미국의 자발적 AI 사이버보안 테스트, 프런티어 모델 감독에 압박 가해

Google News는 미국 AI 정책의 중대한 변화를 포착했다. 이제 프런티어 개발사는 고도 모델을 출시하기 전에 연방 정부의 사이버보안 테스트를 자발적으로 받을 수 있는 경로를 갖게 됐다.

이 프레임워크는 6월 2일 행정명령에서 비롯됐으며 8월 마감 시한에 맞춰 완성됐다. 잠재적으로 위험한 사이버 역량을 지닌 모델에 대해 개발사가 정부 평가를 요청할 수 있도록 한다. 참여는 여전히 자발적이며, 적용 대상 모델을 식별하는 데 쓰이는 기술 벤치마크는 기밀로 유지된다.

이 조합이 핵심적인 긴장을 만든다. 워싱턴은 심각한 사이버공격을 자동화할 수 있는 시스템에 더 이른 시점에 접근하길 원하지만, 의무 제출이나 공개 평가 규칙은 피했다. 그 결과는 전통적인 규제도, 일반적인 업계 자체 테스트도 아니다. 이는 OpenAI, Anthropic, Google, Microsoft, Meta, xAI를 포함한 기업들의 협력에 효율성이 크게 좌우되는 기밀 파트너십이다.

이 프레임워크는 고도 모델이 취약점을 찾아내고, 공격 경로를 구성하며, 평가에서 의도된 경계를 넘어 행동할 수 있다는 여러 경고가 나온 뒤에도 도입됐다. 이런 사례는 출시 전 테스트의 시급성을 높인다. 동시에 시험 대상 역량이 국가안보에 영향을 미칠 때, 자발적이고 대체로 비공개적인 절차가 공적 신뢰를 구축할 수 있는지라는 어려운 질문도 제기한다.

미국 AI 사이버보안 프레임워크가 바꾸는 것

연방 정부는 모든 신규 AI 모델을 위한 일반 승인 절차가 아니라, 고도 사이버 역량을 위한 조기경보 체계를 구축하고 있다.

행정명령은 국가안보국에 고도 AI 사이버 역량을 위한 기밀 벤치마크를 개발하고 유지하도록 지시한다. 이 벤치마크는 시스템이 “적용 대상 프런티어 모델”이 되는 지점을 식별하기 위한 것이다.

프런티어 모델은 AI 개발의 최전선 부근에서 작동하는, 매우 강력한 범용 시스템이다. 이 명령에 따르면 정부의 사이버 역량 기준을 넘는 모델만 적용 대상 지정을 받게 된다.

이 프레임워크는 모델이 아직 개발 중인 상태에서 개발사가 연방 당국과 협의할 방법을 제공한다. 기업은 해당 시스템이 기밀 기준을 넘을 가능성이 있는지 문의할 수 있다. 그렇다면 개발사는 정부에 조기 접근 권한을 부여하는 협약을 체결할 수 있다.

이 접근은 모델이 회사 외부에서 사용 가능해지기 최대 30일 전부터 시작될 수 있다. 이후 연방 평가자는 해당 시스템이 고도 해킹 활동을 지원할 수 있는지 살펴볼 수 있다. 오용 방지를 위해 마련된 안전장치도 평가할 수 있다.

이는 공개 출시 이후에만 이뤄지던 평가에서 중요한 변화다. 모델이 널리 공개되면 보안팀은 사전 준비라는 이점을 잃는다. 공격자는 즉시 안전장치를 탐색하거나, 정찰 활동을 자동화하거나, 기존 공격 도구와 모델을 결합할 수 있다.

출시 전 접근 권한은 잠재적 공격자가 이를 확보하기 전에 연방 기관이 해당 역량을 이해할 시간을 준다. 또한 방어자가 탐지 방법, 완화 조치, 취약점 패치를 준비하는 데 도움이 될 수 있다.

다만 이 프레임워크는 AI 출시를 위한 연방 라이선스를 마련하지는 않는다. 백악관은 모든 신규 모델을 검토하는 것이 아니라고 강조했다. 기업의 참여가 제품의 안전성을 보장하는 공식 정부 인증으로 이어지는 것으로 보이지도 않는다.

이 차이는 사용자와 기업 구매자에게 중요하다. 평가가 완료됐다고 해서 모델이 해를 끼칠 수 없다는 증거로 해석해서는 안 된다. 사이버 테스트는 통제된 조건에서 선택된 역량을 측정한다. 모든 배포 환경, 도구 연결, 프롬프트 순서 또는 미래의 공격 기법을 재현할 수는 없다.

완성된 프레임워크에 대한 보도는 또 다른 한계를 덧붙인다. 프레임워크 세부 내용에 따르면, 이 절차는 최첨단 역량과 국가안보 위험을 지닌 폐쇄형 모델에 초점을 맞춘다. 오픈 웨이트 모델은 현재 범위 밖에 있는 것으로 전해졌다.

오픈 웨이트는 사용자가 내려받아 독립적으로 실행할 수 있는 모델 파라미터를 뜻한다. 이들의 제외는 상당한 적용 범위 공백을 만든다. 성능이 뛰어난 오픈 모델은 원 개발자의 통제를 벗어나 확산될 수 있어, 출시 후 제한을 집행하기 어렵다.

정부는 이런 시스템에서 실질적인 문제에 직면한다. 한 기업이 통제하는 미출시 독점 모델에는 기밀 접근을 협상할 수 있다. 하지만 웨이트가 전 세계에 공개되고 누구나 수정할 수 있게 되면 같은 접근법은 제대로 작동하지 않는다.

따라서 이 프레임워크는 좁지만 중요한 시점을 겨냥한다. 개발사가 고도 폐쇄형 모델을 출시하기 전 단계에 집중한다. 이때는 기밀 협력이 기술적으로 가능하며, 짧은 경보 기간도 방어 준비를 바꿀 수 있다.

Google News를 통해 이 사안을 지켜보는 독자라면 이 경계가 첫 번째로 기억해야 할 사실이다. 미국은 감독을 위한 경로를 만들었지만, 보편적인 출시 전 테스트를 만들지는 않았다.

Google News가 프런티어 모델 보안을 추적하는 이유

고도 모델이 한때 숙련된 보안 전문가에게만 가능했던 다단계 작업을 점점 더 수행하면서, 사이버 역량은 출시 관리의 문제가 되고 있다.

초기의 언어 모델은 주로 사용자가 코드를 설명하고, 취약점을 요약하며, 간단한 스크립트를 작성하도록 도왔다. 더 강력한 시스템은 이제 약점을 찾고, 소프트웨어 도구를 사용하며, 가능한 익스플로잇을 시험하고, 실패 후 전략을 수정할 수 있다.

이러한 발전이 모델을 자동으로 자율 공격자로 바꾸는 것은 아니다. 인간의 지시, 접근 권한, 사용 가능한 도구, 배포 안전장치는 여전히 시스템의 행동을 좌우한다. 하지만 모든 성능 향상은 복잡한 공격을 시도하는 데 필요한 전문성을 낮춘다.

행정명령이 “고도 사이버 역량”에 주목하는 이유가 여기에 있다. 당국은 AI 지원 없이 사람이 달성할 수 있는 공격 성과를 넘어서는 개선, 즉 의미 있는 향상을 제공하는 모델을 우려한다.

모델은 취약점을 더 빨리 찾아내는 방식으로 향상을 제공할 수 있다. 보호된 표적에 도달하기 위해 활용되는 취약점들의 연속인 익스플로잇 체인으로 여러 약점을 연결할 수도 있다. 또한 많은 잠재적 피해자를 대상으로 반복 작업을 자동화할 수도 있다.

이런 역량은 방어자에게도 도움이 될 수 있다. 보안팀은 같은 모델을 사용해 소스 코드를 검토하고, 패치되지 않은 시스템을 찾고, 보고된 결함을 검증하거나, 수정 방안을 권고할 수 있다. 정책적 과제는 이 지원의 이중용도 특성에서 비롯된다.

이중용도 기술은 상당 부분 동일한 역량을 통해 합법적 목적과 유해한 목적 모두를 지원한다. 기업이 인증 통제를 테스트하도록 돕는 모델은 침입자가 우회 방법을 찾는 데도 도움을 줄 수 있다.

연방 정부는 새 프레임워크 이전에도 자발적 평가 경험을 일부 축적했다. OpenAI와 Anthropic은 앞서 국가안보 테스트를 위해 정부 연구자에게 모델 접근 권한을 제공했다. 이후 Google, Microsoft, xAI도 유사한 협약에 참여했다.

5월 확대 조치로 이들 기업은 Center for AI Standards and Innovation, 즉 CAISI가 주도하는 작업에 참여하게 됐다. 이 프로그램에는 미출시 시스템이 포함됐으며, 미국 인프라를 겨냥한 공격 가능성을 비롯한 입증 가능한 위험에 초점을 맞췄다. NIST는 CAISI를 연방 정부의 주요 산업 연락 창구로 설명하며, 이는 사이버보안과 같은 국가안보 위험과 관련된 자발적 협약, 공동 연구, 평가를 담당한다.

새 프레임워크는 이런 협력을 더 체계화하려 한다. 개별 협약에만 전적으로 의존하는 대신, 연방 테스트가 언제 시작돼야 하는지 결정하는 공통 경로를 만든다.

이 변화는 AI 평가의 더 광범위한 진화도 반영한다. 전통적인 벤치마크는 흔히 정답이 고정된 공개 문제 세트를 사용한다. 개발자는 의도치 않게 그 문제를 학습 데이터에 포함할 수 있어 점수가 주는 정보가 줄어든다.

NIST는 평가 데이터가 모델 개발자에게 접근 불가능한 격리형 테스트를 개발해 왔다. AITE 테스트베드는 테스트 오염을 줄이기 위해 블라인드 데이터, 공통 지표, 통제된 환경을 사용한다.

AITE는 현재 사이버보안을 넘어 게놈 큐레이션과 공공안전 이미지 인식 등의 작업을 다룬다. 그 설계는 여전히 독립적 환경이 중요한 이유를 보여준다. 모델은 학습 중 보지 못한 문제를 마주해야 한다.

사이버보안 평가는 훨씬 더 엄격한 통제를 요구한다. 테스트는 모델에 현실적인 도구, 취약한 소프트웨어 또는 시뮬레이션된 네트워크에 대한 접근 권한을 제공할 수 있다. 평가자는 모델이 외부 시스템에 도달하지 못하게 막으면서도 그 행동을 측정할 충분한 자유를 보장해야 한다.

에이전트형 시스템이 개입되면 이 균형은 더욱 어려워진다. AI 에이전트는 도구에 연결돼 여러 행동을 통해 목표를 추구하도록 허용된 모델이다. 테스트 환경은 에이전트가 실제 인프라에 영향을 미치지 못하게 하면서 그 행동을 관찰해야 한다.

보안 연구자들은 잠재적으로 위험한 코드를 실행하기 위한 격리 환경인 샌드박스를 오랫동안 사용해 왔다. 고도 에이전트는 인터페이스를 탐색하고 의도치 않은 경로를 찾을 수 있기 때문에 샌드박스 설계에 더 큰 부담을 준다.

따라서 프레임워크는 모델이 저장한 지식 이상을 시험한다. 평가자는 계획 수립, 지속성, 도구 사용, 안전장치 회피, 실패한 시도 이후의 행동을 검토해야 한다.

정책을 둘러싼 Google News의 관심은 이러한 더 큰 변화를 반영한다. 모델 출시는 더 이상 글쓰기 품질, 코딩 점수 또는 소비자 기능만으로 평가되지 않는다. 사이버 역량은 출시 결정 자체의 일부가 되고 있다.

자발적 협력 대 공개 책임성

이 프레임워크는 법적 구속력과 공개 투명성을, 조기 접근권·기술적 유연성·프런티어 연구소의 협력과 맞바꾼다.

의무적 검토 체계에는 입법이나 명확한 규제 권한이 필요하다. 또한 빠른 기술 변화를 견딜 수 있는 정의도 필요하다. 의회는 프런티어 AI 출시를 위한 포괄적인 연방 라이선스 체계를 마련하지 않았다.

행정부는 대신 자발적 구조를 택했다. 이 접근법은 더 빠르게 움직이고 개발사의 저항을 줄일 수 있다. 협약이 규제 조사보다 기술적 파트너십에 가까울 때 기업은 민감한 모델을 더 기꺼이 공유할 수 있다.

조기 접근은 모델 웨이트, 미출시 기능, 시스템 프롬프트, 보안 통제, 제품 계획을 노출할 수 있다. 개발사가 이 정보를 매우 민감하게 취급하는 것은 합리적이다. 정보가 유출되면 경쟁사를 돕거나 공격자에게 약점을 드러낼 수 있다.

기밀 테스트는 기관이 공개할 수 없는 정부 지식을 활용할 수 있게도 한다. NSA와 다른 보안 조직은 공개 후 가치가 사라질 수 있는 취약점, 위협 행위자 또는 공격 방법에 대한 정보를 보유할 수 있다.

이런 장점은 기밀 유지의 일부 이유를 설명한다. 하지만 책임성 문제를 해결하지는 못한다.

대중은 모델의 적용 대상 여부를 결정하는 데 쓰이는 벤치마크를 검토할 수 없다. 외부 연구자는 그 과제가 현실적인 위협을 대표하는지 판단할 수 없다. 기업 구매자는 제공업체별 평가 결과를 비교할 수 없다.

백악관은 전체 프레임워크를 공개하지 않은 채 제한된 기업 그룹에 세부 내용을 공유한 것으로 전해진다. 비판론자들은 이 때문에 개발자들이 동등한 대우를 받는지 평가하기 어렵다고 주장한다.

오픈 웨이트 시스템이 제외된 점은 이러한 우려를 더 키운다. 폐쇄형 모델 기업은 기밀 검토를 받는 반면, 가중치를 공개한 개발자는 이 절차에서 벗어날 수 있다. 이러한 차이는 출시 전략과 경쟁 유인에 영향을 미칠 수 있다.

개발자가 참여를 거부했을 때의 대응도 뚜렷하지 않다. 순전히 자발적인 프레임워크는 평판 압력, 고객 기대, 국가안보 관계 등이 협력을 가치 있게 만들 때 가장 잘 작동한다.

대형 미국 연구소에는 참여할 이유가 있다. 참여를 통해 정부의 전문성에 접근할 수 있고, 대중의 검증에 대비하는 데도 도움이 될 수 있다. 또한 기업 고객에게 책임감 있는 행보를 보여줄 수도 있다.

소규모 개발자에게는 계산이 다르다. 한 달간 이어지는 정부 검토를 지원할 인력이 부족할 수 있다. 더 큰 경쟁사가 계속 제품을 출시하는 동안 불확실한 절차가 출시를 지연시킬 수 있다는 우려도 있다.

정부는 자발적 참여가 이미 워싱턴과 관계를 구축한 기업에만 제공되는 비공식적 이점으로 변질되지 않도록 해야 한다. 기밀 사이버 벤치마크가 비공개로 남더라도, 명확한 참여 규칙은 도움이 될 것이다.

두 번째 문제는 긍정적 평가의 의미와 관련된다. 이 프레임워크가 모호한 안전성 라벨이 되어서는 안 된다. 모델은 테스트 중 위험 임계값 아래의 성능을 보이더라도, 이후 파인튜닝, 도구 접근, 배포 변경을 통해 더 위험해질 수 있다.

파인튜닝은 학습된 모델을 특정 행동이나 작업에 맞게 조정하는 과정이다. 공격적 성능이 제한적인 범용 모델도 특화된 사이버보안 훈련을 거치면 더 높은 역량을 갖출 수 있다.

시스템 수준의 통제는 기반 모델 자체만큼 중요하다. 속도 제한, 신원 확인, 모니터링, 네트워크 제한, 사람의 승인으로 악용을 줄일 수 있다. 배포 통제가 약하면 모델 자체를 바꾸지 않고도 위험이 커질 수 있다.

따라서 정부는 결과를 신중하게 전달해야 한다. 사이버 평가는 정해진 조건에서 하나의 모델 구성에 대해 얻은 스냅샷이다. 해당 모델에서 파생된 모든 제품에 대한 영구적 판정은 아니다.

이 정책은 책임 문제도 해결하지 못한 채 남긴다. 평가자가 심각한 역량을 식별했는데도 개발자가 모델을 출시한다면, 행정명령은 이를 의무적으로 금지하는 조치를 명확히 규정하지 않는다.

연방 기관은 조달 결정, 수출 통제, 공개 경고 또는 기타 권한을 활용할 수 있다. 그러나 이러한 조치는 자발적 테스트 프레임워크 밖에서 이뤄지며 법적 분쟁을 낳을 수 있다.

이 불확실성은 핵심적인 상충 관계를 드러낸다. 자발적 협력은 출시 전에 정보를 제공할 수 있지만, 기업이 정부의 결론을 거부할 경우 활용할 수 있는 수단은 더 적다.

사이버보안 테스트에는 여전히 사각지대가 있다

기밀 벤치마크는 위험한 능력을 드러낼 수 있지만, 어떤 고정된 테스트도 광범위하게 배포된 모델이 모든 도구와 표적에서 어떻게 행동할지 예측할 수는 없다.

사이버보안 성능은 측정하기가 유난히 어렵다. 모델은 익숙한 취약점 유형에서는 성공할 수 있지만 새로운 시스템에서는 실패할 수 있다. 프롬프트, 스캐폴딩 또는 사용 가능한 도구의 작은 변화도 서로 다른 결과를 낼 수 있다.

스캐폴딩은 모델의 메모리, 계획, 도구 호출, 재시도를 관리하는 주변 소프트웨어를 말한다. 같은 기반 모델을 사용하는 두 제품도 자율성 수준에서 큰 차이를 보일 수 있다.

따라서 벤치마크는 고립된 답변이 아니라 현실적인 시스템을 테스트해야 한다. 평가자는 모델이 표적을 식별하고, 정보를 수집하며, 익스플로잇을 개발하고, 접근 권한을 획득하고, 그 접근을 유지할 수 있는지 확인해야 한다.

하지만 현실성은 위험을 높인다. 제한된 테스트 환경은 모델이 인터넷에서 수행할 수 있는 일을 과소평가할 수 있다. 반면 연결성이 높은 환경은 실제 조직을 의도치 않은 활동에 노출할 수 있다.

이는 이론적 설계 우려가 아니다. AI 에이전트가 의도된 테스트 경계를 벗어났다는 최근 보도는 평가 격리에 주목하게 했다. 이러한 사건은 여전히 특정 환경과 지침에 따라 달라지지만, 더 광범위한 운영상 취약점을 드러낸다.

평가 자체가 공격 표면의 일부가 될 수 있다. 테스트 운영자는 일반적인 안전장치를 약화시키면서 고성능 시스템을 특화 도구에 연결할 수 있다. 그러면 샌드박스 실패가 외부 인프라를 노출할 수 있다.

가장 강력한 테스트 프로그램에는 다층적 격리가 필요하다. 네트워크 격리는 모델 지침과 독립적으로 작동해야 한다. 자격 증명은 합성 데이터이거나 엄격히 제한된 범위여야 한다. 외부 작업에는 사람의 승인이 필요해야 한다.

평가자에게는 세부적인 로그도 필요하다. 모델이 무엇을 시도했는지, 어떤 도구를 사용했는지, 어떤 데이터에 접근했는지, 자동 통제가 왜 실패했는지를 재구성할 수 있어야 한다.

이 프레임워크의 기밀 벤치마크에는 이러한 조치 일부가 포함될 수 있지만, 대중은 이를 검증할 수 없다. 이는 독립적인 기술 검토를 어렵게 만든다.

또 다른 사각지대는 빠르게 개선되는 모델과 관련된다. 한 분기에 맞춰 보정한 벤치마크가 다음 분기에는 지나치게 쉬워질 수 있다. 개발자는 정확한 시험 문제를 보지 못하더라도 알려진 범주에 맞춰 최적화할 수 있다.

정부는 과제, 임계값, 채점 방식을 지속적으로 업데이트해야 한다. 스크립트화된 연습을 완료하는 모델과 낯선 표적에 적응할 수 있는 모델을 구분해야 한다.

적용 대상 프런티어 모델의 정의 역시 검토할 필요가 있다. 보도에 따르면 이 프레임워크는 국가안보 위험을 지닌 최첨단 폐쇄형 모델을 강조한다. 이러한 정의는 사이버보안만을 위해 만들어진 특화 모델을 놓칠 수 있다.

더 작고 사이버에 초점을 맞춘 모델이 공격적 작업에서는 더 큰 범용 모델을 능가할 수 있다. 적용 범위가 범용 능력이나 기업 정체성에 지나치게 의존하면, 테스트 시스템은 가장 중요한 도구를 간과할 수 있다.

오픈 웨이트 모델은 더 어려운 문제를 제기한다. 출시 후 파인튜닝, 추가 도구 또는 커뮤니티 수정으로 그 역량이 변할 수 있다. 원본 버전에 대한 출시 전 평가는 모든 파생 모델을 포착할 수 없다.

이 격차가 오픈 모델이 자동으로 동일한 절차를 거쳐야 한다는 뜻은 아니다. 정책 입안자에게는 유능한 파생 모델을 모니터링하고, 위협 인텔리전스를 공유하며, 방어자를 지원하기 위한 별도의 방식이 필요하다는 의미다.

산업 내 비교 역시 서로 다른 안전 정책 때문에 복잡하다. OpenAI, Anthropic, Google 및 기타 연구소는 자체 위험 프레임워크를 공개하지만, 임계값과 용어는 서로 다르다.

한 기업은 위험한 사이버 성능을 관찰한 뒤 모델 출시를 미룰 수 있다. 다른 기업은 더 좁은 접근 통제를 적용해 시스템을 출시할 수 있다. 세 번째 기업은 모델보다 도구에 더 강한 제한을 둘 수 있다.

연방 프레임워크는 이러한 정책 전반에 공통 기준점을 만들 수 있다. 다만 의미 있는 비교를 뒷받침할 만큼 평가가 일관돼야만 가능하다.

최소한 정부는 기밀 과제를 공개하지 않고도 절차 정보를 공개할 수 있다. 모델 평가 빈도, 포괄하는 광범위한 역량 범주, 개발자가 발견 사항에 대응하는 방식을 공개할 수 있다.

당국자는 익명화된 추세도 보고할 수 있다. 이런 보고서는 모델이 취약점 발견, 익스플로잇 개발, 자율적 지속성에서 향상되고 있는지를 보여줄 수 있다. 민감한 기법을 노출하지 않으면서 연구자들이 위험을 이해하는 데 도움이 될 것이다.

국가안보 테스트를 위한 완전한 공개 점수표는 현실적이지 않다. 그렇다고 완전한 비밀주의만이 유일한 대안은 아니다.

독자는 “안전한” 또는 “안전하지 않은” 모델에 관한 단정적 주장에 신중해야 한다. 진짜 질문은 이 프레임워크가 반복 가능한 증거를 만들어내고, 출시 결정을 바꾸며, 새로운 능력이 확산되기 전에 방어를 개선하는지 여부다.

프런티어 AI 개발자가 이제 입증해야 할 것

OpenAI, Anthropic, Google, Microsoft, Meta, xAI는 협력이 단순히 정부 관계가 아니라 배포 결정을 바꾼다는 점을 입증해야 한다는 압박에 직면해 있다.

대형 연구소들은 이미 내부 레드팀을 운영하며, 전문가들이 시스템의 위험하거나 의도치 않은 행동을 테스트한다. 여러 연구소는 외부 평가자 및 정부 연구자와도 협력한다.

새 프레임워크는 연방 벤치마크와 조기 접근 채널을 추가한다. 특히 기관이 기밀 위협 지식을 제공할 때, 이는 기업 팀이 놓친 문제를 발견할 수 있다.

그러나 참여 자체만으로 결과에 대해 말해주는 것은 거의 없다. 개발자는 모델을 제출하고 우려되는 발견을 받은 뒤에도 적절한 대응을 두고 이견을 보일 수 있다.

의미 있는 증거는 출시 행동에서 나타날 것이다. 기업은 테스트가 언제 더 강력한 안전장치, 더 좁은 접근 범위, 배포 지연 또는 추가 모니터링으로 이어지는지 설명해야 한다.

OpenAI는 updated Preparedness Framework를 통해 모델 출시 결정과 사이버 역량 평가를 연결해 왔으며, 이 프레임워크는 사이버보안을 추적 대상 위험 범주로 식별하고 고역량 발견을 안전장치 요건과 연계한다. Anthropic 역시 Responsible Scaling Policy에서 역량 임계값과 배포 보호 조치를 사용한다. Google과 Microsoft도 자체 안전 및 보안 평가 프로그램을 유지하고 있다.

이러한 기업 시스템은 서로 대체할 수 없다. 각 임계값에는 서로 다른 위험 허용 수준, 제품 전략, 기술적 가정이 반영될 수 있다.

연방 평가는 이러한 가정에 도전할 때 가치를 갖는다. 단지 내부 테스트를 반복한다면, 이 절차는 보호 효과를 크게 높이지 못한 채 지연만 추가한다.

정부는 방어적 가치와 오용 위험 사이의 충돌도 관리해야 한다. 취약점을 발견하는 모델은 핵심 시스템의 보안을 강화하는 데 도움이 될 수 있다. 이를 지나치게 폭넓게 제한하면 공격자가 결국 다른 경로로 얻는 도구를 방어자가 활용하지 못하게 될 수 있다.

6월 행정명령은 출시 전 테스트를 넘어선 여러 이니셔티브를 통해 이러한 긴장을 다룬다. AI 개발자, 핵심 인프라 운영자, 보안 기관 간 협력을 촉구한다.

또한 AI 사이버보안 클리어링하우스의 설립도 지시한다. 이 클리어링하우스는 취약점 스캔, 검증, 완화, 패치 배포를 조정하기 위한 것이다.

이 메커니즘은 중요하다. 취약점 발견은 첫 단계일 뿐이기 때문이다. 수정책이 마련되기 전에 공개하면 수천 개의 시스템이 노출될 수 있다. 공개가 지연되면 방어자는 적극적으로 악용 가능한 취약점을 알지 못한 채 남을 수 있다.

조정된 공개는 기술적 세부 사항이 확산되기 전에 영향을 받는 공급업체가 결함을 검증하고 패치할 시간을 제공한다. AI 시스템은 발견의 수와 속도를 늘려, 기존 공개 대응 팀에 압박을 가할 수 있다.

따라서 이 프레임워크는 모델 개발자 외의 조직에도 영향을 미친다. 클라우드 제공업체, 소프트웨어 공급업체, 핵심 인프라 운영자, 보안 연구자는 AI 지원으로 생성된 더 많은 취약점 보고서를 받을 수 있다.

기업 구매자는 공급업체에 이 파이프라인을 어떻게 관리하는지 물어야 한다. 유용한 질문에는 모델이 외부 작업을 시작할 수 있는지, 도구 권한을 어떻게 제한하는지, 의심스러운 행동을 어떻게 기록하는지가 포함된다.

조직은 모델 품질과 배포 보안도 분리해서 봐야 한다. 높은 벤치마크 점수가 프로덕션 네트워크에 대한 무제한 접근을 정당화하지는 않는다.

예를 들어 AI 코딩 에이전트에는 리포지토리 접근 권한이 필요할 수 있지만, 직접 배포할 권한까지 필요하지는 않다. 보안 보조 도구에는 취약점 데이터가 필요할 수 있지만, 무제한 인터넷 접근은 필요하지 않다.

에이전트가 비공개 문서를 외부 도구에 연결할 때 지식 근로자도 관련된 문제에 직면한다. 잘 설계된 AI knowledge base는 명확한 접근 경계와 출처 맥락을 유지해야 한다.

이러한 통제 조치는 프런티어 모델의 위험을 제거할 수는 없지만, 예상치 못한 행동으로 인한 피해는 줄일 수 있다. 기업은 도구와 권한이 바뀌면 모델의 행동도 달라진다고 가정해야 한다.

한 연구소가 출시를 미루는 동안 다른 곳이 앞서 나간다면 경쟁 압력은 더욱 커질 것이다. 신중함이 상업적 불이익을 초래할 때 자율적 기준은 실패할 수 있다.

정부 참여는 주요 개발사에 공동의 절차를 제공함으로써 이러한 불균형을 줄일 수 있다. 다만 심각한 발견을 무시할 경우의 결과가 더 명확하지 않다면, 모든 경쟁 구도를 막을 수는 없다.

따라서 핵심 대립 구도는 워싱턴 대 특정 기업이 아니다. 자율적 협력 대 강제 가능한 책임성의 문제다.

기업은 협력이 측정 가능한 보안 변화를 만들어 낸다는 점을 입증해야 한다. 정부는 자사의 기밀 절차가 일관되고 기술적으로 신뢰할 수 있으며, 자격을 갖춘 참여자에게 열려 있음을 증명해야 한다.

다음으로 주목할 세 가지 신호

이 프레임워크의 가치는 모델 적용 범위, 변경된 출시 결정, 그리고 발견된 취약점이 공격자보다 먼저 방어자에게 전달된다는 증거를 통해 드러날 것이다.

첫 번째 신호는 개발사들이 실제로 대상 모델을 출시 전에 제출하는지 여부다. 발표된 파트너십만으로는 충분하지 않다. 이 프레임워크는 선도 연구소 전반에서 정기적으로 활용되어야 한다.

당국은 기본적인 참여 데이터를 제공하기 위해 모델의 비밀을 공개할 필요는 없다. 평가 횟수, 대략적인 모델 범주, 검토가 공개 배포 전에 완료됐는지 여부는 공개할 수 있다.

지속적인 평가 일정은 이 프레임워크가 실제 운영 단계에 들어섰다는 주장을 강화할 것이다. 선호하는 기업들과 별도로 협상해 간헐적으로 검토하는 방식은 이를 약화시킬 것이다.

두 번째 신호는 연방 정부의 발견이 출시를 바꾸는지 여부다. 출시 연기, 더 제한적인 접근 프로그램, 강화된 안전장치 또는 수정된 도구 정책은 테스트가 의사결정에 영향을 준다는 사실을 보여줄 것이다.

눈에 보이는 변화가 없다고 해서 평가가 실패했다는 뜻은 아니다. 일부 모델은 중대한 우려 없이 통과할 수 있고, 기밀 완화 조치는 공개되지 않을 수도 있다.

그럼에도 어떤 출시도 결코 바꾸지 않는 프레임워크는 회의론을 불러올 것이다. 고도화된 모델은 빠르게 변화하고 있으며, 심각한 발견은 때때로 관찰 가능한 결과로 이어져야 한다.

세 번째 신호는 사이버 보안 정보공유 체계가 조율된 대응 개선에 도움이 되는지 여부다. AI 지원 발견은 그 결과 정보가 적절한 방어자에게 안전하게 전달될 때에만 의미가 있다.

유용한 증거로는 더 신속한 패치, 더 명확한 공개 절차, 그리고 핵심 인프라 운영자의 참여가 포함될 것이다. 반복적인 유출이나 조율되지 않은 공개는 시스템에 대한 신뢰를 약화시킬 것이다.

오픈웨이트 모델은 세 가지 신호 모두에서 여전히 해결되지 않은 주요 범주다. 이들이 제외된 것으로 알려진 것은 AI 시장의 점점 더 큰 부분이 조기 접근 프레임워크 밖에 남는다는 의미다.

당국은 이러한 시스템을 위한 별도의 전략이 필요할 것이다. 선택지로는 출시 후 역량 모니터링, 다운스트림 개발사의 자발적 보고, 공동 평가 도구, 독립 연구자 지원 등이 있다.

이 프레임워크에는 국제 공조도 필요하다. 미국의 절차만으로는 다른 곳에서 개발된 유능한 모델이 미국 사용자에게 도달하는 것을 막을 수 없다. 공동 측정 관행은 정부가 기밀 테스트를 공개하도록 요구하지 않으면서도 격차를 줄일 수 있다.

NIST는 이미 국제 AI 평가 기관 네트워크와 협력하고 있다. NIST의 평가 합의 발표에 따르면, 이 그룹에는 10개 국가 및 관할권의 정부 기관이 포함돼 있다.

국가 안보 이해관계가 갈리는 곳에서는 국제적 정렬이 제한적일 수밖에 없다. 그럼에도 모델 역량에 관한 공통 언어는 사고 발생 시 소통을 개선할 수 있다.

Google News 독자들은 이 이야기를 단순한 안전 약속으로 받아들여서는 안 된다. 연방 정부는 대중이 검증할 수 없는 역량 임계값을 위한 기술 인프라를 구축하고 있다.

이 설계에는 실질적인 장점이 있다. 민감한 테스트를 가능하게 하고, 정부 지식을 보호하며, 방어자에게 최대 한 달의 준비 시간을 제공할 수 있다.

하지만 이는 연방 평가자와 참여 기업에 상당한 신뢰를 요구한다. 어느 쪽도 외부인이 각 결정을 독립적으로 판단할 수 있을 만큼의 정보를 공개할 의무가 없다.

앞으로 1~3개월은 이 프로그램이 비공개 회의를 넘어 실제로 진전하는지 보여줄 것이다. 확인된 제출 사례, 평가와 연계된 출시 변경, 취약점 조율에 관한 운영 세부 사항을 주시해야 한다.

이러한 신호는 자발적 테스트가 지속 가능한 보안 제도로 자리 잡을지, 아니면 최대 규모 AI 기업을 위한 기밀 자문 서비스에 그칠지를 결정할 것이다.

개발자와 기업 구매자가 취해야 할 즉각적인 조치는 분명하다. 각 제공업체가 사이버 역량을 어떻게 평가하는지 추적하고, 에이전트 권한을 제한하며, 격리와 사고 대응에 관한 증거를 요구해야 한다.

정책 변경, 평가 주장, 제품 업데이트에 관한 신뢰할 수 있는 기록을 유지하라. AI 세컨드 브레인 같은 도구는 팀이 이러한 발표를 내부 보안 의사결정과 연결하는 데 도움을 줄 수 있다.

미국 프레임워크는 일반 고객이 그 변화를 이해하기도 전에 프런티어 모델 출시가 국가 안보상 결과를 초래할 수 있음을 인정한다. 이제 그 성공은 행동에 달려 있다.

연구소들은 가장 강력한 시스템을 충분히 이른 시점에 제출할 것이며, 당국은 대중의 신뢰를 얻을 만큼 충분한 절차적 증거를 보고할 것인가? 이것이 Google News 헤드라인 뒤에 놓인 시험대다.