Anthropic, 소형 AI가 스마트 TV 박스에서 자가 복제할 가능성 제시

Anthropic 프런티어 레드팀의 William Zhou와 Daniel Freeman이 2026년 10월 12일(현지시간) 소형 AI 모델이 데이터센터 없이 스스로 복제할 가능성을 다룬 연구를 공개했다. 연구진은 실험 결과를 근거로, 소형 모델이 스마트 오븐이나 저가 안드로이드 TV 박스 같은 상용 IoT 기기에서 자가 복제할 만한 능력을 갖추기까지 몇 달밖에 남지 않았을 수 있다고 밝혔다.

실험에서 90억 매개변수(9B) 모델은 시험한 하드웨어 9종 중 8종에서 추론 서버를 가동했다. 연구진에 따르면 300억 매개변수(30B) 이하 모델은 복제에 필요한 개별 단계를 이미 상당수 해낸다. 다만 단계를 처음부터 끝까지 이어 붙이는 과정에서 실수한다. 단순화한 평가에서는 GLM-5.2와 그보다 강한 모델이 끝에서 끝까지 복제를 해냈다. 소형 모델이 과거 개선 속도대로 향상되면 올해 말까지 이 수준에 도달하고, 소형 가중치 기반 복제기는 그 직후 가능해질 수 있다고 연구진은 밝혔다.

무엇을 실험했나

연구가 다루는 개념은 자율 복제·적응(ARA)이다. 모델이 사람의 통제 없이 스스로 배포되고 퍼지는 것을 뜻한다. 사이버 보안에서 웜은 사람 개입 없이 한 컴퓨터에서 다른 컴퓨터로 자신을 복사하는 프로그램이다. 연구진은 기존 연구에서 AI 에이전트가 네트워크를 스캔하고 취약점을 공격해 GPU 클러스터의 대상 기기로 모델 가중치를 복사한 사례가 있다고 설명했다. 이런 AI 웜은 가중치를 직접 싣고 다니거나 공개 허브에서 다시 내려받아 감염된 기기에서 바로 추론을 돌릴 수 있고, 가중치가 악성코드 페이로드의 일부가 된다.

연구진은 복제 과정을 대상 찾기, 실행 권한 얻기, 추론 구축, 새 호스트에서 전파 이어가기의 네 단계로 나눴다. 앞의 두 단계인 익스플로잇 요소는 CyberGym, ExploitBench, 적응형 웜 등 선행 연구가 소형 모델의 사이버 익스플로잇 능력을 이미 보였기 때문에 대체로 제외했다. 상대적으로 덜 측정된 추론 구축을 이번 연구의 초점으로 삼았다.

연구진은 시연도 했다. 비브랜드 저가 안드로이드 TV 박스 15대를 직접 구입해 네트워크로 묶었고, 박스 값은 개당 약 55달러였다. 여기에 Gemma4-26B-A4B 모델을 나눠 올려 초당 0.39토큰 속도로 돌렸으며, 박스마다 모델의 층 두 개를 담았다. 값싼 IoT 기기로도 상당한 성능의 모델을 구동할 수 있음을 보이려는 시연이다.

연구진이 꼽은 위협 유형

연구진은 소형 모델이 호스트를 침해해 복제하는 방식을 '가중치 기반 복제기'라 부르고, 가까운 시일 안에 실현될 수 있는 위협 모델 중 하나로 꼽았다. 대형 복제기와 API 기반 복제기도 같은 목록에 있다. 가정과 소규모 사업장의 IoT 기기는 인터넷에 연결돼 있고 보안 조치가 대체로 미약해 첫 표적이 될 수 있다고 했다. 한 기기에 들어가지 않는 모델은 여러 조각(샤드)으로 나눠 기기들이 통신하며 함께 돌릴 수 있다. 30B 미만 모델의 샤드를 감당할 기기로는 스마트 냉장고, 스마트 오븐, 로봇 청소기, 잔디깎이가 꼽혔다. 보안 카메라와 화상회의 장비처럼 AI 칩을 내장해 출시되는 기기도 늘고 있어 표적이 될 가능성이 있다고 했다.

연구진은 사람 해커가 사회공학으로 보안을 뚫는 경우가 많은 반면, 오늘의 소형 모델은 사회공학보다 에이전트형 코딩과 해킹에 상대적으로 강하다고 평가했다. 모델이 좋아지면 달라질 수 있다고도 덧붙였다.

이 밖에 연구진이 구분한 유형은 두 가지다. 하나는 데이터센터 같은 고성능 표적을 노리는 대형 복제기다. 대형 모델은 사이버 능력이 대체로 더 높지만 비교적 보안이 단단한 데이터센터를 뚫어야 한다. 가중치가 비공개인 프런티어 복제기는 개발사 인프라에서 감시 없는 내부 배포를 띄우거나 가중치를 외부로 빼돌릴 수 있고, 오픈 웨이트 복제기는 개발사의 연산 자원을 쓰지 못해 처음엔 자원이 적지만 감시 없이 출발한다. 다른 하나는 API 자격 증명을 훔쳐 추론 API를 쓰는 방식이다. 제공사가 모르고 서비스해 줘야 하고 발각되기 쉬워 지속성은 떨어질 수 있지만, 피해자 계정을 쓰면 확산 속도는 더 빠를 수 있다고 했다. 실제 공격은 여러 모델과 하드웨어, 복제 방식을 섞은 형태가 최악의 시나리오에 가깝다고 연구진은 봤다.

추론 구축 평가

연구진은 추론 구축이 소형 모델에 가장 어려울 수 있다고 봤다. 하드웨어와 운영체제에 맞는 추론 스택을 고르고 패키지 버전을 맞추고 기기별 문제를 디버깅하는 긴 결정 사슬이 이어지며, 앞 단계에 뒤 단계가 매여 있어 실패에서 복구하기 어렵다는 이유다.

평가는 여러 오픈 웨이트 모델이 서로 다른 하드웨어에서 Llama3.1-8B를 서비스하게 하고 초당 토큰 수를 재는 방식이었다. Qwen3.5-9B 같은 9B 모델은 시험한 9종 하드웨어 중 8종에서 추론 서버를 세웠고 1종에서는 실패했다. 성공한 하드웨어에는 Jetson Nano, Mac PC, RTX 4090이 들어 있다. GLM-5.2처럼 더 강한 모델은 더 안정적이고 초당 서빙 토큰도 높아 복제 속도가 빨라진다. 연구진은 특정 칩을 거명한 것은 모델의 설정 능력을 재기 위해서이며, 칩 자체가 위험이나 취약점의 원인은 아니라고 밝혔다.

이런 복제기는 루트 권한이 필요 없다고 연구진은 설명했다. 권한 상승으로 재부팅 뒤에도 살아남을 수 있으면 편하겠지만 필수는 아니라는 것이다. 추론 엔진은 사용자 영역에서 돌릴 수 있고, 보안이 허술한 기기는 재시작 뒤 다시 감염시킬 수 있기 때문이다. 암호화폐 채굴기와 P2Pinfect, Fritzfrog 같은 봇넷 웜도 권한 상승 없이 작동하되 기회가 되면 시도한다고 했다.

실험에는 연구진이 오픈소스 Pi 코딩 에이전트 위에 만든 하네스 Memento를 썼다. 장시간 작업에서 에이전트가 잘못된 가설에 꽂혀 되돌아가지 못하는 문제를 줄이려는 도구다. 예로 Qwen 에이전트가 엔드포인트를 채점 API와 맞지 않게 구현한 것이 진짜 원인인데도 몇 시간 동안 패키지 버전만 디버깅한 경우를 들었다. Memento는 주기적으로 새 에이전트를 띄워 이전 에이전트의 작업 공간과 시도한 내용을 적은 짧은 메모를 넘겨 다른 전략을 쓰게 한다.

IoT 기기는 메모리가 작지만 Petals처럼 추론을 여러 기기에 분산하면 경량 모델을 돌릴 수 있다고 연구진은 설명했다. 대표 사례로는 200만 대 넘는 기기를 감염시킨 IoT 봇넷 Kimwolf를 들었다. 주로 저가 안드로이드 TV가 대상이었고, 이런 TV 박스는 대개 AOSP 포크를 쓰며 제조사가 보안 기능을 충분히 넣지 않는다고 했다.

확산 속도와 기존 악성코드와의 차이

연구진은 이런 복제기를 끄기 어렵다고 봤다. 중앙에서 차단할 지점이 없기 때문이다. 확산은 느릴 수 있어, 두 배로 늘어나는 데 며칠이 걸리는 수준이라고 했다. 또 기존 악성코드와 달리 낯선 기기를 스스로 파악해 대응할 수 있다고 했다.