안전장치는 누가 건드리나

Google은 10월 28일 Gemini 4 Carbon을 공개하면서, 언젠가 이 모델을 쓰게 될 사람 대부분을 첫 제공에서 뺐다. 이번 주에는 “일부 사이버 방어자”에게만 주고(필자 번역, 이하 같음), Google의 Fairwind 프로그램을 통해 다른 신뢰 파트너로 접근을 넓힌다. 개발자·기업·일반 소비자는 회사가 의견을 모아 안전장치를 다듬은 뒤에 차례가 온다. Google은 그 시점이 가능한 한 빠르기를 바란다고 했다.

발표의 보안 점수에는 괄호가 붙어 있다. 점수는 “안전장치 없이 평가”한 것이다. 그 숫자가 Carbon의 어느 구성을 가리키는지, 안전장치가 걸린 판이 같은 시험에서 어떤 결과를 내는지는 발표에 없다. 이 물음이 왜 중요한지는 앞선 모델이 보여 준다. 두 주 전 Argon이 일반에 공개될 때 Google의 발표문은 보안 담당자들에게 Fairwind에 지원하면 “사이버 안전장치 없는 Argon에 접근할 수 있다”고 안내했다. Argon은 두 가지로 나왔다. 모두가 쓰는 판, 그리고 심사를 거친 방어자를 위해 사이버 안전장치를 뺀 판이다. Carbon도 같은 길을 갈지, 공개된 점수가 두 집단 가운데 어느 쪽이 받는 것과 맞는지는 발표가 답하지 않는다.

Fairwind 페이지는 누가 들어가는지를 적어 둔다. Google은 정부와, 회사가 “사회의 회복력”에 중요하다고 보는 파트너에게 우선권을 주고, 지원자의 윤리적 활동 이력을 살피며, 지원한 조직의 신원을 조사한다. 10월 29일 현재 이 페이지가 설명하는 접근권은 여전히 Argon뿐이다.

같은 날, veritas라는 이름으로 글을 쓰는 한 연구자는 반대 방향으로 흘러간 요청을 적었다. 저자가 들여다보던 것은 글이 “흔한 봇 차단 스크립트”라고 부른 코드, 곧 웹사이트가 방문자의 브라우저를 식별하려고 돌리는 지문 수집 코드다. 스크립트가 난독화돼 있어 저자는 모델에게 풀어 달라고 했다. Astra는 응하지 않았다. “Daybreak Blue 토글을 켜고” 다시 시도했지만 역시 막혔다. 같은 요청을 받은 GLM-5.3은 응했다.

거절한 두 이름은 모두 OpenAI의 것이다. Astra는 OpenAI의 GPT-6 모델 이름이다. Daybreak Blue는 OpenAI 방어자 프로그램의 승인제 등급으로, OpenAI의 안내 문서는 이를 “승인된 방어 작업을 위해 거절을 줄인” 주력 모델 접근이라고 설명하며 조직뿐 아니라 개인도 신청할 수 있다고 적는다. 저자가 어떤 경로로 그 토글을 쓰게 됐는지는 글에 없고, 요청이 실제로 어느 경로로 처리됐는지도 이 기사는 확인하지 못했다.

이 일을 눈여겨볼 이유는 저자의 설명에 있다. 글은 이 스크립트가 “모델의 안전장치를 일부러 건드리는 심볼 이름”을 넣도록 짜였다고 본다. 무기 제조를 도와 달라는 요청처럼 읽히게 함수 이름을 골랐다는 것이다. 섬뜩한 글 제목도 그 이름들을 가리킬 뿐, 코드가 그런 일을 한다는 내용은 글 어디에도 없다. 이것은 한 사람이 스크립트 하나를 두고 남긴 보고다. 모델 버전은 적혀 있지 않고, 이 기사는 독립적으로 재현된 사례를 찾지 못했다. 의도는 저자의 추론이고, 거절에는 다른 원인이 있을 수 있다. OpenAI의 문서도 이런 문제를 일반론으로 인정한다. “정당한 사이버 보안 작업이나 무관한 활동도 안전장치를 건드릴 수 있다.” 문서는 오탐으로 보이는 경우를 신고하라고 하고, API 접근 제한에는 이의 절차를 안내한다.

저자의 해석이 맞다면, 이것은 접근 등급이 닿지 않는 곳의 문제다. Fairwind도, Daybreak도, 비슷한 다른 프로그램도 정하는 것은 누가 더 강한 도구를 쓰느냐다. 연구자가 부딪힌 거절은 요청 그 자체를 보고 내려졌고, 그 요청 안에는 분석 대상인 코드가 들어 있었다. 안전장치가 코드의 겉모습에 반응한다면, 코드를 쓴 쪽이 그 코드가 읽힐지에 얼마간 입김을 넣을 수 있다. 이번에 그 코드는 추적 스크립트였고, 돌려보내진 사람은 그것을 들여다보던 쪽이었다.

위험한 능력을 묶는 일과 정당한 방어를 돕는 일 사이의 긴장은 이 모델들보다 오래됐다. 2015년 미국 상무부는 2013년 바세나르 체제의 결정을 이행하려고 ‘침입 소프트웨어’ 수출 통제를 제안했다. 도구가 할 수 있는 일을 기준으로 선을 그은 것이다. Google도 반대한 쪽이었다. Google의 공공정책 블로그는 이 규칙이 “우리 자신과 사용자를 지키고 웹을 더 안전하게 만드는” 능력을 해칠 것이라고 경고했다. 상무부는 2021년 규칙에서 당시 의견 제출자들이 조항이 “지나치게 넓다”고 지적하고 “정당한 사이버 보안 연구와 사고 대응”에 미칠 영향을 걱정했다고 돌아봤다. 미국은 그 안을 고치지 않고 2016년과 2017년에 바세나르로 돌아가 다시 협상했다. 수정된 통제 규칙은 2021년에야 발표됐고, 새 허가 예외와 함께 해당 기술 통제가 “‘취약점 공개’나 ‘사이버 사고 대응’에는 적용되지 않는다”는 문장이 붙었다. 제안부터 그 활동들을 명시적으로 떼어 낸 규칙까지 여섯 해가 걸렸다.

올해의 프로그램들은 같은 긴장에 주로 사람과 조직을 심사하는 방식으로 답한다. Anthropic은 4월 “Claude Mythos Preview를 일반에 공개할 계획이 없다”고 밝히고 Project Glasswing 파트너에게 제공했다. OpenAI는 개인도 신청할 수 있는 승인제 등급을 운영한다. Google은 공개판 Argon 옆에, 심사를 거친 조직을 위해 사이버 안전장치를 뺀 Argon을 둔다. 어느 방식이든 정하는 것은 누가 도구를 쥐느냐다. 이 기사가 살펴본 자료 가운데, 안전장치가 걸린 모델이 위험해 보이도록 쓰인 자료를 읽어 달라는 요청을 받았을 때 어떻게 하는지 시험했다거나 어떻게 다루는지 밝힌 곳은 없었다.

저자의 의심이 맞다면 이번 거절은 요청의 겉면을 보고 내려졌고, 그 겉면의 일부는 다른 누군가의 손에서 나왔다. Google이 이 점을 따지고 있는지는 다음에 무엇을 공개하느냐가 보여 줄 것이다. 안전장치가 걸린 Carbon이 같은 보안 시험에서 낸 결과, 그리고 회사의 거절 시험에 거절당하도록 짜인 코드가 들어 있는지다.