프론티어 모델을 API로 부르든 사내에 직접 서빙하든, 이번 주에 확인할 것은 가격표가 아니라 로그입니다. 연구진이 모델의 숨겨진 추론 블록 31만 5,320개를 디코딩해 실제 API 키 62개를 복구했고, 거의 같은 시기에 AI 생성물의 출처 표식을 지우는 도구는 지원 대상을 8개 포맷으로 넓혔습니다. 모델이 남기는 흔적이 양쪽에서 동시에 통제를 벗어나고 있다는 신호입니다.

숨겨진 추론은 숨겨져 있지 않았습니다 개념을 형상화한 이미지 글의 핵심 개념을 형상화했습니다.

31만 5,320개를 넣으면 62개가 나옵니다

이번 사건은 프론티어 모델을 대상으로 확인된 첫 침해 사례로 기록됐습니다. 공격 표면은 모델이 사용자에게 보여 준 답변이 아니라, 그 답변에 도달하기까지 내부적으로 쌓인 추론이었습니다. 연구진은 모델 간 재표현(cross model representation)이라는 경로로 감춰진 추론을 끄집어냈고, 그 안에 섞여 있던 자격 증명을 건져 냈습니다. Anthropic과 OpenAI, Google은 2026년 8월에 해당 취약점을 패치했습니다.

패치됐다는 사실보다 중요한 것은 이 사건이 드러낸 구조입니다. 그동안 우리는 숨겨진 추론을 제품 화면의 선택지 정도로 다뤄 왔습니다. 사용자에게 그대로 보여 주면 지저분하니 접어 두는 층, 필요하면 다시 펼쳐 보는 층이라고 여겼지요. 그러나 이번 결과는 그 층이 사실 하나의 데이터 채널이었다는 점을 알려 줍니다. 접혀 있다는 것과 존재하지 않는다는 것은 전혀 다른 말입니다.

키가 어떻게 그 안에 들어갔는지도 생각해 볼 대목입니다. 누구도 자격 증명을 추론에 넣으려고 하지 않습니다. 다만 에이전트가 도구를 호출하려면 인증 정보를 다루게 되고, 어떤 값을 왜 그렇게 넘겼는지 스스로 정리하는 과정에서 그 값이 사고의 흐름에 섞입니다. 그러니까 이것은 특정 회사의 실수라기보다, 도구를 쓰는 모델이라는 구조가 만들어 내는 부산물에 가깝습니다. 패치는 특정 추출 경로를 막았을 뿐입니다.

당장 할 수 있는 일도 있습니다. 에이전트에 물린 키의 수명을 짧게 가져가고, 어떤 워크플로가 어떤 자격 증명을 쓰는지 목록으로 만들어 두는 것입니다. 사고가 났을 때 62개라는 숫자가 무섭게 느껴지는 이유는 개수 자체가 아니라, 그 키들이 무엇을 열 수 있는지 아무도 즉시 답하지 못하기 때문입니다.

성공률만 놓고 보면 초라해 보이기도 합니다. 31만 개가 넘는 블록을 갈아 넣어 겨우 62개를 건졌으니까요. 그러나 이 비율은 앞으로 방어에 유리하게 작동하지 않습니다. 재료가 무한히 싸지고 있기 때문입니다.

흔적을 지우는 쪽도 같은 속도로 발전합니다

출처를 증명하려는 시도 역시 같은 주에 흔들렸습니다. watermarks-remover라는 도구가 OpenAI와 Gemini를 지원 목록에 추가하면서, 보이지 않는 유니코드 캐리어와 C2PA, XMP 메타데이터까지 지워 AI 생성물의 출처를 감출 수 있게 됐습니다. 대상 포맷은 8개입니다. 눈에 띄지 않게 심어 둔 표식이라는 발상 자체가 방어선으로는 얇았던 셈입니다.

이것이 남의 이야기가 아닌 이유는 분명합니다. 많은 조직이 사내 규정을 만들 때 AI 생성물에 표식을 남기는 방식을 전제로 삼았습니다. 계약서 초안이든 마케팅 이미지든, 나중에 판별할 수 있으니 우선 허용하자는 논리였지요. 표식이 한 번의 변환으로 사라진다면 그 전제는 무너집니다. 검수 담당자가 파일을 열어 판별할 방법이 없어지는 것입니다.

제거 도구가 나쁘다고 말하려는 것도 아닙니다. 메타데이터에는 촬영 위치나 작성자처럼 지워야 마땅한 정보도 함께 들어 있어서, 배포 전에 정리하는 작업 자체는 정당한 업무입니다. 다만 같은 동작 하나가 출처 증명까지 함께 날려 버린다는 점이 문제입니다. 지우는 행위와 출처를 감추는 행위를 파일만 봐서는 구분할 수 없습니다.

여기서 앞의 사건과 정확히 대칭되는 교훈이 나옵니다. 산출물 안에 새긴 표식은 산출물과 함께 이동하고, 이동하는 것은 언젠가 편집됩니다. 반대로 실행하는 쪽에 남긴 기록은 산출물이 어디로 흘러가든 원래 자리에 남습니다. 누가 어떤 스킬로 어떤 도구를 호출했고 어떤 정책 게이트를 통과했는지는 파일을 아무리 만져도 사라지지 않습니다. 증명의 무게중심을 결과물에서 실행 이력으로 옮겨야 하는 이유가 여기에 있습니다.

같은 주에 나머지 업계는 가격표를 고쳐 썼습니다

보안 뉴스가 조용히 지나가는 사이, 비용 쪽에서는 숫자가 요란하게 바뀌었습니다. SpaceXAI는 Grok 4.6을 내놓으며 GPT 5.6 Sol과 동등한 성능을 60% 낮은 비용으로 제공한다고 밝혔습니다. DeepSeek는 1.6조 파라미터에 100만 토큰 컨텍스트를 지원하는 V4 Pro를 정식 출시하면서 100만 토큰당 0.87달러라는 가격을 내걸었습니다. Perplexity는 Agent API에 Nvidia의 Nemotron 3.5 Lightning을 얹어 처리량 4배를 목표로 삼았고, 입력 100만 토큰 기준 0.0115달러라는 단가를 제시했습니다.

공급 쪽도 같은 방향입니다. Alibaba는 2.4조 파라미터 규모의 Qwen3.8-Max 오픈 가중치를 Hugging Face에 공개했습니다. 역대 최대급 오픈 모델이 자율적인 엔지니어링 작업과 연구 수행을 목표로 풀린 것입니다. Foxconn은 Nvidia Vera Rubin AI 서버 랙을 3분기에 양산해 4분기부터 납품하며, 2026년 AI 랙 출하량을 두 배 이상으로 늘리겠다고 했습니다.

특히 처리량 4배라는 목표는 단가 인하와 성격이 다릅니다. 값이 싸지면 같은 예산으로 더 많이 부르게 되지만, 처리량이 오르면 지금까지 시도조차 못 하던 작업이 가능해집니다. 문서 몇 건을 요약하던 파이프라인이 저장소 전체를 훑는 파이프라인으로 바뀌는 식입니다. 실행 규모가 계단식으로 올라가면 로그와 트레이스도 계단식으로 늘어납니다.

서로 다른 회사의 소식이지만 방향은 하나로 모입니다. 토큰 단가는 내려가고 처리량은 올라가며 돌릴 하드웨어는 늘어납니다. 그러면 한 조직이 하루에 만들어 내는 추론 트레이스의 총량도 같은 곡선을 그립니다. 첫 사건이 31만 개라는 재료를 필요로 했다면, 다음 시도는 재료 걱정을 하지 않을 것입니다. 비용 곡선이 내려가는 만큼 노출면은 정확히 그만큼 넓어집니다.

여기에는 반가운 면도 함께 있습니다. 오픈 가중치가 이 정도 규모로 풀리고 랙 공급까지 늘어나면, 데이터를 밖으로 내보내지 않고 직접 서빙하는 선택지의 가격이 현실적인 범위로 들어옵니다. 지금까지 폐쇄망 운영은 비싸고 느린 길이었지만, 앞으로는 비용이 아니라 운영 역량의 문제가 됩니다. 모델을 어디서 돌릴지 다시 계산해 볼 만한 시점입니다.

흔적이 학습 입력이 되는 순간

여기에 한 겹이 더 얹힙니다. Sergey Brin은 Gemini 출시가 두 달 지연된 뒤 Google의 AI 자원을 재귀적 자기개선 방향으로 재편하고 있고, 공동 창업자가 DeepMind에 직접 지시를 내리며 프론티어 추격에 나섰다고 전해집니다.

자기개선 루프의 연료는 결국 실행 기록입니다. 무엇을 시도했고 어디서 실패했으며 어떤 경로가 통했는지가 다음 학습의 입력이 됩니다. 그러면 트레이스는 그냥 보관하는 로그가 아니라 자산이 되고, 동시에 유출됐을 때 손실이 가장 큰 자산이 됩니다. 자산과 부채가 같은 파일에 들어 있는 상태를 각 팀이 알아서 관리하라고 두는 것은 위험합니다. 개인 계정에 흩어진 대화 기록으로는 그 루프를 돌릴 수도 없습니다.

실행 기록을 어디에 모을지 정해 두지 않은 조직은 나중에 두 번 일하게 됩니다. 흩어진 로그를 모으는 작업이 먼저이고, 그 다음에야 무엇을 학습에 쓸 수 있는지 판단이 가능합니다. 순서를 바꾸면 비용이 크게 올라갑니다.

에이전트가 책상 위로 내려왔습니다

실행 지점도 이동하고 있습니다. OpenAI는 ChatGPT와 ChatGPT Work, Codex를 하나로 묶은 첫 Linux 데스크톱 프리뷰를 공개했습니다. 대화와 업무와 코딩 에이전트를 단일 환경에서 쓰도록 설계한 형태입니다. Grok Build는 자연어 명령만으로 볼륨 조정이나 영상 재인코딩 같은 작업을 처리해, 수작업으로 20분 걸리던 편집을 25초에 끝냅니다.

두 소식이 말하는 바는 같습니다. 에이전트가 클라우드 콘솔이 아니라 개인 워크스테이션에서 실제 파일과 도구를 만지기 시작했다는 것입니다. 그렇게 되면 흔적도 거기서 생깁니다. 회사가 관리하는 경계 안쪽이 아니라 바깥쪽에서 말이지요. 편의성은 확실합니다. 20분이 25초가 되는 경험을 해 본 담당자에게 그만 쓰라고 말하기는 어렵습니다. 그러니 남은 선택지는 금지가 아니라, 같은 편의성을 기록이 남는 경로 위에 올려 두는 일입니다.

소유해야 할 것은 산출물이 아니라 실행 기록입니다

ThakiCloud가 Paxis를 설계하면서 Skills와 Tools, Policies, Audit Logs를 모두 일급 리소스로 올린 배경이 이 지점입니다. 에이전트가 무엇을 할 수 있는지, 어떤 도구에 손댈 수 있는지, 어느 자율도까지 허용되는지를 개별 코드가 아니라 플랫폼의 자원으로 다룹니다. L0에서 L3까지 자율도를 나누고, 정책 게이트를 통과한 실행만 격리된 샌드박스에서 돌리며, 그 전 과정이 감사 로그로 남습니다. 워터마크가 지워져도 실행 이력은 남는다는 원칙을 제품 구조로 옮긴 셈입니다. 승인이 필요한 단계에서는 사람이 개입하도록 흐름을 끊어 두고, 그 판단까지 기록으로 남깁니다. 감사에 대비한 장식이 아니라, 다음에 같은 작업을 자동화할 때 근거가 되는 자료입니다. 사내 도구를 MCP 커넥터로 붙이는 경로 역시 같은 정책 계층 아래에 놓입니다.

비용 축에서도 이번 주 뉴스는 그대로 흡수됩니다. 모델 단가가 요동칠수록 작업마다 적절한 모델을 고르는 라우팅의 값어치가 커지고, Paxis의 작업별 모델 선택은 그 변동을 워크플로 단위 비용으로 환산해 줍니다. 2.4조 파라미터급 오픈 가중치를 직접 돌려야 하는 고객이라면 Metis의 서빙과 Aegis의 온프레미스 쿠버네티스 환경이 선택지가 되고, 실행 로그를 학습으로 되먹이려는 조직에는 Maxis가 그 루프를 맡습니다. 흩어진 제품 목록이 아니라 하나의 실행 경로 위에 얹힌 계층들입니다.

주권 요건이 있는 조직에는 이 조합이 특히 잘 맞습니다. 추론 트래픽과 실행 기록이 외부로 나가지 않는 환경에서 오픈 모델을 직접 서빙하면, 이번 주에 드러난 두 가지 위험을 한꺼번에 줄일 수 있기 때문입니다. 숨겨진 추론이 밖으로 나갈 통로가 애초에 좁아지고, 산출물의 출처는 파일이 아니라 사내 감사 기록이 증명하게 됩니다.

이번 주 소식을 한 문장으로 줄이면 이렇게 됩니다. 싸지는 것은 실행이고, 비싸지는 것은 실행의 증거입니다. 지금 필요한 질문은 어느 모델이 가장 싼가가 아닙니다. 우리 실행 기록이 우리 손에 있는가입니다. 토큰 가격표를 다시 계산하기 전에, 우리 조직의 에이전트가 어제 무엇을 했는지 한 줄로 답할 수 있는지부터 확인해 보시기 바랍니다.

참고 자료

이 글은 아래 뉴스를 종합해 작성했습니다.

태그: ai-frontier, llmops, paxis, thakicloud

카테고리:

업데이트:

참고

책 통째로 줬더니 읽은 척함

 

300쪽을 통째로 던졌더니 안 읽은 데까지 아는 척하더라고요. 한 장씩 읽혔더니 이번엔 노트가 책보다 두꺼워졌습니다.