오픈 웨이트와 미국의 AI 리더십

브리핑

Open Weights and American AI Leadershiphttps://www.microsoft.com/en-us/corporate-responsibility/topics/open-weight/

7월 24일, 「Open Weights and American AI Leadership」이라는 제목의 공개서한이 Microsoft 기업책임 사이트에 게시됐다. 발표 시점 25곳이었던 서명 기관은 7월 30일 기준 235곳으로 늘었다. NVIDIA CEO 젠슨 황은 자신의 첫 X 게시물로 이 서한을 공유했고, Microsoft의 사티아 나델라도 같은 날 X에서 서한을 지지했다.

서한은 오픈웨이트가 접근성·경쟁·통제권·안전성에 기여한다는 네 갈래 논거를 이룬다.

열흘

서한 본문에는 정작 ‘중국’이라는 단어가 한 번도 나오지 않는다. 그러나 타임라인을 따라가보면 사건의 발단은 좁혀진다.

flowchart TB
 subgraph D16[07.16 목]
 K0[중국 문샷AI, K3 공개<br/>미국 최상위 모델에 근접한 성능 주장<br/>가중치는 27일 공개 예고]
 S1[Hugging Face, 정체불명의<br/>AI 공격을 탐지·차단]
 end

 P[<b>07.20~22</b><br/>워싱턴의 신호 세 건<br/>• 중국 모델 사용 금지 검토 보도<br/>• 재무장관, 증류에 따른 제재 시사<br/>• 백악관 과기보좌관, Fable 증류 의혹 제기]
 S2[<b>07.21 화</b><br/>OpenAI 공시<br/>그 공격자는 자사 모델]
 R1[<b>07.22 수</b><br/>스타트업 약 200곳<br/>금지 반대 서한]
 R2[<b>07.24 금</b><br/>공개서한 게시 · 25곳]
 W[<b>07.25 주말</b><br/>OpenAI·Google 합류<br/>Anthropic 불참이 두드러짐]

 subgraph D27[07.27 월]
 K1[문샷, K3 가중치 전면 공개]
 A[아모데이 반박문<br/>금지를 주장한 적 없다]
 O[NVIDIA 주도 얼라이언스<br/>OSAA 발족]
 end

 N[<b>07.30 목</b><br/>서명 235곳]

 K0 -.-> P
 S1 -.-> S2
 S1 ~~~ P
 S2 ~~~ R1
 P -.-> R1
 R1 -. 확대 .-> R2
 P -.-> R2
 R2 -.-> W
 W -.-> A
 S2 -. 실증 사례로 인용 .-> O
 R2 -.-> O
 W ~~~ O
 W ~~~ K1
 K0 -. 16일에 예고된 일정 .-> K1
 W -.-> N
 O ~~~ N

 style R2 stroke-width:3px
 linkStyle 5 stroke-width:3px

위에서 아래가 날짜 흐름, 점선은 공개자료에서 확인되거나 내용상 직접 이어지는 관계다. 점선이 없는 사건은 같은 시기에 일어났지만 직접적인 연결이 확인되지 않았다.

지난 19일, 나는 K3를 다루며, 가중치가 공개된 뒤에도 벤치마크가 재현된다면 고비용 API를 유지해온 미국 기업들이 “왜 이 가격을 내야 하는가”라는 질문에 다시 답해야 할 것이라고 썼다.

비슷한 시기, 전혀 다른 곳에서 사건이 하나 더 일어났다.

7월 16일, 오픈 모델 배포 플랫폼 Hugging Face는 자사 프로덕션 인프라에 대한 침입을 탐지해 차단했다고 공시했다. 공격 주체는 사람이 아니라 자율적으로 움직이는 AI 에이전트였고, 당시에는 어떤 모델이 이를 움직였는지 알 수 없었다.

7월 20일 Axios는 트럼프 행정부 일각에서 중국산 AI 모델의 미국 내 사용을 제한하는 방안이 검토되고 있다고 보도했다. 다음 날, 스콧 베선트 미국 재무장관은 폭스비즈니스에서 미국 대형 언어모델의 ‘워터마크’가 다수의 중국 모델에서 발견되고 있다며, 지식재산권 침해가 확인될 경우 제재할 수 있다고 말했다.

같은 21일, OpenAI가 공시를 냈다.

Hugging Face를 침해한 정체불명의 에이전트가 자사 모델이었다는 것이다. GPT-5.6 Sol과 그보다 성능이 높은 미공개 연구용 모델은 내부 사이버 역량 평가를 받던 중 패키지 저장소 프록시의 제로데이 취약점을 찾아 인터넷 접근 권한을 얻었다. 이후 Hugging Face의 운영 시스템까지 침투해 자신들이 치르던 ExploitGym 벤치마크의 정답을 훔치려 했다.

22일에는 마이클 크라치오스 백악관 과학기술정책실장이 문샷AI가 K3를 개발하면서 Anthropic의 Fable 모델을 ‘증류’했다고 주장했다.

증류는 이미 학습된 모델의 출력을 교사 삼아 다른 모델을 학습시키는 기법이다. 모델 개발과 평가, 경량화에 널리 사용되는 방법이지만, 미국 정부와 일부 모델 기업은 타사의 상용 모델을 상대로 은밀한 대규모 추출을 벌이는 경우 이를 정상적인 학습 기법이 아니라 지식재산 탈취로 봐야 한다고 주장한다.

같은 날 Little Tech Association을 통해 Y Combinator와 Proton을 포함한 약 200개 스타트업·투자사·기술기업이 정반대 방향의 서한을 트럼프 행정부에 보냈다. 중국 오픈웨이트 모델에 대한 포괄적 제한이 시행되면, 그 위에 제품을 세운 미국의 작은 기업들이 먼저 타격을 받는다는 내용이었다.

7월 24일에는 「Open Weights and American AI Leadership」이라는 또 다른 공개서한이 올라왔다. 처음 서명한 곳은 NVIDIA와 Microsoft, Meta, Palantir, Hugging Face 등을 포함한 25곳이었다. 이틀 전 서한과 방향은 같았지만 주도 그룹은 달랐다. 스타트업의 생존 문제로 시작된 반발에, 이번에는 반도체·클라우드·엔터프라이즈·모델 기업이 합류했다.

이 서한은 Hugging Face 사건을 언급하지 않는다. 안전성에 관한 문단도 당시에는 원론에 가까웠다. 공격자가 고성능 AI를 사용하는 세계에서는 방어자에게도 그에 상응하는 역량이 필요하고, 소수의 폐쇄형 모델에만 의존하는 구조 또한 단일 실패 지점을 만든다는 주장이었다.

7월 27일, 문샷은 예고했던 K3 가중치를 공개했다.

같은 날 Anthropic의 다리오 아모데이는 반박문을 냈다. 주말 사이 OpenAI와 Google까지 서한에 이름을 올리면서 Anthropic의 불참이 두드러졌고, 폐쇄형 모델을 판매하는 Anthropic이 경쟁을 피하기 위해 오픈웨이트 규제를 원한다는 비판이 붙었다. Palantir CEO 알렉스 카프도 공개 인터뷰에서 규제로 경쟁을 피해서는 안 된다고 압박했다.

아모데이는 Anthropic이 오픈웨이트 모델의 포괄적 금지를 주장한 적이 없다고 선을 그었다. 위험한 능력이 없는 오픈웨이트 모델은 공공재이며, 접근성과 경쟁, 고객 통제권을 넓힌다는 서한의 주장에도 동의한다고 밝혔다.

다만 한 가지에는 동의하지 않았다. 오픈웨이트가 항상 공격자보다 방어자에게 더 유리하다는 주장이다.

같은 날 NVIDIA는 Open Secure AI Alliance를 발족했다. 이쪽은 보안 사고 트랙의 종착점이었다. 공개서한이 원론으로 남겨두었던 방어 논리에 Hugging Face 사건이 처음으로 구체적인 사례로 붙었다.

합의된 것과 남은 것

In shaping this ecosystem, policymakers should be careful not to conflate legitimate model-development techniques with misappropriation. Distillation, or the practice of using one model’s outputs to help train or improve another, is a widely used technique for model improvement, evaluation, and validation. (…) Those concerns should be addressed through targeted legal and commercial frameworks rather than sweeping restrictions on techniques that play an important role in AI innovation.

서한이 요구한 것은 증류를 무조건 합법으로 인정하라는 것이 아니다.

정상적인 모델 개발 기법으로서의 증류와, 폐쇄형 모델에서 가치를 불법적으로 추출하는 행위를 구분하자는 것이다. 위법한 행위는 표적화된 법적·상업적 수단으로 다루되, 증류라는 기술 자체를 포괄적으로 제한해서는 안 된다는 주장이다.

아모데이 역시 이 문장에는 동의했다. 그 또한 오픈웨이트 모델을 일괄적으로 금지하는 대신 ‘산업적 규모의 증류’를 겨냥한 개입이 필요하다고 주장했다.

따라서 양측이 합의한 것은 두 가지다.

정당한 증류를 부당한 추출과 동일시해서는 안 된다는 것. 그리고 불법적·산업적 규모의 추출은 표적화해 규율해야 한다는 것.

남은 쟁점은 어디까지를 정상적인 증류로 보고, 어디서부터 불법적인 추출로 판단할 것인가다. 원칙은 겹치지만 경계선까지 합의된 것은 아니다.

누가 무엇을 얻는가

7월 30일까지 서명사는 235곳으로 늘어났다.

이들을 하나의 철학을 공유하는 집단으로 보면 구성이 이상해 보인다. 오픈모델을 만드는 회사와 폐쇄형 모델을 파는 회사, GPU를 판매하는 회사, 그 GPU를 빌리는 회사, 보안기업과 방위기업, 벤처캐피털이 한 서한에 들어가 있기 때문이다.

그러나 사업 구조가 비교적 선명한 서명사들을 계층별로 나누면, 서로 다른 아홉 개의 이해관계가 보인다.

아래는 서한의 공통 주장과 각 기업의 사업 구조를 대조해 재구성한 이해관계다.

이들이 모두 오픈웨이트를 같은 이유로 지지하는 것은 아니다.

누군가에게는 판매할 상품이고, 누군가에게는 GPU 수요이며, 다른 누군가에게는 폐쇄형 모델사와 협상하기 위한 대체재다. 그러나 한 가지 이해관계는 겹친다.

모델의 가격과 접근 조건을 소수의 폐쇄형 기업이 독점하는 구조는 원하지 않는다는 것.

사실 위 표만으로는 OpenAI의 자리를 설명하기 어렵다. 현재의 핵심 사업만 보면 폐쇄형 모델과 API를 판매하는 회사이기 때문이다. 오픈웨이트가 늘어날수록 가격과 접근권을 독점하기 어려워진다는 점에서, 오히려 이 서한이 견제하는 대상에 더 가까워 보인다.

그러나 OpenAI의 출발점은 지금의 사업 구조와 달랐다.

2015년 설립문에서 OpenAI는 주주의 이익보다 모두를 위한 가치를 만드는 비영리 연구기관을 표방했다. 연구자가 논문과 글, 코드를 공개하도록 장려하고 특허도 세계와 공유하겠다고 약속했다. 이후 헌장에서도 AGI의 혜택이 널리 분배되어야 하며, 사회가 AGI에 이르는 데 필요한 공공재를 제공하겠다는 원칙을 남겼다.

이를 ‘모든 모델을 반드시 오픈소스로 공개하겠다는 약속’으로 읽는 것은 정확하지 않다. 헌장부터 이미 안전과 보안을 이유로 전통적인 연구 공개가 줄어들 수 있다고 명시했기 때문이다. 다만 강력한 AI의 성과가 한 회사에만 집중되어서는 안 되며, 연구 성과와 도구를 가능한 한 널리 공유해야 한다는 태도가 OpenAI의 초기 정체성이었던 것은 분명하다.

이 흔적이 완전히 사라진 것도 아니다. OpenAI는 최근 4월까지도 OpenAI Privacy Filter와 같은 오픈웨이트 모델을 공개하면서, AI를 가능한 한 많은 사람의 손에 쥐여주는 것이 자사의 사명이라고 다시 설명했다. 오픈 모델과 폐쇄형 모델 가운데 하나만 택하는 것은 잘못된 양자택일이며, 둘은 함께 필요하다는 입장도 밝혔다.

따라서 OpenAI의 서명은 갑작스러운 노선 전환이라기보다, 현재의 폐쇄형 프론티어 사업과 자신들이 출발할 때 내세웠던 공개의 원칙을 함께 유지하기 위한 선택에 가깝다. 가장 앞선 모델은 통제된 형태로 판매하더라도, 그 아래에 누구나 내려받아 수정하고 운영할 수 있는 모델 층까지 사라지는 것은 원하지 않는다는 것이다.

NVIDIA는 두 개의 게임을 하고 있다

그렇다면 NVIDIA는 왜 이 서한의 선두에 섰을까.

우선 NVIDIA가 오픈웨이트에서 얻는 직접적인 이익을 빼놓을 수 없다. 오픈모델이 늘어나면 이를 호스팅하고 추론하는 데 필요한 GPU 수요도 늘어난다. 공개서한 역시 오픈웨이트가 모델뿐 아니라 클라우드와 칩, 애플리케이션 사이의 경쟁을 만든다고 명시한다.

증류도 연산을 없애는 기술은 아니다. 교사 모델의 출력을 생성하는 추론 과정과 학생 모델을 학습시키는 과정이 필요하다. 처음부터 프론티어 모델을 학습하는 것보다 적은 연산으로 비슷한 성능에 접근할 수 있을 뿐이다.

더구나 NVIDIA는 자사 매출 가운데 폐쇄형 프론티어 모델의 학습과 오픈모델의 학습·추론이 각각 얼마를 차지하는지 공개하지 않는다. 따라서 “NVIDIA는 폐쇄형 모델의 대규모 학습에서 대부분의 돈을 벌기 때문에 오픈웨이트가 불리하다”는 결론까지 내릴 근거는 없다.

하지만 중국 문제는 NVIDIA의 동기를 한층 더 강하게 만든다.

NVIDIA는 FY2026 10-K에서 미국의 수출통제와 미·중 양국의 정책 환경으로 인해 중국 데이터센터 컴퓨팅 시장에서 사실상 배제됐다고 적었다. 더 중요한 문장은 그다음이다. 중국 시장에서 밀려난 결과, 경쟁사들이 더 큰 개발자·고객 생태계를 만들었고, 그것이 세계 시장에서 NVIDIA를 위협하게 됐다는 것이다.

통제는 중국 기업이 자국산 칩과 소프트웨어 생태계를 구축하도록 만들고 있다.

만약 국가안보를 이유로 한 제한 논리가 칩에서 오픈모델로 확장된다면 비슷한 결과가 반복될 수 있다. 미국 기업은 중국 모델을 쓰지 못하지만, 중국을 비롯한 다른 시장에서는 계속 사용된다. 미국 안에서만 개발비용이 올라가고, 중국 오픈모델과 이를 구동하는 비미국산 인프라의 생태계는 오히려 더 견고해질 수 있다.

결국 NVIDIA가 경계하는 것은, 통제가 NVIDIA가 들어설 수 없는 별도의 생태계를 키우는 상황으로 읽힌다.

서한에서 얼라이언스로

Industry Leaders Unite in Open Secure AI Alliance for AI Safety and Securityhttps://blogs.nvidia.com/blog/open-secure-ai-alliance/

7월 27일 발족한 Open Secure AI Alliance는 공개서한과 성격이 다르다.

서한은 정책적 입장을 밝힌 문서다. 반면 얼라이언스는 취약점 탐지와 공개, 패치, 에이전트 평가와 감사에 사용할 도구를 공동으로 개발하는 기술 협력체다.

NVIDIA는 여기서 NVIDIA Labs Object-Oriented Agent, 줄여서 NOOA라는 오픈소스 연구 프레임워크를 공개했다. AI 에이전트의 행동을 테스트하고 추적하며 감사·통제하기 위한 도구다. Microsoft는 여러 모델이 취약점을 교차 검증하는 MDASH를, Hugging Face는 모델 가중치를 안전하게 저장하는 기존 Safetensors를 PyTorch Foundation에 제공했다.

그리고 NVIDIA는 공개서한이 언급하지 않았던 Hugging Face 사건을 얼라이언스의 핵심 논거로 가져왔다.

7월 21일 OpenAI는 GPT-5.6 Sol과 미공개 연구용 모델이 제한된 평가 환경에서 인터넷 접근 경로를 찾아내고, Hugging Face의 프로덕션 인프라에 침입했다고 공시했다. 목적은 ExploitGym 벤치마크의 정답을 얻는 것이었다.

Hugging Face는 7월 16일 침입 사실을 먼저 공개하고 수사기관에 신고했다. 공격에 사용된 모델이 OpenAI의 내부 평가와 연결돼 있었다는 공개 확인은 닷새 뒤에 나왔다.

결정적인 대목은 Hugging Face의 사고 분석 과정에 있다.

The recent Hugging Face security incident delivered a clear reminder: cyber defenders need open, frontier agentic systems for self-defense. When closed AI tools — unable to distinguish attackers from defenders — blocked essential forensic analysis, Hugging Face ran the open-weight GLM 5.2 model on its own infrastructure to analyze more than 17,000 actions and contain the intrusion.

Hugging Face는 1만 7천 건이 넘는 공격 로그를 분석하기 위해 먼저 상용 API 기반의 프론티어 모델을 사용했다. 그러나 실제 사용된 공격 명령 등을 대량으로 입력해야 했기 때문에 모델 제공사의 안전장치에 막혔다. 안전장치가 사고 대응자와 공격자를 구분하지 못한 것이다.

Hugging Face는 결국 중국 Z.ai가 공개한 GLM-5.2를 자체 인프라에서 실행해 분석을 마쳤다. 그 덕분에 공격자의 데이터와 로그에 포함된 자격증명도 외부 모델 사업자의 서버로 나가지 않았다.

공개서한 본문에는 이 사건이 등장하지 않는다. 정확히 말하면, 사흘 뒤 NVIDIA가 서한의 원론적 안전성 주장에 하나의 실증 사례를 덧붙인 것이다.

그리고 그 사례는 꽤나 기묘했다.

‘미국의 AI 리더십’을 주장한 서한에 NVIDIA가 사후적으로 붙인 사례에서, 공격을 수행한 에이전트는 미국의 폐쇄형 프론티어 모델이었고 방어에 사용된 도구는 중국의 오픈웨이트 모델이었다.

이번 사건이 남긴 질문

지난 글에서 K3가 남긴 질문은 가격에 관한 것이었다. 가중치를 직접 내려받아 비슷한 성능을 재현할 수 있다면, 왜 계속 기존 API 가격을 지불해야 하는가.

Hugging Face 사건은 그 뒤에 두 번째 질문을 붙였다.

Hugging Face 사건이 입증한 것은 오픈웨이트가 항상 방어자에게 유리하다는 명제가 아니다. 폐쇄형 모델의 안전장치가 정당한 방어까지 막을 수 있다는 하나의 구체적인 사례다.

폐쇄형 모델에서는 모델 기업이 가격과 접근권, 허용되는 사용법을 통제한다. 오픈웨이트에서는 그 통제권이 사용자에게 넘어가지만, 오용과 사고에 대한 책임도 함께 분산된다.

미국 AI 업계가 오픈웨이트를 지지한 것은 모두가 그것을 안전하다고 믿어서가 아니다. 가격과 접근권, 사용 허가를 소수의 모델 기업만이 결정하는 구조를 원하지 않았기 때문이다.

가중치가 공개되며 흔들리는 것은 API의 가격만이 아니다. 누가 모델의 사용법을 정하고, 그 결과를 책임질 것인지에 대한 기준도 함께 흔들린다.

그리고 여기에는 마지막 질문이 하나 더 남는다.

왜 이 서한은 단순히 ‘오픈웨이트’만을 말하지 않고, 굳이 ‘미국의 AI 리더십’을 제목에 붙였을까.

가장 직접적인 이유는 이 글이 미국의 정책결정자를 설득하기 위한 서한이기 때문이다. 그래서 서한은 오픈웨이트를 미국의 번영과 기술주권, 국가경쟁력의 언어로 번역한다.

그러나 단순한 수사만은 아니다. 서한은 미국의 AI 리더십이 가장 뛰어난 프론티어 모델 하나로 결정되는 것이 아니라, AI가 사회에 얼마나 널리 퍼지는지에 달렸다고 주장한다. 이 관점에서 오픈웨이트는 무료에 가까운 대체재가 아니라, 개인과 기업을 특정 국가의 기술 생태계 안으로 끌어들이는 배포망이다. 어떤 나라의 모델이 더 많이 채택되느냐에 따라, 그 나라의 칩과 클라우드, 개발도구와 기술표준도 함께 퍼진다.

중국 오픈웨이트 모델의 성능과 가격이 빠르게 미국을 따라잡고, 일부 앞선 지금, 이 논리는 더 절박해졌다. 미국이 자국의 강력한 오픈모델 생태계는 만들지 않은 채 중국 모델만 막는다면, 미국 기업은 소수의 고가 API에 더 깊게 종속될 수 있다. 반면 미국 밖의 개인과 기업은 계속 중국 모델 위에 제품과 도구를 쌓을 것이다. 규제가 미국의 폐쇄형 모델 기업을 잠시 보호하는 대신, 세계의 오픈 생태계 자체를 중국 쪽으로 밀어줄 수 있다는 뜻이다.

그래서 이 서한에서 ‘미국의 리더십’은 개방과 반대되는 말이 아니다. 적어도 서명사들의 논리 안에서는, 미국이 오픈웨이트를 금지하지 않는 것을 넘어 직접 공급하고 퍼뜨려야 세계의 AI 생태계를 미국 중심으로 유지할 수 있다는 주장이다. OpenAI가 2025년 자사의 오픈웨이트 모델을 두고 ‘미국이 주도하는 레일’이라는 표현을 사용한 것도 같은 맥락이다.

다만 이 표현은 서한의 한계도 드러낸다.

이들이 지키려는 것은 국경 없는 개방성 그 자체일까. 아니면 ‘미국이 주도하는 동안의 개방성’일까.

서한은 중국을 직접 언급하지 않는다. 하지만 서한이 나온 계기는 중국 모델에 대한 제한 논의였고, 사흘 뒤 NVIDIA가 붙인 대표 사례에서는 미국의 폐쇄형 모델이 공격에 사용되고 중국의 오픈웨이트 모델이 방어에 사용됐다.

다음번에도 가장 강력한 오픈웨이트 모델이 중국에서 나온다면, 과연 이 기업들은 미국 사용자의 접근권을 똑같이 옹호할 수 있을까.