Anthropic이 10월 12일 연구 글을 내고, 파라미터 30B 이하 소형 AI 모델이 지금까지의 발전 속도를 이어가면 올해 말까지 단순화한 평가에서 GLM-5.2 수준의 복제 능력에 닿을 것이라고 밝혔다. 소형 모델에 기반한 복제체는 그 직후에 가능할 수 있다고 했다. 스마트TV 같은 사물인터넷(IoT) 기기에 오픈 웨이트 모델을 심어 느리지만 끈질긴 봇넷을 만드는 시나리오다.1
Anthropic은 30B 이하 모델이 복제에 필요한 개별 단계를 이미 상당수 수행하지만, 단계를 처음부터 끝까지 이어 붙이면 실수가 나온다고 밝혔다. 단순화한 평가에서는 GLM-5.2 이상의 모델이 전 과정을 해냈다. 회사는 소형 모델이 지금까지의 속도로 발전하면 올해 말까지 이 수준에 닿을 것이라고 추정했다. Engadget(10월 31일, 미국 동부시간)이 외부 전문가에게 물은 결과, 소형 모델이 가까운 시일 안에 자기 복제 능력을 갖출 수 있다는 데는 대체로 의견이 같았다. 다만 실제 위협은 겉보기만큼 새롭지 않다는 평가가 나왔다.1,2
Anthropic의 실험
연구진은 약 55달러짜리 비주력 브랜드 안드로이드 TV 박스 15대를 사서 네트워크로 묶고, 그 위에서 Gemma4-26B-A4B를 초당 0.39 토큰으로 돌렸다. 박스마다 모델 층 일부를 나눠 맡는 파이프라인 병렬 방식이다. 이런 기기는 보통 RAM이 1~4GB이며, 4GB에 4비트 양자화를 가정하면 9B 모델은 4대 이상, 26B 모델은 10대 이상으로 돌릴 수 있다고 한다.
복제 능력은 GCP 노드 8대로 만든 방화벽 가상망에서 시험했다. 안드로이드 15 에뮬레이터 redroid를 돌리는 노드들에서, 웜 역할의 모델이 인증이 없는 ADB 포트로 노드를 옮겨 다니며 Llama3.1-8B 추론 서버를 세웠다. 검사를 통과하면 대상 노드에 웜 사본을 새로 띄웠다. 시험한 오픈 웨이트 모델 중 끝까지 복제를 해낸 것은 GLM-5.2뿐이었다. 5번 시도 중 4번은 8대 모두에, 1번은 7대에 퍼졌다. 다른 모델은 꾸준히 실패했다.
Anthropic은 침투 단계를 일부러 쉽게 만들었기 때문에 이 결과가 실제 성공률의 상한이라고 설명했다. 과거 Mirai 봇넷이 제조사 기본 계정 목록을 대입하는 정도로 퍼졌으므로 실제 IoT 보안이 이보다 크게 어렵지 않을 수 있다는 입장이다. Qwen3.5-9B는 Jetson Nano부터 Mac, RTX 4090까지 여러 하드웨어에서 추론 서버를 세웠고, GLM-5.2는 더 안정적이면서 초당 처리 토큰도 높았다.
연구진은 소형 오픈 웨이트 모델이 복제 능력의 문턱을 넘는 시점을 추정하기 위해 30B 이하 모델의 Epoch Capabilities Index(ECI) 추세를 썼다. 연간 13.7점 상승(R² 0.95)하는 추세선에 따르면 2026년 말에 GLM-5.2 수준에 이른다. 회사는 ECI가 복제 능력의 대리 지표일 뿐이라 대략적인 추정이라고 밝혔다.1
확산 속도와 적응 능력
이런 복제는 느리게 진행된다. 실제 TV 박스에서 Gemma4-26B-A4B의 최적화 전 속도는 32k 토큰 창 기준 평균 약 0.3토큰/초다. 창 하나를 채우는 데 Gemma4-26B-A4B는 27.3~31.8시간, Qwen3.5-9B는 10.9시간이 걸리고, 추론 설정 전체에는 각각 71~150시간, 28~51시간이 든다.
Synthient가 보고한 Kimwolf 봇넷의 최대 감염 규모는 200만 대가 넘고, 대부분 안드로이드 TV 박스다. 같은 규모에서 15대마다 Gemma4-26B-A4B를 돌리면 사본 약 13만 3천 개, 합계 초당 8만 토큰이 된다. Anthropic은 이를 H100 최대 약 40장 분량으로, 절대적으로는 적은 연산량이라고 평가했다.
적응 능력도 시험했다. Qwen3.5-9B가 시도한 전략과 실패를 짧은 메모로 남기면 다음 인스턴스가 이를 물려받는 방식으로 6세대를 돌렸더니, 추론 설정 성공률이 1세대 45%에서 이후 세대 61~84%로 올랐다. 반면 더 강한 모델 Opus 4.8을 조언자로 붙여도 성공률은 의미 있게 오르지 않았다. Anthropic은 소형 모델이 무엇을 물어야 할지 모르기 때문이라고 설명했다.1
전문가 평가와 대응책
AI 모델 검증 업체 EquiStamp의 CEO Chris Canal은 시기가 자신의 예상보다 이르다고 말했다. 자신은 내년 여름쯤을 걱정했을 것이라면서도, Anthropic이 최전선 연구 정보를 더 갖고 있어 예측이 더 정확할 수 있다고 했다. 그는 Anthropic 등 선도 연구소 직원들이 자사 AI로 머신러닝 연구를 하는 것이 최근 발전 속도의 배경이라고 본다.
Georgia Tech 사이버보안·프라이버시 스쿨의 Michael Bailey 교수는 2000년대 초부터 인터넷 웜을 연구했고, 더 최근에는 봇넷도 연구해 왔다. 2017년에는 논문 Understanding the Mirai Botnet을 공저했다. 이 논문은 Anthropic도 인용했다. Bailey는 자기 복제 모델이 등장할 것이라고 보면서도, Anthropic이 제시하는 형태와 결과대로일지는 완전히 열린 문제라고 했다.
Bailey가 보기에 적응성 자체는 새롭지 않다. Mirai도 서로 다른 칩 구조의 라우터와 IP 카메라에서 작동했고, 다만 새 구조마다 최소한 악성코드를 다시 컴파일하는 사람의 작업이 필요했다. 새로운 점은 AI가 이 작업을 자동화할 가능성이지만, Anthropic이 이를 설득력 있게 보였다고는 생각하지 않는다고 했다. 그는 AI가 새로운 일을 하기보다 공격자와 방어자 사이의 경제성을 바꿀 것이라고 말했다. 실험이 가짜 네트워크에서 사소한 취약점으로 이뤄졌다는 점도 지적했다.
Bailey는 '자기 복제'라는 표현도 정확하지 않다고 봤다. 모델을 쪼개 나눠 싣는 방식은 웜이나 바이러스처럼 전체를 복사하는 것이 아니라는 이유에서다. 실제 AI 봇넷은 기기에 발판을 만들고 작은 조정 도구를 설치하는 드로퍼에 가까울 수 있다고 했다. 웜이 서명과 행동을 바꾸는 다형성을 갖추려면 모델을 스스로 재학습해야 하는데, Anthropic은 이를 시도하지 않았다. 가장 가까운 시도는 모델 사본이 다음 사본에게 메모를 넘겨 추론 설정이 나아지는 것을 보인 정도다.2
Anthropic이 제안한 방어책은 전통적이다. 회사는 감염된 기기 하나가 새로 감염시키는 기기 수(R₀)를 1 미만으로 낮추면 복제체가 풍토병처럼 남지 않고 소멸한다고 설명했다. Mirai 때는 ISP가 외부에서 얻은 감염 증거로 고객에게 알리고 접속을 소수의 안전한 사이트로 제한했다. 이 방식은 14일 안에 감염의 92%를 정리했고, 알림이 없을 때는 74%였다. 다만 모든 ISP가 협조해야 완전히 없앨 수 있어 쉽지 않다고 했다. 회사는 규제도 해법으로 들며, 추측하기 쉬운 기본 비밀번호를 PSTI법으로 금지한 영국을 예로 들었다.
Anthropic이 제안한 방어책은 전통적이다. 감염된 기기 하나가 새로 감염시키는 기기 수(R₀)를 1 미만으로 낮추면 복제체가 풍토병처럼 남지 않고 소멸한다는 것이 회사의 설명이다. Mirai 때는 ISP가 외부에서 얻은 감염 증거로 고객에게 알리고 접속을 소수의 안전한 사이트로 제한했다. 이 방식은 14일 안에 감염의 92%를 정리했고, 알림이 없을 때는 74%였다. 다만 모든 ISP가 협조해야 완전히 없앨 수 있어 쉽지 않다고 했다. 회사는 규제도 해법으로 들며, 추측하기 쉬운 기본 비밀번호를 PSTI법으로 금지한 영국을 예로 들었다.1,2
Anthropic은 위협 모델의 부연에서, 가중치 기반 복제체는 루트 권한이 필요 없다고 밝혔다. 추론 엔진을 사용자 영역에서 돌릴 수 있고, 저보안 기기는 재부팅 뒤 다시 감염시킬 수 있다는 것이다. 공격자에게 유리한 특성이다.
별개로 Anthropic은 NVIDIA Jetson 같은 엣지 가속기에는 전체 모델을 통째로 올릴 수 있지만, 이는 상한을 계산하기 위한 추정이라고 밝혔다. NVIDIA 칩 기반 IoT 제품군의 추정 설치 대수는 약 950만 대이고, 대부분 외부에서 직접 접근하기 어렵다. 회사는 이 장치에 H100 환산 9,000~35,000개 분량의 연산력이 있다고 추정하며, 접근 가능한 양은 그보다 한 자릿수 이상 적을 것으로 본다.
Anthropic의 위협 모델에는 한계 조건도 있다. 이 모델은 루트 권한이 필요 없고, 저보안 기기는 재부팅 뒤 다시 감염시킬 수 있다. 반면 NVIDIA Jetson 같은 엣지 가속기에는 전체 모델을 올릴 수 있지만, 전 세계에 약 9.5백만 대가 있고 대부분 외부에서 직접 접근하기 어렵다. 회사는 이 장치에 H100 환산 9,000~35,000개 분량의 연산력이 있다고 추정하며, 실제로 닿을 수 있는 양은 그보다 한 자릿수 이상 적을 것으로 본다.1