중국판 AI, 사실은 클로드였다?

Anthropic이 공개한 조사에 따르면 Kimi와 DeepSeek의 일부 고객 요청이 Claude로 중계됐다. 중국 AI 전체가 Claude였다는 뜻은 아니다. 더 큰 문제는 사용자가 중국 AI에 맡긴 CCTV 자료, 데이터베이스 접속 정보, 회사 내부 문서까지 자신이 선택하지 않은 미국 AI 사업자에게 전달됐다는 사실이다.

Kimi에 물었는데 Claude가 답했다

사용자는 Kimi 화면에 질문을 입력했다. 그러나 일부 요청은 Moonshot AI의 서버에서 끝나지 않았다. Anthropic의 조사에 따르면 이 요청들은 여러 프록시 계정을 거쳐 Claude Opus로 전달됐다. Claude가 만든 답은 다시 Kimi 화면으로 돌아왔고, 사용자는 Kimi가 답한 것으로 받아들였다.

이 중계는 일회성 시험에 그치지 않았다. Anthropic은 규정을 우회해 만든 계정 5,380개를 이용해 10일 동안 약 30만 건의 실제 고객 요청이 처리됐다고 밝혔다. 대부분의 계정은 싱가포르와 일본에 있는 것으로 파악됐다. Moonshot은 Claude와 주고받은 내용을 저장해 자사 모델 개발에도 활용한 것으로 조사됐다.

Claude가 일부 Kimi 요청의 보이지 않는 백엔드 모델로 쓰였다는 사실까지는 확인됐다. Kimi 전체가 Claude를 포장만 바꾼 서비스였다는 뜻은 아니다.

모델 증류보다 고객 요청 중계가 더 큰 문제다

강한 모델의 답을 모아 작은 모델을 학습시키는 증류는 널리 쓰이는 기술이다. 교사가 문제 풀이를 보여주면 학생 모델이 그 패턴을 배우는 방식과 비슷하다. 공개되거나 허가된 데이터로 진행한다면 기술 자체가 문제는 아니다.

이번 사건은 세 가지가 겹쳤다. 경쟁사의 이용 제한을 피하려고 수천 개 계정을 만들었고, 답변뿐 아니라 추론 특성까지 대규모로 수집했으며, 별도의 실험용 질문이 아니라 실제 고객의 업무 요청까지 같은 수집 경로로 보냈다.

세 번째 문제가 결정적이다. 모델을 베끼려 만든 파이프라인에 실제 고객의 업무 요청까지 같은 수집 경로로 보내면 고객 데이터도 함께 이동한다. 사용자는 Kimi나 DeepSeek를 선택했지만 요청은 Claude를 운영하는 Anthropic에도 전달됐다. 모델 개발 경쟁이 곧 제3자 데이터 전송 문제로 바뀐 이유다.

CCTV와 데이터베이스 접속 정보까지 함께 넘어갔다

Anthropic이 공개한 사례는 단순한 번역문이나 일반 질문이 아니었다. 카메라 영상 분석, 정부기관 시스템 개발, 기업 내부 계획처럼 조직 밖으로 나가면 곤란한 정보가 포함됐다.

청두 CCTV 사례에서 사용자는 수백 대 카메라의 자료를 처리했다. 일부 카메라는 군 시설과 중국전자과기집단 연구소, 국유기업 주변에 있었다. Anthropic은 사용 패턴을 근거로 중국 인민해방군 관련자일 가능성이 높다고 평가했지만 신원을 확인하지는 못했다. 군 정보가 확정적으로 유출됐다고 표현할 수 없는 이유다.

러시아 국방부와 관련된 정부기관의 IT 운영자가 실제 사용 중인 데이터베이스 접속 정보를 요청에 포함했고, 그 정보가 DeepSeek가 아닌 Claude까지 전달됐다. Anthropic이 해당 데이터베이스에 접속하거나 내용을 빼냈다는 의미는 아니다. 의도하지 않은 외국 사업자에게 유효한 접속 정보가 전달됐다는 점 자체가 보안 문제다.

답변뿐 아니라 Claude의 추론 방식까지 모았다

Moonshot과 DeepSeek가 모으려 한 것은 최종 답변만이 아니었다. Anthropic 보고서는 Claude의 추론 특성을 확보하려는 시도를 설명한다. 한 세션에서 얻은 thinking signature를 저장한 뒤 다른 세션에서 재사용해 추론 과정을 다시 생성하게 하는 cross-session replay 방식이다.

이는 Claude의 내부 가중치를 직접 가져갔다는 뜻이 아니다. 여러 질문과 답변을 반복해 경쟁 모델의 문제 해결 방식에 가까운 학습 자료를 만들려 했다는 의미다. 답만 수집하는 증류보다 더 깊은 모방을 노린 셈이다.

규모도 컸다. Anthropic은 2026년 5월부터 7월까지 2,300만 건이 넘는 교환을 Moonshot 관련 활동으로 판단했다. DeepSeek 관련 활동은 7월의 14일 동안 1,210만 건 이상이었다. 이 숫자 전체가 민감한 고객 자료였다는 뜻은 아니다. 다만 몇 차례의 우발적 중계가 아니라 대규모로 설계된 수집 경로였다는 점은 분명하다.

평범한 회사 업무도 같은 경로에 들어갔다

국가안보 사례만 보면 나와 상관없는 사건처럼 느껴진다. 그러나 같은 중계 경로에는 제약회사의 2026~2028년 설비투자 계획과 개발자의 설정 파일도 들어갔다. 설정 파일에는 Telegram 봇 토큰과 외부 서비스 연동 키가 포함돼 있었다.

회사에서 AI에 넣는 정보는 거창한 영업비밀만이 아니다. 오류를 고치려고 붙여 넣은 환경설정 파일, 고객 문의를 요약하려고 올린 대화, 보고서를 다듬기 위해 입력한 매출 계획도 외부로 나가면 민감정보가 된다. 서비스 화면 하나만 보고 처리 주체를 판단하면 이런 데이터의 실제 이동 경로를 놓치기 쉽다.

특히 코딩 도구는 사용자가 직접 입력한 내용보다 더 많은 정보를 읽을 수 있다. 에이전트가 작업을 끝내기 위해 저장소를 검색하면 다음 정보가 한 요청에 함께 포함될 수 있다.

• 프로젝트 파일과 설정 파일
• API 키와 서버 주소
• 데이터베이스 구조
• 로그와 소스코드
• 사내 문서

사용자가 “이 버그를 고쳐줘”라고 한 문장만 입력했더라도 에이전트는 문제를 풀기 위해 여러 파일을 읽는다. 따라서 보안 질문도 “내가 무엇을 입력했는가”에서 “이 에이전트가 무엇에 접근할 수 있었는가”로 바뀌어야 한다.

‘학습에 쓰지 않음’은 제3자 전송 금지와 다르다

AI 서비스의 개인정보 안내에는 “고객 데이터를 모델 학습에 사용하지 않는다”는 문구가 자주 등장한다. 그러나 학습하지 않는다는 약속은 요청을 다른 모델 사업자에게 보내지 않는다는 뜻이 아니다. 답을 만들기 위한 처리, 외부 모델 전송, 처리 후 보관은 각각 별도의 데이터 흐름이다.

여러 모델을 연결하는 라우팅 자체는 흔한 구조다. 질문 종류에 따라 더 싼 모델이나 더 강한 모델을 고르면 비용과 품질을 함께 관리할 수 있다. 문제는 그 경로를 사용자에게 알리지 않고, 실제 고객 요청을 경쟁 모델 학습용 수집 경로로 보냈다는 데 있다.

AI 서비스 화면보다 데이터가 가는 곳을 봐야 한다

AI 서비스를 고를 때 브랜드와 성능표만 비교해서는 부족하다. 이번 사건을 기준으로 따져볼 항목은 다섯 가지다.

1. 요청을 자체 모델만 처리하는가, 외부 모델 API에도 보낼 수 있는가.
2. 외부 처리업체와 실제 처리 위치를 공개하는가.
3. 입력·첨부파일·에이전트가 읽은 파일을 얼마나 오래 보관하는가.
4. 모델 학습, 품질 개선, 보안 분석의 동의를 각각 분리하는가.
5. 기업용 계약과 데이터 처리 부속 계약에서 중계 경로와 하위 처리업체를 확인할 수 있는가.

개발팀은 이 원리를 실제 작업 환경에 적용할 수 있다. 키와 비밀번호 같은 비밀값을 코드와 설정 파일에서 분리하고, AI 에이전트가 읽을 수 있는 폴더와 명령 범위를 줄인다. 서비스를 도입하기 전에는 하위 처리업체 목록과 데이터 처리 부속 계약을 확인한다.

중국 AI 전체가 Claude였던 것은 아니지만 고객 데이터는 Anthropic까지 전달됐다

Kimi와 DeepSeek가 자체 모델 없이 Claude를 포장만 바꾼 서비스였다고 결론 내리면 사실과 멀어진다. Anthropic이 확인한 것은 일부 요청을 Claude로 중계해 답변과 추론 특성을 대규모로 수집한 정황이다.

하지만 이 사실만으로도 문제는 충분히 크다. 사용자는 자신이 고른 AI와 대화한다고 생각했지만, 실제로는 보이지 않는 다른 모델이 답을 만들었다. 그 과정에서 CCTV 자료, 데이터베이스 접속 정보, 기업 전략과 API 키도 함께 전송됐다.

이번 사건이 드러낸 것은 중국 AI의 정체보다 AI 서비스의 화면과 데이터 처리 경로가 다를 수 있다는 사실이다. 앞으로 AI를 고를 때 가장 먼저 물어야 할 질문은 “어떤 모델이 더 똑똑한가”가 아니다. “내 데이터가 실제로 어디까지 가는가”다.

자주 묻는 질문