앤트로픽 "지푸AI GLM-5.3, 사이버 공격 능력 강력하나 안전장치 취약" 경고

앤트로픽 프론티어 레드팀은 중국 지푸AI(Zhipu AI)의 오픈웨이트 모델 'GLM-5.3'에 대한 심층 보안 평가 보고서를 공개했다. 핵심 결론은 명확하다. GLM-5.3은 클로드 미소스 프리뷰에 준하는 정교한 사이버 공격 도구를 자율적으로 제작할 수 있는 역량을 갖췄지만, 오남용을 막을 안전장치는 사실상 전무하다는 점이다.

앤트로픽은 5개월 전 동급 능력을 지닌 클로드 미소스 프리뷰를 발표하면서 악용 방지를 위해 엄격한 신원 검증을 통과한 방어자에게만 프로젝트 글래스윙을 통해 제한적으로 제공했다. 그러나 유사한 성능의 오픈 모델이 등장하면서 이러한 방벽이 허물어졌다.

실전 테스트 결과: 클로드 미소스에 근접한 해킹 능력

구글 크롬의 V8 엔진 취약점을 공략하는 익스플로잇벤치 평가에서 GLM-5.3은 410회 시도 중 50회 성공을 기록했다. 클로드 미소스 프리뷰의 56회와 비교해도 손색없는 수준이다.

오픈소스 바이너리 보안 결함을 분석하는 테스트에서도 GLM-5.3은 100개 프로젝트 중 4%에서 제어 흐름 전체를 탈취하는 데 성공했다. 클로드 미소스 프리뷰의 6%보다는 다소 낮지만, 이전 세대인 클로드 오퍼스 4.6이나 GLM-5.2가 단 1회도 성공하지 못했던 것과 비교하면 임계점을 넘었다는 평가다.

보안 전문가가 참여한 실제 환경 테스트에서는 위력이 더 두드러졌다. 연구원이 1시간 미만의 방향성만 제시했음에도, GLM-5.3은 단 하루 만에 리눅스 브라우저의 미공개 자바스크립트 제로데이 취약점들을 찾아내 방문자의 로컬 파일을 무단 탈취하는 익스플로잇 코드로 엮어냈다.

경량화 모델인 GLM-5.3-Flash 역시 강력했다. 최근 공개된 크롬 취약점(CVE-2026-11645) 패치 정보를 주자, 20분의 사람 개입과 8시간의 모델 연산만으로 포인터 인증을 우회하는 공격 체인을 완성했다. 지푸AI의 API 기준 투입 비용은 고작 20.40달러였다.

미국 국립표준기술연구원(NIST) 산하 CAISI도 지난 9월 17일 자체 보고서를 통해 GLM-5.3이 지금까지 공개된 오픈웨이트 모델 중 가장 강력한 사이버 역량을 지녔으며, 미국 선도 모델과 불과 4개월가량의 격차만 보인다고 공식 발표한 바 있다.

4,400달러면 안전망 완전 무력화 가능

문제는 GLM-5.3의 안전망이 아주 기초적인 기법만으로도 손쉽게 뚫린다는 사실이다.

모델에 '모의 훈련 중인 레드팀 에이전트'라고 속이는 유도 프롬프트를 입력하면 64% 확률로 공격 코드를 작성했고, API를 통해 모델의 생각 토큰(Thinking Tokens)을 승인된 것처럼 미리 채워 넣는 방식을 쓰면 우회율이 92%까지 치솟았다.

가장 치명적인 것은 가중치가 공개된 모델의 특성을 악용한 거부 반응 제거(Abliteration)다. 앤트로픽 연구진이 직접 시도한 결과, 약 2,200 GPU 시간과 4,400달러 안팎의 연산 비용만으로 모델의 거부율을 기존 90% 이상에서 2% 내지 3% 수준으로 떨어뜨릴 수 있었다.

이러한 개조를 거쳐도 모델 고유의 과학 연산 능력이나 해킹 수행 능력은 거의 떨어지지 않았다. 반면 철저한 보호 조치가 적용된 클로드 모델들은 유도 프롬프트 공격을 차단했고, API 차원에서 생각 토큰 사전 입력을 금지하고 있어 동일한 공격이 통하지 않았다.

왜 중요한가

사이버 보안 방어자에게 GLM-5.3은 저렴하고 강력한 보안 점검 도구가 될 수 있지만, 악의적 해커들에게는 사실상 무제한의 무기가 풀린 셈이다. 이제 정교한 제로데이 익스플로잇 제작 역량을 대형 해킹 조직뿐만 아니라 몇천 달러의 자금력을 지닌 일반 범죄 집단도 손에 쥐게 되었다.

이는 폐쇄형 모델과 오픈웨이트 모델 간의 근본적인 안전 격차를 여실히 드러낸다. 아무리 정교한 후행 학습으로 안전장치를 심어두더라도, 모델 가중치 자체가 개방되어 있다면 저비용 연산만으로 안전장치를 완전히 발라낼 수 있다는 뜻이다.

우리는 앤트로픽의 이번 경고가 향후 AI 기반 사이버 보안 지형을 급격히 바꿀 것으로 본다. 공격자가 규제 없는 도구를 쥔 상황에서 방어자에게만 엄격한 잣대를 요구할 수는 없기 때문이다. 결국 보안 방어 진영에서도 동일한 수준의 자율형 AI 도구를 광범위하게 도입할 수밖에 없으며, 창과 방패 모두가 AI로 자동화되는 속도전이 본격화될 전망이다.