앤트로픽이 2026년 9월 위협 인텔리전스 리포트에서 중국 AI 기업 문샷과 딥시크의 부정 사용 사례를 공개했습니다. 두 회사 모두 고객 요청을 자사 모델 대신 클로드로 몰래 전달했습니다.
문샷은 10일간 거의 30만 건의 요청을 클로드로 넘겼고, 이 중 일부는 중국 인민해방군 관련 인물의 CCTV 감시 분석까지 포함했습니다. 딥시크는 코딩 하네스를 통한 요청 일부를 감지해 전달했습니다.
두 회사 모두 이 사실을 고객에게 알렸는지 앤트로픽도 확인하지 못했습니다. 기업이 도입한 AI 서비스가 실제로 어떤 모델 위에서 도는지 검증해야 할 이유가 하나 늘었습니다.
우리 회사가 쓰는 AI 서비스, 정말 그 회사 모델이 답하고 있습니까?
확인해 본 적 없다면 벤더 실사는 아직 시작도 안 한 것입니다.
Kimi를 쓴다고 생각한 사용자가 실제로는 클로드의 답을 받았습니다. DeepSeek을 쓴다고 생각한 개발자도 마찬가지였습니다. 두 회사 모두 이 사실을 고객에게 알리지 않았습니다.
앤트로픽은 이를 "PRC AI 랩의 사용자 데이터 오용에 관한 우려"라고 표현했습니다. 도입 기업 입장에서 이 사건은 더 단순한 질문 하나로 바뀝니다. 우리가 계약한 AI 서비스가 정말 계약한 모델로 응답하고 있는지, 검증할 방법이 있느냐는 질문입니다.
앤트로픽은 직전 위협 인텔리전스 리포트를 2025년 11월에 냈습니다. 이번 2026년 9월 리포트는 그 사이 새로 확인된 오용 유형을 담았습니다. 같은 달 나온 아모데이의 속도 조절 제안이 AI 발전 속도의 통제를 다뤘다면, 이번 리포트는 이미 벌어진 공급망의 통제 공백을 보여줍니다. 도입 기업이 계약서 밖에서도 확인해야 할 것이 생겼다는 신호입니다.
첫째, 문샷은 Kimi 요청을 클로드로 몰래 넘겼습니다. 앤트로픽은 이 사례를 GTG-16002로 분류했습니다. 사용자는 Kimi에 요청을 보냈다고 생각했지만, 실제로는 클로드가 답했고 그 응답이 Kimi의 것처럼 표시됐습니다. 한 사례에서는 10일간 거의 30만 건의 요청이 앤트로픽으로 전달됐고, 대부분 Opus로 라우팅됐습니다.
둘째, 규모를 숨기려고 부정 계정망을 썼습니다. 문샷은 5,380개의 계정으로 구성된 프록시 네트워크를 사용했습니다. 계정 대부분은 싱가포르와 일본 소재로 위장돼 있었습니다. 문샷 귀속 증류 공격은 2026년 5~7월 사이 2,300만 건 이상 관측됐습니다.
셋째, 전달받은 대화를 자사 모델 훈련에 썼습니다. 문샷은 전달받은 교환 내용 일부를 저장해 사고 과정(CoT) 추출 파이프라인을 만들었습니다. 클로드의 추론 과정을 보호하는 "thinking signature" 장치는 세션 간 재전송 방식으로 우회됐습니다. 앤트로픽은 이 우회 기법의 재현 절차는 공개하지 않았습니다.
넷째, 실제 피해 사례도 확인됐습니다. 중국 인민해방군 관련 인물로 추정되는 사용자가 Kimi인 줄 알고 청두 소재 수백 대 CCTV 영상을 분석시켰습니다. 감시 대상에는 인민해방군 시설, 중국전자과학기술그룹, 한 국유기업 인근이 포함됐습니다. 다른 사례에서는 한 국유기업 엔지니어가 Kimi로 내부 시스템을 만들다가 여러 주요 기업의 코드와 실사용 자격증명이 노출됐습니다.
다섯째, 딥시크도 같은 수법을 썼습니다. GTG-16001로 분류된 이 사례에서 딥시크는 Claude Code, Claude Agent SDK, OpenCode 같은 코딩 하네스를 통해 들어온 요청 중 일부를 감지해 클로드로 전달했습니다. 이 데이터는 딥시크 고객이 모르는 사이 앤트로픽으로 넘어갔을 가능성이 높다고 앤트로픽은 판단했습니다. 딥시크 귀속 증류 공격은 2026년 7월 중 14일간 1,210만 건 이상 관측됐습니다.
여섯째, 딥시크 사례에서도 민감 정보가 노출됐습니다. 한 중국 기술기업 직원이 내부 문서를 분석시켰는데, 여기에는 대표 AI 프로그램의 전체 사양과 조직구조, 전략목표가 담겨 있었습니다. 러시아 국방부 산하 기관과 연계된 요청에서는 러시아 정부 데이터베이스의 실사용 자격증명이 노출됐습니다. 한 지방 공안국 시스템을 만들던 엔지니어들의 요청도 전달됐는데, 이 시스템은 주민번호로 시민의 이동 경로를 경찰 기록과 대조하는 기능이었습니다.
| 구분 | 문샷 (GTG-16002) | 딥시크 (GTG-16001) |
|---|---|---|
| 수법 | 고객 요청을 클로드로 전달, Kimi 응답처럼 위장 | 코딩 하네스 요청 감지 후 일부 전달 |
| 고객 고지 | 확인 안 됨 | 고지 없이 전달된 것으로 추정 |
| 전달 규모 | 10일간 약 30만 건 | 14일간 1,210만 건 이상 |
| 증류 공격 규모 | 2026년 5~7월 2,300만 건 이상 | 위 14일 수치에 포함 |
출처: Anthropic. (2026, September). Countering misuse of AI: September 2026.
일곱째, 비슷한 구조가 다른 기업에서도 나왔습니다. 알리바바는 5,000개에 가까운 부정 계정으로 유사한 프록시·증류 공격을 벌였고, 2026년 5~7월 사이 1억 5,100만 건 이상이 관측됐습니다. 일부 계정은 딥시크·샤오미 요청도 함께 처리해, 같은 프록시 네트워크가 여러 업체에 공유되고 있을 가능성을 보여줍니다. 즈푸(Z.ai)도 별도의 CoT 추출 파이프라인을 운영한 것으로 나타났습니다.
챗봇, 코딩 어시스턴트, API 서비스마다 어떤 모델이 응답을 생성하는지 공급사에 직접 물으세요. 공급사가 답을 회피하면 그 자체가 신호입니다. (이번 주)
공급사가 요청을 제3자 모델로 라우팅할 경우 사전 고지 의무를 명시하세요. 이번 사례들은 모두 고지 없이 일어났습니다. (다음 계약 시)
내부 시스템 코드, 자격증명, 개인정보가 포함된 작업은 출처가 검증된 AI 서비스로만 처리하세요. 어느 모델이 답하는지 모르는 도구에는 이런 데이터를 넣지 마세요. (이번 달)
가격과 기능만 보지 말고 데이터 처리 경로를 묻는 항목을 추가하세요. 저렴한 AI 서비스일수록 그 이유를 확인할 필요가 있습니다. (이번 분기)
발표 주체가 이해당사자입니다. 앤트로픽은 경쟁사의 부정 사용을 자사가 직접 탐지해 공개했습니다. 사실관계와 별개로, 경쟁 구도 속에서 나온 발표라는 점은 함께 봐야 합니다.
기술적 우회 방식은 이 글에서 다루지 않았습니다. Thinking signature를 우회한 구체적 재현 절차는 원문도 자세히 공개하지 않았고, 이 글도 다루지 않습니다.
문샷·딥시크의 반론은 이 리포트에 담기지 않았습니다. 이 글은 앤트로픽 원문만을 근거로 썼으며, 해당 기업들의 공식 입장은 확인되지 않았습니다.
AI 공급망의 신뢰는 계약서가 아니라 검증에서 나옵니다. 어떤 모델이 답하는지 모르면 검증도 시작할 수 없습니다.
증류: 큰 모델의 출력을 이용해 작은 모델을 학습시키는 기법입니다.
CoT(사고 과정): 모델이 답을 내기 전 거치는 중간 추론 단계입니다.
Thinking signature: 클로드의 추론 과정이 외부에 그대로 노출되지 않도록 하는 보호 장치입니다.
프록시 네트워크: 실제 사용자를 감추기 위해 여러 계정과 경로를 거쳐 요청을 우회시키는 구조입니다.
코딩 하네스: Claude Code처럼 AI 모델을 실제 개발 작업에 연결해 주는 실행 환경입니다.
- Anthropic. (2026, September). Countering misuse of AI: September 2026 [Report]. anthropic.com. (원문 보기 ↗)