사용하는 것과 EU에서 사용하는 것은 D-02의 해당성이 다르다.</p><br><table><thead><tr><th>해독 수단</th><th>E-01</th><th>E-02</th><th>E-03</th></tr></thead><tbody><tr><td>완전 오프라인</td><td>사라짐</td><td>사라짐</td><td>남음</td></tr></tbody></table><p>판단 이유: E-01 및 E-02의 '사라짐'은 API나 앱과의 병용을 완전히 폐지하고 로컬 고정 버전만 사용하는 경우에 한정된다. 개발사가 업데이트나 배포를 중단하더라도, 검증된 가중치(weights), 의존 라이브러리, 라이선스 전문을 보관하고 있다면 기존 환경의 지속성은 높아진다. 다만, 미래 OS나 GPU 업데이트 대응까지는 보장되지 않는다.</p><br><table><thead><tr><th>해독 수단</th><th>F-01</th><th>F-02</th><th>F-03</th><th>F-04</th></tr></thead><tbody><tr><td>완전 오프라인</td><td>남음</td><td>남음</td><td>남음</td><td>남음</td></tr></tbody></table><p>판단 이유: 출력의 변화와 출처(origin)의 변화는 다르다. Abliteration을 통해 정치적인 답변 거부를 줄일 수 있더라도, 기반 모델이 Qwen이나 Llama였다는 사실, 과거 학습 데이터의 입수 방법, 파생 버전의 라이선스까지 변하는 것은 아니다. 가중치의 해시도 출처를 증명하지 못한다.</p><br><table><thead><tr><th>해독 수단</th><th>G-01</th><th>G-02</th><th>G-03</th></tr></thead><tbody><tr><td>완전 오프라인</td><td>남음</td><td>남음</td><td>남음</td></tr></tbody></table><p>판단 이유: 리스크의 영향을 경감시키는 것과, 미지의 백도어(backdoor)가 존재하지 않음을 증명하는 것은 별개이다. 8가지 수단 모두 일반 공개 가중치에 대해 완전한 비존재 증명(proof of non-existence)을 제공하지 않는다.</p>

연구 및 기술상의 증거로부터 다음 결론은 명확하다.

통신 차단만으로는 가중치(weight) 속에 이미 형성된 정치적 편향이나 생성 코드의 품질 변동이 사라지지 않는다. 이 점은 NIST가 수행한 자체 호스팅 평가가 직접적인 증거가 된다.

권한 차단은 가장 중대한 피해의 증폭 경로를 차단한다. 한편으로는, 모델 답변 내용이나 판단의 편향 그 자체를 교정하는 수단은 아니다.

파인튜닝(fine-tuning)이나 abliteration을 통한 완전 해독은 증명할 수 없다. 관측된 특정 행위를 줄이는 것은 가능하지만, 미지의 트리거까지 제거되었다는 보장은 없다. 게다가 재학습을 하더라도 모델의 출처나 허가 조건은 변하지 않는다.

따라서 해독을 '안전한 모델로의 전환'이라고 정의할 수는 없다. 성립할 수 있는 것은 용도와 권한을 한정하여, 모델이 위험한 행동을 했을 경우에도 허용할 수 없는 피해가 발생하지 않도록 하는 봉쇄(containment)이다.

아래는 공식 배포처 확인, 검증된 파일 획득, 해시 고정, 격리 환경, 완전한 통신 차단, 용도별 출력 검사 등을 실시한 후의 평가이다. 라이선스나 제재는 모델과 이용자의 소재지 및 거래 내용에 따라 적용이 다르므로, 조건부 리스크로 다루어야 한다.

또한, '모든 해독 수단'을 문자 그대로 적용하여 도구 권한을 0으로 설정하면, 자동 실행하는 코딩 에이전트나 상주 에이전트는 기능하지 않게 된다. 이 두 용도에 대해서는 그 모순점을 명시한 후, 기능을 구현하는 데 필요한 권한을 되돌렸을 경우의 잔존 리스크를 보여준다.

기업이나 학교가 제3자製 OSS(Open Source Software)를 채택할 경우, 모델의 국적만으로 안전성을 결정하기보다, 그 모델을 어느 신뢰 경계(trust boundary)에 두고 있는지를 평가하는 것이 실제 피해 가능성을 판정할 수 있다.