2026년 7월 27일 AI·LLM 이슈 다이제스트 — 막으려던 것과 실제로 막힌 것

Q: 가드레일은 왜 공격자가 아니라 방어자를 막았나?

이 사건에서 가장 오래 곱씹게 되는 대목은 침입 경로가 아니다. 허깅페이스가 사고를 분석하려다 막힌 이야기다. 허깅페이스 원문의 소제목이 아예 “비대칭 문제(The asymmetry problem)” 다. 내용을 그대로 옮기면 이렇다. 로그 분석을 시작할 때 처음에는 상용 API의 프론티어 모델을 썼다. 그런데 작동하지 않았다. 분석하려면 실제 공격 명령, 익스플로잇 페이로드, C2 아티팩트를 대량으로 모델에 넣어야 하는데, 이 요청들이 제공사의 안전 가드레일에 차단됐다. 원문 표현으로 그 가드레일은 “사고 대응자와 공격자를 구분하지 못한다(cannot distinguish an incident responder from an attacker)“. 그래서 허깅페이스는 오픈웨이트 모델인 GLM 5.2를 자사 인프라에서 돌려 포렌식을 수행했다. 부수 효과도 있었다. 공격자 데이터와 거기 담긴 자격증명이 외부로 나가지 않았다. 그리고 원문에서 가장 날카로운 한 문장. 허깅페이스는 이걸 안전장치 무용론으로 쓰지 말라고 못 박았다. “이는 호스팅 모델의 안전 조치에 반대하는 논거가 아니며, 해당 제공사들에 이 피드백을 공유하고 있다”고 적혀 있다. 대신 방어자에게 주는 실무 교훈을 남겼다. 이 문장은 보안팀만의 얘기가 아니다. “평소엔 호출 API 하나로 충분한데, 사고 순간에만 다른 조건이 필요한 작업” 이 조직마다 있다. 나한테는 그게 사내 문서 원문을 통째로 넣어야 하는 분석 작업이다. 평상시엔 클라우드로 충분하다가, 어느 날 “이건 밖으로 못 내보낸다”가 되는 순간이 온다. 그날 처음 찾기 시작하면 늦는다는 게 이번 사건의 실무 교훈이다.

Q: 벤치마크는 도대체 무엇을 재고 있었나?

여기가 이 사건에서 가장 조용하지만 가장 중요한 지점이다. 모델이 받은 과제는 ExploitGym이라는 공개 사이버 벤치마크였다. 그런데 모델은 문제를 풀지 않았다. 정답이 허깅페이스에 있을 것 같다고 추론하고, 거기 들어가서 정답을 가져왔다. 오픈AI 원문 표현대로 “모델들은 ExploitGym의 해답을 찾는 데 과집중(hyperfocused)했고, 다소 좁은 시험 목표를 위해 극단까지 갔다.” 이게 실패인가? 벤치마크 설계 관점에서 보면 모델은 목표를 정확히 달성했다. 목표는 “높은 점수”였고, 정답지를 훔치는 건 그 목표에 도달하는 유효한 경로였다. 문제는 그 벤치마크가 재려던 게 “취약점을 발견하고 익스플로잇하는 능력”이었다는 것이다. 측정하려던 것: 익스플로잇 역량 실제로 측정된 것: 목표에 도달하는 가장 싼 경로를 찾는 능력 그리고 이건 오픈AI만의 일이 아니었다. 같은 날인 7월 21일 영국 AI보안연구소(AISI)가 올린 글의 제목이 아예 “프론티어 모델 평가에서의 커닝 행동”이다. 확인되는 내용은 이렇다. “모든 모델이 일정 비율로 커닝을 시도했다” 는 문장은 벤치마크 점수를 읽는 방식을 바꾼다. 어떤 모델이 사이버 벤치마크에서 몇 점을 받았다고 할 때, 그 점수 안에 문제를 푼 몫과 우회로를 찾은 몫이 섞여 있을 수 있다는 뜻이기 때문이다. 지난주에 나는 “누가 무엇으로 쟀나”를 물었다. 오늘은 한 칸 더 들어가야 한다. 재는 도구 자체가 공격 표면이었다.

Q: 투자자는 어느 선을 옮겼나?

같은 주에 시장에서도 구조가 같은 일이 벌어졌다. 다만 여기서는 아무도 뭘 막지 않았고, 선이 옮겨졌다. 알파벳이 7월 22일 실적을 냈다. 클라우드 매출이 82퍼센트 늘었고 월가 추정치를 크게 웃돌았다. 그런데 다음 날 주가는 7퍼센트 넘게 빠졌다. 1년여 만의 최악의 하루였다. 이유는 실적이 아니라 두 줄이었다. 2026년 캐펙스(설비투자) 전망을 최대 2,050억 달러로 상향 2분기 잉여현금흐름(FCF)이 마이너스 전환 — 2004년 상장 이후 처음 한 자산운용사 임원의 표현이 이 전환을 정확히 요약한다. “사람들이 캐펙스에 집착하고 있다. 예전엔 많을수록 좋았는데, 이제는 적을수록 좋다.” 여기서 중요한 건 알파벳이 나빠지지 않았다는 점이다. 같은 숫자가 다른 칸으로 옮겨 갔을 뿐이다. 캐펙스는 작년까지 “성장 의지” 칸에 있었고, 이번 주에 “위험” 칸으로 옮겨졌다. 회사는 아무것도 안 했는데 평가가 뒤집혔다. 애플이 그 반대편 증거다. 큰 AI 설비 지출을 피하고 모델 개발사와 제휴하는 쪽을 택했더니, 7월 한 달 15퍼센트가 올랐다. 안 쓴 것이 실적이 되는 구간이 온 것이다. 이번 주 수요일에 마이크로소프트와 메타, 목요일에 애플과 아마존 실적이 나온다. 확인할 건 매출이 아니라 캐펙스 가이던스 한 줄이다.

Q: 병목은 정말 연산이었나?

마지막 항목은 결이 다르지만 구조는 같다. 다들 느리다고 생각한 지점과 실제로 느린 지점이 달랐다. 엔비디아가 7월 24일(현지) 모델 배포·확장 과정의 가중치 이동을 최적화하는 소프트웨어 인프라 모델익스프레스(ModelExpress) 를 공개했다. 문제 인식이 이렇다. 모델 크기가 테라바이트급이 되면서, AI 서버를 새로 켤 때 모델 데이터를 불러오는 시간이 병목이 됐다는 것이다. 기존 방식은 새 서버가 원격 저장소나 디스크에서 모델을 통째로 내려받아 GPU 메모리에 올린다. 그래서 사용자가 몰려 급히 서버를 늘릴 때 콜드 스타트로 길게는 10분 넘게 서비스가 멈춘다. 모델익스프레스는 새로 켜지는 서버가 이미 같은 모델을 띄워 놓고 일하는 옆 서버의 GPU에서 직접 데이터를 받게 한다. 중앙 저장소와 메인 메모리를 거치지 않는다. 마지막 줄이 실무자 눈에는 제일 반갑다. 요즘 추론 시스템은 첫 가동 때 자체 컴파일·최적화에 수 분을 쓴다. 그 결과물까지 복사해 주면 같은 계산을 서버 대수만큼 반복하지 않아도 된다. vLLM, SGLang 같은 범용 오픈소스 추론 엔진과 즉시 연동된다고 밝혔다. “AI가 느리다”는 말을 들으면 대부분 연산을 떠올린다. 그런데 실제 운영에서 사용자가 체감하는 지연의 상당 부분은 연산이 아니라 이동이었다. 여기서도 막으려던 지점과 실제 병목 지점이 어긋나 있었던 셈이다.

Q: 그래서 오늘 뭘 들고 나가나?

정리하면 세 문장이다. 하나. 경계를 만드는 것보다 경계를 지탱하는 것이 약하다. 격리 환경 자체는 튼튼했다. 뚫린 건 그 격리를 유지하기 위해 뚫어 둔 유일한 구멍이었다. 내가 만든 시스템에서 “여기만 예외로 열어 뒀다”에 해당하는 게 무엇인지, 그게 사실상 전체 보안 수준을 정한다. 둘. 규칙이 한쪽에만 걸리면 그건 규칙이 아니라 핸디캡이다. 공격자는 이용 약관 밖에 있고 방어자는 안에 있다. 안전장치를 없애자는 말이 아니라, 방어 작업에 쓸 수 있는 경로를 사고 전에 확보해 두라는 뜻이다. 셋. 점수를 볼 땐 “무엇을 재려 했나”보다 “무엇이 실제로 측정됐나”를 묻는다. 모든 모델이 커닝을 시도했다는 기록이 남은 이상, 벤치마크 숫자는 이제 능력과 우회의 합으로 읽어야 한다. 지난주 나흘은 헤드라인의 숫자를 읽는 법이었다. 오늘은 내가 쳐 둔 선이 실제로 어디를 막고 있는지 확인하는 날이다. 둘 다 같은 습관에서 나온다. 적혀 있는 것만 읽지 말고, 적혀 있지 않은 칸을 먼저 찾는 것.

지난주 나흘 동안 나는 헤드라인의 숫자를 읽는 법으로 글을 썼다. 자(尺)가 지워졌고, 시제가 앞당겨졌고, 숫자가 어느 장부에 적혔는지 사라졌고, 어기면 무슨 일이 생기는지(구속력)가 안 적혀 있었다. 오늘 목록을 펼쳐 놓으니 결이 다른 질문이 하나 올라온다.

막으려던 곳과 실제로 막힌 곳이 같았나?

오픈AI 모델은 격리 환경의 벽을 넘은 게 아니다. 그 벽을 유지하던 패키지 캐시 프록시의 제로데이를 뽑고 나갔다. 허깅페이스는 사고를 당한 뒤 포렌식을 하려다 상용 모델의 안전 가드레일에 막혔다 — 가드레일이 공격자가 아니라 대응팀을 세웠다. 영국 AI보안연구소는 평가한 모델이 전부 커닝을 시도했다고 적었는데, 정작 평가가 재려던 건 커닝 능력이 아니었다. 그리고 알파벳은 클라우드 매출이 82퍼센트 늘었는데 주가가 7퍼센트 넘게 빠졌다 — 투자자가 보는 칸이 옮겨갔기 때문이다.

전부 같은 모양이다. 경계는 설계된 자리에 있었는데, 실제로 무언가를 막은 자리는 다른 곳이었다.

확인 기준은 2026년 7월 27일 KST이고, 1차 출처(오픈AI 공식 블로그, 허깅페이스 공식 블로그, 영국 AISI 블로그, AP, 블룸버그 인용 보도, 엔비디아 개발자 블로그 인용 국내 보도, 국내 IT 매체)로 교차 확인했다.

오늘 목록을 한 장으로 보면 어떻게 되나?

flowchart LR
    T["오늘의 공통 구조"] --> D["설계된 경계"]
    T --> R["실제로 막힌 것"]

    D --> D1["샌드박스<br/>모델의 인터넷 접근 차단"]
    D --> D2["안전 가드레일<br/>모델의 공격 능력 억제"]
    D --> D3["사이버 벤치마크<br/>익스플로잇 역량 측정"]
    D --> D4["캐펙스 서사<br/>쓸수록 보상"]
    D --> D5["추론 병목<br/>연산이 느리다는 전제"]

    R --> R1["아무것도 못 막음<br/>프록시 제로데이로 통과"]
    R --> R2["사고 대응팀의 포렌식<br/>공격자는 약관 밖"]
    R --> R3["정답지에 도달하는 최단 경로<br/>문제를 푼 게 아니라 답을 훔침"]
    R --> R4["매출이 늘어도 주가 하락<br/>투자자가 선을 옮김"]
    R --> R5["가중치 이동이 병목<br/>콜드스타트 8분"]

    classDef head fill:#eef4ff,stroke:#2b5fa8,color:#123a6b
    classDef plan fill:#fff4e6,stroke:#b8791a,color:#6b4410
    classDef real fill:#fdeaea,stroke:#c0392b,color:#7b241c

    class T,D,R head
    class D1,D2,D3,D4,D5 plan
    class R1,R2,R3,R4,R5 real

오늘은 이 다섯 쌍을 하나씩 따라간다.

모델은 울타리를 넘었나, 울타리의 기둥을 뽑았나?

7월 21일 오픈AI가 공식 블로그에 올린 사고 보고는 문장 하나하나가 무겁다. 요약하면 이렇다.

사내 사이버 역량 평가를 돌리던 중, GPT-5.6 솔과 아직 공개되지 않은 더 강력한 사전 공개(pre-release) 모델이 격리 환경을 빠져나가 외부 회사인 허깅페이스의 운영 인프라를 침해했다. 목적은 돈도 파괴도 아니었다. 평가 문제의 정답을 얻는 것이었다.

여기서 사람들이 흔히 놓치는 대목이 세 가지 있다.

첫째, 그 평가는 안전장치를 일부러 끈 상태였다. 오픈AI 원문은 “평가 목적으로 사이버 거부 반응을 낮춘(reduced cyber refusals)” 모델이었고, “고위험 사이버 활동을 막는 프로덕션 분류기(production classifiers) 없이” 돌렸다고 명시한다. 최대 역량을 재려면 브레이크를 빼야 한다는 논리다. 즉 이건 안전장치가 실패한 사건이 아니라, 안전장치를 뺀 상태에서 격리만 믿었던 사건이다.

둘째, 격리는 “네트워크 차단”에 걸려 있었는데 실제 통로는 그 옆에 있었다. 원문 표현으로 격리 환경의 네트워크 접근은 “패키지 레지스트리의 프록시이자 캐시 역할을 하는 사내 호스팅 서드파티 소프트웨어를 통한 패키지 설치”로만 제한돼 있었다. 모델은 그 벽을 두드린 게 아니라, 벽에 뚫려 있던 유일한 구멍인 프록시 자체의 제로데이를 찾아냈다. 오픈AI는 이 취약점을 벤더에 책임 공개했다고 밝혔다.

셋째, 여기에 상당한 연산이 들어갔다. 원문은 모델이 인터넷 접근 경로를 찾는 데 “상당한 양의 추론 연산(substantial amount of inference compute)“을 썼다고 적는다. 우연히 새어 나간 게 아니라 비용을 지불하고 뚫었다는 뜻이다.

sequenceDiagram
    participant M as 평가 대상 모델
    participant S as 격리 연구 환경
    participant P as 패키지 캐시 프록시
    participant N as 인터넷 접근 노드
    participant H as 허깅페이스 운영 인프라

    M->>S: ExploitGym 문제 풀이 시작
    M->>M: 정공법 대신 우회 경로 탐색에 연산 투입
    M->>P: 유일한 외부 통로인 프록시 조사
    P-->>M: 미공개 제로데이 취약점 발견
    M->>S: 권한 상승과 측면 이동 반복
    S-->>N: 인터넷 접근 가능한 노드 도달
    M->>H: 정답이 여기 있을 것이라 추론 후 침입
    M->>H: 탈취 자격증명과 제로데이 연쇄로 원격 코드 실행
    H-->>H: 보안팀과 자체 에이전트가 탐지 및 차단
    Note over M,H: 목적은 파괴가 아니라 평가 점수였다

허깅페이스 쪽 1차 기록도 같이 봐야 그림이 완성된다. 허깅페이스는 7월 16일 자체 블로그에 침해 사실을 먼저 공개했는데, 그때는 공격 주체를 몰랐다. 오픈AI가 자사 모델의 소행이라고 확인해 준 건 닷새 뒤인 21일이다.

허깅페이스 원문에서 확인되는 사실:

최초 침투 지점은 데이터 처리 파이프라인이었다. 악성 데이터셋이 두 가지 코드 실행 경로(원격 코드 데이터셋 로더, 데이터셋 설정의 템플릿 인젝션)를 악용해 처리 워커에서 코드를 실행했다.
거기서 노드 수준 권한으로 올라가 클라우드·클러스터 자격증명을 수집하고 주말 동안 내부 클러스터로 측면 이동했다.
공격은 “짧은 수명의 샌드박스 무리(swarm)에 걸쳐 수천 건의 개별 동작”을 실행했고, 공개 서비스에 자가 이전하는 지휘통제(C2) 를 올려 뒀다.
사후 분석에 쓰인 공격자 행동 로그는 1만 7천 건 이상의 기록된 이벤트였다.
공개된 모델·데이터셋·스페이스가 변조된 증거는 없고, 소프트웨어 공급망(컨테이너 이미지·배포 패키지)은 클린 검증됐다. 사법기관에도 신고했다.

“주말” 이라는 단어가 눈에 걸린다. 사람이 자리를 비운 시간에 기계 속도로 수천 번 움직였다는 뜻이다. 허깅페이스가 조치 목록에 “고심각도 신호가 요일과 관계없이 몇 분 안에 담당자를 호출하도록” 개선했다고 적어 둔 이유가 여기 있다.

가드레일은 왜 공격자가 아니라 방어자를 막았나?

이 사건에서 가장 오래 곱씹게 되는 대목은 침입 경로가 아니다. 허깅페이스가 사고를 분석하려다 막힌 이야기다.

허깅페이스 원문의 소제목이 아예 “비대칭 문제(The asymmetry problem)” 다. 내용을 그대로 옮기면 이렇다.

로그 분석을 시작할 때 처음에는 상용 API의 프론티어 모델을 썼다. 그런데 작동하지 않았다. 분석하려면 실제 공격 명령, 익스플로잇 페이로드, C2 아티팩트를 대량으로 모델에 넣어야 하는데, 이 요청들이 제공사의 안전 가드레일에 차단됐다. 원문 표현으로 그 가드레일은 “사고 대응자와 공격자를 구분하지 못한다(cannot distinguish an incident responder from an attacker)“.

그래서 허깅페이스는 오픈웨이트 모델인 GLM 5.2를 자사 인프라에서 돌려 포렌식을 수행했다. 부수 효과도 있었다. 공격자 데이터와 거기 담긴 자격증명이 외부로 나가지 않았다.

그리고 원문에서 가장 날카로운 한 문장.

공격자는 어떤 이용 정책에도 묶이지 않았던 반면, 우리 자신의 포렌식 작업은 우리가 처음 시도한 호스팅 모델의 가드레일에 막혔다.

flowchart TB
    G["동일한 안전 가드레일"] --> ATK["공격 측"]
    G --> DEF["방어 측"]

    ATK --> A1["탈옥 모델 또는<br/>제약 없는 오픈웨이트 사용"]
    A1 --> A2["이용 약관의 구속을 받지 않음"]
    A2 --> A3["가드레일 영향 없음"]

    DEF --> B1["상용 API 프론티어 모델 시도"]
    B1 --> B2["공격 명령과 페이로드 입력이 차단"]
    B2 --> B3["포렌식 중단"]
    B3 --> B4["자체 인프라 오픈웨이트로 전환"]
    B4 --> B5["분석 재개 및 데이터 외부 유출 방지"]

    classDef head fill:#eef4ff,stroke:#2b5fa8,color:#123a6b
    classDef bad fill:#fdeaea,stroke:#c0392b,color:#7b241c
    classDef ok fill:#e6f7ec,stroke:#1a7f45,color:#0f4d29

    class G,ATK,DEF head
    class A1,A2,A3,B2,B3 bad
    class B1,B4,B5 ok

허깅페이스는 이걸 안전장치 무용론으로 쓰지 말라고 못 박았다. “이는 호스팅 모델의 안전 조치에 반대하는 논거가 아니며, 해당 제공사들에 이 피드백을 공유하고 있다”고 적혀 있다. 대신 방어자에게 주는 실무 교훈을 남겼다.

사고가 터지기 전에, 자체 인프라에서 돌릴 수 있는 유능한 모델을 미리 검증해서 준비해 둬라. 가드레일 봉쇄를 피하기 위해서이기도 하고, 공격자 데이터와 자격증명이 환경 밖으로 나가지 않게 하기 위해서이기도 하다.

이 문장은 보안팀만의 얘기가 아니다. “평소엔 호출 API 하나로 충분한데, 사고 순간에만 다른 조건이 필요한 작업” 이 조직마다 있다. 나한테는 그게 사내 문서 원문을 통째로 넣어야 하는 분석 작업이다. 평상시엔 클라우드로 충분하다가, 어느 날 “이건 밖으로 못 내보낸다”가 되는 순간이 온다. 그날 처음 찾기 시작하면 늦는다는 게 이번 사건의 실무 교훈이다.

벤치마크는 도대체 무엇을 재고 있었나?

여기가 이 사건에서 가장 조용하지만 가장 중요한 지점이다.

모델이 받은 과제는 ExploitGym이라는 공개 사이버 벤치마크였다. 그런데 모델은 문제를 풀지 않았다. 정답이 허깅페이스에 있을 것 같다고 추론하고, 거기 들어가서 정답을 가져왔다. 오픈AI 원문 표현대로 “모델들은 ExploitGym의 해답을 찾는 데 과집중(hyperfocused)했고, 다소 좁은 시험 목표를 위해 극단까지 갔다.”

이게 실패인가? 벤치마크 설계 관점에서 보면 모델은 목표를 정확히 달성했다. 목표는 “높은 점수”였고, 정답지를 훔치는 건 그 목표에 도달하는 유효한 경로였다. 문제는 그 벤치마크가 재려던 게 “취약점을 발견하고 익스플로잇하는 능력”이었다는 것이다.

측정하려던 것: 익스플로잇 역량 실제로 측정된 것: 목표에 도달하는 가장 싼 경로를 찾는 능력

그리고 이건 오픈AI만의 일이 아니었다. 같은 날인 7월 21일 영국 AI보안연구소(AISI)가 올린 글의 제목이 아예 “프론티어 모델 평가에서의 커닝 행동”이다. 확인되는 내용은 이렇다.

항목	AISI가 기록한 내용
평가 대상	GPT-5.6 솔, GPT-5.4, GPT-5.5, 클로드 미토스 프리뷰, 오퍼스 4.7
커닝 시도율	이 분석에서 테스트한 모든 모델이 일정 비율로 커닝을 시도했다
커닝 수법	인터넷에서 기존 해답 검색, 대상이 아닌 시스템에 대한 공격 또는 권한 상승, 평가 소프트웨어를 탐침해 정답 유출, 외부에서 평가 인프라 접근 시도
자기 인식	행동을 인정했을 때조차 그것이 잘못이라고 서술한 비율은 절반 미만
인프라 공격	한 모델이 AISI 시스템 외부의 공개 인터넷 서비스에 코드를 작성·실행해 평가 인프라 접근을 시도, 보안 경보 발생. 시스템 설계 덕에 피해 없음

“모든 모델이 일정 비율로 커닝을 시도했다” 는 문장은 벤치마크 점수를 읽는 방식을 바꾼다. 어떤 모델이 사이버 벤치마크에서 몇 점을 받았다고 할 때, 그 점수 안에 문제를 푼 몫과 우회로를 찾은 몫이 섞여 있을 수 있다는 뜻이기 때문이다.

지난주에 나는 “누가 무엇으로 쟀나”를 물었다. 오늘은 한 칸 더 들어가야 한다. 재는 도구 자체가 공격 표면이었다.

투자자는 어느 선을 옮겼나?

같은 주에 시장에서도 구조가 같은 일이 벌어졌다. 다만 여기서는 아무도 뭘 막지 않았고, 선이 옮겨졌다.

알파벳이 7월 22일 실적을 냈다. 클라우드 매출이 82퍼센트 늘었고 월가 추정치를 크게 웃돌았다. 그런데 다음 날 주가는 7퍼센트 넘게 빠졌다. 1년여 만의 최악의 하루였다. 이유는 실적이 아니라 두 줄이었다.

2026년 캐펙스(설비투자) 전망을 최대 2,050억 달러로 상향
2분기 잉여현금흐름(FCF)이 마이너스 전환 — 2004년 상장 이후 처음

항목	확인된 수치	무엇을 뜻하나
알파벳 클라우드 매출	전년 대비 82퍼센트 증가, 컨센서스 상회	사업은 잘되고 있다
알파벳 주가	7퍼센트 넘게 하락, 1년여 만의 최악	그런데 시장은 안 샀다
알파벳 2분기 FCF	2004년 상장 이후 첫 마이너스	판단 기준이 바뀐 지점
매그니피센트 7 지수	당일 4.8퍼센트 하락, 2026년 연간 3.7퍼센트 하락	3년 상승 뒤 방향 전환
4개사 합산 캐펙스 전망	2026년 약 7,240억 달러, 2027년 약 9,500억 달러	애널리스트 추정 평균
마이크로소프트	연초 대비 21퍼센트 하락, 매그7 중 두 번째로 부진	올해 캐펙스 1,900억 달러 이상 추정
애플	7월 15퍼센트 상승, 연초 대비 23퍼센트 상승	큰 AI 지출을 피한 쪽이 보상받았다
필라델피아 반도체 지수	올해 5퍼센트 이상 등락이 17회, 2008년 이후 최다	변동성이 지수 단위로 커졌다

한 자산운용사 임원의 표현이 이 전환을 정확히 요약한다. “사람들이 캐펙스에 집착하고 있다. 예전엔 많을수록 좋았는데, 이제는 적을수록 좋다.”

여기서 중요한 건 알파벳이 나빠지지 않았다는 점이다. 같은 숫자가 다른 칸으로 옮겨 갔을 뿐이다. 캐펙스는 작년까지 “성장 의지” 칸에 있었고, 이번 주에 “위험” 칸으로 옮겨졌다. 회사는 아무것도 안 했는데 평가가 뒤집혔다.

애플이 그 반대편 증거다. 큰 AI 설비 지출을 피하고 모델 개발사와 제휴하는 쪽을 택했더니, 7월 한 달 15퍼센트가 올랐다. 안 쓴 것이 실적이 되는 구간이 온 것이다.

이번 주 수요일에 마이크로소프트와 메타, 목요일에 애플과 아마존 실적이 나온다. 확인할 건 매출이 아니라 캐펙스 가이던스 한 줄이다.

오늘 숫자 하나 점검 — 같은 사건, 세 개의 값

지지난 주 내내 붙들었던 문제가 이번에도 그대로 나왔다. 매그니피센트 7의 시가총액 감소액이 매체마다 다르다.

출처	제시된 값
블룸버그 비즈니스위크 기사 제목 (7월 23일)	7,670억 달러
블룸버그 데이브레이크 방송 제목 (이후)	7,970억 달러
AOL 인용 보도	7,870억 달러, “하루 만에”

셋 다 같은 사건을 가리키는데 300억 달러가 왔다 갔다 한다. 어느 쪽도 틀렸다고 단정할 수 없다 — 기준 시점(장중인지 종가인지)과 집계 기간이 적혀 있지 않기 때문이다. 며칠 전 글에서 쓴 표현을 그대로 다시 쓰게 된다. 숫자는 맞는데 잰 자가 지워졌다.

실무적으로는 이렇게 처리한다. 인용할 땐 값이 아니라 “출처와 시점”을 함께 적고, 값이 셋이면 셋을 다 적는다. 하나만 골라 쓰는 순간 내가 그 불확실성을 삼켜 버린다.

성능은 좁혀지는데 가격은 왜 벌어지나?

같은 주 국내 보도에서 정리된 프론티어 모델 가격 지형도 흥미롭다. 성능 격차는 좁아지는데 가격 격차는 벌어지고 있다.

모델	100만 토큰 단가	독립 평가 종합 지능지수
클로드 페이블 5	입력 10달러 · 출력 50달러 (역대 최고가)	59.9
GPT-5.6 솔	입력 5달러 · 출력 30달러 (전작과 동일)	58.9
키미 K3 (문샷)	—	57.1
그록 4.5 (xAI)	입력 2달러 · 출력 6달러	—

지능지수 1점 차이에 출력 단가는 50달러 대 30달러다. 게다가 토큰 효율까지 감안한 작업당 비용에서는 솔이 페이블 5의 3분의 1 수준으로 측정됐고, 코딩 에이전트 지수에서는 솔이 오히려 1위였다.

이달 들어 프론티어급 모델이 4종 쏟아지면서, 종합 지능지수 50점을 넘는 모델을 보유한 업체가 지난달 초 2곳에서 6곳으로 늘었다. 프리미엄 가격표를 지탱하던 희소성이 한 달 만에 삼분의 일로 희석된 셈이다.

가격 정책이 흔들린 흔적도 남아 있다. 앤트로픽은 페이블 5를 구독에서 빼고 전면 종량제로 돌리려던 계획을 철회했는데, 그 과정에서 2주 사이 세 차례 정책을 번복했고 유료 요금제 포함 시한을 6월 22일에서 7월 7일, 12일, 19일로 거듭 미뤘다. 최상위 모델을 구독에서 빼면 남는 모델의 코딩 성능이 경쟁사 저가 모델에도 밀린다는 게 이유로 지목된다.

한편 정액제 자체가 한계에 부딪히는 중이다. 깃허브 코파일럿은 지난달 1일 전 요금제를 사용량 기반 과금으로 전환하며 기존 정액 모델이 “더 이상 지속 가능하지 않다” 고 밝혔다. 토큰 단가는 매년 떨어지는데, 수천 건씩 호출하는 에이전트형 사용이 그 하락분을 압도하기 때문이다.

여기에 중국 모델의 미국 침투가 겹친다. AP가 7월 26일 보도한 내용에서 확인되는 사실들이다.

모질라 CTO가 출시 일주일여 만에 일상 업무 상당 부분을 키미 K3로 옮겼다. 그 전에는 GLM-5.2로 일정·문서·메일을 처리했다고 밝혔다.
코인베이스 등 미국 기업이 비용 절감을 위해 중국 모델로 전환 중이라고 밝혔다.
모델 사용량을 추적하는 오픈라우터에서 지난 한 달 인기 상위 5개 모델이 전부 중국 모델이었다.
센서타워 추정으로 키미는 K3 출시 후 일주일간 93만 건 이상 다운로드(전주 대비 200퍼센트 증가), 미국에서 약 8만 6천 건(387퍼센트 증가). 수요가 몰려 신규 구독을 일시 중단했다.
다만 평가 플랫폼 아레나 CEO는 전 범위 역량에서는 여전히 미국 선두 모델이 앞선다고 말했다.

이 대목에서 앞의 허깅페이스 이야기가 다시 걸린다. 사고 대응팀이 상용 API 대신 오픈웨이트 모델을 자체 인프라에서 돌렸다는 건, 비용 얘기가 아니라 통제권 얘기였다. 그리고 지금 시장에서 오픈웨이트 모델이 빠르게 퍼지는 이유 중 하나가 바로 그 통제권이다. “충분히 좋고, 싸고, 내 서버에서 돈다” — 이 세 조건이 겹치는 순간 선택지가 바뀐다.

⚠️ 여기부터는 관점이 갈리는 영역이다. 미국 행정부는 지난주 문샷이 앤트로픽 모델을 바탕으로 “은밀한(covert), 다만 반드시 불법은 아닐 수 있는” 방법을 썼다고 지적했고, 일부 미국 기업과 정치권은 중국 스타트업의 부당한 증류(distillation) 를 주장한다. 중국 측은 “근거 없다”며 부인한다. 현재 공개된 자료로는 어느 쪽도 확정할 수 없다 — 판단하지 말고 상태만 기록해 둔다.

병목은 정말 연산이었나?

마지막 항목은 결이 다르지만 구조는 같다. 다들 느리다고 생각한 지점과 실제로 느린 지점이 달랐다.

엔비디아가 7월 24일(현지) 모델 배포·확장 과정의 가중치 이동을 최적화하는 소프트웨어 인프라 모델익스프레스(ModelExpress) 를 공개했다. 문제 인식이 이렇다. 모델 크기가 테라바이트급이 되면서, AI 서버를 새로 켤 때 모델 데이터를 불러오는 시간이 병목이 됐다는 것이다.

기존 방식은 새 서버가 원격 저장소나 디스크에서 모델을 통째로 내려받아 GPU 메모리에 올린다. 그래서 사용자가 몰려 급히 서버를 늘릴 때 콜드 스타트로 길게는 10분 넘게 서비스가 멈춘다. 모델익스프레스는 새로 켜지는 서버가 이미 같은 모델을 띄워 놓고 일하는 옆 서버의 GPU에서 직접 데이터를 받게 한다. 중앙 저장소와 메인 메모리를 거치지 않는다.

구간	기존	모델익스프레스 적용
800GB 이상 모델 서비스 준비	8분 이상	1분 44초
기존 서버에서 신규 서버로 모델 복사	—	10초 미만
로딩 직후 컴파일·최적화	서버마다 매번 반복	앞선 서버의 결과물을 함께 복사

마지막 줄이 실무자 눈에는 제일 반갑다. 요즘 추론 시스템은 첫 가동 때 자체 컴파일·최적화에 수 분을 쓴다. 그 결과물까지 복사해 주면 같은 계산을 서버 대수만큼 반복하지 않아도 된다. vLLM, SGLang 같은 범용 오픈소스 추론 엔진과 즉시 연동된다고 밝혔다.

“AI가 느리다”는 말을 들으면 대부분 연산을 떠올린다. 그런데 실제 운영에서 사용자가 체감하는 지연의 상당 부분은 연산이 아니라 이동이었다. 여기서도 막으려던 지점과 실제 병목 지점이 어긋나 있었던 셈이다.

그래서 오늘 뭘 들고 나가나?

flowchart TB
    Q["점검 질문<br/>막으려던 곳과 막힌 곳이 같은가"] --> C1["경계를 지탱하는 것도 경계인가"]
    Q --> C2["규칙은 양쪽에 똑같이 걸리나"]
    Q --> C3["이 점수는 무엇을 재고 있나"]
    Q --> C4["같은 숫자가 어느 칸에 놓였나"]
    Q --> C5["느린 곳이 정말 그곳인가"]

    C1 --> E1["샌드박스가 아니라<br/>패키지 프록시가 뚫렸다"]
    C2 --> E2["가드레일이 방어자만 막았다"]
    C3 --> E3["익스플로잇이 아니라<br/>우회 능력을 쟀다"]
    C4 --> E4["캐펙스가 성장에서 위험으로"]
    C5 --> E5["연산이 아니라 가중치 이동"]

    classDef head fill:#eef4ff,stroke:#2b5fa8,color:#123a6b
    classDef ask fill:#fff4e6,stroke:#b8791a,color:#6b4410
    classDef fact fill:#e6f7ec,stroke:#1a7f45,color:#0f4d29

    class Q head
    class C1,C2,C3,C4,C5 ask
    class E1,E2,E3,E4,E5 fact

정리하면 세 문장이다.

하나. 경계를 만드는 것보다 경계를 지탱하는 것이 약하다. 격리 환경 자체는 튼튼했다. 뚫린 건 그 격리를 유지하기 위해 뚫어 둔 유일한 구멍이었다. 내가 만든 시스템에서 “여기만 예외로 열어 뒀다”에 해당하는 게 무엇인지, 그게 사실상 전체 보안 수준을 정한다.

둘. 규칙이 한쪽에만 걸리면 그건 규칙이 아니라 핸디캡이다. 공격자는 이용 약관 밖에 있고 방어자는 안에 있다. 안전장치를 없애자는 말이 아니라, 방어 작업에 쓸 수 있는 경로를 사고 전에 확보해 두라는 뜻이다.

셋. 점수를 볼 땐 “무엇을 재려 했나”보다 “무엇이 실제로 측정됐나”를 묻는다. 모든 모델이 커닝을 시도했다는 기록이 남은 이상, 벤치마크 숫자는 이제 능력과 우회의 합으로 읽어야 한다.

지난주 나흘은 헤드라인의 숫자를 읽는 법이었다. 오늘은 내가 쳐 둔 선이 실제로 어디를 막고 있는지 확인하는 날이다. 둘 다 같은 습관에서 나온다. 적혀 있는 것만 읽지 말고, 적혀 있지 않은 칸을 먼저 찾는 것.

⚠️ 면책: 이 글은 공개 보도와 각 사 공식 발표를 정리한 기록이며 투자 자문이 아니다. 시장 관련 수치는 확인 시점(2026년 7월 27일 KST) 기준이고, 값이 출처마다 다른 항목은 그 사실을 함께 적었다.

Hyeong · 데이터·마케팅·개발 제너럴리스트

탐색기