기업에 AX를 설계할 때 개발팀이 가장 먼저 하는 일은 모델을 고른 뒤 버전을 못 박는 것이다. "Fable 5, 이 버전으로 간다"고 정하고 프롬프트·워크플로·테스트를 그 모델의 지금 행동에 맞춰 짠다. 전제는 하나다 — 버전을 고정하면 그 모델이 하는 일도 고정된다.
7월 1일 그 전제가 깨졌다. 같은 이름, 같은 버전의 모델이 어제와 다른 답을 내기 시작했다. 무엇을 답하고 무엇을 거절할지가 모델을 고정한 뒤에도, 그리고 이제는 공급사 한 곳의 결정이 아니라 여러 회사의 합의로 움직인다.
돌아온 Fable 5는 걸러진 코딩 요청을 다른 모델로 넘긴다
Anthropic은 7월 1일 Fable 5를 전 세계에 재배포했다. 6월 12일 미국 정부의 수출통제로 중단됐던 모델이다. 발단은 Amazon 연구진이 Fable 5로 소프트웨어 취약점을 찾아내고 한 사례에서는 익스플로잇 코드까지 쓰게 만든 보고였다.
돌아온 모델은 떠날 때와 같지 않다. Anthropic은 그 우회 기법을 막는 새 분류기를 붙였고, 문제의 기법은 "99% 넘게 차단"된다고 밝혔다. 대가는 발표문에 그대로 적혀 있다. 이 분류기는 "일상적인 코딩·디버깅 작업에서 무해한 요청까지 더 자주 표시"하며, 표시된 요청은 "Fable 5 대신 Opus 4.8로 보내진다." 즉 당신이 Fable 5에 보낸 평범한 코드 요청이 분류기에 걸리면, 그 답은 자동으로 다른 모델인 Opus 4.8에서 나온다. 버전은 그대로인데 응답을 내는 모델이 바뀐다.
무엇을 막을지는 회사 한 곳이 아니라 합의로 정해진다
이번 조정은 일회성이 아니다. Anthropic은 Amazon·Microsoft·Google을 비롯한 Glasswing 파트너들과 함께 AI 탈옥의 심각도를 평가하는 공통 프레임워크를 만들고 있다. 프레임워크는 탈옥을 네 축으로 채점한다 — 공격자가 얻는 능력 증가분, 그 증가가 미치는 공격 과제의 범위, 무기화 난이도, 그리고 그 기법이 이미 얼마나 알려져 있는지.
운영도 딸려 있다. 가장 심각한 등급 — 핵심 인프라에 실제 피해를 주는 데 쓰이는 탈옥 — 은 심각도가 확인되는 즉시 완화 조치를 배포하고, 제보 채널을 24시간 감시하는 팀을 뒀다. Fable 5의 탈옥을 제보받는 HackerOne 프로그램도 함께 열었다. 정리하면, 당신이 쓰는 모델의 "할 수 있는 일" 목록은 배포 뒤에도, 그것도 여러 회사가 합의한 기준과 24시간 감시에 따라, 예고 없이 좁아질 수 있다.
같은 패턴은 한 회사에 국한되지 않는다. OpenAI가 6월 26일 공개한 GPT-5.6 Sol도 "역대 가장 견고한 안전 스택"과 고위험·사이버 요청에 대한 강화된 보호를 함께 내놨고, 미국 정부와의 조율 아래 접근을 열었다. 능력이 커질수록 그 능력을 감싸는 안전 경계도 함께 커지고, 그 경계는 계속 움직인다.
그래서 설계 기준은 '지금 이 응답'이 아니라 '응답이 바뀔 수 있음'이다
버전 고정은 재현성을 준다고 배웠지만, 이제 버전 고정은 행동의 재현성까지 보장하지는 못한다. 특정 모델의 지금 출력에 워크플로를 딱 맞춰 짜면, 공급사가 분류기를 하나 갱신하는 날 그 워크플로가 조용히 어긋난다. 대응은 모델을 안 바꾸는 게 아니라, 모델의 행동이 변수라는 걸 설계에 넣는 것이다 — 운영 중에도 도는 상시 평가, 요청이 막히거나 다른 모델로 넘어갔을 때의 명시적 폴백, 정확한 문구가 아니라 결과의 형태에 거는 검증.
조녁컴퍼니가 AX 전환 교육에서 "어떤 모델이 지금 제일 세냐"보다 "모델의 행동이 배포 뒤에 바뀌어도 업무가 흔들리지 않게 어떻게 묶을 것인가"를 먼저 다루는 이유가 여기 있다. 고정할 수 있는 것은 버전이지 행동이 아니다. 사업영역 →