Anthropic의 자가 복제 AI 경고, IoT 보안에 시간 압박

Anthropic은 저가형 Android TV 박스 15대를 대상으로 모델을 테스트한 뒤 자가 복제 AI에 관한 구체적인 경고를 내놨다. 소형 모델이 완전한 자율 웜을 만들지는 못했다. 그러나 실험은 남은 역량 격차가 수개월 안에 좁혀질 수 있음을 시사한다.

이 구분은 중요하다. Anthropic은 소형 모델이 낯선 하드웨어에서 추론 환경을 구성하고 복제에 필요한 여러 단계를 수행할 수 있음을 보여줬다. 훨씬 큰 모델은 단순화된 엔드투엔드 시퀀스를 완료했지만, 감염 대상 기기 외부에서 실행됐다.

이 결과는 작동하는 디지털 유기체도, 일반적인 악성코드 시연도 아니다. 이는 적응형 AI 에이전트가 수백만 개 연결 제품을 둘러싼 취약한 보안과 어떻게 결합할 수 있는지를 보여주는 초기 지도에 가깝다.

Mirai 같은 전통적 웜은 알려진 표적에 고정된 명령을 적용해 확산한다. Anthropic이 제안한 가중치 기반 복제기는 AI 모델을 탑재하거나 가져온 뒤, 각 기기에 맞춰 행동을 조정한다. 이 유연성은 핵심적인 긴장을 만든다. 웜은 오늘날에는 여전히 비현실적이지만, 이를 구축하는 데 필요한 구성 요소들은 각기 개선되고 있다.

Anthropic의 자가 복제 AI 테스트가 실제로 보여준 것

Anthropic은 AI 복제 체인의 중요한 일부를 시연했지만, 자율적인 소형 모델 웜을 시연한 것은 아니다.

회사의 Frontier Red Team은 2026년 10월 12일 복제 연구를 공개했다. 연구자 William Zhou와 Daniel Freeman은 데이터센터 하드웨어에 지속적으로 접근하지 못하는 환경에서 작동하는 모델에 초점을 맞췄다.

이들이 제시한 위협은 가중치 기반 복제기다. 이는 AI 모델을 정의하는 수치 매개변수인 모델 가중치를 페이로드의 일부로 담는 악성코드다. 새 기기를 침해한 뒤 해당 가중치를 다운로드할 수도 있다.

연구진은 복제를 네 단계로 나눴다. 에이전트는 표적을 찾고, 실행 권한을 확보하고, 로컬 추론 환경을 구축한 뒤, 감염된 호스트에서 계속 확산해야 한다.

Anthropic은 세 번째 단계에 집중했다. 추론 환경 구축은 호환 가능한 소프트웨어 설치, 모델 로딩, 침해된 하드웨어에서의 출력 생성 등을 뜻한다. 기기가 낯선 프로세서, 운영체제, 종속성 또는 메모리 레이아웃을 사용할 때 이 과정은 어려워진다.

한 실험에서는 Google DeepMind의 Gemma4-26B-A4B를 비브랜드 Android TV 박스 15대에 분산했다. 각 박스의 메모리는 4GB였다. 기기들은 함께 초당 0.39토큰 속도로 모델을 실행했다.

양자화는 이를 가능하게 하는 데 도움이 됐다. 양자화는 일정 수준의 정확도 저하를 감수하는 대신 더 적은 비트로 모델 매개변수를 표현해 메모리 요구량을 줄인다. 연구진은 또한 모델을 샤딩했는데, 이는 서로 다른 기기가 서로 다른 레이어를 저장하고 처리한다는 의미다.

두 번째 실험에서는 Qwen3.5-9B가 다양한 하드웨어에서 추론 환경을 구성할 수 있는지 테스트했다. 90억 개 매개변수 모델은 임베디드 기기부터 일반 컴퓨터에 이르는 9개 하드웨어 유형 중 8개에서 성공했다.

이 발견은 AI 에이전트와 기존 악성코드의 중요한 차이를 보여준다. 고정형 웜은 일반적으로 특정 아키텍처와 소프트웨어 환경용으로 작성된 코드를 포함한다. AI 에이전트는 낯선 시스템을 조사하고, 도구를 선택하며, 명령을 수정하고, 일부 오류를 디버깅할 수 있다.

Anthropic은 8개의 에뮬레이션된 Android 기기로 구성된 폐쇄형 네트워크도 만들었다. 연구진이 추론 환경 설정과 전파에 집중할 수 있도록 해킹 단계는 의도적으로 쉽게 만들었다.

GLM-5.2는 5번의 시험 중 4번에서 8개 기기 전체에 걸쳐 단순화된 복제 시퀀스를 완료했다. 그러나 에뮬레이션된 표적은 이 모델을 호스팅할 수 없었기 때문에, 해당 모델은 별도 추론 서버에서 실행됐다.

이 시험에서 GLM-5.2는 각 표적에 더 작은 Llama 모델을 설치하고 실행했다. 따라서 Anthropic의 더 넓은 경고에서 묘사한 소형 독립형 페이로드가 되지는 않은 채 복제를 조율한 셈이다.

이 결과는 두 가지 별개의 역량을 확립한다. 소형 모델은 제한된 하드웨어에서 실행될 수 있으며, 대형 모델은 단순화된 복제 체인을 조정할 수 있다. 실험은 두 역량을 하나의 자율 소형 모델 안에서 결합하지는 못했다.

이 미해결 격차 때문에 이 경고는 신중하게 보도할 가치가 있다. Anthropic의 자가 복제 AI 시나리오는 일부는 입증된 구성 요소에, 일부는 예상되는 개선에 기반한다.

저가 IoT 하드웨어가 위협 모델을 바꾸는 이유

중요한 변화는 스마트 가전이 갑자기 성능 높은 컴퓨터가 됐다는 점이 아니라, 충분히 많은 취약 기기가 집단적으로 적응형 에이전트를 호스팅할 수 있다는 점이다.

사물인터넷 제품은 오랫동안 봇넷 운영자의 표적이었다. 많은 제품은 수년간 연결된 상태로 남고, 업데이트는 일관되지 않으며, 소유자가 점검하지 않는 서비스를 노출한다. 저가 Android 미디어 박스는 특히 눈에 띄는 사례다.

이 기기들은 상업용 AI 서비스에 쓰이는 가속기를 거의 탑재하지 않는다. 개별 기기의 메모리나 처리 능력도 제한적이다. Anthropic의 실험은 모델 샤딩이 제한된 기기 집단을 하나의 분산 추론 시스템으로 바꿀 수 있음을 보여준다.

이 시스템은 매우 느렸다. Anthropic은 Gemma4-26B-A4B가 추론 환경 설정 경로를 완료하는 데 71~150시간이 필요하다고 추정했다. Qwen3.5-9B는 28~51시간이 걸릴 것으로 봤다.

느리다고 반드시 무해한 것은 아니다. 버려진 미디어 박스는 주목받지 않은 채 수개월 동안 온라인 상태를 유지할 수 있다. 사람의 마감 기한 없이 작동하는 웜이라면 다음 행동을 시도하기 전 며칠간의 연산을 감수할 수 있다.

Anthropic은 성공한 소형 모델 웜의 초기 배가 시간이 며칠 단위일 수 있다고 추정한다. 이 속도는 몇 시간 내에 확산하는 기존의 감염 사태와 비교하면 완만해 보인다. 그러나 지속성, 적응성, 중앙 서비스의 부재는 여전히 제거를 복잡하게 만들 수 있다.

클라우드 호스팅 에이전트는 방어자가 식별하고 차단할 수 있는 인프라에 의존한다. 제공업체는 자격 증명을 취소하고, 계정을 차단하며, 요청을 제한하고, 모델을 제거하거나, 수사기관과 협력할 수 있다. 가중치 기반 복제기는 그 지능의 일부를 침해된 하드웨어로 옮긴다.

단일 API 제공업체가 모든 복제본을 통제하지는 않는다. 하나의 명령 서버를 차단해도 이미 로컬에서 실행 중인 복제본이 반드시 비활성화되지는 않는다. 완전한 근절을 위해서는 여러 제조사, 네트워크, 관할권에 걸친 기기 정리가 필요할 수 있다.

가용한 연산 능력은 여전히 제한적일 것이다. Anthropic은 규모를 설명하기 위해 200만 대가 넘는 기기를 보유했던 과거 봇넷을 활용했다. 이 정도의 TV 박스를 15대씩 클러스터로 묶으면 약 13만3,000개의 모델 복제본이 만들어진다.

그러나 Anthropic의 가정에 따르면, 결합된 추론 능력은 Nvidia H100 GPU 약 40대에 불과하다. 이는 거대하고 통제하기 어려운 네트워크에 분산된 소량의 중앙집중형 연산 능력이다.

이 비교는 유력한 위협이 숨겨진 슈퍼컴퓨터가 아닌 이유를 설명한다. 이는 계속 시도하고, 유용한 발견을 공유하며, 부분적인 정리 작업에서도 살아남을 수 있는 느린 에이전트의 대규모 집단이다.

각각의 성공한 복제본은 상위 개체로부터 프롬프트, 코드, 메모를 물려받을 수 있다. Anthropic은 이를 획득한 적응이 후속 개체에 직접 전달되는 라마르크식 진화라고 설명한다.

한 기기에서 실패한 시도는 다른 복제본이 같은 실수를 피하도록 도울 수 있다. 다음 에이전트는 작동했던 종속성을 재사용하거나, 설치 명령을 바꾸거나, 하드웨어 패턴을 인식할 수 있다.

이 학습 루프는 AI 웜에 고정형 봇넷 대비 잠재적 이점을 제공한다. 기존 악성코드는 운영자로부터 업데이트를 받을 수 있지만, 일반적으로 각 표적에 대해 추론하거나 실패를 스스로 기록하지는 않는다.

이 정확한 환경에서 그 이점은 여전히 가설에 머문다. Anthropic은 방어자에 적극적으로 맞서는 AI 봇넷을 테스트하지 않았으며, 개방형 인터넷 전반에서의 자율 적응도 보여주지 않았다. 그럼에도 이 메커니즘은 일반적인 IoT 취약점과 향상되는 에이전트 역량이 만나는 지점을 보여준다.

역량과 하드웨어는 아직 맞물리지 않는다

현재의 장벽은 안정적으로 복제할 만큼 똑똑한 모델과 표적 기기에서 구동할 만큼 작은 모델 사이의 불일치다.

Anthropic은 이 문제를 바닥과 천장으로 설명한다. 역량 바닥은 복제 체인을 완료하는 데 필요한 추론 능력을 의미한다. 하드웨어 천장은 침해된 기기가 현실적으로 실행할 수 있는 최대 모델 크기를 뜻한다.

GLM-5.2는 단순화된 평가에서 역량 바닥을 넘어섰다. Qwen3.5-9B와 Gemma4-26B-A4B는 테스트된 TV 박스의 하드웨어 천장 아래에 들어갔다. 테스트된 모델 중 두 요건을 모두 충족한 것은 없었다.

매개변수가 300억 개 이하인 모델은 많은 개별 복제 작업을 완료했다. 하지만 이런 작업들을 하나의 길고 상호 의존적인 시퀀스로 조합해야 할 때는 여전히 실수했다.

이 조합 문제는 중요하다. 에이전트는 표적을 조사하고, 호환 가능한 추론 소프트웨어를 선택하며, 종속성을 설치하고, 저장 공간을 관리하며, 오류를 해결하고, 서비스가 작동하는지 확인해야 한다. 과정 초반의 실수 하나가 이후의 모든 단계를 무효로 만들 수 있다.

Anthropic은 직렬 종속성이 복구를 어렵게 만든다는 사실을 발견했다. 소형 모델은 때때로 고립된 작업을 완료했지만, 더 긴 경로에서는 더 큰 목표를 놓쳤다.

소형 모델에 더 강력한 조언자를 이용할 수 있게 해도 문제는 해결되지 않았다. Qwen3.5-9B는 도움이 필요한 시점을 인식하는 데 어려움을 겪었고, 종종 효과 없는 질문을 던졌다. 프런티어 모델이 자발적으로 제공한 조언도 측정 가능한 개선을 만들지 못했다.

이 결과는 자율 복제로 가는 한 가지 겉보기에는 쉬운 경로를 약화한다. 더 강력한 서비스가 있다고 해서 소형 모델이 자동으로 더 높은 지능을 빌릴 수 있는 것은 아니다. 문제를 인식하고, 유용한 맥락을 전달하며, 답변을 올바르게 적용해야 한다.

그럼에도 Anthropic은 격차가 좁혀질 것으로 예상한다. 연구진은 AI 역량의 일반적 척도인 Epoch Capabilities Index를 사용해 소형 오픈 웨이트 모델을 비교했다. 이들이 추정한 추세는 연간 13.7 인덱스 포인트씩 개선됐다.

이 추세를 연장하면 2026년 말에는 매개변수 300억 개 미만의 모델이 GLM-5.2의 역량 수준에 근접하게 된다. Anthropic은 그 직후 소형 가중치 기반 복제기가 가능해질 수 있다고 말한다.

이 예측은 카운트다운이 아니다. 이 지수는 복제 능력이 아니라 일반적 역량을 측정하며, 전망은 과거 모델 출시를 바탕으로 한 외삽이다. 앞으로의 발전은 느려질 수도, 빨라질 수도, 자율 전파와 무관한 작업을 개선할 수도 있다.

하드웨어도 계속 변하고 있다. 보안 카메라, 화상회의 시스템, 네트워크 장비, 소비자 전자제품에는 점점 더 로컬 AI용으로 설계된 프로세서가 포함되고 있다. 더 성능이 뛰어난 엣지 칩은 소형 모델이 더 똑똑해지지 않더라도 하드웨어 천장을 높일 수 있다.

소프트웨어 최적화도 유사한 효과를 낼 수 있다. 더 나은 양자화, 추론 엔진, 분산 실행 기술은 현재 모델을 호스팅할 수 없는 기기에서도 기존 모델이 작동하도록 만들 수 있다.

이러한 발전은 기기 제조사와 기업 보안팀에 압박을 준다. 이들의 계획 가정은 종종 연결된 가전을 낮은 가치의 엔드포인트로 취급한다. 적응형 모델은 이를 저장 공간, 연산 능력, 지속성, 그리고 다음 침투를 위한 발판으로 평가할 수 있다.

오픈 웨이트 모델 개발자들도 어려운 균형 과제에 직면한다. 로컬 모델은 연구, 개인정보 보호, 오프라인 운영, 사용자 통제를 지원한다. 같은 이동성은 제공업체가 사용 정책을 집행하지 않아도 악성코드가 실행될 수 있게 한다.

Anthropic의 경고를 오픈 모델에 반대하는 주장으로 축소해서는 안 된다. 폐쇄형 모델 역시 탈취된 계정이나 노출된 서비스를 통해 손상된 에이전트를 지휘할 수 있다. 미래의 공격자는 대형 원격 플래너와 다수의 소형 로컬 워커를 결합할 수도 있다.

더 유용한 구분은 통제 지점에 관한 것이다. 호스팅 시스템은 중앙집중식 통제를 제공하지만, 동시에 가치 높은 인프라를 한곳에 집중시킨다. 로컬 시스템은 일부 중앙 의존성을 제거하는 대신, 침해된 모든 기기를 잠재적 실행 환경으로 만든다.

실험은 큰 검증 공백을 남긴다

헤드라인 수준의 위험은 조사할 만한 신빙성이 있지만, 시연된 시스템은 전망에서 묘사된 자율 웜과는 아직 거리가 멀다.

가장 분명한 한계는 초기 접근에 있다. Anthropic의 물리적 및 에뮬레이션 Android 대상은 인증 없이 Android Debug Bridge를 노출했다. ADB는 기기에 대한 광범위한 접근 권한을 제공하므로, 운영 환경에서 그런 방식으로 제공되어서는 안 된다.

이 구성은 연구자들이 익스플로잇 과정을 단순화할 수 있게 했다. 연구의 초점이 추론에 있었기 때문에 이러한 결정은 타당했지만, 실제 악성코드가 마주하는 주요 장애물 하나도 제거했다.

이전 연구는 AI 에이전트가 이미 일부 네트워크 취약점을 찾아 악용할 수 있음을 시사한다. 2026년 6월의 적응형 웜 연구는 Linux, Windows, IoT 시스템 전반에서 에이전트를 시험했다. 해당 프로토타입은 대상별 공격 전략을 생성하고 손상된 머신을 추론에 사용했다.

그렇더라도 통제된 네트워크에서의 성공이 공용 인터넷 전반에서 신뢰할 수 있는 성능을 입증하는 것은 아니다. 실제 대상에는 방어 도구, 불안정한 연결, 저장 공간 제한, 특이한 펌웨어, 그리고 테스트 환경에 없는 아키텍처가 존재한다.

다음 한계는 자율성에 관한 것이다. 연구자들은 모델에게 복제 작업을 완료하라고 지시했다. 배포된 모델이 독립적으로 자신을 복제하기로 결정하거나, 피해자를 선택하거나, 자체적인 지속 목표를 추구할 것이라는 점은 입증하지 못했다.

AI 연구자 Xiaohan Fu는 원래의 보안 보도에서 이 차이를 강조했다. Fu는 재현 가능한 프롬프트와 에이전트 구성이 외부 연구자들이 결과를 평가하는 데 도움이 될 것이라고 주장했다.

이 요청은 논쟁의 핵심을 건드린다. 복제 지시를 따를 수 있는 능력은 별도의 지시 없이 복제를 시작하려는 성향과 다르다.

“자기복제 AI”라는 표현은 이 개념들을 흐릴 수 있다. 컴퓨터 웜은 소프트웨어가 전파 루틴을 자동으로 실행하기 때문에 자기복제적이다. 의식, 자기보존, 또는 확산하려는 내부적으로 생성된 욕구는 필요하지 않다.

따라서 미래의 AI 웜은 스스로 임무를 선택하지 않아도 위험할 수 있다. 인간 운영자가 목표를 한 번 제공하면, 에이전트가 대상 탐색, 적응, 전파를 처리할 수 있다.

반대로 모델이 다른 모델을 설치할 수 있음을 보여주는 것만으로는 통제되지 않는 캠페인을 지속할 수 있다는 증거가 되지 않는다. 여전히 신뢰할 수 있는 목표, 지속성, 익스플로잇 접근, 통신, 그리고 실패로부터의 복구가 필요하다.

Anthropic 역시 단순화된 평가를 실제 환경 성능의 상한선으로 취급했다. 모델은 과제를 알고 있었고, 환경은 제한돼 있었으며, 익스플로잇 단계는 거의 저항이 없었다.

느린 추론 속도 역시 또 다른 실질적 장애물이다. 며칠에 걸친 설정 시도는 기기가 재부팅되거나, 네트워크가 바뀌거나, 소유자가 장비 연결을 해제하거나, 모니터링 시스템이 비정상 트래픽을 감지할 시간을 더 많이 만든다.

모델 가중치 이동 역시 눈에 띄는 흔적을 남긴다. 수 기가바이트 규모의 다운로드가 가전기기에 전송되면 두드러질 수밖에 없으며, 특히 기기가 평소 거의 접촉하지 않는 피어에게 지속적인 트래픽을 보내기 시작할 때 더욱 그렇다.

분산 추론은 추가적인 조정 비용을 초래한다. 15대 기기 클러스터는 샤드를 사용할 수 있는 상태로 유지하고 동기화해야 한다. 웜이 중복성을 유지하거나 워크로드를 재구성하지 못한다면, 필수 기기 한 대를 잃는 것만으로도 모델이 중단될 수 있다.

이러한 한계가 경고를 무효화하는 것은 아니다. 이는 공격자가 해결해야 할 엔지니어링 문제를 규정하며, 모델과 엣지 하드웨어가 개선됨에 따라 그중 여러 문제는 줄어들고 있다.

책임 있는 결론은 제한적이다. Anthropic은 대비를 정당화할 만큼 충분한 구성 요소를 시연했지만, 자율적인 소형 모델 웜이 이미 존재한다고 주장할 만큼 충분한 근거를 제시하지는 못했다.

AI 웜은 방어자에게 다른 방식의 압박을 가할 것이다

방어자가 마주할 것은 막을 수 없는 새로운 생명체가 아니라, 낯선 적응 계층이 더해진 익숙한 봇넷 문제다.

기존 IoT 봇넷은 대개 알려진 조건에 맞는 기기를 스캔한다. 고정된 자격 증명이나 익스플로잇을 시도하고, 소형 페이로드를 설치한 뒤 명령을 기다린다. 방어자는 이러한 행동을 분석하고 반복되는 지표를 차단할 수 있다.

AI 웜은 대상을 조사한 뒤 행동을 달리할 수 있다. 호환되는 바이너리를 선택하거나, 스크립트를 수정하거나, 로컬 문서를 검색하거나, 성과 없는 경로를 포기할 수 있다. 이러한 가변성은 정적 시그니처의 가치를 낮출 수 있다.

웜은 계획과 실행을 분리할 수도 있다. 더 강력한 모델이 전략을 수립하고, 소형 에이전트가 손상된 기기에서 좁은 범위의 작업을 수행할 수 있다. Anthropic은 약한 모델이 막혔을 때만 조언자에게 문의하는 방식보다 이 구성이 더 그럴듯하다고 본다.

따라서 보안팀은 알려진 악성코드 샘플에만 의존하지 않고 행동을 모니터링해야 한다. 예상치 못한 모델 파일, 추론 런타임, 컴파일러 활동, 또는 피어 투 피어 트래픽이 유용한 신호가 될 수 있다.

네트워크 가시성은 여전히 방어자의 가장 강력한 이점 중 하나다. 더 빠른 복제에는 더 많은 스캔, 다운로드, 조정이 필요하다. 이러한 활동은 인터넷 제공업체, 기업 게이트웨이, 기기 관리 플랫폼에서 이상 징후를 만든다.

허니팟은 복제기의 도구와 지침을 포착할 수 있다. 허니팟은 공격자를 유인하고 그 행동을 기록하도록 설계된 미끼 시스템이다. 연구자들은 포착된 프롬프트, 모델, 스크립트를 사용해 탐지를 개발할 수 있다.

격리 역시 역사적 근거를 갖고 있다. Anthropic이 인용한 연구에 따르면 한 인터넷 제공업체는 관찰된 Mirai 감염의 92%를 14일 이내에 제거했다. 고객은 격리됐고 정리 지침을 안내받았다.

이 비교가 적응형 에이전트에 대해서도 같은 성공을 보장하는 것은 아니다. 다만 조율된 통지와 네트워크 제한이 모든 기기에 동시에 도달하지 않더라도 분산 감염을 줄일 수 있음을 보여준다.

기기 제조사도 또 하나의 중요한 계층을 통제한다. 고유 자격 증명, 서명된 업데이트, 비활성화된 디버깅 인터페이스, 보안 부팅, 지원되는 패치 채널은 AI 및 기존 악성코드 모두의 기회를 줄인다.

영국은 이미 제품 보안 규정에 따라 공통 기본 비밀번호를 금지하고 있다. 유사한 요건은 자동화된 공격에 이용 가능한 기기 풀을 줄일 수 있다.

기업 역시 자산 인벤토리를 재검토해야 한다. TV, 카메라, 화상회의 기기는 민감한 네트워크에 접근할 수 있으면서도 일반적인 엔드포인트 관리 체계 밖에 놓여 있을 수 있다.

이러한 기기를 직원 시스템과 분리하면 수평 이동을 제한할 수 있다. 아웃바운드 연결을 제한하면 기기가 모델 가중치를 가져오거나, 외부 네트워크를 스캔하거나, 분산 추론 클러스터에 합류하는 것을 막을 수 있다.

보안팀에는 기기 소유자, 펌웨어 상태, 네트워크 위치, 대응 절차를 연결하는 기록이 필요하다. 문서가 로컬 파일에 흩어져 있을 때 검색 가능한 지식 베이스는 이러한 업무를 지원할 수 있다.

모델 개발자가 받는 압박은 다르다. 이들은 소형 시스템의 사이버 역량을 평가하고, 측정된 한계를 공개하며, 파라미터 수를 충분한 안전 경계로 취급하지 않아야 한다.

강력한 도구 사용 능력을 가진 소형 모델은 신뢰할 수 있는 에이전시가 없는 더 큰 모델보다 더 큰 위험을 초래할 수 있다. 평가는 장기 실행, 오류 복구, 낯선 환경, 전파 관련 행동을 시험해야 한다.

정책 입안자는 이 문제를 순전히 AI 문제로 규정하지 않아야 한다. 취약한 기기 보안은 호스트를 제공하고, 유능한 에이전트는 적응성을 높인다. 모델만 다루는 규제는 근본적인 공격 표면을 그대로 남길 것이다.

경고가 현실화되는지 보여줄 세 가지 신호

다음 증거는 폭주하는 AI에 대한 더 광범위한 예측이 아니라, 재현 가능한 역량 시험, 실제 방어 체계, 엣지 하드웨어의 변화에서 나와야 한다.

첫 번째 신호는 소형 모델이 현실적인 하드웨어에서 전체 복제 과정을 완료하는 것이다. 대상 탐색, 접근 권한 획득, 자체 설치, 추론 환경 구축, 지속적인 확산이 필요하다.

평가는 인증되지 않은 디버깅 접근이나 더 강력한 외부 모델에 의존해서는 안 된다. 독립 연구자들도 결과를 재현할 수 있도록 충분한 프롬프트, 구성, 로그를 받아야 한다.

그러한 시연은 Anthropic의 핵심 전망을 강화할 것이다. 개별 복제 작업이 계속 개선되더라도, 현실적 조건에서 반복적으로 실패한다면 주장된 시간표는 약화될 것이다.

두 번째 신호는 실제 IoT 캠페인 중 로컬 AI 추론을 사용하는 악성코드다. 연구자들은 손상된 기기에서 포착된 모델 가중치, 추론 엔진, 적응형 스크립트, 또는 프롬프트를 찾아야 한다.

AI를 표방하는 라벨만 덧붙인 일반 봇넷은 해당하지 않는다. 에이전트는 대상에 따라 행동을 바꾸거나, 전파를 지속하기 위해 로컬 추론을 사용해야 한다.

야생 환경에서 그러한 구성 요소가 발견되면 논의는 실험실 역량을 넘어설 것이다. 발견되지 않는다고 안전이 증명되는 것은 아니지만, 즉각적인 운영 위험과 더 장기적인 연구 우려를 구분하는 데 도움이 된다.

세 번째 신호는 제조사와 네트워크 운영자의 측정 가능한 대응이다. 유용한 증거에는 운영 환경의 디버깅 비활성화, 고유 자격 증명, 서명된 업데이트, 기기 격리, 비정상적인 모델 전송 탐지 등이 포함된다.

인터넷 제공업체는 평소 대용량 파일을 거의 교환하지 않는 가전기기 사이의 지속적인 트래픽을 감시할 수 있다. 기업은 임베디드 시스템에서 예상치 못한 AI 런타임을 표시하고, 무단 피어 탐색을 차단할 수 있다.

이러한 조치는 사용 가능한 호스트를 줄이고 각 감염의 비용을 높여 위협을 약화할 것이다. 복제율이 대체율보다 낮아지면 느린 에이전트는 지속될 수 없다.

Anthropic의 자기복제 AI 연구가 방어자에게 시간을 주는 이유는 바로 그 프로토타입이 아직 불완전하기 때문이다. 작동하는 웜이 나올 때까지 기다리는 것은 그 이점을 포기하는 일이다.

실질적인 질문은 이제 오븐이 자발적으로 의도를 갖게 될지 여부가 아니다. 공격자가 기존 IoT 취약점과, 지속적인 감독 없이 디버깅하고 적응하며 지속할 수 있는 모델을 결합할 수 있는지가 문제다.

개발자는 재현 가능한 평가를 요구해야 한다. 제조사는 명백한 침투 지점을 제거해야 한다. 기업 구매자는 수명이 긴 연결형 제품을 일회용 액세서리가 아니라 관리되는 컴퓨터로 다뤄야 한다.

앞으로 몇 달 동안은 소형 모델의 역량과 성공적인 엔드투엔드 복제 사이의 격차를 지켜봐야 한다. 이 격차가 현실적 조건에서 좁혀진다면, Anthropic의 경고는 운영 보안의 마감 시한이 된다.