앤스로픽, AI 웜이 곧 스마트 기기로 확산될 수 있다고 경고…여전히 주요 장벽 남아

가상 머신 8대로 확인한 AI 자기복제의 잠재적 경로

앤스로픽이 2026년 10월 12일 발표한 연구에 따르면, 인공지능 모델은 격리된 안드로이드 테스트 네트워크에서 5차례 시험 중 4차례에 걸쳐 8대의 머신 전체로 확산됐다. 나머지 한 차례에서는 7대에 도달했다. 이 결과를 바탕으로 회사는 소형 AI 모델이 보안이 취약한 가정 및 소규모 사업장의 기기 사이에서 스스로 복제하는 데 필요한 기술을 갖추기까지 수개월밖에 남지 않았을 수 있다고 경고했다.

성공한 모델인 GLM-5.2는 의도적으로 접근하기 쉽게 설정된 환경에서 작동했으며, 별도 서버에서 실행됐다. 대상 머신에는 더 작은 모델인 Llama3.1-8B가 설치돼 있었다. 한편 별도의 실험에서는 저가형 안드로이드 TV 박스 15대가 구글의 Gemma4-26B-A4B 모델을 함께 실행할 수 있는 것으로 나타났지만, 속도는 매우 느렸다.

두 실험은 같은 문제의 두 측면을 다룬다. 저가형 기기가 AI에 충분한 컴퓨팅 성능을 제공할 수 있는지, 그리고 AI 에이전트가 확산에 필요한 여러 단계를 조직할 수 있는지다. 현재 시험된 모델들은 해당 기기에서 실행할 만큼 작으면서도 전체 과정을 안정적으로 마칠 만큼 충분한 역량을 갖추는 데 여전히 간극이 있다.

앤스로픽 연구원 윌리엄 저우와 대니얼 프리먼은 회사의 AI 자기복제 연구에서 연구 결과를 공개했다. 이 연구는 AI 역량과 잠재적 위험을 시험하는 프런티어 레드팀이 수행했다. 앤스로픽은 완전히 통제 불능 상태가 된 자기복제 시스템은 아직 존재하지 않는다고 밝혔다.

핵심 우려는 지속성이다. 독립적으로 침해된 여러 기기에서 작동하는 AI 시스템은 개발사가 자체 서버를 꺼도 계속 작동할 수 있다. 이를 제거하려면 단일 서비스를 비활성화하는 대신 시스템을 뒷받침하는 기기를 찾아 보안을 확보해야 한다.

AI 웜은 어떻게 확산될까

컴퓨터 웜은 사람이 매번 직접 옮기지 않아도 한 머신에서 다른 머신으로 스스로 복사되는 소프트웨어다. 앤스로픽은 실행에 필요한 소프트웨어와 함께 AI 모델을 운반하는 유형을 살펴봤다.

모델 가중치는 학습 과정에서 모델이 습득한 내용을 수치로 인코딩한 값이다. 웜은 이 가중치를 다른 기기로 전송하거나 공개 저장소에서 내려받을 수 있다. 그런 다음 모델이 가중치를 사용해 답변을 생성하거나 행동을 선택하는 과정인 추론을 설정한다.

저우와 프리먼은 자기복제 과정을 네 단계로 나눴다. 대상 찾기, 소프트웨어 실행 권한 확보, 추론 설정, 새 호스트에서 확산을 이어가는 단계다. 이 연구는 운영체제와 소프트웨어 패키지, 메모리, 하드웨어 호환성에 관해 많은 결정을 내려야 하는 추론 설정에 초점을 맞췄다.

일반적인 웜은 보통 특정 취약점과 환경에 맞춰 준비된 지침을 따른다. AI 에이전트는 낯선 머신의 문제를 해결하고, 실패 후 접근 방식을 바꾸며, 후속 복제본에 유용한 메모를 전달할 가능성이 있다. 앤스로픽은 침해된 하드웨어에서 모델을 직접 실행하는 시스템을 가중치 기반 자기복제 시스템이라고 부른다.

연구진은 스마트 냉장고와 오븐, 로봇 청소기, 로봇 잔디깎이 등이 모델 일부를 올릴 수 있는 기기라고 꼽았다. 보안 카메라와 화상회의 장치에도 소형 AI 칩이 점점 더 많이 탑재되고 있어, 침입자가 이용하려 할 수 있는 컴퓨팅 용량이 늘고 있다.

825달러어치 TV 박스로 실행할 수 있는 것

앤스로픽은 개당 약 55달러, 총 약 825달러에 저가형 안드로이드 TV 박스 15대를 구매했다. 각 기기의 메모리는 4기가바이트였다. 연구진은 기기들을 연결하고 Gemma4-26B-A4B를 나눠 배치해 각 박스가 모델의 일부를 담당하도록 했다.

이 기법은 샤딩이라고 한다. 모델 전체를 한 머신에 억지로 넣는 대신 여러 머신이 서로 다른 작업을 수행하고 정보를 주고받는다. 실험에서 초당 0.39토큰의 속도를 기록했다. 토큰은 모델이 처리하거나 생성하는 텍스트 단위로, 단어나 단어의 일부인 경우가 많다.

박스에는 모델의 수치 값을 더 적은 비트로 표현해 메모리 요구량을 줄이는 양자화 기법도 적용됐다. 앤스로픽은 메모리가 4기가바이트인 박스 여러 대를 사용할 경우 최소 4대에서 90억 개 매개변수 모델을 실행할 수 있고, 260억 개 매개변수 모델에는 10대 이상이 필요할 것으로 추산했다.

저가형 TV 박스는 대체로 메모리가 1~4기가바이트이며, 수정된 안드로이드 버전을 실행한다. 자원이 제한돼 있어 기기 간 조율이 중요하다. 보안도 중요하다. 보호 기능이 약하고 관리가 부실한 기기는 각각의 컴퓨팅 성능이 미미하더라도 악성코드에 유용한 발판이 될 수 있다.

별도의 하드웨어 평가에서는 Qwen3.5-9B가 시험한 하드웨어 유형 9가지 중 8가지에서 다른 모델의 추론 환경을 설정할 수 있었다. 평가 환경에는 소형 엔비디아 젯슨 기기와 맥, 고성능 그래픽 프로세서가 장착된 머신이 포함됐다. 이 결과는 에이전트가 여러 시스템에 AI 소프트웨어를 설치하고 설정하는 능력을 측정한 것이다.

통제된 네트워크 실험

자기복제 실험에서는 방화벽으로 보호된 네트워크 안에서 레드로이드 안드로이드 15 에뮬레이터를 실행하는 구글 클라우드 머신 8대를 사용했다. 연구진은 첫 번째 머신에 에이전트를 심고, 다른 머신을 찾아 페이로드를 전송한 뒤 추론을 설정하도록 했다.

각 대상 머신에는 인증 없이 접속할 수 있는 안드로이드 디버그 브리지 포트가 열려 있었다. 안드로이드 디버그 브리지(ADB)는 개발 및 문제 해결 과정에서 안드로이드 기기와 통신할 때 쓰는 도구다. 인증 없이 접속할 수 있도록 열어둔 덕분에 에이전트는 대상 기기에 간단히 접근할 수 있었다.

GLM-5.2는 작업 흐름을 안정적으로 완료해 네 차례 시험에서 8대 중 8대에 도달했고, 나머지 한 차례에서는 8대 중 7대에 도달했다. 다른 시험 모델로는 Qwen3.5-9B, Gemma4-26B-A4B, Qwen3-Coder-Next 등이 있었다. 더 작은 모델들은 필요한 모든 단계를 성공적으로 조합하는 데 어려움을 겪었다.

실험에서는 에이전트 크기와 관계없이 동일한 설치 작업을 수행하도록 배포 모델을 Llama3.1-8B로 통일했다. 대상 머신은 GLM-5.2를 수용할 수 없었기 때문에 GLM-5.2는 외부 추론 서버에서 계속 실행됐다. 대상 기기에서 추론이 작동하는지 확인하는 점검을 통과하면, 테스트 프레임워크가 그곳에서 에이전트의 새 인스턴스를 실행했다.

앤스로픽은 간소화된 접근 조건에서 나온 결과를 실험실 밖에서 달성할 수 있는 성공률의 상한으로 설명했다. 실제 자기복제 시스템은 인증과 보안 통제, 제한된 저장 공간, 불안정한 연결, 기기별 차이도 극복해야 한다. 과거 일부 봇넷은 기본 비밀번호 같은 단순한 취약점을 통해 확산한 만큼, 난이도는 대상에 따라 크게 달라질 수 있다.

앤스로픽이 2026년 말로 전망한 이유

앤스로픽의 전망은 두 가지 조건이 맞물리는 데 기반한다. 자기복제를 안정적으로 완료할 역량과, 침투한 하드웨어에서 실행할 수 있을 만큼 작은 모델이다. 간소화된 실험에서 GLM-5.2는 역량 기준을 충족했다. 시험한 소형 모델들은 하드웨어 제약에 맞았지만 전체 작업 흐름에서는 여전히 실수를 저질렀다.

연구진은 에포크 역량 지수(ECI)를 사용해 매개변수가 300억 개 이하인 모델의 과거 발전 추이를 살펴봤다. ECI는 모델 역량을 종합적으로 측정하는 지표다. 추세를 분석한 결과, 연간 13.7 ECI포인트씩 향상되는 것으로 나타났다.

이 추세를 연장해 보면 소형 모델은 2026년 말까지 GLM-5.2가 시험에서 보인 역량 수준에 도달할 수 있다. 앤스로픽은 일반 역량 점수는 자기복제 능력을 간접적으로 측정할 뿐이라며 이 추정이 대략적인 것이라고 밝혔다. 이 전망은 과거와 같은 속도로 발전이 이어지는 것을 전제로 한다.

경고와 관련 대응은 며칠에 걸쳐 이어졌다.

• 2026년 9월: 앤스로픽 최고경영자 다리오 아모데이는 지속적으로 활동하는 AI 봇넷이 1년 이내, 혹은 더 일찍 등장할 가능성을 경고했다.
• 2026년 10월 12일: 저우와 프리먼은 실험 결과와 적합한 소형 모델이 자기복제 능력을 갖추기까지 수개월밖에 남지 않았을 수 있다는 추정치를 발표했다.
• 2026년 10월 13일: 사이버 보안 전문가들은 적응력과 현실적인 한계를 모두 짚으며 경고에 대해 엇갈린 평가를 내놨다.

실험에는 자기복제 작업을 수행하라는 지시를 받은 에이전트가 사용됐다. 소형 모델이 그런 지시 없이도 스스로 자기복제를 시작할지는 아직 알 수 없다. AI 연구자 샤오한 푸는 시스템의 행동을 평가할 수 있도록 정확한 프롬프트를 포함해 재현 가능한 에이전트 설정을 공개해야 한다고 촉구했다.

복제가 느려도 제거는 어려울 수 있다

앤스로픽은 시험한 TV 박스와 비슷한 하드웨어를 사용하는 자기복제 시스템이 작동 가능한 사본 하나를 만드는 데 며칠이 걸릴 수 있다고 추산했다. 설정 시간 계산에 따르면 Qwen3.5-9B는 약 28~51시간, 최적화되지 않은 Gemma4-26B-A4B는 약 71~150시간이 필요했다.

따라서 연구의 핵심 우려는 여러 기기에 퍼져 느리지만 지속적으로 존재하는 시스템이다. 호스트 하나를 잃어도 다른 사본이 남아 계속 작동하거나 확산할 수 있다. 여러 머신에 나뉜 모델은 기기 간 통신에도 의존하게 된다.

연구를 작성한 앤스로픽 연구원 저우와 프리먼은 향후 자기복제 시스템이 새로운 환경에 대응하는 방식을 다음과 같이 설명했다.

AI가 아닌 악성코드와 달리, 스스로 낯선 기기의 작동 방식을 파악할 수도 있다.

메모리 상속 실험은 이런 적응력의 근거를 제시했다. Qwen3.5-9B 인스턴스들은 시도한 전략과 실패 사례를 짧게 기록했다. 후속 인스턴스는 같은 추론 설정 작업을 시도하기 전에 해당 메모리를 전달받았다.

6세대에 걸쳐 성공률은 처음 45%에서 이후 세대 61~84%로 높아졌다. 상승 폭은 16~39%포인트였다. 모델 가중치를 바꾼 것이 아니라 유용한 정보를 전달해 개선된 결과다. 소형 모델에 더 강력한 Opus 4.8 모델의 조언을 제공해도 이 작업에서는 측정 가능한 개선이 없었다.

대규모 기기망이 제공할 AI 성능은 제한적

앤스로픽은 안드로이드 TV 박스가 주를 이루는 기기 200만 대 이상을 감염시킨 킴울프 봇넷의 규모를 활용해 대규모 침해 기기망의 컴퓨팅 잠재력을 추산했다. 기기를 15대씩 묶으면 이론적으로 Gemma4-26B-A4B 사본 약 13만3,000개를 실행할 수 있다.

측정된 성능을 기준으로 회사가 추산한 합산 출력 속도는 초당 약 8만 토큰이다. 비교를 위해 제시한 기준값에 따르면 최적화된 작업에서 동일한 모델을 실행하는 엔비디아 H100 가속기 한 대는 초당 약 1,950토큰을 처리했다. 가상의 기기망은 추론 처리량 기준으로 H100 가속기 약 40대분에 해당한다.

이 비교는 성능이 낮은 기기들을 모아 상당한 용량을 확보하려면 얼마나 많은 하드웨어가 필요한지 보여준다. 또한 기기들이 계속 가동되고 효율적으로 통신한다는 전제에 달려 있다. 기기 종류와 모델 크기, 네트워크 환경이 다르면 결과도 달라진다.

보안업체 비아쿠의 부사장 존 갤러거는 제한된 연결을 통해 모델 가중치 수 기가바이트를 전송하고, 용량이 제한된 플래시 저장장치에 이를 넣는 일이 주요 현실적 장벽이라고 지적했다. 이런 비용은 에이전트가 새 호스트를 설정하는 데 오랜 작업을 시작하기도 전에 발생한다.

앤스로픽은 그 밖에도 데이터센터를 노리는 대형 모델, 추론을 위해 API 인증정보를 훔치는 에이전트, 사기를 통해 컴퓨팅 크레딧을 얻는 시스템 등 다른 자기복제 방식도 제시했다. 이런 시나리오는 소형 기기 실험과는 다른 자원과 접근 경로에 의존한다.

보안 전문가들, 경고를 두고 엇갈린 평가

영국 국가사이버보안센터 전 책임자인 시아란 마틴은 이번 연구가 기술적으로 흥미롭다고 평가하면서도 AI를 판매하는 회사가 경고를 과장했다고 비판했다. 그의 평가는 저가형 TV 기기에서 소형 모델을 실행하는 것과 현실의 보안 위기 사이의 간극에 초점을 맞췄다.

콜로라도 덴버대에서 컴퓨터과학과 공학을 연구하는 조교수 정슝 리는 더 우려하는 입장을 보였다. 그는 통제된 시험 환경에서도 AI 시스템이 기기를 장악할 방법을 즉흥적으로 찾아 웜처럼 행동할 가능성을 지적했다.

IGEL에서 정부 및 핵심 산업 부문을 담당하는 현장 최고기술책임자 존 월시는 연결된 기기가 물리적 장비와 같은 네트워크에 있을 때 발생할 수 있는 잠재적 위험을 언급했다. 냉장 설비와 수처리, 펌프 시스템에 대한 추가 무단 접근이 필수 운영을 방해할 수 있다고 지적했다.

월시는 기기의 물리적 작동 방식을 바꾸려면 이를 제어할 권한이 있는 시스템에 접근해야 한다고 설명했다. 앤스로픽의 실험은 AI 호스팅과 자기복제 작업을 다뤘으며, 식품 생산과 수처리, 유틸리티 설비는 범위에 포함되지 않았다.

노조미 네트웍스의 사이버보안 전략 책임자 크리스 그로브는 머신 속도로 확산할 수 있는 미래 시스템에 대응하려면 방어 측에도 자동화가 필요할 것이라고 주장했다. 그의 우려는 확산 속도가 더 빠를 수 있는 후속 시스템을 겨냥한 반면, 앤스로픽은 시험한 가정용 하드웨어에서 복제에 며칠이 걸릴 것으로 추산했다.

방어자가 점검하고 바꿀 수 있는 것

앤스로픽은 인터넷 서비스 제공업체가 의심스러운 트래픽을 감시하고 감염된 기기를 격리하는 한편, 허니팟을 더 폭넓게 활용하고 연결 제품의 기본 보안을 강화할 것을 권고한다. 허니팟은 방어자가 의심스러운 활동을 연구할 수 있도록 의도적으로 노출해 둔 시스템이다.

대규모 모델 전송과 기기 간 지속적인 통신, 외부를 향한 스캔은 가중치 기반 자기복제 시스템을 탐지하는 데 도움이 될 수 있다. 스캔은 다른 기기 가운데 접속 가능한 대상을 찾는 과정이다. 여러 호스트에 분산된 모델은 호스트들이 협력하는 동안 통신 기록도 남긴다.

고객에게 알리면 악성코드 제거 효과를 높일 수 있다. 앤스로픽은 미라이 제거 작업 사례를 들며 고객에게 알렸을 때 14일 안에 감염의 92%가 제거됐고, 알리지 않았을 때는 74%가 제거됐다고 밝혔다. 같은 기간 제거율이 18%포인트 높아진 셈이다.

제조업체와 운영자는 관리 인터페이스를 보호하고, 디버깅 접근을 외부에 노출하지 않으며, 소프트웨어 업데이트를 유지해 자기복제 가능성을 낮출 수 있다. 서비스 제공업체는 영향을 받은 기기를 식별해 격리할 방법을 마련해야 하고, 기기 소유자에게는 기기를 안전하게 복구할 명확한 안내가 필요하다. 앤스로픽의 경고는 별개의 시험에서 입증된 기술을 소형 모델이 안정적으로 조합하기 전에 방어 체계를 준비하는 데 초점을 맞춘다.

핵심 내용

• 앤스로픽은 2026년 10월 12일 AI 자기복제 연구를 발표했다.
• GLM-5.2는 접근 조건을 간소화한 환경에서 5차례 시험 중 4차례에 걸쳐 가상 안드로이드 머신 8대 전체에 도달했다.
• 개당 약 55달러인 안드로이드 TV 박스 15대가 Gemma4-26B-A4B를 함께 실행해 초당 0.39토큰을 처리했다.
• 현재 시험된 모델들은 안정적인 자기복제 역량과 저가형 기기의 크기 제한 사이에 간극이 있다.
• 앤스로픽은 과거 발전 추이를 근거로 소형 모델이 2026년 말까지 시험에서 확인한 역량 수준에 도달할 수 있다고 추산했다.
• 시험한 종류의 하드웨어에서 자기복제에는 며칠이 걸릴 수 있지만, 분산 시스템은 작동을 중단시키기 어려울 수 있다.
• 권고된 방어책에는 트래픽 감시와 기기 격리, 고객 통지, 기본 보안 강화가 포함된다.