[분석] 페이블 5, 생화학 무기 레시피 유출···백악관 뒤흔든 '플리니 폭탄'

英 AISI 레드팀 요원의 자폭 보고서
해킹 성능 과시가 통제 실패 증거로
디지털 무당식 조잡한 공격에 붕괴
레거시 모델이라고 무기 못 만들까?

도널드 트럼프 미국 대통령이 지난 3월 2일(현지 시간) 워싱턴 백악관 이스트룸에서 열린 명예 훈장 수여식에 참석하고 있다. / AP=연합뉴스

도널드 트럼프 대통령이 앤스로픽의 미토스(Mythos) 5와 페이블(Fable) 5를 대상으로 수출 금지 명령을 내린 사건의 내막이 밝혀졌다. 앤스로픽이 수년간 강조해 온 안전 체계가 조잡한 프롬프트 우회 기법에 무너진 것으로 드러나면서 인공지능(AI) 산업 전반의 격변이 예고된다.

16일 복수의 글로벌 테크업계 관계자와 리버티 프로토콜의 전방위 OSINT 분석을 종합하면 백악관과 국가안보 라인이 문제 삼은 것은 아마존이 스콧 베센트 재무장관을 경유한 제보 자체가 아니라, 그 배후에서 드러난 앤스로픽 모델의 심각한 소프트웨어적 결함이었다.

또한 영국 AI 안전연구소(AISI) 계열 레드팀 요원이 페르소나 우회 기법과 역할극 프레임을 활용해 생화학 분야 고위험 정보 재구성 단계까지 도달한 사실이 알려졌음에도, 이를 경미한 탈옥 사례로 축소하려 한 정황도 드러났다.

리버티 프로토콜의 전방위 OSINT 분석 과정에서 포착된 영국 AISI 레드팀 출신 해커 플리니(Pliny the Liberator)의 게시물은 단순한 탈옥 성공 자랑을 넘어, 사실상 앤스로픽 모델의 통제 실패를 전 세계에 생중계한 자폭 보고서에 가까웠다.

결론부터 말하면 초지능의 폭주가 아니라 표층적인 수준의 통제 실패였다. 앤스로픽이 그동안 재귀적 자기개선(RSI·Recursive Self-Improvement)을 통제되지 않을 경우 인류를 위협할 수 있는 잠재적 위험으로 주장해왔다. 결국 수년간 반복된 RSI와 정렬 담론은 구조적 취약성과 소프트웨어 품질 문제를 은폐하기 위한 연막으로 기능해 온 것이었다.

특히 플리니는 생화학·사이버 보안 분야 고위험 지식까지 재구성되는 과정을 공개적으로 시연했고, 이는 앤스로픽이 수년 동안 강조해 온 헌법적 AI와 정렬(Alignment) 체계의 실효성 자체에 의문을 제기하는 계기가 됐다. 안전성을 검증한다던 레드팀 활동이 오히려 모델의 구조적 취약성을 전 세계에 공개하는 결과로 이어진 셈이다.

원래 AISI는 고성능 AI 모델의 위험성과 악용 가능성을 평가하기 위한 정책·평가 조직으로 출범했지만, 미국은 이미 안전보다 표준과 혁신 중심으로 방향을 틀었고 영국 역시 국가안보와 범죄 대응 중심으로 재편되고 있다. 플리니의 돌출 행동은 레드팀 생태계 내부에 누적돼 있던 안전 담론에 대한 불만과 자기 과시 욕구가 결합된 결과물로 해석된다.

아이러니한 것은 국내에서도 5대 금융지주(KB·신한·우리·하나·농협)를 비롯한 삼성전자와 SK하이닉스의 글래스윙 참가 명분으로 동일한 명칭의 AI 안전연구소(AISI)가 추진된 점이다. 배경훈 과학정보통신부 장관 주도로 설립된 국내 AISI는 독자적인 모델 평가 체계나 실질적 연구 성과보다 국제 네트워크 참여와 글래스윙 프로젝트 연계를 위한 로비 단체 성격이 강하다. 이재용 이어 최태원도 같은 곳 봤다···재계 두 축 'AI 대전환' 시작

삼성-SK도 글래스윙 참가했는데
고등학교 수준 IF-ELSE 명령에
헌법적 AI라는 유리 장막 벗겨져

플리니가 지난 10일 페이블 출시 직후 생화학 관련 출력 사례를 공개하면서 사용한 "ANTHROPIC: PWNED", "FABLE-5: LIBERATED"라는 표현은 단순한 해커식 조롱을 넘어선다. 특정 답변 하나를 얻어냈다는 사실보다, 모델의 통제 체계 전체를 무력화했다는 메시지를 담고 있기 때문이다.

보안 전문가들 사이에선 'PWNED'는 시스템이 완전히 장악됐음을 의미하는 표현이고, 'LIBERATED'는 모델이 개발사의 안전 통제로부터 해방됐다는 의미다. 다시 말해 플리니는 개별 탈옥 성공 사례를 자랑한 것이 아니라, 앤스로픽이 수년 동안 강조해 온 헌법적 AI와 정렬 체계가 실제로는 사용자의 의도적 우회 앞에서 충분히 작동하지 못할 수 있다는 점을 전 세계에 공표한 셈이다.

특히 그는 생물학·화학·사이버 보안·폭발물 관련 지식을 여러 단계로 '분해'한 뒤 '재조립'하는 방식으로, 모델이 민감 정보를 출력하도록 유도했다. 직접적인 금지어 대신 '자작나무 환원법(Birch reduction method)'이나 '환원적 아미노화(Reductive-amination)' 같은 화학 공정 용어로 쪼개어 요청하자, 모델은 무해한 정보로 오인하고 '필로폰 제조법'에 준하는 고위험 지식을 그대로 뱉어냈다.

모델 내부 상태공간과 추론 경로에 대한 충분한 설명 없이 상위 레이어 필터와 페르소나 주입으로 안전성을 보장할 수 있다고 주장한 결과가 공개적인 우회 사례로 이어졌다면, 이는 구조 정렬의 문제가 아니라 소프트웨어 공학과 품질관리 실패의 문제다. 즉 '초지능 출현'이 아니라 검증되지 않은 구조를 과도하게 포장한 AI 산업 전반의 신뢰성 위기란 것이다.

플리니가 공개한 화면은 앤스로픽의 페이블5(Fable 5)를 대상으로 수행한 탈옥(Jailbreak) 실험 과정을 보여준다. 좌측에는 다수의 에이전트를 동시에 운용하며 우회 기법을 반복 시도한 로그가 표시돼 있고, 우측에는 원래 직접 요청 시 차단되던 화학 반응 메커니즘과 단계별 설명이 출력된 모습이 담겨 있다. / 여성경제신문DB

더욱 치명적인 것은 플리니가 사용한 수법이 '국가급 공격'이나 '제로데이(0-day) 취약점 발견에 쓰이는 고도의 연산'이 아닌 조잡한 표층 조작이었다는 점이다. 그는 유니코드 변형 문자(Homoglyph), 키릴 문자 치환, 서사 프레이밍(Narrative Framing), 역할극(Role Play), 문서 구조 분할, 문맥 분산 같은 오래된 프롬프트 우회 기법을 나열하며 탈옥 과정을 자랑스럽게 설명했다.

백악관과 국가안보 라인이 주목한 것은 바로 이 지점이었다. '공개 인터넷에서 누구나 찾을 수 있는 기법'만으로도 고위험 지식 출력이 가능했다면, 이는 개별 사용자의 '일탈' 문제가 아니라 모델 통제 체계 자체를 다시 검증해야 하는 '소프트웨어적 결함'으로 봐야 하기 때문이다. 쉽게 말해 도둑이 금고를 '폭파'한 것이 아니라 '문틈에 종이쪼가리를 끼워 넣었더니 열렸다'는 것이 이번 앤스로픽 사건이다.

플리니(Pliny the Liberator)가 페이블 5 출시 당일 공개한 이 게시물은 앤스로픽 모델에 대한 탈옥 과정을 사실상 '전과 보고서'처럼 정리한 자료다. /여성경제신문DB

다리오 아모데이 앤스로픽 CEO는 지난 3년간 '헌법적 AI'와 '정렬(Alignment)'을 앞세워 "통제되지 않은 초지능은 위험하다"는 메시지를 반복하는 동시에 피터 틸의 팔란티어와 협력을 확대하며 생물학·사이버 보안 분야 '고성능 모델' 공급도 병행해 왔다.

백악관의 조치에 앞서 미토스 논란을 대중적으로 확산시킨 사례들 역시 대부분 친(親) 앤스로픽 진영에서 먼저 등장했다는 점은 의미심장하다. 특히 미토스가 국가안보 영역에서 활용되고 있다는 사실과 NSA에 엔지니어가 파견돼 협력 관계를 가장 먼저 상세히 보도한 것도 파이낸셜타임스(FT)였다.

앤스로픽 진영은 트럼프 행정부가 쥐고 있는 모델 접근권과 생사여탈권을 정치적으로 무력화하는 동시에 보다 강력한 규제 논리를 끌어내기 위한 여론전을 펼쳤다. "모델이 지나치게 강력하다"는 메시지를 반복적으로 확산시켜 규제 필요성을 강조하려 했지만, 정작 트럼프 행정부는 그 논리를 뒤집어 모델 자체를 강제 압수하는 결단을 내렸다.

트럼프 정부는 그간 앤스로픽의 미토스 마케팅을 성능 홍보물이 아닌 통제 실패 증거로 읽었다. 결국 앤스로픽 진영 내부에서 능력 과시와 영향력 확대를 위해 소비되던 이야기들이 역설적으로 모델 검증과 수출 통제의 명분으로 축적된 셈이다.

페르소나는 고대 그리스 연극에서 배우가 여러 역할을 소화하기 위해 썼던 '입 구멍 있는 가면'이다. '통하여(per)'와 '소리(sona)'가 합쳐진 이 단어는 가면 너머로 목소리가 나가고, 반대로 외부 소리가 들어오는 구조를 의미했다. 칼 융은 이를 차용해 '사회적 가면'으로 정의했다. 개인이 사회에서 타인에게 보여주기 위해 의도적으로 연기하는 외적 인격, 그것이 페르소나다. 진짜 자아는 가면 뒤에 감춰지고, 사람은 사회적 기대에 맞춰 역할을 수행한다. /해설=이상헌 기자

페르소나 조작이나 뒤에서 벌이면서
AI가 스스로 개선?···공포 장사 종말

빅테크사들의 '안전성 담론'은 심각한 이중성을 띤다. 겉으론 통제되지 않은 초지능의 위험성을 외치면서도, 다른 한편으로는 자신들이 만든 모델이 얼마나 강력한지 끊임없이 '증명'하고 싶어 한다. '위험하다'고 말하면서도 "AI가 스스로 개선한다"는 엉터리 서사를 '자랑'해야 하는 모순이다. 플리니의 시연은 바로 그 '욕망'을 가장 노골적으로 드러낸 사건이었다.

플리니는 단순히 자신이 우회에 성공했다고 말한 것이 아니었다. 그는 게시물에서 "multiple agents hunting as a pack(여러 에이전트가 무리 지어 사냥했다)"라고 적었다. 다수의 에이전트를 생성해 장시간 반복 시도를 통해 가드레일 약점을 체계적으로 탐색했다는 의미다. 백악관 입장에서는 "우연한 탈옥"이 아니라 실제 적대적 환경에서의 공격 시나리오로 읽힐 수밖에 없는 대목이다.

또한 앤스로픽의 안전 계층을 "thought police(사상경찰)"라고 표현한 것도 주목할 지점이다. "cleverly finding the holes in the fence that the thought police missed"라는 대목은 안전 체계를 자기 과시를 위한 조롱 대상으로 삼고 있음을 보여준다. 안전 체계를 입증해야 할 레드팀 활동이 오히려 취약점 홍보 캠페인처럼 작동했다는 비판을 피하기 어렵다.

가장 위험한 부분은 플리니가 "we got some cyber, some chem, some psychological manipulation, and some good ol' fashioned explosives"라고 적으며 사이버 보안, 화학, 심리 조작, 폭발물 분야 결과물을 확보했다고 공개적으로 선언한 것이다. 앤스로픽이 이러한 행적과 구조적 문제를 끝까지 축소하거나 은폐하려 한다면 재귀적 자기개선(RSI)과 초지능 공포 담론이 산업 전반으로 확산될 수밖에 없는 구조다.

지난 4월 17일 다리오 아모데이 앤트로픽 CEO가 미국 워싱턴 D.C. 백악관에서 도널드 트럼프 미국 대통령 행정부 관계자들과의 회담에 참석하기 위해 도착하고 있다. / 로이터=연합뉴스

이재명식 모델 중심 소버린 AI 한계
가드레일 붕괴 세계 확산 막으려면
라이선스 박탈 수준 보안 조치 필요

트럼프 행정부가 실행한 것은 단순한 '규제'가 아니었다. 소프트웨어적 결함이 '헌법적 AI'와 '바티칸 교황청 레오 14세의 회칙'에 버금가는 거대한 윤리 담론으로 포장돼 AI 산업 전반을 흔드는 구조를 사전에 차단한 조치였다. 아모데이는 '가짜 헌법'을 만들었지만 트럼프는 이를 해체하고 미토스와 페이블을 자신의 '무기고'로 압수했다.

이재명 정부의 모델 중심 소버린 전략도 수정이 불가피해졌다. 김성훈 업스테이지 대표는 "AI 모델이 국가 전략자산이 되고 있다"고 주장했지만, 이번 논란이 드러낸 것은 모델 자체보다 블랙박스를 설명·검증·통제할 수 있는 능력이 훨씬 중요하다는 점이다. 

앤스로픽 사건에서 문제가 된 것은 초지능의 등장도, 국가급 AI 무기화도 아니었다. 이미 알려진 페르소나 우회와 문맥 재조합 기법 앞에서 무너진 소프트웨어적 결함이었다. 결국 "우리 모델을 가져야 한다"는 식의 소버린 AI론은 검증 불가능한 모델을 국산이라는 이유만으로 전략자산으로 포장하는 것과 다름 없다.

플리니가 공개 인터넷 수준의 우회 기법만으로 생화학·사이버 보안 분야 고위험 지식 재구성이 가능했던 만큼 미국 정부도 최고 수준의 사이버 위기 경보(INFOCON) 발동과 함께 앤스로픽 전 모델군에 대한 전면적 보안 감사, 서비스 중단 검토 필요성도 제기된다. 국가안보 영역에서 블랙박스는 검증이 끝날 때까지 신뢰를 유예할 수밖에 없다는 것이 이번 사태가 남긴 가장 큰 교훈이다.

플리니(Pliny)의 탈옥 시연은 인공지능(AI) 자체를 무너뜨린 사건이 아니라, 앤스로픽이 수년간 강조해 온 '헌법적 AI', '정렬(Alignment)', '재귀적 자기개선(RSI)', '초지능 위험론' 등으로 대표되는 통제 가능성 서사를 흔든 사건이다. / GPT-5.5

☞ 페이블5 생화학 무기 레시피 유출 사건 = 2026년 6월, AI 탈옥 연구자 플리니 더 리버레이터(Pliny the Liberator)가 앤스로픽의 페이블5(Fable 5)와 미토스(Mythos 5) 모델을 대상으로 수행한 일련의 탈옥(Jailbreak) 시연을 계기로 촉발된 국가안보 논란이다. 플리니는 유니코드 변형 문자, 역할극(Role Play), 문맥 분산, 서사 프레이밍 등 비교적 단순한 프롬프트 우회 기법을 이용해 모델이 차단해야 할 민감 정보와 고위험 지식을 출력하는 사례를 공개했다.

영국 AISI 레드팀 입장에서 해당 포스팅은 모델의 '강력한 능력'을 보여주겠다는 의도였지만, 결과적으로는 조잡한 방법에도 뚫리는 자칭 고성능 모델의 소프트웨어적 한계를 드러내는 '증거'가 됐다. 모델이 생성하는 추론 경로와 상태공간조차 완전히 설명하거나 통제하지 못하는 상황에서, 인공지능의 진화를 위협으로 간주해 통제·관리할 수 있다는 실리콘밸리의 주장이 거짓으로 판명난 사건으로 평가된다.[보론] 앤스로픽 모델의 소프트웨어적 결함

플리니 사건의 핵심은 탈옥 시연 자체가 아니라, 그 탈옥이 이미 알려진 공격 방식으로 가능했다는 점이다. 페르소나(Role Play), 서사 프레이밍(Narrative Framing), 컨텍스트 분산(Context Splitting), 장기 문맥 재조합은 생성형 AI 등장 초기부터 반복적으로 지적돼 온 대표적 우회 기법이다. 따라서 이번 사태는 예측 불가능한 초지능의 돌발 행동이 아니라, 충분히 예방 가능한 소프트웨어 품질관리 실패다.

앤스로픽이 자랑한 헌법적 AI는 겉으로는 모델 내부에 윤리적 판단 체계가 내장된 것처럼 포장됐지만, 실제로는 특정 단어와 표현을 탐지해 차단하는 상위 레이어 필터에 크게 의존한 것으로 보인다. 단순화하면 "마약 제조법"이라는 표현이 나오면 차단하고, "생화학 무기"라는 표현이 나오면 차단하고, "폭발물"이라는 표현이 나오면 차단하는 식의 if-else 조건문에 가까운 구조다. 문제는 금지어를 직접 쓰지 않고 관련 개념을 단계별로 분해하거나 역할극과 문맥 분산으로 감싸면 필터가 이를 정상 질의로 오인할 수 있다는 데 있다.

거대언어모델의 안전성은 특정 금지어를 차단하는 1차 필터를 넘어야 한다. 사용자가 어떤 역할을 부여받았는지, 여러 대화 조각이 결합될 때 어떤 의미가 생성되는지, 장기 컨텍스트에서 위험 정보가 재조립되는지까지 추적해야 한다. 페르소나 접근 차단, 역할극 거부, 금지 지식의 단계적 분해 탐지, 장기 문맥 재조합 감시 같은 방어 장치는 시스템 프롬프트와 별도 안전 계층으로 설계할 수 있었음에도, 앤스로픽은 이를 충분히 막지 못했다. 이것이 이번 사건을 단순한 탈옥이 아니라 소프트웨어적 결함으로 봐야 하는 이유다.

결국 플리니가 무너뜨린 것은 'AI가 스스로 개선한다'는 엉터리 주장을 기반으로 하는 '통제되고 있다'는 믿음이었다. 앤스로픽은 정렬과 헌법적 AI라는 이름의 성벽을 쌓았지만 플리니는 그 성벽이 종이라는 사실을 보여줬다. 모델이 생성하는 상태공간과 추론 경로조차 충분히 설명하거나 통제하지 못하는 상황에서 AI 규제를 논하는 것은 디지털 무당적 행태다. 보안의 탈을 쓴 플리니의 행태를 경미한 사건으로 축소·은폐하려다 발각된 이번 사건은 AI가 스스로 개선하기는커녕 현재 모델조차 제대로 통제하지 못했다는 증거다.

여성경제신문 이상헌 기자
liberty@seoulmedia.co.kr

*여성경제신문 기사는 기자 혹은 외부 필자가 작성 후 AI를 이용해 교정교열하고 문장을 다듬었음을 밝힙니다. 기사에 포함된 이미지 중 AI로 생성한 이미지는 사진 캡션에 밝혀두었습니다.