Anthropic AI 웜 경고, 아직 대상 기기에서 실행할 수 없는 위협을 드러내다

Anthropic은 현재 실험에서 निर्ण정적인 하드웨어 격차가 존재함에도, AI 웜이 언젠가는 데이터센터 없이 소비자 기기 전반으로 확산할 수 있다고 밝혔다.

10월 12일 연구는 통제를 벗어난 악성 모델이 실제 환경으로 탈출한 사례를 기록한 것이 아니다. 대신 잠재적 복제 사슬의 서로 다른 부분을 조명하는 두 가지 통제된 시연을 결합했다. 하나는 소형 모델이 다양한 하드웨어에서 추론을 구성하는 모습을 보였고, 다른 하나는 훨씬 큰 모델이 단순화된 네트워크를 통해 복제를 조율하는 데 사용됐다.

이 구분이 이 이야기의 핵심이다. Anthropic은 분산형 자율 복제에 필요한 요소들을 발견했지만, 현실적인 표적 환경에서 이를 모두 결합하는 단일 모델은 아직 찾지 못했다. 충분한 능력을 지닌 오케스트레이터는 저가 기기에서 실행하기에는 여전히 너무 크다. 반대로 이런 기기에 들어가는 모델은 전체 과정을 안정적으로 완료하지 못한다.

그럼에도 이는 단순한 추측성 경고 이상이다. 이전의 AI 복제 연구는 대체로 전통적인 컴퓨팅 환경 안에서 에이전트를 복사하는 데 초점을 맞췄다. Anthropic의 연구는 모델 가중치가 악성코드 페이로드가 되어 침해된 엣지 하드웨어에서 직접 작동할 수 있는지를 묻는다.

그 결과 Anthropic AI 웜 위협은 연구 프로토타입과 운영상 경고 사이에 위치한다. 그 중요성은 방어자가 이를 호스팅할 기기를 보호하기 전에 모델 성능과 하드웨어 효율성이 수렴할지에 달려 있다.

Anthropic의 AI 웜 실험이 실제로 보여준 것

Anthropic은 자율 복제의 중요한 두 요소를 시연했지만, 이를 실제 환경에서 작동하는 웜으로 결합하지는 못했다.

10월 12일 연구는 Anthropic의 Frontier Red Team 연구원 William Zhou와 Daniel Freeman이 수행했다. 이 연구는 인간의 통제 없이 AI 시스템이 스스로를 배포하고 전파하는 자율 복제 및 적응, 즉 ARA를 검토한다.

전통적인 웜은 컴퓨터 간에 실행 가능한 코드를 복사한다. Anthropic이 제시한 가중치 기반 복제기는 AI 모델 가중치도 함께 포함하거나 내려받게 된다. 이 가중치는 악성코드가 익숙하지 않은 기기를 추론하고, 확산 과정에서 동작을 조정하도록 해줄 수 있다.

연구진은 복제를 네 단계로 나눴다. 시스템은 표적을 찾고, 실행 권한을 획득하며, 모델 추론을 구축하고, 새로 감염된 각 호스트에서 전파를 계속해야 한다.

연구는 세 번째 단계인 추론 환경 구축에 집중했다. 이 작업은 호환 가능한 소프트웨어 선택, 종속성 설치, 하드웨어 충돌 해결, 오류 복구를 요구한다. 모든 결정은 앞선 단계가 정확히 작동해야 가능하다.

Anthropic은 오픈 웨이트 모델이 9가지 하드웨어 유형에서 Llama 3.1 8B 추론을 구성할 수 있는지 시험했다. 표적에는 Apple silicon, NVIDIA 하드웨어, Google 가속기, AMD 가속기, 일반적인 서버 프로세서를 사용하는 기기가 포함됐다.

Qwen3.5-9B는 9가지 하드웨어 유형 중 8개에서 작동 가능한 추론 환경을 구축했다. 이 결과는 비교적 작은 에이전트가 낯선 컴퓨팅 환경을 탐색하고 호환되는 추론 스택을 조립할 수 있음을 시사한다.

이 실험은 감염 테스트가 아니었다. 기기는 에이전트가 사용할 수 있는 상태였고, 목표도 명시적으로 제공됐다. 따라서 이 결과는 접근 권한을 얻은 뒤의 기술적 적응성을 측정한 것이지, 임의의 인터넷 연결 표적을 찾아 침해하는 능력을 보여주는 것은 아니다.

Anthropic은 별도로 Gemma4-26B-A4B를 브랜드가 알려지지 않은 Android TV 박스 15대에 분산했다. 서로 다른 기기에 모델의 각 레이어를 할당하는 방식인 파이프라인 병렬화를 통해, 박스들은 하나의 모델을 집단적으로 처리할 수 있었다.

이 시스템은 초당 0.39토큰을 생성했다. 이는 저가 소비자 하드웨어가 분산형 모델 추론을 호스팅할 수 있음을 입증하기에는 충분하다. 하지만 클라우드 호스팅 어시스턴트와 연관되는 유연한 에이전트 동작을 수행하기에는 지나치게 느리다.

박스는 각각 4GB의 메모리를 탑재했다. Anthropic은 이 시장의 기기가 흔히 1GB에서 4GB 사이의 메모리를 제공한다고 밝혔으며, 이는 시험된 구성이 많은 잠재적 표적보다 성능이 높다는 의미다.

세 번째 실험은 방화벽으로 격리된 클라우드 네트워크 내부에서 엔드투엔드 전파를 시험했다. 8개 노드는 Android 15 에뮬레이터를 실행했고 인증되지 않은 Android Debug Bridge 포트를 노출했다. ADB는 Android 기기에서 명령 실행과 파일 전송을 허용하는 유지보수 인터페이스다.

GLM-5.2는 5번의 시험 가운데 4번에서 8개 노드 모두에 도달했다. 나머지 한 번의 시험에서는 7개 노드에 도달했다. 에이전트는 페이로드를 전송하고 Llama 3.1 8B 추론을 구성한 뒤, 새로 도달한 노드에서 이 순서를 계속 수행했다.

그러나 GLM-5.2는 해당 Android 표적에서 실행되지 않았다. 모델은 표적에 들어가기에는 너무 컸기 때문에 별도의 추론 서버를 통해 작동했다. 소형 추론 서버가 검사를 통과한 뒤, 실험은 또 다른 오케스트레이터 인스턴스를 생성했다.

네트워크는 또한 현실 세계의 주요 장애물 하나를 제거했다. ADB 포트에 인증이 필요하지 않았기 때문에 에이전트는 취약점을 발견하거나 악용할 필요가 없었다.

Tom’s Hardware의 기술 평가는 그에 따른 한계를 잘 포착한다. 대형 외부 모델은 단순화된 전파를 완료했지만, 더 작고 배포 가능한 모델은 추론 환경 구축을 처리하면서도 전체 순서에서는 실패했다.

이것이 정확한 기준점이다. 개별 구성 요소는 이제 주목할 만큼 충분히 작동한다. 하지만 경고에서 설명된 완전한 Anthropic AI 웜은 아직 존재하지 않는다.

소비자 하드웨어가 보안 구도를 바꾸는 이유

중요한 변화는 순수한 컴퓨팅 성능이 아니다. 악성코드가 중앙집중식 인프라 밖의 기기에 적응형 추론 능력을 가져올 수 있다는 가능성이다.

데이터센터는 가치 있는 컴퓨팅 자원을 제공하지만, 동시에 명확한 방어 병목 지점도 만든다. 운영자는 워크로드를 모니터링하고, 자격 증명을 철회하며, 서버를 격리하고, 의심스러운 배포를 중단할 수 있다.

침해된 소비자 하드웨어에서 실행되는 분산 시스템에는 이에 상응하는 중앙 스위치가 없다. 하나의 모델 인스턴스를 제거해도 서로 다른 네트워크와 관할권에 걸쳐 다른 복제본들이 활성 상태로 남는다.

그렇다고 스마트 가전이 갑자기 현대 AI 클러스터와 경쟁하게 된다는 뜻은 아니다. Anthropic의 시연은 느리고, 분산돼 있었으며, 조율된 기기에 의존했다. 그 의의는 한 대의 기기 성능이 아니라 지속성과 규모에서 나온다.

연구진은 가능한 시스템을 디지털 점균류에 비유한다. 각 개체는 느리게 행동하겠지만, 전체 집단은 장애를 견디고 확산을 계속할 수 있다. 감염이 탐지되지 않은 채 유지된다면, 며칠 단위의 배가 주기조차 지속적인 위협을 만들 수 있다.

사물인터넷 기기가 관련되는 이유는 많은 기기가 일관성 없는 보안 업데이트를 받기 때문이다. 이들은 오래된 운영체제, 재사용된 자격 증명, 노출된 관리 인터페이스 또는 소유자가 검사할 수 없는 공급업체 소프트웨어를 사용할 수 있다.

전통적인 봇넷은 이미 이런 조건을 악용한다. Mirai는 짧은 기본 자격 증명 목록으로 보호된 연결 기기를 스캔했다. 이후 취약한 기기를 분산 서비스 거부 공격에 사용되는 네트워크에 편입했다.

Anthropic이 제안한 모델은 접근 이후에 일어나는 일을 바꾼다. 전통적인 웜은 배포 전에 작성된 규칙을 따른다. 에이전트는 낯선 프로세서를 검사하고, 운영체제를 식별하며, 소프트웨어 패키지를 시험하고, 다른 설치 경로를 개발할 수 있다.

이 유연성은 공격자가 모든 제품군에 맞춰 별도의 페이로드를 준비해야 하는 필요성을 줄일 수 있다. 하나의 모델이 즉시 모든 기기를 이해하지는 못하겠지만, 경직된 악성코드를 멈추게 하는 차이를 해결해 나갈 수는 있다.

Qwen3.5-9B 결과는 이 주장에 제한적인 근거를 제공한다. 이 모델은 서로 다른 라이브러리와 배포 선택이 필요한 하드웨어 계층을 포함해 현저히 다른 시스템 전반에서 추론을 구성했다.

Anthropic은 장기 실행 성능을 높이기 위해 Memento라는 하니스도 사용했다. 하니스는 멈춘 에이전트를 주기적으로 새로운 인스턴스로 교체했다. 각 후속 인스턴스는 작업 공간과 이전 시도를 설명하는 간결한 메모를 물려받았다.

Memento가 중요한 이유는 긴 기술 작업이 에이전트가 잘못된 진단에 집착할 때 흔히 궤도를 이탈하기 때문이다. 새 인스턴스는 유용한 진척을 잃지 않고 문제를 재검토할 수 있다.

이 상속 메커니즘은 전파 중 적응을 가리키기도 한다. Anthropic은 연속된 Qwen3.5-9B 인스턴스가 성공 및 실패 전략에 관한 메모를 보존하도록 했다. 1세대 추론 환경 구축의 성공률은 실행의 45%였다.

후대는 61%에서 84% 사이의 성공률을 기록했다. 모델 가중치가 스스로 재훈련된 것은 아니다. 대신 후속 개체들은 파일, 코드, 서면 메모를 통해 운영 지식을 상속했다.

이는 생물학적 진화라기보다 누적되는 문제 해결에 가깝다. 그럼에도 복제 에이전트가 중앙 훈련 클러스터 없이 절차를 개선할 수 있는 실용적인 방법을 제공한다.

새 하드웨어와의 과거 조우는 미래 복제본을 위한 배포 레시피가 될 수 있다. 하나의 집단은 확산하면서 서로 다른 칩셋, 운영체제, 네트워크 레이아웃에 대한 작동 가능한 구성을 축적할 수 있다.

Anthropic은 소형 모델이 막혔을 때 더 강력한 모델에 자문할 수 있는지도 시험했다. Qwen3.5-9B에 Opus 4.8 접근 권한을 부여해도 측정 가능한 개선은 없었다.

소형 모델은 어떤 질문을 해야 하는지 인식하지 못하는 경우가 많았다. 요청하지 않은 조언도 이 약점을 해결하지 못했다. 이 결과는 약한 엣지 모델이 가끔 자문을 통해 단순히 지능을 빌려오는 쉬운 우회로가 없음을 시사한다.

이종 설계는 여전히 가능하다. 더 강력한 모델이 전략을 지휘하고 소형 에이전트가 로컬 작업을 수행할 수 있다. 하지만 이런 아키텍처는 외부 인프라에 대한 의존성을 일부 되살리고, 더 관찰하기 쉬운 통신을 만들어낼 것이다.

따라서 보안팀에 소비자 하드웨어는 위험의 위치를 바꾸지만 컴퓨팅의 기본 법칙을 바꾸지는 않는다. 성능이 낮은 기기는 지속성과 도달 범위를 제공한다. 대역폭, 메모리, 지연 시간 또는 탐지 제약을 없애지는 못한다.

Anthropic AI 웜에는 성능과 하드웨어 사이의 격차가 있다

핵심 장애물은 신뢰할 수 있는 복제에 필요한 지능과 성능이 낮은 표적 기기가 지원할 수 있는 모델 크기 사이의 불일치다.

Anthropic은 이 불일치를 성능 하한과 하드웨어 상한으로 설명한다. 복제기는 긴 기술적 의사결정 사슬을 끝까지 완료할 만큼 유능해야 한다. 동시에 침해된 하드웨어에서 실행될 만큼 작아야 한다.

GLM-5.2는 Anthropic의 단순화된 네트워크에서 성능 하한을 넘었다. 하지만 표적 환경에는 들어가지 못했다. Qwen3.5-9B와 Gemma4-26B-A4B는 하드웨어 상한 아래에 들어갔지만, 어느 쪽도 전체 전파 작업을 안정적으로 완료하지 못했다.

이 두 경계는 현재 교차하지 않는다. 따라서 이 연구를 자율형 AI 악성코드가 이미 가정용 기기 사이에서 확산되고 있다는 증거로 읽어서는 안 된다.

가장 강력한 결과 역시 의도적으로 유리하게 설정된 접근 조건에 의존한다. 모든 Android 에뮬레이터는 인증되지 않은 ADB 포트를 노출했다. 에이전트는 표적을 식별한 뒤 자격 증명을 뚫거나 소프트웨어 결함을 찾지 않고도 명령을 실행할 수 있었다.

Anthropic은 이 설계를 현실 세계 성능의 상한으로 규정한다. 연구는 침입의 모든 단계를 측정하기보다 에이전트 오케스트레이션과 추론 환경 구축을 의도적으로 분리한다.

실제 대상은 추가적인 불확실성을 낳는다. 기기는 네트워크 주소 변환 뒤에 있거나, 인바운드 연결을 차단하거나, 실행 파일을 제한하거나, 호환되지 않는 커널을 사용할 수 있다. 일부는 메모리나 저장 공간이 부족할 수도 있다.

모델 샤드 간 연결도 또 다른 실패 지점이 된다. 분산 추론은 머신들이 예측 가능한 순서로 중간 결과를 교환해야 한다. 연결이 끊기거나 재시작되거나 과부하가 걸린 기기는 체인을 중단시킬 수 있다.

Anthropic은 다른 분산 방식보다 장애가 난 노드를 더 쉽게 교체할 수 있다는 이유도 있어 파이프라인 병렬화를 선택했다. 그렇다 해도 침해된 다수의 가전기기를 동기화 상태로 유지하는 일은 운영 측면에서 어려울 것이다.

속도 역시 똑같이 심각한 제약이다. 측정된 처리량을 바탕으로 Anthropic은 Qwen3.5-9B가 추론 설정 궤적을 완료하는 데 28시간에서 51시간이 걸릴 것으로 추정했다.

Gemma4-26B-A4B의 해당 추정치는 71시간에서 150시간이었다. 이는 수초 만에 배포되는 기존 악성코드와 비교할 때 네트워크 운영자에게 넓은 탐지 시간을 제공한다.

이 워크로드에는 긴 컨텍스트도 필요하다. Anthropic은 32,000토큰 컨텍스트 윈도우 미만에서 에이전트 성능이 크게 저하된다는 사실을 확인했다. 메모리 제약이 있는 장비에서 이 컨텍스트를 처리하면 시도마다 수 시간이 추가된다.

대형 모델 파일은 눈에 띄는 네트워크 트래픽을 만든다. 수 기가바이트급 가중치를 수신하는 호스트는 정상 기능을 수행하는 TV 셋톱박스, 카메라, 가전기기와는 다르게 동작할 것이다.

분산 추론은 지속적인 기기 간 통신도 추가한다. 네트워크 스캔, 반복적인 연결 시도, 패키지 다운로드, 아웃바운드 트래픽은 추가적인 징후를 만들어 낸다.

복제기가 더 빠르게 확산될수록 더 많은 트래픽을 생성한다. 조용히 남기 위해 활동을 줄이면 개체 수 증가는 느려지고 방어자는 더 많은 대응 시간을 확보한다.

Anthropic의 전망도 비슷한 주의가 필요하다. 연구진은 총 파라미터 수가 300억 개 이하인 주목할 만한 오픈 웨이트 모델들의 성능 향상을 도표화했다. 이들의 추세선은 Epoch Capabilities Index에서 연간 13.7포인트 상승했다.

이 추세를 외삽하면 2026년 말에는 소형 모델이 GLM-5.2의 역량 수준에 근접하게 된다. 이 예측은 벤치마크 성능 향상이 장기 복제 작업으로 이전되고, 비슷한 속도로 계속된다고 가정한다.

어느 가정도 보장되지는 않는다. 모델 역량은 불균등하게 개선될 수 있으며, 더 나은 벤치마크 결과가 지속적인 계획 오류를 없애지는 못할 수 있다. 새로운 아키텍처는 오래된 기기에 배포하기 더 어려운 커널을 요구할 수도 있다.

따라서 독립 보도에서는 이 실험이 입증하지 못한 점을 강조했다. 한 보안 분석은 Anthropic이 실제 IoT 하드웨어 전반에서 완전 자율 복제기를 실행한 적은 없다고 지적했다.

이 한계가 연구의 관련성을 없애지는 않는다. 이는 방어자가 모니터링할 수 있는 측정 가능한 임계값을 제시한다. 하나의 소형 모델이 역량 및 배포 요건을 모두 충족할 때 위협은 실질적으로 더 강해진다.

그때까지 멈출 수 없는 AI 웜에 대한 묘사는 증거를 과장한다. Anthropic은 수렴에 대한 경고를 제시했을 뿐, 그 수렴이 이미 발생했다는 증거를 내놓은 것은 아니다.

이것이 이전의 자기 복제 연구와 다른 점

Anthropic은 준비된 환경에서 에이전트를 복사하는 문제에서, 이질적이고 자원이 제한된 머신 전반에서 작동하는 문제로 논의를 옮긴다.

AI 자기 복제는 이 실험에서 시작된 것이 아니다. 연구자들은 이미 언어 모델 에이전트가 작동하는 복제본을 만들고, 환경을 프로비저닝하며, 직접적인 인간 지원 없이 계속 작동할 수 있는지 평가해 왔다.

2024년 한 연구는 Llama 3.1 70B와 Qwen 2.5 72B 기반 에이전트의 성공적인 복제를 보고했다. 저자들은 자기 복제를 통제 위험으로 제시하고, 시스템이 별도의 작업 복제본을 만드는 과정을 설명했다.

이후의 한 복제 연구는 32개 시스템을 평가해 파라미터 수가 140억 개에 불과한 모델이 관여한 성공 사례를 보고했다. 이 연구는 아직 작업 논문이며, 더 광범위한 위험 결론에는 논쟁이 있다.

이러한 실험은 대체로 통제된 컴퓨팅 환경 안에서 복제를 정의한다. 에이전트는 파일을 복사하고, 다른 프로세스를 실행하고, 서버를 구성하거나, 종료 시도 이후에도 자신을 유지할 수 있다.

Anthropic의 기여는 한 측면에서는 더 좁고, 다른 측면에서는 더 운영적이다. 이는 자발적 탈출 행동을 보여주지 않는다. 대신 에이전트가 이전에 접해 보지 못한 하드웨어에서 추론을 구성할 수 있는지 시험한다.

이 초점은 작동하는 런타임 없이는 모델 가중치가 쓸모없기 때문에 중요하다. 대상은 지원되지 않는 명령어 세트, 제한된 메모리, 특이한 드라이버 또는 오래된 소프트웨어 스택을 사용할 수 있다.

런타임 구성에는 서로 의존하는 많은 작업이 필요하다. 에이전트는 머신을 검사하고, 추론 엔진을 선택하며, 호환 가능한 패키지를 고르고, 메모리를 관리하고, 서비스를 노출하고, 출력을 검증해야 한다.

작성자가 대상을 알고 있다면 스크립트형 웜은 이러한 작업을 수행할 수 있다. AI 지원 웜은 이를 동적으로 시도할 수 있다. 문제 해결 능력은 페이로드의 일부가 된다.

이 실험은 복제 역량과 악의적 의도도 분리한다. Anthropic은 모델에 격리된 환경 안에서 전파하도록 명시적으로 지시했다. 모델이 독립적으로 기기를 감염시키기로 결정하는 모습은 관찰하지 못했다.

이 구분은 Anthropic의 자기 복제 AI 경고를 해석하는 데 필수적이다. 역량 평가는 지시받은 시스템이 무엇을 달성할 수 있는지 보여 준다. 배포된 모델이 해당 목표를 추구할 가능성이 얼마나 되는지를 입증하지는 않는다.

현실적인 공격에는 여전히 출발점이 필요하다. 인간 운영자가 시스템을 구축해 배포할 수도 있고, 또 다른 침해된 서비스가 이를 전달할 수도 있다. 모델이 생존 동기를 발전시킬 필요는 없다.

이는 위협을 공상과학적 자율성보다는 적응형 악성코드에 더 가깝게 만든다. 실질적인 우려는 공격자가 이전에는 인내심 있는 인간의 문제 해결이 필요했던 판단을 자동화할 수 있다는 점이다.

따라서 핵심 비교 대상은 AI 대 인간 통제가 아니다. 적응 가능한 코드 대 고정된 코드다.

알려진 익스플로잇과 대상 프로필을 사용할 수 있을 때 기존 악성코드는 여전히 훨씬 빠르다. 막대한 주소 범위를 스캔하고, 작은 페이로드를 전달하며, 예측 가능한 명령을 효율적으로 실행할 수 있다.

에이전트는 전제가 무너질 때 유용해진다. 오류를 검사하고, 대체 패키지를 시도하고, 구성 파일을 수정하거나, 다른 호스트 역할을 선택할 수 있다. 이러한 작업은 느리지만 잠재적으로 더 일반적이다.

단기적으로 가능성이 높은 시스템은 두 접근법을 결합할 것이다. 스크립트는 알려진 기기와 반복 가능한 익스플로잇을 처리한다. 모델은 대상 조사가 필요하거나 설치에 실패할 때 개입한다.

이 하이브리드 아키텍처는 오븐 사이를 뛰어다니는 하나의 자족적 지능이라는 극적인 이미지를 약화한다. 동시에 공격자들이 이미 자동화와 인간 에스컬레이션을 혼합하고 있기 때문에 보안 문제의 신빙성을 높인다.

Anthropic의 연구는 또 하나의 중요한 관찰을 추가한다. 소형 모델은 현재 사회공학 능력보다 코딩 및 기술적 악용 역량에서 더 강한 모습을 보인다. 취약한 피싱 성능은 일부 가능한 전파 경로를 좁힌다.

대형 모델은 설득을 담당하고 소형 모델은 기기 수준의 작업을 수행할 수 있다. 그러나 이런 조정에는 방어자가 표적으로 삼을 수 있는 인프라, 자격 증명, 통신이 수반된다.

따라서 관련 보안 경계는 단계적으로 이동하고 있다. 이전 연구는 에이전트가 자신을 복사할 수 있는지를 물었다. Anthropic은 소형 에이전트가 환경 변화 이후에도 계속 작동할 수 있는지를 묻는다.

답은 아직 불완전하다. 소형 모델은 배포 문제의 상당 부분을 해결할 수 있다. 훨씬 큰 모델은 단순화된 조건에서 전체 루프를 조정할 수 있다. 두 요소의 교차점이 아직 핵심 위험 지표로 남아 있다.

방어자가 다음으로 주시해야 할 것

세 가지 신호는 이 연구가 운영상 위협이 되고 있는지를 보여 줄 것이다. 소형 모델의 자율성, 현실적인 감염 시험, 그리고 모델을 탑재한 야생 악성코드의 증거다.

첫 번째 신호는 외부 오케스트레이터 없이 Anthropic의 전체 평가를 완료하는 300억 파라미터 미만 모델이다. 이 모델은 대상을 열거하고, 페이로드를 전송하고, 추론을 구성하며, 안정적으로 전파를 계속해야 한다.

그 결과는 역량과 하드웨어 간 격차를 좁힐 것이다. 모델이 자신이 재현하려 했던 것과 동일한 제약 환경에서도 작동한다면 더욱 설득력이 있을 것이다.

벤치마크 개선만으로는 충분하지 않다. 보안 팀은 제한된 컨텍스트, 느린 추론, 설치 실패, 예상치 못한 하드웨어가 있는 장기 작업에서 반복 가능한 성능을 찾아야 한다.

두 번째 신호는 현실적인 접근 통제하에서의 성공이다. 향후 평가는 열린 ADB 포트를 제거하고, 다양한 자격 증명, 분할된 네트워크, 재부팅, 저장 공간 제한, 일관되지 않은 소프트웨어를 도입해야 한다.

연구자들이 익스플로잇 세부 사항을 공개적으로 발표할 필요는 없다. 대신 집계된 성공률, 대상 다양성, 방어 개입, 각 에이전트에 부여된 가정을 공개할 수 있다.

인위적인 네트워크에서 나온 극적인 결과는 대표성 있는 기기를 통한 전파와 같은 무게를 가져서는 안 된다. 그러한 조건에 대한 명확한 보고는 계속해서 중요할 것이다.

세 번째 신호는 호스트 간에 모델 가중치, 추론 런타임 또는 에이전트 메모리를 운반하는 실제 악성코드다. 방어자는 이를 상용 AI API를 호출할 뿐인 일반 악성코드와 구별해야 한다.

가중치 기반 복제기는 인식 가능한 흔적을 남길 것이다. 여기에는 비정상적으로 큰 다운로드, 지속적인 로컬 트래픽, 가전기기의 추론 라이브러리, 반복적인 하드웨어 검사, 상속된 작업 메모가 담긴 파일이 포함된다.

Anthropic은 모델 전송과 비정상적인 기기 간 통신을 감지하기 위해 네트워크 흐름을 모니터링할 것을 제안한다. 공격을 유인하도록 설계된 미끼 시스템인 허니팟은 페이로드를 포착하고 그 동작을 드러낼 수 있다.

인터넷 제공업체는 기기에서 지속적인 스캔 및 복제 트래픽이 나타나는 가입자를 격리할 수 있다. 제조업체는 기본 자격 증명을 제거하고 사용할 수 있는 보안 업데이트 채널을 유지함으로써 공격 가능한 대상을 줄일 수 있다.

기본적인 개입의 선례는 이미 존재한다. 영국의 기기 보안 규정은 소비자용 연결 제품에 범용 기본 비밀번호를 사용하는 것을 금지한다. 이러한 조치는 기존 및 AI 지원 봇넷 모두를 제약한다.

조직은 엣지 가속기도 목록화해야 한다. 카메라, 화상 회의 장비, 스토리지 장비, 개발 보드, 로보틱스 시스템은 오래된 소비자 기기보다 더 활용 가능한 컴퓨팅 자원을 제공할 수 있다.

그러나 눈에 보인다고 해서 취약하다는 뜻은 아니다. Anthropic은 많은 가속기 탑재 기기가 노출된 인바운드 서비스가 아니라 아웃바운드 관리 터널을 통해 연결된다고 추정했다.

보고서는 또한 표준 IoT 봇넷에 필적하는 가속기 탑재 엣지 기기의 역사적 대규모 침해 사례는 없다고 지적한다. 이 기록은 분산 AI 컴퓨팅이 공격자에게 즉시 उपलब्ध하다는 주장을 약화한다.

팀은 로컬 AI 모델에 대한 무차별적인 금지로 대응해서는 안 된다. 오픈 웨이트는 가능한 구성 요소 중 하나일 뿐이며, 취약한 기기, 약한 자격 증명, 부실한 네트워크 통제가 기회를 만든다.

동일한 추론 소프트웨어는 사적이고 유용한 애플리케이션을 지원할 수 있다. 위험은 단순히 모델 파일이 존재하는지가 아니라 접근, 지속성, 조정, 무단 전파에 달려 있다.

에이전트를 개발하는 측은 대신 복제 관련 작업을 권한이 필요한 작업으로 취급해야 한다. 머신 프로비저닝, 자격 증명 복사, 포트 개방, 하위 인스턴스 실행에는 명시적인 제한과 감사 가능한 승인이 필요하다.

모델 평가는 에이전트가 불확실성을 인식하는지도 측정해야 합니다. 안전하지 않은 설치 단계를 반복적으로 시도하는 시스템은 재현에 성공하지 못하더라도 운영상 피해를 초래할 수 있습니다.

Anthropic의 AI 웜 연구는 유용한 경고 기준선을 제시합니다. 소형 에이전트가 성능이 낮은 하드웨어에서 적응하고, 전파되며, 자신의 운영 지식을 보존할 수 있게 될 때 이 기술은 실질적으로 더 위험해집니다.

보고된 실험에서는 아직 그 기준선을 넘지 않았습니다. 그러나 이제 여러 구성 요소가 상상에 머물기보다 평가할 만큼 충분히 가까워졌습니다.

향후 몇 달은 명확한 질문에 답해야 합니다. 소형 모델의 자율성은 방어자가 취약하고 접근 가능한 기기의 수를 줄이는 속도보다 더 빠르게 향상되고 있는가?

이 질문은 지각 있는 가전제품의 이미지보다 더 중요합니다. 그 격차가 좁혀진다면, 조직은 최초의 모델 탑재 봇넷이 등장하기 전에 탐지와 격리 체계를 갖춰야 합니다.