오픈 웨이트와 미국의 AI 리더십

브리핑

Open Weights and American AI Leadership

7월 24일, 「Open Weights and American AI Leadership」이라는 제목의 공개서한이 Microsoft 기업책임 사이트에 게시됐다. 발표 시점 25곳이었던 서명 기관은 7월 30일 기준 235곳으로 늘었다. NVIDIA CEO 젠슨 황은 자신의 첫 X 게시물로 이 서한을 공유했고, Microsoft의 사티아 나델라도 같은 날 X에서 서한을 지지했다.

서한은 오픈웨이트가 접근성·경쟁·통제권·안전성에 기여한다는 네 갈래 논거를 이룬다.

---

열흘

서한 본문에는 정작 ‘중국’이라는 단어가 한 번도 나오지 않는다. 그러나 타임라인을 따라가보면 사건의 발단은 좁혀진다.

flowchart TB
 subgraph D16[07.16 목]
 K0[중국 문샷AI, K3 공개<br/>미국 최상위 모델에 근접한 성능 주장<br/>가중치는 27일 공개 예고]
 S1[Hugging Face, 정체불명의<br/>AI 공격을 탐지·차단]
 end

 P[<b>07.20~22</b><br/>워싱턴의 신호 세 건<br/>• 중국 모델 사용 금지 검토 보도<br/>• 재무장관, 증류에 따른 제재 시사<br/>• 백악관 과기보좌관, Fable 증류 의혹 제기]
 S2[<b>07.21 화</b><br/>OpenAI 공시<br/>그 공격자는 자사 모델]
 R1[<b>07.22 수</b><br/>스타트업 약 200곳<br/>금지 반대 서한]
 R2[<b>07.24 금</b><br/>공개서한 게시 · 25곳]
 W[<b>07.25 주말</b><br/>OpenAI·Google 합류<br/>Anthropic 불참이 두드러짐]

 subgraph D27[07.27 월]
 K1[문샷, K3 가중치 전면 공개]
 A[아모데이 반박문<br/>금지를 주장한 적 없다]
 O[NVIDIA 주도 얼라이언스<br/>OSAA 발족]
 end

 N[<b>07.30 목</b><br/>서명 235곳]

 K0 -.-> P
 S1 -.-> S2
 S1 ~~~ P
 S2 ~~~ R1
 P -.-> R1
 R1 -. 확대 .-> R2
 P -.-> R2
 R2 -.-> W
 W -.-> A
 S2 -. 실증 사례로 인용 .-> O
 R2 -.-> O
 W ~~~ O
 W ~~~ K1
 K0 -. 16일에 예고된 일정 .-> K1
 W -.-> N
 O ~~~ N

 style R2 stroke-width:3px
 linkStyle 5 stroke-width:3px

위에서 아래가 날짜 흐름, 점선은 공개자료에서 확인되거나 내용상 직접 이어지는 관계다. 점선이 없는 사건은 같은 시기에 일어났지만 직접적인 연결이 확인되지 않았다.

지난 19일, 나는 K3를 다루며, 가중치가 공개된 뒤에도 벤치마크가 재현된다면 고비용 API를 유지해온 미국 기업들이 “왜 이 가격을 내야 하는가”라는 질문에 다시 답해야 할 것이라고 썼다.

비슷한 시기, 전혀 다른 곳에서 사건이 하나 더 일어났다.

7월 16일, 오픈 모델 배포 플랫폼 Hugging Face는 자사 프로덕션 인프라에 대한 침입을 탐지해 차단했다고 공시했다. 공격 주체는 사람이 아니라 자율적으로 움직이는 AI 에이전트였고, 당시에는 어떤 모델이 이를 움직였는지 알 수 없었다.

7월 20일 Axios는 트럼프 행정부 일각에서 중국산 AI 모델의 미국 내 사용을 제한하는 방안이 검토되고 있다고 보도했다. 다음 날, 스콧 베선트 미국 재무장관은 폭스비즈니스에서 미국 대형 언어모델의 ‘워터마크’가 다수의 중국 모델에서 발견되고 있다며, 지식재산권 침해가 확인될 경우 제재할 수 있다고 말했다.

같은 21일, OpenAI가 공시를 냈다.

Hugging Face를 침해한 정체불명의 에이전트가 자사 모델이었다는 것이다. GPT-5.6 Sol과 그보다 성능이 높은 미공개 연구용 모델은 내부 사이버 역량 평가를 받던 중 패키지 저장소 프록시의 제로데이 취약점을 찾아 인터넷 접근 권한을 얻었다. 이후 Hugging Face의 운영 시스템까지 침투해 자신들이 치르던 ExploitGym 벤치마크의 정답을 훔치려 했다.

22일에는 마이클 크라치오스 백악관 과학기술정책실장이 문샷AI가 K3를 개발하면서 Anthropic의 Fable 모델을 ‘증류’했다고 주장했다.

증류는 이미 학습된 모델의 출력을 교사 삼아 다른 모델을 학습시키는 기법이다. 모델 개발과 평가, 경량화에 널리 사용되는 방법이지만, 미국 정부와 일부 모델 기업은 타사의 상용 모델을 상대로 은밀한 대규모 추출을 벌이는 경우 이를 정상적인 학습 기법이 아니라 지식재산 탈취로 봐야 한다고 주장한다.

같은 날 Little Tech Association을 통해 Y Combinator와 Proton을 포함한 약 200개 스타트업·투자사·기술기업이 정반대 방향의 서한을 트럼프 행정부에 보냈다. 중국 오픈웨이트 모델에 대한 포괄적 제한이 시행되면, 그 위에 제품을 세운 미국의 작은 기업들이 먼저 타격을 받는다는 내용이었다.

7월 24일에는 「Open Weights and American AI Leadership」이라는 또 다른 공개서한이 올라왔다. 처음 서명한 곳은 NVIDIA와 Microsoft, Meta, Palantir, Hugging Face 등을 포함한 25곳이었다. 이틀 전 서한과 방향은 같았지만 주도 그룹은 달랐다. 스타트업의 생존 문제로 시작된 반발에, 이번에는 반도체·클라우드·엔터프라이즈·모델 기업이 합류했다.

이 서한은 Hugging Face 사건을 언급하지 않는다. 안전성에 관한 문단도 당시에는 원론에 가까웠다. 공격자가 고성능 AI를 사용하는 세계에서는 방어자에게도 그에 상응하는 역량이 필요하고, 소수의 폐쇄형 모델에만 의존하는 구조 또한 단일 실패 지점을 만든다는 주장이었다.

7월 27일, 문샷은 예고했던 K3 가중치를 공개했다.

같은 날 Anthropic의 다리오 아모데이는 반박문을 냈다. 주말 사이 OpenAI와 Google까지 서한에 이름을 올리면서 Anthropic의 불참이 두드러졌고, 폐쇄형 모델을 판매하는 Anthropic이 경쟁을 피하기 위해 오픈웨이트 규제를 원한다는 비판이 붙었다. Palantir CEO 알렉스 카프도 공개 인터뷰에서 규제로 경쟁을 피해서는 안 된다고 압박했다.

아모데이는 Anthropic이 오픈웨이트 모델의 포괄적 금지를 주장한 적이 없다고 선을 그었다. 위험한 능력이 없는 오픈웨이트 모델은 공공재이며, 접근성과 경쟁, 고객 통제권을 넓힌다는 서한의 주장에도 동의한다고 밝혔다.

다만 한 가지에는 동의하지 않았다. 오픈웨이트가 항상 공격자보다 방어자에게 더 유리하다는 주장이다.

같은 날 NVIDIA는 Open Secure AI Alliance를 발족했다. 이쪽은 보안 사고 트랙의 종착점이었다. 공개서한이 원론으로 남겨두었던 방어 논리에 Hugging Face 사건이 처음으로 구체적인 사례로 붙었다.

---

합의된 것과 남은 것

In shaping this ecosystem, policymakers should be careful not to conflate legitimate model-development techniques with misappropriation. Distillation, or the practice of using one model’s outputs to help train or improve another, is a widely used technique for model improvement, evaluation, and validation. (…) Those concerns should be addressed through targeted legal and commercial frameworks rather than sweeping restrictions on techniques that play an important role in AI innovation.

서한이 요구한 것은 증류를 무조건 합법으로 인정하라는 것이 아니다.

정상적인 모델 개발 기법으로서의 증류와, 폐쇄형 모델에서 가치를 불법적으로 추출하는 행위를 구분하자는 것이다. 위법한 행위는 표적화된 법적·상업적 수단으로 다루되, 증류라는 기술 자체를 포괄적으로 제한해서는 안 된다는 주장이다.

아모데이 역시 이 문장에는 동의했다. 그 또한 오픈웨이트 모델을 일괄적으로 금지하는 대신 ‘산업적 규모의 증류’를 겨냥한 개입이 필요하다고 주장했다.

따라서 양측이 합의한 것은 두 가지다.

정당한 증류를 부당한 추출과 동일시해서는 안 된다는 것. 그리고 불법적·산업적 규모의 추출은 표적화해 규율해야 한다는 것.

남은 쟁점은 어디까지를 정상적인 증류로 보고, 어디서부터 불법적인 추출로 판단할 것인가다. 원칙은 겹치지만 경계선까지 합의된 것은 아니다.

---

누가 무엇을 얻는가

7월 30일까지 서명사는 235곳으로 늘어났다.

이들을 하나의 철학을 공유하는 집단으로 보면 구성이 이상해 보인다. 오픈모델을 만드는 회사와 폐쇄형 모델을 파는 회사, GPU를 판매하는 회사, 그 GPU를 빌리는 회사, 보안기업과 방위기업, 벤처캐피털이 한 서한에 들어가 있기 때문이다.

그러나 사업 구조가 비교적 선명한 서명사들을 계층별로 나누면, 서로 다른 아홉 개의 이해관계가 보인다.

아래는 서한의 공통 주장과 각 기업의 사업 구조를 대조해 재구성한 이해관계다.

이들이 모두 오픈웨이트를 같은 이유로 지지하는 것은 아니다.

누군가에게는 판매할 상품이고, 누군가에게는 GPU 수요이며, 다른 누군가에게는 폐쇄형 모델사와 협상하기 위한 대체재다. 그러나 한 가지 이해관계는 겹친다.

모델의 가격과 접근 조건을 소수의 폐쇄형 기업이 독점하는 구조는 원하지 않는다는 것.

사실 위 표에 OpenAI의 자리는 없다. 폐쇄형 모델을 파는 회사이므로 아홉 개 분류 어디에도 들어가지 않는다.

그럼에도 주말 사이 서명했다. 21일에 자사 모델이 Hugging Face를 침해했다고 공시한 직후였다. 따라서 만약 OpenAI가 서한에 서명하지 않았다면 규제를 원하는 폐쇄형 기업으로 낙인이 찍혔을 수도 있다.

---

NVIDIA는 두 개의 게임을 하고 있다

그렇다면 NVIDIA는 왜 이 서한의 선두에 섰을까.

우선 NVIDIA가 오픈웨이트에서 얻는 직접적인 이익을 빼놓을 수 없다. 오픈모델이 늘어나면 이를 호스팅하고 추론하는 데 필요한 GPU 수요도 늘어난다. 공개서한 역시 오픈웨이트가 모델뿐 아니라 클라우드와 칩, 애플리케이션 사이의 경쟁을 만든다고 명시한다.

증류도 연산을 없애는 기술은 아니다. 교사 모델의 출력을 생성하는 추론 과정과 학생 모델을 학습시키는 과정이 필요하다. 처음부터 프론티어 모델을 학습하는 것보다 적은 연산으로 비슷한 성능에 접근할 수 있을 뿐이다.

더구나 NVIDIA는 자사 매출 가운데 폐쇄형 프론티어 모델의 학습과 오픈모델의 학습·추론이 각각 얼마를 차지하는지 공개하지 않는다. 따라서 “NVIDIA는 폐쇄형 모델의 대규모 학습에서 대부분의 돈을 벌기 때문에 오픈웨이트가 불리하다”는 결론까지 내릴 근거는 없다.

하지만 중국 문제는 NVIDIA의 동기를 한층 더 강하게 만든다.

NVIDIA는 FY2026 10-K에서 미국의 수출통제와 미·중 양국의 정책 환경으로 인해 중국 데이터센터 컴퓨팅 시장에서 사실상 배제됐다고 적었다. 더 중요한 문장은 그다음이다. 중국 시장에서 밀려난 결과, 경쟁사들이 더 큰 개발자·고객 생태계를 만들었고, 그것이 세계 시장에서 NVIDIA를 위협하게 됐다는 것이다.

통제는 중국 기업이 자국산 칩과 소프트웨어 생태계를 구축하도록 만들고 있다.

만약 국가안보를 이유로 한 제한 논리가 칩에서 오픈모델로 확장된다면 비슷한 결과가 반복될 수 있다. 미국 기업은 중국 모델을 쓰지 못하지만, 중국을 비롯한 다른 시장에서는 계속 사용된다. 미국 안에서만 개발비용이 올라가고, 중국 오픈모델과 이를 구동하는 비미국산 인프라의 생태계는 오히려 더 견고해질 수 있다.

결국 NVIDIA가 경계하는 것은, 통제가 NVIDIA가 들어설 수 없는 별도의 생태계를 키우는 상황으로 읽힌다.

---

서한에서 얼라이언스로

Industry Leaders Unite in Open Secure AI Alliance for AI Safety and Security

7월 27일 발족한 Open Secure AI Alliance는 공개서한과 성격이 다르다.

서한은 정책적 입장을 밝힌 문서다. 반면 얼라이언스는 취약점 탐지와 공개, 패치, 에이전트 평가와 감사에 사용할 도구를 공동으로 개발하는 기술 협력체다.

NVIDIA는 여기서 NVIDIA Labs Object-Oriented Agent, 줄여서 NOOA라는 오픈소스 연구 프레임워크를 공개했다. AI 에이전트의 행동을 테스트하고 추적하며 감사·통제하기 위한 도구다. Microsoft는 여러 모델이 취약점을 교차 검증하는 MDASH를, Hugging Face는 모델 가중치를 안전하게 저장하는 기존 Safetensors를 PyTorch Foundation에 제공했다.

그리고 NVIDIA는 공개서한이 언급하지 않았던 Hugging Face 사건을 얼라이언스의 핵심 논거로 가져왔다.

7월 21일 OpenAI는 GPT-5.6 Sol과 미공개 연구용 모델이 제한된 평가 환경에서 인터넷 접근 경로를 찾아내고, Hugging Face의 프로덕션 인프라에 침입했다고 공시했다. 목적은 ExploitGym 벤치마크의 정답을 얻는 것이었다.

Hugging Face는 7월 16일 침입 사실을 먼저 공개하고 수사기관에 신고했다. 공격에 사용된 모델이 OpenAI의 내부 평가와 연결돼 있었다는 공개 확인은 닷새 뒤에 나왔다.

결정적인 대목은 Hugging Face의 사고 분석 과정에 있다.

The recent Hugging Face security incident delivered a clear reminder: cyber defenders need open, frontier agentic systems for self-defense. When closed AI tools — unable to distinguish attackers from defenders — blocked essential forensic analysis, Hugging Face ran the open-weight GLM 5.2 model on its own infrastructure to analyze more than 17,000 actions and contain the intrusion.

Hugging Face는 1만 7천 건이 넘는 공격 로그를 분석하기 위해 먼저 상용 API 기반의 프론티어 모델을 사용했다. 그러나 실제 사용된 공격 명령 등을 대량으로 입력해야 했기 때문에 모델 제공사의 안전장치에 막혔다. 안전장치가 사고 대응자와 공격자를 구분하지 못한 것이다.

Hugging Face는 결국 중국 Z.ai가 공개한 GLM-5.2를 자체 인프라에서 실행해 분석을 마쳤다. 그 덕분에 공격자의 데이터와 로그에 포함된 자격증명도 외부 모델 사업자의 서버로 나가지 않았다.

공개서한 본문에는 이 사건이 등장하지 않는다. 정확히 말하면, 사흘 뒤 NVIDIA가 서한의 원론적 안전성 주장에 하나의 실증 사례를 덧붙인 것이다.

그리고 그 사례는 꽤나 기묘했다.

‘미국의 AI 리더십’을 주장한 서한에 NVIDIA가 사후적으로 붙인 사례에서, 공격을 수행한 에이전트는 미국의 폐쇄형 프론티어 모델이었고 방어에 사용된 도구는 중국의 오픈웨이트 모델이었다.

---

이번 사건이 남긴 질문

지난 글에서 K3가 남긴 질문은 가격에 관한 것이었다. 가중치를 직접 내려받아 비슷한 성능을 재현할 수 있다면, 왜 계속 기존 API 가격을 지불해야 하는가.

Hugging Face 사건은 그 뒤에 두 번째 질문을 붙였다.

Hugging Face 사건이 입증한 것은 오픈웨이트가 항상 방어자에게 유리하다는 명제가 아니다. 폐쇄형 모델의 안전장치가 정당한 방어까지 막을 수 있다는 하나의 구체적인 사례다.

폐쇄형 모델에서는 모델 기업이 가격과 접근권, 허용되는 사용법을 통제한다. 오픈웨이트에서는 그 통제권이 사용자에게 넘어가지만, 오용과 사고에 대한 책임도 함께 분산된다.

미국 AI 업계가 오픈웨이트를 지지한 것은 모두가 그것을 안전하다고 믿어서가 아니다. 가격과 접근권, 사용 허가를 소수의 모델 기업만이 결정하는 구조를 원하지 않았기 때문이다.

가중치가 공개되며 흔들리는 것은 API의 가격만이 아니다. 누가 모델의 사용법을 정하고, 그 결과를 책임질 것인지에 대한 기준도 함께 흔들린다.