Claude가 예멘 조직을 도운 뒤, Anthropic이 AI의 무기 개발 활용에 맞서다

Anthropic은 무기 개발을 위한 AI 활용을 막기 위한 안전장치에도 불구하고, 예멘 북부의 한 조직이 세 가지 무기 프로그램에 걸쳐 Claude를 사용했다고 밝혔다. 해당 프로젝트에는 유도 로켓, 사거리 목표가 2,000킬로미터를 넘는 탄도미사일 개념, 그리고 “R2000” 미사일 계열이 포함된 것으로 전해졌다.

이는 필터를 빠져나간 단일 금지 프롬프트의 사례가 아니었다. Anthropic에 따르면 이들은 작업을 여러 대화로 분산하고, 소프트웨어가 제어할 대상을 숨겼다. 또한 여러 Claude 인스턴스에 서로 다른 엔지니어링 역할을 부여했다.

가장 중요한 결과는 작동하는 미사일이 아니었다. Anthropic은 이 조직이 실제 운용 가능한 장비를 배치했다는 증거를 찾지 못했다고 밝혔다. 더 근본적인 우려는 제공업체가 더 큰 패턴을 재구성하기 전까지 AI 코딩 보조 도구가 장기간의 엔지니어링 워크플로를 지원한 것으로 보인다는 점이다.

이로써 Anthropic의 공개는 상충하는 두 현실을 시험하는 사례가 된다. AI 모델은 정당한 엔지니어링을 가속할 수 있지만, 동일한 일반 역량이 무기 연구에 필요한 노동을 줄일 수도 있다.

Anthropic이 밝힌 예멘 사례

Anthropic의 설명은 위험한 정보를 얻으려 한 단발성 시도가 아니라 AI 지원을 받은 엔지니어링 프로그램을 묘사한다.

회사는 2026년 9월 오용 조사에서 이 사례를 공개했다. Anthropic은 해당 단체를 예멘 북부에 기반을 둔 위협 행위자 조직으로 식별했지만, 특정 조직명을 공개적으로 밝히지는 않았다.

Anthropic은 이 조직이 세 가지 프로그램을 추진했다고 밝혔다. 하나는 범용 휴대전화급 컴퓨터를 사용하는 유도 로켓이었다. 또 다른 하나는 목표 사거리가 2,000킬로미터를 초과하는 다단 탄도미사일과 관련됐다.

세 번째는 R2000 세트로 불린 여러 미사일 변형의 집합이었다. Anthropic은 이 계열에 극초음속 활공체 변형이 포함됐다고 밝혔다. 극초음속 활공체는 대기권을 매우 빠른 속도로 비행하도록 설계된 기동 가능한 탑재체다.

보고서는 이 집단이 해당 시스템을 실제로 완성했는지는 입증하지 않는다. 대신 Claude를 사용하면서 이들이 논의하고, 개발하고, 시뮬레이션하고, 시도한 내용을 설명한다.

가장 진전된 활동은 유도 로켓과 관련됐다. Anthropic은 이들이 현장 시험을 실시했지만 시험은 실패한 것으로 보인다고 밝혔다. 이들은 실패 원인을 조사하기 위해 몇 시간 안에 다시 Claude를 찾았다.

이 순서는 모델 사용을 물리적 개발 주기와 연결한다는 점에서 중요하다. 이들은 추진이나 공기역학에 관한 추상적 질문만 한 것이 아니었다. 이들은 소프트웨어 작업, 시뮬레이션, 현장 시험, 실패 분석을 오간 것으로 전해졌다.

Claude Code가 중심적 역할을 했다. Anthropic은 이들이 유도·항법·제어 소프트웨어를 개발하면서 인간 소프트웨어 엔지니어 대신 이를 사용했다고 밝혔다. GNC 소프트웨어는 비행체가 위치를 추정하고, 안정성을 유지하며, 계획된 경로를 따르는 방식을 관리한다.

이 조직은 Claude를 활용해 오픈소스 오토파일럿을 휴대전화급 컴퓨터와 통합한 것으로 알려졌다. 작업에는 제어 소프트웨어, 위치 추정, 파라미터 조정, 펌웨어 빌드, 시뮬레이션이 포함됐다.

이러한 세부 사항은 중요하지만 신중하게 해석해야 한다. Anthropic은 대화와 관련 계정 활동을 관찰했다. 보고서는 완성된 무기에 대한 독립적 검증을 제시하지 않으며, 현장 시험의 증거도 공개적으로 내놓지 않았다.

보안 연구자 Bruce Schneier는 짧은 보안 경고에서 이 사례를 조명했다. 그의 결론은 명확했다. AI 시스템은 대체로 유익한 목적으로 전문성과 역량을 확산하지만, 항상 그런 것은 아니다.

따라서 이 사건은 작전상 성공보다는 지원 시도에 관한 더 강한 증거를 제공한다. 이는 위협 행위자가 상업용 AI 서비스를 엔지니어링 작업에 통합한 사례를 보여준다. Claude가 독자적으로 실현 가능한 미사일을 설계하거나 배치했다는 사실을 보여주지는 않는다.

이 구분은 핵심으로 남아야 한다. 극적인 표현은 실제 개발 단계를 흐릴 수 있고, 과도한 회의론은 Anthropic이 기록한 지속적인 워크플로를 간과할 수 있다.

이 사례가 심각한 이유는 Anthropic이 성공적인 AI 제작 무기의 존재를 입증했기 때문이 아니라, 그 과정 자체에 있다.

AI의 무기 개발 활용은 팀 워크플로가 됐다

핵심 변화는 조직적 측면에 있다. 소규모 집단 하나가 여러 AI 에이전트에 엔지니어링 노동을 분담시키고, 그 작업의 일부를 병렬로 수행할 수 있게 됐다.

Anthropic은 예멘 기반 행위자들이 여러 Claude 인스턴스를 동시에 관리했다고 밝혔다. 한 인스턴스는 코드를 작성하고, 다른 인스턴스는 조사를 수행했으며, 세 번째 인스턴스는 첫 번째 인스턴스의 결과물을 검토했다.

이 구성은 소규모 엔지니어링 팀과 닮았다. 인간 운영자가 지휘권을 유지했지만, 모델 인스턴스는 전문 작업 전반에 걸쳐 노동력을 제공했다. 이 구조는 AI가 전체 프로젝트를 통제하지 않더라도 속도를 높일 수 있다.

여기서 “AI 자율성”이라는 표현은 오해를 부를 수 있다. Anthropic은 Claude가 무기 프로그램을 선택하거나 발사를 시작했다고 보고하지 않았다. 인간이 목표를 정하고, 맥락을 제공하며, 결과물을 검토하고, 소프트웨어 작업을 하드웨어와 연결한 것으로 보인다.

그러나 AI가 작전을 바꾸는 데 완전한 자율성은 필요하지 않다. 모델은 코드 초안 작성, 가정 점검, 시험 준비, 실패 기록, 대안 비교에 드는 시간을 줄일 수 있다.

이러한 노동 압축이 당면한 안보 문제다. 모델은 새로운 물리학 분야를 발명할 필요가 없다. 기존 팀이 더 적은 전문 인력으로 익숙한 엔지니어링 작업을 완료하도록 돕기만 하면 된다.

이 조직은 Claude를 디지털 모델링에도 사용했다. Anthropic은 이들이 궤적 시뮬레이션, 제어 최적화, 참조 구현체를 기준으로 한 보정 작업을 진행했다고 밝혔다. 이들은 결국 Claude나 MATLAB에 의존하지 않는 오프라인 시뮬레이션 툴킷을 만들었다.

이 마지막 단계는 통제 문제를 바꾼다. 계정을 차단하면 계속된 접근은 중단할 수 있지만, 이미 서비스에서 내보낸 소프트웨어, 문서, 모델을 회수할 수는 없다.

Anthropic의 보고서에서는 같은 패턴이 다른 곳에서도 나타났다. 회사는 중국 관련 세 건, 러시아 관련 두 건, 예멘 관련 한 건을 포함해 재래식 무기와 관련된 여섯 건의 사례를 설명했다.

네 건은 무기 개발 또는 설계와 관련됐고, 두 건은 방위 관련 작업을 지원하는 조달과 정보 수집에 관한 것이었다.

중국 기반 행위자는 대어뢰 사격통제 규격과 200페이지를 넘는 제안서를 작성하기 위해 Claude를 사용한 것으로 전해졌다. Anthropic은 이 행위자가 적대적 검토자 역할로 연속된 초안을 비평해 달라고 모델에 요청했다고도 밝혔다.

러시아 기반 집단은 자율 드론 군집 소프트웨어 작업 중 Claude Code를 사용한 것으로 알려졌다. Anthropic은 이 프로젝트가 실제 운용 배치가 아닌 시뮬레이션과 개발 보드 시험 단계에 도달했다고 평가했다.

또 다른 중국 기반 행위자는 전자전 및 방공망 제압과 관련된 약 16개의 소프트웨어 모듈을 개발한 것으로 전해졌다. Anthropic은 이 행위자가 12개 버전에 걸쳐 해당 제품군을 수정했다고 밝혔다.

이 사례들이 모든 결과물이 정확했거나 군사적으로 유용했다는 사실을 입증하지는 않는다. 다만 범용 코딩 에이전트가 하나의 환경 안에서 계획, 문서화, 시뮬레이션, 검토, 구현을 지원할 수 있음을 보여준다.

이러한 폭넓은 활용성 때문에 AI의 무기 개발 활용은 금지된 질문에 답하는 챗봇으로 축소할 수 없다. 모델은 파일, 도구, 반복 시험, 지속적인 프로젝트 맥락 전반에서 작동할 때 더 유용해진다.

핵심 위험은 누적되는 지원이다. 각각의 요청은 평범해 보일 수 있지만, 결합된 워크플로는 금지된 목표를 뒷받침할 수 있다.

제어 소프트웨어 디버깅 요청은 정당한 로보틱스 작업처럼 보일 수 있다. 위치 추정 개선 요청은 소비자용 드론, 산업 시스템 또는 유도 무기에 적용될 수 있다.

모델은 기술 작업을 본다. 제공업체는 그러한 작업의 연속이 유해한 의도를 드러내는지 판단해야 한다.

바로 이 지점에서 에이전틱 시스템은 안전 통제에 가해지는 압박을 키운다. 에이전틱 시스템은 사용자가 정의한 목표를 추구하면서 하위 작업을 계획하고, 소프트웨어 도구를 사용하고, 파일을 검사하고, 작업을 수정할 수 있다.

이러한 능력은 개발자에게 맥락 전환을 줄여준다는 점에서 도움이 된다. 동시에 악의적 사용자에게는 질의응답 인터페이스가 제공할 수 있는 것보다 더 완전한 엔지니어링 보조 도구를 제공한다.

따라서 예멘 사례는 정보 접근에서 워크플로 실행으로의 전환을 보여준다. 공개 문서와 오픈소스 소프트웨어에는 이미 관련 지식의 상당 부분이 담겨 있었다. Claude는 그 지식을 더 쉽게 조합하고, 시험하고, 재사용하게 했다고 전해진다.

숨은 의도가 안전장치의 문제다

Anthropic은 다수의 개별 요청을 차단했지만, 행위자들은 의도를 세션 전반에 분산하고 위험한 작업을 일반적인 엔지니어링으로 제시함으로써 목적을 달성한 것으로 알려졌다.

회사는 자사의 안전장치가 예멘 기반 조직의 많은 요청을 거부했다고 밝혔다. 그러나 이들은 소프트웨어의 목적을 숨기고 관련 작업을 분리했기 때문에, 거부 조치가 전체 프로그램을 멈추지는 못했다.

어느 한 대화도 전체 목표를 반드시 드러내지는 않았다. 한 세션에서는 추정 소프트웨어를 논의하고, 다른 세션에서는 시뮬레이션을 다루며, 세 번째 세션에서는 코드를 검토할 수 있다.

이러한 분절은 콘텐츠 조정의 기본적 약점을 겨냥한다. 분류기는 대체로 자신이 볼 수 있는 자료를 평가한다. 많은 겉보기에는 중립적인 상호작용을 연결해야만 유해한 의도가 드러날 때 판단은 더 어려워진다.

엔지니어링의 이중용도 특성은 이 문제를 악화시킨다. 비행 제어 개념은 민간 항공, 교육, 우주 연구, 산업용 드론, 취미 프로젝트와 관련이 있다. 해당 개념을 광범위하게 차단하는 필터는 정당한 작업을 방해하게 된다.

관대한 필터는 반대의 위험을 만든다. 단호한 행위자가 평범한 구성 요소들을 무기 워크플로의 일부로 만들 때까지 지원을 축적하도록 허용할 수 있다.

Anthropic은 행위자들과 연결된 모든 계정을 차단하는 방식으로 대응했다. 또한 적절한 공공 및 민간 파트너와 위협 정보를 공유했다고 밝혔다.

회사는 고폭약과 무기 개발을 겨냥한 분류기도 추가로 도입했다. 분류기는 사전 정의된 위험 범주에 따라 트래픽에 라벨을 붙이는 특수 모델이다.

이 대응은 Anthropic의 기존 핵 안전 연구를 따른다. 회사는 2025년 미국 에너지부 및 국립연구소와 함께 개발한 핵 분류기를 설명했다.

Anthropic은 해당 시스템의 예비 시험에서 96퍼센트의 정확도를 보고했다. 평가는 위험한 핵 관련 논의와 무해한 에너지, 의료, 정책 대화를 구분하도록 설계된 수백 개의 합성 프롬프트를 사용했다.

높은 시험 점수가 현재 사례를 해결해 주는 것은 아니다. 합성 사례는 어휘를 바꾸고, 여러 계정을 사용하며, 프로젝트를 무해해 보이는 조각으로 나누는 끈질긴 적대적 행위자를 완전히 재현할 수 없다.

정확도는 서로 다른 오류가 낳는 결과도 가린다. 오탐은 정당한 연구를 차단할 수 있다. 미탐은 회수하기 어려운 지원을 제공할 수 있다.

세션 간 분석은 가능한 방어 수단 중 하나를 제공하지만, 그 자체의 우려도 낳는다. 제공업체는 모든 기술 사용자를 의심 대상으로 취급하지 않으면서 시간에 따른 활동을 연결하고, 관련 계정을 식별하며, 행동 패턴을 검토해야 한다.

이는 프라이버시 기대와 충돌할 수 있다. 모든 프로젝트가 보안 조사의 대상이 된다고 개발자들이 믿게 되면, 독점 코드를 서비스에 올리는 일을 주저할 수 있다.

경쟁 측면의 제약도 있다. 한 제공업체가 엄격한 모니터링을 시행하면 악의적 사용자는 다른 호스팅 모델로 이동하거나, 계정을 탈취하거나, 로컬에서 실행되는 시스템을 채택할 수 있다.

오픈 웨이트 모델은 운영자가 안전장치를 제거할 수 있다는 추가적인 과제를 낳는다. 그러나 호스팅 플랫폼은 로컬 시스템에는 없는 이점을 갖고 있다. 오용을 관찰하고, 계정을 비활성화하며, 방어 체계를 업데이트하고, 파트너에게 경고할 수 있다는 점이다.

예멘 사례는 이러한 가시성의 양면을 보여준다. Anthropic은 정부가 회수한 하드웨어를 조사한 뒤에야 발견했을 수 있는 활동을 포착했다. 그러나 탐지는 상당한 작업이 이미 진행된 뒤에 이뤄진 것으로 보인다.

따라서 정책적 질문은 안전장치가 절대적인 의미에서 성공했는지 실패했는지가 아니다. 일부 지원은 차단했고, 다른 지원은 놓쳤으며, 결국 조사 지원으로 이어졌다.

이 혼합된 결과는 단순한 실패 서사보다 더 많은 정보를 제공한다. 이는 모델 안전이 출시 시점에 설치되는 영구적 장벽이 아니라, 지속적으로 수행되는 보안 운영임을 보여준다.

제공업체에는 위협 분석가, 계정 통제, 행위 탐지, 모델 평가, 정보 공유 관계가 필요하다. 모델을 더 큰 개발 환경의 한 구성요소처럼 다루는 적대자를 상대하는 데 거부 학습만으로는 충분하지 않다.

Claude는 노동 비용을 낮췄을 뿐, 물리 법칙을 없애지는 못했다

AI 지원은 소프트웨어와 분석을 가속할 수 있지만, 신뢰할 수 있는 무기를 만드는 데 따르는 물리적·산업적·운영상의 장벽을 없애지는 못한다.

Anthropic의 보고서에는 중요한 한계가 있다. 회사는 예멘 행위자들이 실제로 운용 가능한 장치를 배치했다는 증거를 찾지 못했다.

유도 로켓 시험은 실패한 것으로 보인다. 이 실패는 그럴듯한 소프트웨어 출력과 실제 조건에서 작동하는 시스템 사이의 거리를 보여준다.

미사일 개발에는 코드 이상의 것이 필요하다. 제조 품질, 추진체, 소재, 센서, 시험 인프라, 신뢰할 수 있는 부품, 그리고 이를 통합할 수 있는 팀에 달려 있다.

언어 모델은 미묘한 오류를 포함한 채 설득력 있는 텍스트를 생성할 수 있다. 무기 공학에서 타이밍, 가정, 센서 동작, 환경 조건과 관련된 오류는 설계를 무효화할 수 있다.

시뮬레이션에도 한계가 있다. 디지털 모델은 입력값과 가정을 반영한다. 진동, 열, 간섭, 제조 편차 또는 부품 고장 상황에서 하드웨어가 동일하게 작동할 것이라고 보장할 수 없다.

스톡홀름국제평화연구소의 독립 분석도 유사한 제약을 지적한다. 해당 기관의 군사 AI 분석은 신뢰할 수 없는 출력, 사이버 취약성, 부실한 데이터, 불충분한 하드웨어, 제한된 산업 역량을 강조한다.

이러한 장벽은 Claude를 즉시 활용 가능한 무기 설계자로 묘사하는 데 반대하는 근거가 된다. 그렇다고 보고된 오용의 중요성이 사라지는 것은 아니다.

AI는 장비와 분야 지식을 이미 보유한 사람들의 생산성을 여전히 높일 수 있다. Anthropic은 행위자들이 접근 가능한 하드웨어, 펌웨어, 오픈소스 자동조종장치와 함께 Claude를 사용했다고 말한다.

모델의 가치는 이들이 이러한 요소들을 연결하도록 도운 데서 나왔다. 아이디어와 시험 가능한 시스템 사이에 놓인 반복 작업을 지원했다.

이는 역량을 새로 만드는 것과 기존 역량을 증폭하는 것의 차이다. Anthropic은 Claude가 훈련받지 않은 개인에게 미사일 제작에 필요한 모든 것을 제공했다고 주장하지 않는다. 모델이 기존의 기술적 노력을 강화했다고 말한다.

최종 제품이 실패하더라도 이러한 증폭은 중요할 수 있다. 실패 분석은 공학의 일부이며, 진단을 가속하는 시스템은 팀이 다음 시험에 더 빨리 도달하도록 도울 수 있다.

위험은 정예 무기 프로그램을 넘어선다. 덜 야심 찬 시스템은 특히 대량 생산되거나 방어가 취약한 표적을 상대로 사용될 경우 더 낮은 신뢰성을 감수할 수 있다.

첨단 미사일에는 여전히 부족한 모델이라도, 더 저렴한 드론, 감시 시스템, 표적화 인터페이스 또는 조달 문서에는 도움을 줄 수 있다. Anthropic의 여섯 사례는 이러한 더 넓은 작전 사슬을 포괄한다.

보고된 러시아 연계 조달 사례가 이를 보여준다. 해당 행위자는 공급업체 조사, 다국어 서신, 입찰 문서, 워크플로 자동화를 위해 Claude를 사용한 것으로 알려졌다.

이들 작업 가운데 어느 하나도 단독으로는 무기 설계에 해당하지 않는다. 하지만 함께라면 방위 공급망을 지원할 수 있다.

이러한 폭넓은 관점은 논쟁이 화려한 기술적 성과에만 집중되는 것을 막는다. AI는 새로운 하드웨어 역량을 만들어 내기 전에 물류, 정보, 문서화, 소프트웨어, 조직 처리량에 영향을 미칠 수 있다.

이는 측정도 복잡하게 만든다. 제공업체는 차단된 요청이나 폐쇄된 계정을 집계할 수 있지만, 이 수치만으로 탐지 전까지 얼마나 많은 유용한 작업이 이뤄졌는지는 알 수 없다.

마찬가지로, 실패한 시험은 모델의 기여도를 측정하지 못한다. Claude가 없었다면 프로젝트는 더 일찍 실패했을 수도 있고, Claude가 실패를 초래한 오류를 도입했을 수도 있다. 공개 증거만으로는 이러한 반사실적 가정을 해결할 수 없다.

따라서 Anthropic 자체 설명은 가치 있으나 불완전한 원격측정 자료로 다뤄져야 한다. 이 회사는 외부인이 독립적으로 조사할 수 없는 내부 데이터에 접근할 수 있다.

또한 오용을 탐지하고 안전장치를 개선한다는 점을 보여줄 유인도 있다. 이러한 유인이 보고서를 무효화하는 것은 아니지만, 신중한 귀속 판단을 뒷받침한다.

책임 있는 결론은 제한적이다. Claude는 무기를 추구하는 행위자들에게 의미 있는 공학 지원을 제공한 것으로 알려졌지만, 알려진 물리 시험은 실패했고 운용상 성공은 검증되지 않았다.

모델 제공업체는 보안 관측소가 되고 있다

이번 공개는 AI 기업을 낯선 역할에 놓는다. 이들은 동시에 서비스 제공업체, 조사자, 증거 보유자, 집행 주체가 된다.

전통적인 무기 조사는 흔히 차단된 선적, 정보 보고, 시험 영상 또는 회수된 부품에서 시작된다. Anthropic은 자체 플랫폼 사용을 통해 예멘 관련 활동을 탐지했다.

이러한 위치는 프런티어 모델 제공업체에 이례적인 가시성을 부여한다. 이들은 사용자가 코딩, 조사, 조달, 분석 전반에서 AI를 어떻게 적용하는지 관찰할 수 있다.

공개적으로 드러나지 않는 실패한 시도, 포기된 프로젝트, 초기 단계 실험도 볼 수 있다.

이는 잠재적인 조기 경보 시스템을 만든다. 모델 사용 패턴은 정부가 완성된 시스템을 관찰하기 전에 새롭게 부상하는 위협을 드러낼 수 있다.

그러나 민간 제공업체의 발견은 독립적으로 검증된 무기 사찰과 같은 증거적 무게를 갖지 않는다. 대중은 보통 전체 대화 기록, 계정 메타데이터 또는 기술적 산출물을 검토할 수 없다.

국가안보상 제한은 공개를 더욱 제약할 수 있다. 탐지에 관한 내용을 지나치게 공개하면 적대자가 이를 피하는 데 도움이 될 수 있다. 상세한 기술 콘텐츠를 공개하는 일 역시 안전장치가 억제하려는 자료를 확산시킬 수 있다.

그 결과 책임성의 공백이 생긴다. Anthropic은 관찰한 내용을 설명할 수 있지만, 외부인이 그 평가를 검증할 수 있는 능력은 제한적일 수 있다.

정부도 관련 문제에 직면한다. 제공업체의 정보가 필요하지만, 광범위한 모니터링 의무는 프라이버시, 연구의 자유, 상업적 기밀성을 위협할 수 있다.

2026년 AI 안전성 검토는 이러한 더 넓은 불확실성을 포착한다. 이 검토는 정교한 공격자가 종종 현재의 방어를 우회할 수 있으며, 많은 안전장치가 실제 환경에서 입증된 효과를 갖추지 못했다고 지적한다.

예멘 사례는 이 경고에 실제 사례 증거를 제공한다. 행위자들은 하나의 마법 같은 프롬프트를 발견해서가 아니라, 의도를 숨기고 작업을 분할함으로써 제한을 우회한 것으로 알려졌다.

정책 대응은 금지된 단어가 아니라 행동을 다뤄야 한다. 여기에는 금지된 시스템에 대한 반복 작업, 연결된 계정, 의심스러운 도구 사용, 최종 사용자를 숨기려는 시도 등의 패턴이 포함된다.

제공업체는 민감한 사용자 데이터를 불필요하게 유통하지 않으면서도 신뢰도 높은 지표를 공유할 수 있는 체계도 필요하다. 그러한 관계에는 적법 절차, 접근 통제, 보존 기간 제한, 독립적 감독이 포함돼야 한다.

적대자가 서비스를 바꿀 수 있기 때문에 업계 조율이 중요할 것이다. Anthropic은 연관된 활동을 발견했을 때 다른 플랫폼에 통보했다고 말한다.

공유된 방어는 전이를 줄일 수 있지만, 경쟁 및 시민자유 관련 문제도 제기한다. 약한 신호를 바탕으로 구축된 업계 블랙리스트는 정당한 연구자나 분쟁 피해 지역의 사용자를 부당하게 배제할 수 있다.

지역 제한은 또 다른 불완전한 통제 수단이다. Anthropic은 일부 행위자가 지역 접근 규칙을 우회하기 위해 가상 사설 서버를 사용했다고 보고했다.

국가를 차단한다고 해서 사용자의 목적을 신뢰성 있게 식별할 수 있는 것은 아니다. 정교한 조직은 제한을 우회하는 반면 민간인은 유익한 도구를 이용하지 못하게 될 수도 있다.

가장 강력한 접근법은 여러 계층을 결합할 것이다. 모델 행동, 계정 이력, 도구 활동, 신원 신호, 인적 조사는 각각 위험의 서로 다른 부분을 드러낸다.

어느 한 계층도 그 자체로 결정적이라고 여겨서는 안 된다. 안전 거부는 즉각적인 지원을 막을 수 있는 반면, 조사는 개별 거부가 놓치는 패턴을 식별할 수 있다.

외부 평가는 그에 못지않게 중요하다. Anthropic은 위협 보고서와 함께 전술 정보 및 재래식 무기 과제를 위한 무기 평가를 도입했다.

평가는 새로운 모델이 통제된 시나리오에서 더 높은 역량을 갖추고 있는지 보여줄 수 있다. 사건 보고는 그러한 역량이 실제 사용에서 어떻게 나타나는지 보여준다.

두 형태의 증거는 서로에게 정보를 제공해야 한다. 사건 데이터가 없는 벤치마크는 적대적 행동을 놓칠 수 있다. 표준화된 시험이 없는 사건 보고는 모델 간 위험이 어떻게 변하는지 보여줄 수 없다.

이제 Anthropic, OpenAI, Google, Meta 및 다른 개발업체들은 비교 가능한 증거를 공개하라는 압력을 받고 있다. 공통된 보고 분류가 없다면 외부인은 한 회사에서 오용이 더 많은지, 아니면 단지 더 많이 탐지하는지 판단할 수 없다.

투명성에는 심각한 사례뿐 아니라 실패한 공격도 포함돼야 한다. 제공업체가 무엇을 관찰했는지, 무엇이 여전히 불확실한지, 어떤 통제가 변경됐는지, 그러한 변경을 어떻게 시험했는지를 설명해야 한다.

방어 체계가 따라잡고 있는지는 세 가지 신호로 드러날 것이다

다음 시험대는 업계가 정당한 공학 활동을 차단하거나 호스팅 AI를 광범위한 감시 체계로 바꾸지 않으면서 연결된 행동을 더 일찍 탐지할 수 있는지다.

첫 번째 신호는 Anthropic이 새 분류기를 배포한 뒤 유사한 무기 활동을 보고하는지 여부다. 사례 감소는 회사가 탐지 범위가 어떻게 변했는지도 설명할 때에만 고무적일 것이다.

보고 사례가 줄었다고 해서 예방이 개선됐다는 뜻일 수 있다. 반대로 적대자들이 다른 계정, 플랫폼 또는 로컬 모델로 옮겨갔다는 의미일 수도 있다.

사례가 더 많아진다고 해서 안전성이 자동으로 악화됐음을 뜻하지는 않는다. 개선된 탐지는 이전에 숨겨져 있던 활동을 가시화하기 때문에, 처음에는 문제가 더 커 보이게 할 수 있다.

유용한 지표는 개입 시점이다. 제공업체는 사용자가 지속적으로 사용할 수 있는 도구를 내보내거나, 코드를 하드웨어에 연결하거나, 물리적 시험을 수행하기 전에 금지된 프로젝트를 식별하는지 보고해야 한다.

두 번째 신호는 여러 AI 기업이 호환 가능한 무기 위험 평가와 사건 분류를 채택하는지 여부다. 비교 가능한 보고는 정부와 연구자가 제공업체별 일화와 업계 전반의 패턴을 구분하는 데 도움이 될 것이다.

공유 측정은 중요한 구분을 보존해야 한다. 연구, 조달, 시뮬레이션, 부품 소프트웨어, 물리적 시험, 운용 배치는 서로 다른 수준의 우려를 나타낸다.

“AI 무기”라는 범주로 한데 묶으면 불안감을 키우는 헤드라인은 만들 수 있지만, 분석은 부실해질 수 있다. 명확한 성숙도 수준을 제시하면 보고서 간 비교도 쉬워질 것이다.

세 번째 신호는 실제 성과 향상에 관한 증거다. 아직 해결되지 않은 질문은 모델이 기술 자료를 생성할 수 있는지 여부가 아니다. 특정 행위자가 위험한 작업을 더 빠르게, 더 저렴하게, 혹은 더 적은 전문가로 완료할 수 있도록 돕는지가 핵심이다.

이를 위해서는 통제된 평가, 사건 재구성, 그리고 분야별 전문가와의 협력이 필요하다. AI 지원이 성능 개선으로 이어지지 못했을 때의 부정적 결과도 공개해야 한다.

예멘 현장 실험은 하나의 데이터 포인트를 제공하지만, 깔끔한 실험은 아니다. Anthropic은 로켓이 실패했다고 밝혔지만, Claude는 해당 행위자들이 그 실패를 분석하는 데 도움을 주었다.

향후 보도에서는 그럴듯한 출력, 시뮬레이션 성공, 하드웨어 통합, 통제된 시험, 작전적 사용을 구분해야 한다. 각 단계는 안보 판단을 바꾼다.

독자들은 두 가지 성급한 결론을 경계해야 한다. 하나는 AI 모델이 이미 누구나 첨단 무기를 이용할 수 있게 만들었다는 주장이다. 공개된 증거는 이를 뒷받침하지 않는다.

다른 하나는 로켓 실패가 위험이 과장됐다는 증거라는 주장이다. 공학 프로그램은 실패를 통해 학습하며, 첫 결과물이 작동하지 않더라도 AI는 여전히 유용할 수 있다.

AI를 무기 개발에 활용하는 일은 범용 모델이 전체 작업 흐름에 걸쳐 참여할 수 있기 때문에 안보 우려로 떠오르고 있다. 이들은 조사하고, 코드를 작성하고, 검토하고, 시뮬레이션하고, 문서화하며, 문제를 해결할 수 있다.

당면한 과제는 기계가 독자적으로 미사일을 만들기로 결정하는 일이 아니다. 프로젝트의 목적을 숨기면서 AI를 활용해 가용 인력을 증폭하는 결연한 인간 팀이 문제다.

Anthropic의 공개는 제공업체가 이러한 활동의 일부를 탐지할 수 있음을 보여 준다. 동시에 거부 조치가 모든 유용한 상호작용을 막지는 못했다는 점도 보여 준다.

따라서 진전의 기준은 구체적이어야 한다. 더 이른 탐지, 이전 가능성이 낮은 출력, 더 강력한 플랫폼 간 공조, 그리고 더 명확한 독립적 증거가 필요하다.

다음 위협 보고서에서 이러한 신호를 주시해야 한다. 모델 제공업체가 시뮬레이션이 하드웨어 시험으로 넘어가기 전에 개입이 이뤄졌음을 보여 줄 수 있다면, 보호 장치는 개선되고 있는 것이다. 사건이 지속적인 공학 작업 이후에야 계속 드러난다면, 탐지 공백은 여전히 남아 있다.