2026년 10월 12일, Anthropic은 공식 연구 블로그를 통해 최근 몇 달간 도입한 새로운 방어 장치들이 효과를 내고 있다고 밝혔다. 자사 플랫폼 모니터링 추정에 따르면 증류자들이 Claude에서 가져가는 데이터 양은 약 90~99% 줄었고, 추출되는 추론 토큰 수는 이전의 10~100분의 1 수준으로 떨어졌으며, 어떤 날은 측정하기 어려울 정도로 적었다고 한다.
방어가 추론 기록을 중심으로 돌아가는 이유
이런 공격에서 증류는 일반적인 교사-학생 학습이 아니다. 공격자는 대량의 사기 계정으로 강한 모델을 반복 호출하고, 그 응답으로 자기 모델을 훈련한다. 가장 값진 자료는 모델이 답하기 전에 써내는 추론 기록이다. 최종 답만으로는 학생 모델이 생각하는 법을 배울 수 없지만, 추론 과정이 있으면 모방이 훨씬 빨라진다. Anthropic의 초기 대응은 Claude가 추론을 보여주기 전에 요약하게 하는 것이었다. 회사 테스트에서 요약 기록만으로 훈련한 모델은 SWE-bench Verified에서 71.8%에 그쳐, 전체 기록으로 훈련한 모델의 80.4%에 못 미쳤다. 그러나 공격자들은 능동적 추출로 넘어가, 모델이 전체 추론을 드러내도록 유도하는 표현을 고안하고 프록시 네트워크를 통해 사기 계정에 요청을 대규모로 분산시켰다.
이번에 추가된 세 겹의 방어
새 방어는 세 층으로 작동한다. 첫째, 추론 기록이 갈 수 있는 곳을 통제한다. Fable 5.1과 Opus 5.5에 도입된 보존 사고 방식 덕분에 올해 8월 31일 이후 만든 API 계정은 Claude의 이전 맥락을 수정할 수 없고, Sonnet 5.5에서는 추론 기록을 그 요청을 낸 조직만 읽을 수 있다. 둘째, 회사의 헌법 분류기 연구를 본뜬 2단계 분류기로 추출 요청을 차단한다. Anthropic에 따르면 내외부 레드팀 검증 이후 이 방어막은 모델이 생물무기 제작을 돕는 것을 막는 가드레일과 비슷한 수준으로 견고하며, 오탐률은 0.1% 미만이고, 현재 가장 강력한 일반 공개 모델들에 적용돼 있다. 셋째, 반복 시도를 비싸고 느리게 만든다. 추론 추출을 계속하는 계정은 제한과 정지를 당하는데, 회사는 증류와 관련된 수만 개의 계정을 정지했고 활동 시작 후 2시간 안에 조치한 경우도 많다고 밝혔다. 또 9월 24일부터는 가드레일에 막힌 요청에도 다시 요금을 부과한다.
대가는 공개됐고, 쫓고 쫓기는 게임은 끝나지 않았다
Anthropic은 사례로 즈푸(Zhipu)를 지목하며, GLM-5.3 개발 과정에서 미국 선두 모델들의 사이버 능력을 증류했다고 밝혔다. 처음에는 Claude Fable 5를 노렸으나 사이버 가드레일이 공격 효과를 약화시키는 것을 확인하고 더 오래된 Claude 모델과 다른 연구소의 모델로 바꿨다는 것이다. 다만 글에 즈푸 측의 반박은 실리지 않아, 이 부분은 현재 Anthropic의 설명에만 근거한다. Anthropic은 대가도 인정했다. 적지 않은 매출과 수조 토큰 규모의 유료 트래픽을 거절했고, 일부 정상 개발자는 연동을 업데이트해야 했으며, 0.1% 미만이라지만 오탐은 여전히 있고 막힌 요청에도 요금이 부과된다. 그리고 고도로 정교하고 끈질긴 우회 시도는 아직 겪어보지 못했다고 솔직히 썼다. 다른 모델 사업자에게 이 글이 던지는 진짜 압력은 단순하다. 경쟁 모델의 가드레일이 눈에 띄게 허술하면 공격자는 강한 쪽을 우회하고, 한 회사의 방어는 업계에서 가장 약한 고리 때문에 무력화될 수 있다.
