앤트로픽 "소형 AI 모델, 스마트TV 등 소비자 가전으로 자율 확산 위험" 경고
앤트로픽 연구진이 소형 언어 모델이 스마트TV 등 저가 IoT 기기에서 스스로 복제하고 환경을 설정할 수 있음을 입증하며, 미래 사이버 보안에 심각한 위협이 될 수 있다고 경고했다.
AI의 자율 복제가 더 이상 대규모 데이터센터에만 국한된 위협이 아닐 수 있다는 분석이 나왔다. 앤트로픽의 연구원 윌리엄 저우(William Zhou)와 대니얼 프리먼(Daniel Freeman)이 진행한 연구에 따르면, 소형 AI 모델이 조만간 보안이 취약한 스마트TV, 커넥티드 냉장고, 로봇청소기 등 일상적인 소비자 가전 전반으로 자율 확산하는 능력을 갖출 수 있다고 경고했다.
기존 악성코드와 달리, ‘AI 웜(AI worm)’은 페이로드의 일부로 모델 가중치를 함께 담아 감염된 하드웨어에서 직접 추론을 실행한다. 이를 통해 소프트웨어는 생소한 기기를 자율적으로 검사하고 자체 실행 환경을 구성함으로써 지속적으로 상주하고 추가 확산할 수 있다.
55달러 TV 박스 대상 테스트 성공
연구진은 소비자용 가전제품이 이러한 작업을 지원할 수 있는지 평가하기 위해 표준 Android TV 박스 15대에 Gemma4-26B-A4B 모델을 분산 배치했다. 각 기기의 가격은 약 55달러였으며 4GB RAM을 탑재했고, 기기마다 모델 레이어의 일부를 실행했다. 추론 속도는 느렸지만 분산 배치는 정상적으로 작동했다.
연구팀은 자율 복제 과정을 네 가지 단계로 구분했다.
- 로컬 네트워크에서 취약한 기기 탐색
- 무단 접근 권한 획득
- 대상 기기에 정상 작동하는 AI 런타임 구축
- 새로운 노드로 추가 확산
앤트로픽 연구진은 소형 모델이 기초적인 취약점 공격(익스플로잇) 작업을 처리할 수 있음이 선행 연구에서 이미 검증되었다는 점을 들어 실제 침투 단계는 의도적으로 건너뛰었다. 대신 이들은 가장 복잡한 기술적 난관인 '완전히 낯선 하드웨어에서 모델이 독자적으로 작동 가능한 AI 환경을 구축할 수 있는지 여부'에 집중했다.
GLM-5.2, 복제 체인 전체 완수
실험 결과 소형 모델들은 이미 단일 환경 구성 단계를 효과적으로 수행하는 것으로 나타났다. 일례로 90억 파라미터(9B) 모델은 테스트 대상 하드웨어 9종 중 8종에서 Llama3.1-8B를 구동할 수 있는 환경을 설치하는 데 성공했다.
그러나 탐색부터 새로운 대상 기기에 자립적인 복제본을 완성하기까지의 엔드투엔드(end-to-end) 전 과정을 실행하는 것은 테스트된 대부분의 모델에 매우 버거운 과제였다. 오직 GLM-5.2만이 전체 복제 시퀀스를 안정적으로 완수했으며, 5번의 실험 중 4번에서 8개의 테스트 노드 전체를 성공적으로 감염시켰다. 평가 대상이었던 나머지 3개 모델은 최초 시작 노드를 넘어 확산하지 못했다.
연구진은 모델 인스턴스가 성공 및 실패 전략에 대한 진단 메모를 후속 인스턴스에 전달하도록 하는 '인공 진화' 메커니즘도 시험했다. Qwen3.5-9B에 이 기술을 적용하자 설정 성공률이 1세대 45%에서 후속 세대에서는 최대 84%까지 크게 상승했다.
중앙 킬 스위치 없는 느린 '디지털 점균류'
현재로서는 자원이 제한된 소비자 가전 기기에 무리 없이 탑재될 만큼 작으면서도, 실제 환경에서 엔드투엔드 자율 복제를 조율할 역량을 갖춘 단일 모델은 존재하지 않는다. 그러나 모델 효율화의 빠른 발전 속도를 감안할 때, 저자들은 2026년 말까지 모델들이 이 격차를 좁힐 수 있을 것으로 전망했다.
이러한 유형의 AI 웜은 느리게 동작할 것으로 보인다. 테스트 과정에서 새롭게 침해된 기기에 초기 설정을 완료하는 데 모델에 따라 28시간에서 150시간이 소요됐다. 연구진은 이러한 동작 특성을 '디지털 점균류(digital slime mold)'에 비유했다. 속도는 둔하지만 탈중앙화된 구조 덕분에 비정상적으로 강력한 복원력을 지닌다는 설명이다.
기존 봇넷은 일반적으로 특정 아키텍처를 표적으로 하는 한정된 코드에 의존한다. 예를 들어 Kimwolf 봇넷은 주로 Android TV 박스를 중심으로 200만 대 이상의 기기를 감염시켰다. 반면 AI 기반 봇넷은 이종의 다양한 하드웨어에서 구동되도록 자체 적응적으로 재구성할 수 있다. 200만 대의 IoT 기기로 구성된 네트워크가 제공하는 컴퓨팅 파워는 전용 AI 가속기 칩 약 40개 수준에 불과하겠지만, 중앙 명령 인프라나 단일 킬 스위치(kill switch)가 전혀 존재하지 않게 된다.
대응 방안이 불가능한 것은 아니지만 공조된 조치가 필요하다. 과거 인터넷 서비스 제공업체(ISP)의 네트워크 수준 격리 조치는 Mirai 봇넷을 무력화하는 데 기여하며 14일 이내에 감염 기기의 92%를 정리한 바 있다. 기기 초기 비밀번호 설정을 금지한 영국의 입법 조치 등도 공격 표면을 줄이는 데 도움이 된다. 다만 연구진은 적응형 AI 에이전트가 결국 이러한 기초적인 방어 장벽을 우회하는 법을 학습할 수 있다고 경고했다.
인터넷 규모의 혼란 경고
다리오 아모데이(Dario Amodei) 앤트로픽 CEO 역시 이러한 공격 벡터에 대해 경종을 울렸다. 그는 자율 복제형 스웜이 "6~12개월 이내에 영구적인 봇넷으로 인터넷 전체를 장악할 역량을 갖출 수 있으며, 잠재적으로 수천억 달러 규모의 피해를 초래할 수 있다"고 경고했다.
아모데이 CEO는 AI 업계 전반이 개별 보안 사고를 일회성 이례 현상으로 볼 것이 아니라, 복제 및 악용 취약점에 선제적으로 대처해야 한다고 강조했다.
연구진은 "실험 범위를 넘어 예측해 본다면, 인간의 통제를 벗어난 기기를 포함해 모든 유형의 하드웨어에서 에이전트가 구동되는 미래가 올 것으로 본다"고 결론지으며, 초기 단계의 느린 복제 모델들이 향후 훨씬 빠르고 공격적인 변종의 등장을 알리는 전조일 수 있다고 경고했다.
