Kriminal AI, 합법적 모델을 임대해 가드레일을 우회한 것으로 알려져

연구자들이 이른바 무제한 범죄 모델의 상당 부분이 합법적인 AI 제공업체에서 임대한 것이라고 보고하면서 Kriminal AI가 Google News에 등장했다. 이 서비스는 맞춤형 가드레일 없는 인텔리전스를 내세웠지만, 요청을 Grok, Claude 및 기타 확립된 모델로 전달한 것으로 전해진다. 이 발견은 악성 모델을 누가 만들 수 있는가에서 합법적 인프라를 누가 악용 목적으로 재포장할 수 있는가로 보안의 초점을 옮긴다.

ThreatDown은 2026년 8월 18일 기술 조사 결과를 발표했다. 연구자들은 Kriminal이 공개 웹사이트를 통해 제공되는 운영 환경 JavaScript 안에 공급업체 스택의 일부를 노출했다고 밝혔다. 또한 서비스에 모델과 시스템 지침을 물었지만, 이러한 자체 보고 답변은 결정적 증거가 아니라고 경고했다.

이 결과는 AI 안전에 대한 모델 중심 접근법에 이의를 제기한다. 제공업체는 더 안전한 모델 학습에 막대한 비용을 투입할 수 있지만, 외부 스토어프런트는 탈취된 신뢰, 적대적 프롬프트, 임대한 추론, 파편화된 인프라를 결합할 수 있다. 각 공급업체는 하나의 거래만 보며, 어느 공급업체도 전체 범죄 서비스를 반드시 보지는 못한다.

Kriminal AI 조사에서 확인된 내용

Kriminal은 독립적인 AI 연구소라기보다 탈옥 레이어를 갖춘 리셀러에 가깝게 운영된 것으로 전해진다.

Kriminal 조사에 따르면, 이 서비스는 필터나 가드레일이 없는 AI 시스템을 제공한다고 주장했다. 공개 인터페이스는 계정, 구독, 서비스 업데이트, 상태 대시보드를 갖춘 일반적인 소프트웨어 비즈니스와 닮아 있었다.

이런 외형은 중요했다. 이전의 범죄 챗봇은 종종 지하 포럼, 비공개 메시징 채널 또는 임시 웹사이트를 통해 유통됐다. Kriminal은 검색 엔진이 색인화할 수 있고 잠재 고객이 일반 로그인 페이지로 진입할 수 있는 공개 웹에서 자신을 제시한 것으로 알려졌다.

ThreatDown은 이 서비스가 여러 전문 모드를 홍보했다고 밝혔다. 여기에는 금융 인텔리전스, 익스플로잇 연구, 문서 분석, 사회공학, 신원 구축이 포함됐다. 이 모드들은 범죄 활동의 여러 단계에 맞춰 구축된 별개의 기술 에이전트처럼 보이게 했다.

연구자들은 공개 프런트엔드 코드에서 다른 아키텍처를 발견했다. 해당 코드는 대부분의 모델 응답을 생성하는 주 추론 엔진으로 xAI의 Grok을 식별한 것으로 전해진다. OpenRouter는 Mistral Large와 Llama 3.3을 포함한 전문 모델로 향하는 경로로 보였다.

연구자들에 따르면 Anthropic의 Claude도 장문 맥락 작업을 위한 옵션으로 나타났다. 다만 코드는 Kriminal이 해당 접근 권한을 어떻게 얻었는지는 밝히지 않았다. Tavily는 실시간 웹 검색을 제공한 것으로 알려졌고, Google Cloud와 Cloudflare는 서비스 스택의 다른 부분에서 확인됐다.

이러한 발견은 언급된 모든 제공업체가 Kriminal에 서비스를 제공했음을 독립적으로 입증하지는 않는다. 운영자가 직접 계정, 중개업체, 탈취된 자격 증명 또는 다른 접근 방식을 사용했는지도 보여주지 않는다. 클라이언트 측 코드의 공급업체 이름은 오래됐거나 오해를 유발할 수 있으며, 의도적으로 심어진 것일 수도 있다.

이에 따라 ThreatDown은 여러 형태의 증거를 활용했다. 연구자들은 운영 코드를 조사하고, 노출된 구성을 서비스의 동작과 비교했으며, 챗봇에 기반 엔진을 식별하도록 요청했다. 챗봇은 코드에서 발견된 공급업체 참조와 일치하는 Grok을 언급한 것으로 전해진다.

시스템 지침을 묻자 서비스는 모델에 제한을 무시하라고 지시하는 프롬프트도 반환했다. 시스템 프롬프트는 모델 동작을 형성하기 위해 사용자 요청 주변에 배치되는 고우선순위 지침이다. 이 경우 보고된 지침은 기반 제공업체가 적용한 보호 장치를 억제하려는 시도였다.

연구자들은 챗봇의 진술을 적절하게도 확정적이지 않은 정황으로 취급했다. 모델은 자신의 정체성을 환각하거나, 심어진 텍스트를 반복하거나, 페르소나에 따라 응답할 수 있다. 운영 환경 구성은 별도의 신호를 제공했지만, 외부인은 전체 요청 경로를 입증하는 서버 측 기록을 여전히 확보하지 못했다.

이 구분은 헤드라인이 Google News를 통해 확산될 때 중요하다. 가장 강력하게 뒷받침되는 결론은 Kriminal의 노출된 코드와 관찰된 응답이 임대한 상용 모델을 가리킨다는 것이다. 이는 광고된 모든 기능이 작동했거나, 표시된 모든 사용량 주장이 정확했거나, 모든 공급업체가 계속 연결돼 있었다는 증거는 아니다.

그럼에도 이 조사는 핵심적인 역전을 보여준다. Kriminal은 AI 업계의 통제로부터 독립적이라고 광고하면서도, 인텔리전스, 호스팅, 라우팅, 검색, 제공을 위해 바로 그 업계에 의존한 것으로 알려졌다.

Google News의 관심이 보안 위험을 바꾸는 이유

Kriminal의 공개적 가시성은 범죄 AI를 숨겨진 모델의 문제에서 공급망 집행의 문제로 전환한다.

이 서비스는 프런티어 모델을 학습할 필요가 없었다. 학습에는 전문 연구자, 대규모 데이터셋, 광범위한 컴퓨팅 인프라, 지속적인 운영 투자가 필요하다. 모델 접근 권한을 임대하면 그 부담의 대부분이 이미 이를 감당한 기업으로 이전된다.

Kriminal의 알려진 기여는 패키징이었다. 공개 스토어프런트, 작업별 페르소나, 결제 인프라, 개발자 호환 엔드포인트, 모델 보호 장치를 약화하기 위한 지침을 결합했다. 이 묶음은 AI 보조 범죄 워크플로를 시험하는 데 필요한 전문성을 낮출 수 있다.

이 패턴은 우선 프런티어 모델 제공업체에 압박을 가한다. 이들의 정책은 직접 사용자를 규율하지만, 리셀러와 래퍼는 최종 고객의 목적을 가릴 수 있다. 제공업체는 행동, 볼륨, 결제 신호 또는 반복적인 정책 위반이 더 광범위한 운영을 드러낼 때까지는 정상적으로 보이는 API 트래픽만 볼 수 있다.

SpaceXAI의 현행 허용 가능한 사용 정책은 탈옥, 적대적 프롬프팅, 프롬프트 인젝션, 유해한 해킹, 피싱, 모델 입력 또는 출력의 재판매를 금지한다. 또한 자사 시스템이 생성한 출력을 통해 위반을 조장하는 유료 서비스도 금지한다.

이러한 규정은 집행을 위한 계약상 근거를 만든다. 그러나 서면 제한만으로는 Kriminal이 직접 계정을 사용했는지, 접근이 얼마나 오래 지속됐는지, 제공업체가 이미 이를 식별했는지를 알 수 없다. 정책이나 연구자들의 증거 어느 쪽도 특정 계정의 상태를 확립하지 않는다.

클라우드 및 네트워크 제공업체는 다른 문제에 직면한다. 호스팅 기업은 각 모델 상호작용의 의미가 아니라 일반적인 웹 애플리케이션을 볼 수 있다. 엣지 제공업체는 모든 암호화된 요청을 자동으로 읽지 않고도 트래픽 패턴, 악용 신고, 인프라 관계를 식별할 수 있다.

모델 라우터와 검색 제공업체는 또 다른 제한된 영역을 차지한다. 이들은 자체 약관을 집행하고 계정을 조사할 수 있지만, 상위 애플리케이션이 응답에 어떤 라벨을 붙이거나 어떻게 재판매하는지는 모를 수 있다. 결제 처리업체는 이후 제공되는 서비스를 반드시 보지 못한 채 거래를 확인한다.

이 파편화는 지속성을 만든다. 하나의 계정을 제거하면 스토어프런트 전체를 해체하지 않고도 기능 하나를 중단시킬 수 있다. 운영자는 고객 대면 브랜드를 유지하면서 모델을 교체하고, 호스팅을 옮기고, 결제 채널을 변경하거나, 서비스 이름을 바꿀 수 있다.

그렇기 때문에 Google News의 프레이밍이 이 이야기를 단일 가드레일 실패로 축소해서는 안 된다. 해당 운영은 개별 관점이 불완전하게 남아 있던 수많은 합법적 구성 요소에 의존한 것으로 알려졌다. 조합된 서비스가 다른 곳에서 계속되는 동안 각 공급업체는 자기 경계 안에서 조치할 수 있었다.

압박은 기업 보안팀에도 미친다. 악명 높은 범죄 도메인을 차단하면 직원의 직접 접근은 해결되지만, 공격자가 대상 네트워크 외부에서 동일한 기반 모델을 사용하는 것은 막지 못한다. 방어자는 이를 지원한 브랜드를 식별하는 데 그치지 않고, 그 결과로 나타나는 행위를 탐지해야 한다.

피싱 메시지에는 어느 모델이 초안을 작성했는지를 알려주는 신뢰할 수 있는 라벨이 붙어 있지 않다. 익스플로잇 코드는 그것이 Grok, Claude, 오픈 모델 또는 인간 운영자에게서 나왔는지 공개하지 않는다. 생성된 콘텐츠가 공격 체인에 들어가면 제공업체 귀속은 신원, 접근, 의도보다 부차적인 문제가 된다.

따라서 기업에는 자격 증명, 권한 있는 작업, 데이터 이동, 도구 실행을 둘러싼 통제가 필요하다. 모델 보호 장치는 여전히 유용하지만, 공격자가 궁극적으로 노리는 시스템보다 상류에 위치한다. 공격자가 그 거부를 우회할 수 없다면 거부된 프롬프트는 가치가 있다.

진짜 제품은 탈옥 래퍼다

Kriminal의 알려진 이점은 새 모델이 아니라 임대한 역량을 전문 범죄 워크플로로 전환하는 인터페이스였다.

탈옥은 모델이 안전 경계를 무시하거나 재해석하도록 만드는 지침 전략이다. 이는 학습 중 생성된 학습 파라미터인 모델 가중치를 반드시 변경하는 것은 아니다. 대신 모델이 현재 대화를 해석하는 방식을 공격한다.

Kriminal은 외부 모델로 전송되는 요청 주변에 자체 시스템 지침을 배치한 것으로 전해진다. 이 레이어는 무제한적 동작을 모델의 최우선 역할로 제시하려 했다. 이후 전문 페르소나는 같은 기반 역량을 익스플로잇 작업, 인텔리전스 분석 또는 사회공학을 위한 도구로 규정했다.

이러한 구성은 모델 개발보다 소프트웨어 통합에 가깝다. 운영자는 스토어프런트를 다시 구축하지 않고도 제공업체를 바꿀 수 있다. 또한 장문 문서에는 한 모델을, 코드나 일반 채팅에는 다른 모델을 선택하는 식으로 작업마다 서로 다른 모델을 배정할 수 있다.

개발자 엔드포인트는 이러한 유연성을 높였다. ThreatDown은 Kriminal이 OpenAI 스타일 클라이언트와 호환되는 인터페이스를 제공해 외부 코딩 도구가 이에 통신할 수 있도록 했다고 밝혔다. 호환성은 고객이 독점 프로토콜을 새로 배울 필요 없이 기존 소프트웨어를 연결할 수 있게 해 전환 비용을 낮춘다.

검색 접근은 정적 모델의 기능을 한층 확장할 수 있다. 연결된 검색 제공업체는 학습 데이터에 없던 최신 웹 자료를 제공한다. 합법적인 제품에서는 이는 조사와 사실 업데이트를 지원한다. 악의적 워크플로에서는 표적 발견, 신원 조사 또는 빠르게 변하는 운영 맥락을 지원할 수 있다.

이 접근법은 더 광범위한 시장 패턴과 맞닿아 있다. Trend Micro의 범죄 AI 시장 검토는 범죄자들이 독립적인 모델을 구축하는 대신 상용 시스템을 탈옥하는 경우가 많다고 결론지었다. 연구자들은 기존 제공업체가 이미 비용이 큰 인텔리전스 레이어에 자금을 투입했기 때문에 이것이 경제적으로 합리적이라고 설명했다.

WormGPT, FraudGPT, Xanthorox는 이른바 무제한 AI를 둘러싼 인식 가능한 범주를 형성하는 데 기여했다. 그러나 범죄 브랜드만으로는 기술적 기반을 알 수 없다. 어떤 서비스는 래퍼일 수 있고, 다른 서비스는 미세 조정된 오픈 모델을 사용할 수 있으며, 일부는 기만적 마케팅 외에는 거의 제공하지 않을 수 있다.

이 브랜딩 문제는 위협 인텔리전스를 복잡하게 만든다. 서비스는 동일한 공급업체와 프롬프트를 유지한 채 사라졌다가 다른 이름으로 돌아올 수 있다. 반대로 서로 무관한 운영자가 인프라나 코드를 공유하지 않은 채 유명한 이름을 재사용할 수도 있다.

ThreatDown의 더 광범위한 AI 사이버 범죄 연구에서는 무검열 또는 무필터와 같은 라벨을 단 공개 모델 수천 개가 발견됐다. 이러한 라벨은 자체 선언일 뿐, 모델이 정교한 공격을 안정적으로 지원한다는 증거는 아니다.

다운로드 수가 성공적인 범죄 작전의 수와 같지는 않다. 일부 사용자는 연구자, 취미 사용자, 레드팀 담당자이거나 모델의 동작을 탐색하는 사람들일 수 있다. 다른 이들은 실제 배포 없이 여러 변형을 다운로드할 수도 있다. 이 수치는 측정된 피해가 아니라 접근성 및 관심도를 보여준다.

실질적인 위험은 역량과 워크플로 설계가 결합될 때 발생한다. 범용 챗봇은 사용자가 무엇을 물어봐야 하는지, 답변을 어떻게 검증할지, 다른 도구와 어떻게 연결할지를 이해해야 한다. 반면 패키지형 서비스는 메뉴, 에이전트, 템플릿, 통합 기능에 그 과정의 일부를 담아낼 수 있다.

이러한 패키징은 경험이 적은 행위자도 이전에는 더 많은 지식이 필요했던 작업을 시도하도록 도울 수 있다. 그렇다고 결과가 신뢰할 수 있게 되는 것은 아니다. 생성된 익스플로잇 코드는 실패하거나, 운영자를 노출하거나, 엉뚱한 시스템을 손상시키거나, 기술적 세부 사항을 지어낼 수 있다.

같은 한계는 사회공학에도 적용된다. 모델은 자연스러운 메시지와 합성 페르소나를 만들 수 있지만, 성공적인 사기는 여전히 접근 권한, 타이밍, 대상에 대한 지식, 운영 규율에 달려 있다. AI는 노동을 줄일 수는 있어도 이러한 요건을 없애지는 못한다.

이것이 업계의 핵심 갈등이다. 제공업체는 정책으로 제한된 유용한 범용 지능을 약속하는 반면, 래퍼는 그 지능을 해당 경계에서 분리하려 할 수 있다. 경쟁은 더 이상 모델 학습에만 국한되지 않는다. API, 애플리케이션, 계정, 그리고 후속 행동 전반에서 계속된다.

모델 가드레일은 공격 체인 전체를 볼 수 없다

가드레일은 유해한 출력을 줄이지만, Kriminal은 단일 모델 방어만으로 분산형 서비스를 통제할 수 없는 이유를 보여준다.

Anthropic은 2026년 1월 분류기 연구에서 현재 이용 가능한 어떤 AI 시스템도 완벽하게 신뢰할 수 있는 탈옥 방어 체계를 갖추지 못했다고 인정했다. 이전의 분류기 접근 방식은 테스트에서 성공적인 공격을 크게 줄였지만, 연산 비용 증가와 일부 잘못된 거부를 초래했다.

이 회사의 최신 아키텍처는 저비용 초기 탐색을 사용하고 의심스러운 대화를 더 강력한 분류기로 이관한다. 분류기는 안전 규칙에 따라 콘텐츠를 평가하는 보조 시스템이다. 이 계층형 설계는 모든 상호작용을 동일하게 검사하는 비용을 제한하면서 보호 수준을 높이는 것을 목표로 한다.

연구진은 여전히 까다로운 공격 범주를 확인했다. 재구성 공격은 유해한 요청을 각각은 무해해 보이는 조각으로 분할한다. 출력 난독화는 단순한 필터가 오해할 수 있는 치환, 은유 또는 인코딩된 형태 뒤에 위험한 자료를 숨긴다.

이는 모델 안전장치를 포기해야 할 이유가 아니다. 중요한 악용을 막기 위해 방어 체계가 완벽할 필요는 없다. 속도 제한, 분류기, 계정 검증, 이상 탐지, 인간 조사로 비용을 높이고 반복 행동을 차단할 수 있다.

그러나 Kriminal의 보고된 구조는 고립된 통제를 회피할 여러 기회를 만든다. 운영자는 프롬프트를 여러 제공업체에 분산하고, 표현을 바꾸고, 작업마다 다른 모델로 라우팅하거나, 계정이 정지되면 이동할 수 있다. 리셀러는 기저 사용자의 관계와 최종 목적을 숨길 수도 있다.

따라서 제공업체 측 집행은 개별 프롬프트를 넘어선 패턴을 검토해야 한다. 관련 신호에는 계정 생성, 요청 순서, 반복적인 정책 시험 행동, 결제 관계, 비정상적인 라우팅, 알려진 악성 인프라와의 연결 등이 포함될 수 있다. 합법적인 연구자도 표면적으로 유사한 트래픽을 만들 수 있으므로, 각 신호는 신중하게 다뤄야 한다.

오탐은 중요하다. 보안 전문가, 취약점 연구자, 사고 대응 담당자는 방어 목적으로 모델에 멀웨어, 익스플로잇, 피싱, 우회에 관해 질문한다. 보안 관련 프롬프트를 모두 차단하는 시스템은 단호한 공격자를 안정적으로 막지 못하면서 정당한 업무를 저해할 것이다.

신원과 권한 부여는 더 결정론적인 경계를 제공한다. 조작된 모델이라도 해당 계정에 접근 권한이 없다면 보호된 데이터를 훔칠 수 없다. 도구 권한에서 프로덕션 시스템이 제외돼 있다면 코드를 배포할 수 없다. 민감한 작업에 독립적인 승인이 필요하다면 자금을 이체할 수 없다.

AI 시스템이 도구를 갖추면서 이는 더욱 중요해진다. 도구 사용이 가능한 에이전트는 웹사이트를 탐색하고, 코드를 실행하고, 데이터베이스를 쿼리하거나, 외부 서비스를 트리거할 수 있다. 그러면 모델 출력은 실제 행동의 입력값이 되므로, 권한 설계는 콘텐츠 필터링만큼 중요해진다.

Check Point 연구진은 별도로 웹 접근 권한이 있는 어시스턴트와 관련된 AI 프록시 기법을 시연했다. 이 연구는 합법적인 AI 트래픽이 릴레이로 악용될 수 있는 방식을 보여주며, 신뢰받는 제공업체 도메인을 신뢰할 수 있는 의도의 증거로 취급하는 위험성을 강조했다.

따라서 기업은 모델 안전과 시스템 안전을 구분해야 한다. 모델 안전은 AI가 무엇을 생성하는지에 관한 문제다. 시스템 안전은 생성 이후 어떤 신원, 애플리케이션, 에이전트가 접근하거나 실행할 수 있는지를 결정한다.

유용한 통제로는 범위가 제한된 서비스 신원, 단기 자격 증명, 도구 허용 목록, 거래 한도, 승인 게이트, 완전한 행동 로그가 있다. 그러면 네트워크 모니터링은 프롬프트 하나를 고립해 판단하는 대신 모델 호출, 도구 사용, 데이터 이동 전반의 행동을 평가할 수 있다.

방어자는 Kriminal 분석이 증명하는 범위를 과장하지도 말아야 한다. 공개 JavaScript는 구성을 드러낼 수 있지만, 서버 측 라우팅은 다를 수 있다. 챗봇이 스스로 이름을 밝힌다고 해서 포렌식 확인이 되는 것은 아니다. 표시된 고객 통계와 성능 주장은 독립적인 기록으로 뒷받침되지 않는 한 검증되지 않은 상태로 남는다.

그럼에도 이 연구는 확립된 범죄 시장 패턴과 일치하는 신뢰할 만한 아키텍처를 제시한다. 여러 관찰은 합법적인 제공업체를 사용하는 래퍼를 가리켰다. 불확실성은 정확한 구현과 규모에 관한 것이지, 이 방식의 광범위한 실현 가능성에 관한 것은 아니다.

제공업체가 대응할 수 있는지 보여줄 세 가지 신호

다음 시험은 Kriminal이 단지 이름이나 공급업체를 바꾸도록 만드는 데 그치지 않고, 벤더가 서비스 패턴을 교란할 수 있는지 여부다.

첫 번째 신호는 조율된 계정 집행이다. xAI, Anthropic, OpenRouter, 호스팅 제공업체 또는 기타 지명된 벤더가 조사를 확인하고 관련 접근에 대한 조치를 설명하는지 지켜봐야 한다. 단일 정지도 의미가 있겠지만, 조율된 조치는 ThreatDown이 설명한 복원력을 더 잘 시험할 것이다.

여러 제공업체가 연결된 계정을 빠르게 식별한다면, 조사는 계층 간 악용 대응의 필요성을 뒷받침하게 될 것이다. 반대로 Kriminal이 이를 즉시 대체한다면, 현재의 온보딩 및 모니터링 통제가 여전히 쉽게 우회될 수 있음을 보여줄 것이다.

공개적인 침묵이 아무 조치도 없다는 증거는 아니다. 제공업체는 공개가 운영자의 대응 조정을 도울 수 있기 때문에 악용 조사에 대해 설명하지 않는 경우가 많다. 연구자들은 간접적인 증거로 모델 동작, 가용성, 인프라 기록 또는 노출된 구성의 변화를 모니터링해야 할 수 있다.

두 번째 신호는 제공업체 측의 리셀러 패턴 탐지다. 모델 기업은 분류기를 업데이트하고, 적대적 프롬프트의 순서를 검토하며, 범죄 워크플로와 연결된 콘텐츠를 반복적으로 전송하는 계정을 찾을 수 있다. 또한 재판매 금지 규칙을 강화하고 최종 사용자를 가리는 인터페이스를 조사할 수 있다.

성공 여부는 하나의 도메인이 사라지는지로만 측정해서는 안 된다. 더 의미 있는 결과는 대체 계정과 모델 전반에서 운영 마찰이 커지는 것이다. 더 긴 중단, 역량 저하 또는 반복적인 실패는 집행이 공급망까지 도달했음을 시사할 것이다.

세 번째 신호는 실제 사용의 증거다. 마케팅 페이지와 프롬프트 시연은 의도를 보여주지만 운영상 영향을 측정하지는 않는다. 방어자는 이 서비스가 피싱 캠페인, 익스플로잇 개발, 신원 사기 또는 무단 접근과 연결된 사고 보고서를 주시해야 한다.

그 연결에는 주의가 필요하다. 많은 모델이 유사한 자료를 생성할 수 있으므로, 비슷한 텍스트나 코드는 약한 귀속 증거다. 더 강력한 증거에는 고객 기록, 인프라 중복, 복구된 로그, 결제 관계 또는 조사된 침입에서 나온 직접적인 아티팩트가 포함될 수 있다.

확인된 사고가 없다고 해서 서비스가 무해한 것은 아니다. 이는 기본 아키텍처의 관련성을 남긴 채 현재 규모에 관한 주장을 약화할 것이다. 범죄 서비스는 구매자를 끌어들이고 방어자를 위축시키기 위해 도달 범위를 일상적으로 과장한다.

Google News 주기는 검증이 따라잡기 전에 이러한 주장을 증폭시킬 수 있다. 독자는 세 가지 명제를 구분해야 한다. Kriminal은 범죄 기능을 광고했고, 연구자들은 임대 모델을 가리키는 증거를 찾았으며, 실제 영향은 여전히 덜 명확하게 문서화돼 있다.

AI 제공업체에게 전략적 목표는 완벽한 거부 행동이 아니다. 래퍼가 일관된 접근을 제공할 수 없을 만큼 악용 비용을 높이는 것이다. 이를 위해서는 모델, 계정, 결제, 라우팅, 후속 애플리케이션을 아우르는 통제가 필요하다.

기업 구매자에게도 교훈은 구체적이다. 존경받는 모델 이름을 완전한 보안 경계로 취급하지 말아야 한다. AI에 연결된 모든 신원이 도달할 수 있는 범위를 제한하고, 그 행동을 모니터링하며, 중대한 작업에는 독립적인 승인을 요구해야 한다.

Kriminal의 보고된 아키텍처는 새로운 프런티어 모델 없이도 합법적인 AI를 범죄 서비스로 추정되는 서비스의 구성 요소로 바꾼다. 앞으로 몇 달은 운영자가 단순히 다른 곳에서 재구축하기 전에 공급업체가 분절된 증거를 연결할 수 있는지를 보여줄 것이다.

Google News를 통해 이 이야기를 따르는 독자는 스토어프런트의 주장보다 제공업체 집행, 인프라 변화, 검증된 사고 증거를 지켜봐야 한다. 이러한 신호는 Kriminal이 지속 가능한 사업인지, 자체 코드에 노출된 단명한 래퍼인지 보여줄 것이다. 어느 결과든 근본적인 방법은 쉽게 복제할 수 있기 때문에 중요하다. 보안팀은 어떤 AI 서비스, 에이전트, 개발자 도구가 민감한 시스템에 접근할 수 있는지 검토하고, 설득력 있는 프롬프트가 승인된 행동이 되기 전에 권한을 줄여야 한다.