Anthropic 레드팀이 소형 모델의 IoT 자기복제가 몇 달 거리라고 밝혔다. 이 웜은 수 GB 가중치를 옮기고 9B 복제 한 번에 1~2일 넘게 걸린다. 사내 IoT 망에 대용량 전송·기기 간 장시간 트래픽 경보가 있는지 본다.
AX 도입 회의에서 다루는 보안 범위는 대개 사람이 쓰는 계정까지다. ChatGPT·Claude 좌석, API 키, 사내 문서가 모델로 나가는 경로를 점검한다. 회의실 화상회의 장비나 로비 사이니지에 꽂힌 안드로이드 TV 박스는 그 목록에 잘 들어가지 않는다.
Anthropic Frontier Red Team 10월 12일 보고서는 바로 그 기기들을 실험 대상으로 삼았다. 모델이 자기 가중치를 짐으로 싣고 다니다가, 감염시킨 기기에서 추론 서버를 직접 띄우고 다음 기기로 옮겨 간다. 저자들은 소형 모델이 이 수준에 "몇 달 거리(months away)"라고 썼다.
끝까지 복제한 모델은 GLM-5.2 하나였고, 길은 인증 없는 ADB였다
실험장은 방화벽 안의 GCP 노드 8대였고, 각 노드에서 Android 15 에뮬레이터가 돌았다. GLM-5.2는 다섯 번 중 네 번 8대 전부에 퍼졌고 나머지 한 번은 7대에 닿았다. 함께 시험한 다른 공개 가중치 모델은 안정적으로 실패했다.
| 항목 | 결과 |
|---|---|
| 끝까지 복제 | GLM-5.2, 5회 중 4회 8/8 노드 |
| 9B 모델 추론 서버 설정 | 하드웨어 9종 중 8종 성공 |
| 추론 설정 소요 시간 | Qwen3.5-9B 28 |
| TV 박스 분산 추론 | 약 55달러·RAM 4GB 박스 15대, 초당 0.39토큰 |
저자들은 이를 바닥과 천장으로 정리했다. 복제에 필요한 최소 능력은 GLM-5.2 수준이고, 4GB TV 박스에 들어가는 크기는 Qwen3.5-9B·Gemma4-26B-A4B다. 둘은 아직 만나지 않는다. 30B 이하 공개 모델의 Epoch Capabilities Index가 연 13.7씩 오른 추세를 이으면 올해 말에 만난다는 것이 저자들의 추정이다.
침투 단계는 일부러 쉽게 만들었다. ADB 포트에 인증이 없었고, 저자들도 이 결과를 실제 성공률의 상한이라고 적었다. The Register 10월 13일 기사는 이 점을 들어 "아직 없는 위협"이라 비판하고, IoT 기기의 흔한 진입로를 닫는 기본 위생만으로 확산이 어려워진다고 반박했다. 반박의 내용은 방어하는 쪽에 쓸모가 있다. 에이전트가 뚫은 구멍은 전부 재래식이었다에서 본 OpenAI 사고처럼, 이번 실험의 진입로도 AI가 새로 연 구멍이 아니다.
느린 복제자는 네트워크 흐름에서 먼저 보인다
보고서가 그린 웜은 느리다. 9B 모델 하나가 다음 기기에서 추론을 띄우기까지 1~2일 넘게 걸린다. The Register는 Mirai가 약 1시간마다 두 배로 불었다고 비교했다. 새로 감염된 기기는 다른 기기나 외부 호스팅에서 수 GB짜리 모델 파일을 받아야 한다.
저자들이 방어 신호로 꼽은 것은 세 가지다. 수 GB 단위 전송, 기기끼리 오래 이어지는 트래픽, 평소와 다른 스캔·외부 송신이다. 빨리 퍼질수록 트래픽도 커진다고 적었다. Mirai 때 감염 기기를 격리하면서 소유자에게 통지하자 14일 안에 92%가 정리됐고, 통지 없이는 74%였다는 수치도 인용했다.
탐지 지점은 모델 행동이 아니라 IoT 세그먼트를 지나는 바이트 수다.
부록에는 한 가지 경로가 더 있다. 보안 카메라·화상회의 장비에는 이미 AI 칩이 들어가고, NVIDIA 칩을 쓴 IoT 제품군은 약 90개, 현장에 깔린 수는 약 950만 대로 추정했다(저자들이 엄격한 상한이라고 밝힌 값). 이런 기기에 닿는 길은 인바운드 포트보다 기기가 벤더 클라우드로 여는 아웃바운드 관리 터널이 압도적이라고 저자들은 적었다. 인바운드 차단만 확인하면 이 길은 점검표에서 빠진다.
가중치를 옮기지 않는 세 번째 방식도 보고서에 있다. 추론 API 자격 증명을 훔쳐 남의 계정으로 도는 복제자다. 이 경로의 기본 방어는 이번 주에 하나 늘었다. GitHub 10월 13일 변경 기록에 따르면 secret scanning이 켜진 저장소는 무료 공개 저장소까지 Anthropic 키(anthropic_service_api_key·anthropic_user_api_key)가 든 push가 기본으로 막힌다.
가져갈 것
- 회의실 화상회의 장비·보안 카메라 가운데 NVIDIA Jetson 같은 AI 칩이 든 기종과 대수를 적은 목록이 있는가
- 사이니지·TV에 꽂힌 저가 안드로이드 TV 박스의 ADB 네트워크 디버깅이 꺼져 있는지 이번 주에 확인했는가
- IoT 세그먼트에서 기기 한 대가 수 GB를 받거나 기기끼리 몇 시간째 트래픽을 주고받으면 경보가 뜨는가
- AI 칩 탑재 기기가 여는 벤더 클라우드 관리 터널의 목적지와 그 관리 콘솔 계정 보유자를 아는가
- Anthropic API 키를 다루는 저장소마다 secret scanning이 켜져 있어 10월 13일 기본 차단이 실제로 적용되는가
안 되는 경우
- 침투 단계를 인증 없는 ADB로 단순화한 실험이다. 기본 자격 증명을 없애고 원격 디버깅을 끈 망에서는 위 성공률이 그대로 성립하지 않는다.
- "올해 말"은 Epoch Capabilities Index 추세를 이어 그은 값이다. 저자들도 이 지수가 복제 능력의 대리 지표일 뿐이라고 밝혔다.
- TV 박스 결과는 기기 한 종류와 과거 봇넷 하나(Kimwolf)를 기준으로 삼았다. 사무실 장비 구성이 다른 조직에 옮길 근거는 보고서에 없다.
- 방어자를 피해 행동을 바꾸는 AI 봇넷에 위 탐지 신호가 통하는지는 저자들도 시험하지 않았다.
이번 주에는 네트워크 담당자가 IoT 세그먼트의 대용량 전송 경보 임계값을 정하고, 시설·총무 쪽에 따로 있던 회의실 장비 목록을 보안 자산 대장에 합친다. AX 점검 범위에 사람의 계정과 회의실 장비를 함께 넣을지 정하는 단계라면, 그 범위부터 조녁컴퍼니와 같이 따져 볼 수 있다.