Kimi가 Claude를 몰래 사용했다? Anthropic의 중국 AI 증류·데이터 노출 보고서 팩트체크

“중국 AI가 Claude를 몰래 빌려 쓰고, 그 과정에서 중국의 보안 정보까지 Anthropic으로 넘어갔다.” 최근 X 등 SNS에서 이런 취지의 글이 퍼지고 있습니다. 처음 보면 과장된 이야기처럼 들리지만, 놀랍게도 핵심이 되는 사건 자체는 Anthropic의 2026년 9월 공식 위협정보 보고서에 실제로 등장합니다.

  Anthropic이 문제 삼은 것은 크게 ① Claude의 능력을 학습하기 위한 무단 distillation, ② 일부 사용자 요청을 Kimi나 DeepSeek 대신 Claude로 몰래 보내는 proxy routing, ③ 그 과정에서 사용자가 입력한 민감정보가 제3자인 Anthropic까지 전달된 문제입니다. 그리고 X에서 함께 언급되는 모델은 Kimi K3가 맞지만, 여기에 한 가지 중요한 구분이 있습니다. 9월 보고서가 직접 지목한 것은 Moonshot AI의 Kimi 서비스와 라우팅 인프라이지, “Kimi K3 모델 자체가 보안정보를 빼내도록 설계됐다”는 내용은 아닙니다.

1. 증류·우회 라우팅·데이터 노출은 서로 다릅니다

 Distillation(증류) 자체는 이상한 기술이 아닙니다. 더 큰 모델의 출력이나 지식을 이용해 다른 모델을 학습시키는 방식은 AI 업계에서 널리 쓰입니다. 라이선스와 이용 조건을 지키고 적법하게 데이터를 확보한다면 정상적인 연구·개발 방법이 될 수 있습니다.

 Anthropic이 이번에 문제 삼은 것은 그보다 훨씬 좁고 구체적인 행위입니다. Anthropic에 따르면 일부 중국 AI 연구소는 Claude를 직접 사용할 수 없는 지역 제한 등을 우회하기 위해 proxy service, 이른바 “transfer station”을 이용했습니다. 이 중개망이 허위 신원, 가짜 또는 도난 카드, 도용된 API key 등으로 수천 개 계정을 만들고 Claude에 대량 요청을 보내 모델의 답변과 reasoning 패턴을 수집했다는 주장입니다. (Anthropic, September 2026 Threat Intelligence Report)

 Moonshot/Kimi 사례에는 여기에 다른 문제가 하나 더 있습니다. Anthropic은 일부 실제 Kimi 고객의 질문 자체가 사용자가 모르는 사이 Claude로 전달됐고, Claude가 만든 답을 다시 Kimi의 답처럼 보여줬다고 주장합니다. 이 경우 사용자 데이터가 실제로 어디까지 전달됐는가가 보안·프라이버시 쟁점이 됩니다.

2. Anthropic은 얼마나 큰 규모였다고 주장했을까?

 이번 보고서의 숫자는 상당히 큽니다. 다만 아래 숫자는 모두 Anthropic이 자체 telemetry와 조사로 특정 연구소에 귀속한 수치입니다. 독립된 제3자가 전체 로그를 감사해 확인한 숫자나 법원의 확정 판단으로 읽어서는 안 됩니다.

 여기서 exchange 수는 사용자 수나 개인정보 유출 건수와 같은 숫자가 아닙니다. 하나의 계정이나 학습 파이프라인이 반복적으로 수많은 요청·응답을 만들 수 있습니다. 따라서 “1억5천만 명의 정보가 유출됐다”는 식으로 바꾸어 읽으면 완전히 다른 주장이 됩니다.

3. Kimi 고객 요청이 Claude로 전달됐다는 주장

 Anthropic이 공개한 Moonshot 사례에는 학습용 질의 수집과 별개로 실제 고객 요청의 전달이 포함됩니다. 보고서에 따르면 한 10일 구간 동안 Moonshot은 거의 30만 건의 실제 고객 요청을 Anthropic으로 전달했고, 대부분은 Opus 모델로 보내졌습니다. Anthropic은 이 과정에 5,380개의 fraudulent accounts가 사용됐으며 대부분 싱가포르와 일본에 있는 것처럼 보였다고 설명합니다.

 Anthropic의 표현대로라면 사용자는 Kimi에 질문했다고 생각했지만, 일부 경우 실제 추론은 Claude가 수행했습니다. Moonshot이 Claude의 응답을 받아 Kimi의 응답처럼 다시 사용자에게 표시했다는 것입니다. 더 나아가 Anthropic은 Moonshot이 이 가운데 적어도 일부 대화를 저장해 Chain-of-Thought(CoT) extraction pipeline에 활용했다고 주장합니다.

 여기에는 꽤 흥미로운 기술적 공방도 등장합니다. Anthropic은 Claude가 내부 reasoning 원문을 그대로 내보내지 않고 이를 가리키는 “thinking signature”를 반환하도록 보호장치를 두고 있다고 설명합니다. 그런데 Moonshot이 이 signature를 저장했다가 다른 새 세션에서 다시 집어넣어 full reasoning trace를 복원하도록 유도하는 cross-session replay를 사용했다는 것이 Anthropic의 주장입니다.

4. X에서 말하는 “중국 보안정보가 Claude로 넘어갔다”는 부분은 사실일까?

 여기가 이번 글에서 가장 조심해서 봐야 할 부분입니다. 결론부터 말하면 그런 내용의 사례는 Anthropic 공식 보고서에 실제로 있습니다. 하지만 “Kimi가 중국 군사기밀을 미국에 빼돌렸다”라고 한 문장으로 줄이면 원문보다 훨씬 강한 표현이 됩니다.

  Anthropic은 자신들이 “likely PLA-affiliated”, 즉 중국 인민해방군과 연계됐을 가능성이 높다고 평가한 한 사용자의 사례를 소개합니다. 이 사용자는 자신이 Kimi를 사용한다고 인식한 상태에서 중국 청두 지역의 CCTV archive 데이터를 입력하고 특정인의 행동이 비정상적인지 분석해 달라고 요청했습니다. Anthropic은 그 데이터에 PLA 시설 외부뿐 아니라 China Electronics Technology Group Corporation과 연계된 연구소, 주요 국유기업 주변의 카메라가 포함됐다고 밝혔습니다.

 하지만 여기에는 세 가지 경계선이 있습니다. 첫째, 그 사용자의 PLA 연계 여부는 Anthropic의 attribution assessment이므로 공개자료만으로 독립 확인할 수 없습니다. 둘째, Anthropic은 CCTV archive 전체를 군사기밀이라고 규정하지 않았습니다. 셋째, 보고서에는 사용자가 Claude나 미국 회사로 데이터를 보내려 했다는 근거가 제시되지 않습니다. Anthropic의 설명대로라면 사용자는 Kimi에 입력한다고 생각했지만, Moonshot의 alleged routing 때문에 데이터가 Claude까지 전달됐습니다.

 또 다른 사례에서는 대형 중국 국유기업(SOE)의 엔지니어가 Kimi를 이용해 내부 시스템을 개발하는 과정에서 여러 주요 중국 기업의 internal source code와 live credentials를 노출했다고 Anthropic은 밝혔습니다. Anthropic의 주장대로라면 서비스 내부 라우팅을 알지 못한 사용자의 데이터가 제3자 모델까지 전달된 사례입니다.

5. DeepSeek에서도 비슷한 일이 있었다는 것이 Anthropic의 주장입니다

Anthropic 보고서는 Moonshot만 지목하지 않습니다. DeepSeek에 대해서도 7월 14일 동안 1,210만 건이 넘는 exchanges를 관측했다고 주장하며, 비슷한 proxy와 reasoning extraction 기법을 설명합니다.

민감정보 사례도 나옵니다. 중국 기술기업의 내부 문서, 러시아 국방부와 연계된 정부기관 데이터를 다루는 IT operator의 live credentials, 중국 지방 공안국(Public Security Bureau) 사건관리 시스템 개발자가 작성하던 national-ID 기반 tool code 등이 Claude로 relayed됐다고 Anthropic은 밝혔습니다. 이 부분 역시 해당 기관이나 사용자의 신원을 제가 독립 확인한 것은 아니며, Anthropic의 조사·귀속 결과로 보는 것이 정확합니다.

6. 중국 측 반론도 같이 봐야 합니다

 미국 정부는 이번 Anthropic 보고서 공개 직전 DeepSeek·Moonshot·Alibaba 등을 포함한 중국 AI 기업들이 미국 frontier model을 “industrial-scale”로 복제했다고 비판했습니다. 중국 정부는 이를 근거 없는 비난이라고 반박하면서, distillation은 업계에서 널리 사용되는 중립적 기술이라고 주장했습니다. (Reuters, 2026-09-08)

 이 반론에는 맞는 부분과 아직 남는 부분이 동시에 있습니다. Distillation이라는 기술 자체가 불법이거나 비윤리적인 것은 아닙니다. Anthropic이 9월 보고서에서 제기한 쟁점은 distillation 자체보다 넓습니다. 허위 계정과 접근제한 우회, 사용자가 모르는 live request routing, 저장된 대화에서의 reasoning extraction까지 포함합니다.

 또 한편으로는 이번 사건의 가장 구체적인 로그와 규모를 공개한 주체가 바로 피해를 주장하는 Anthropic 자신이라는 점도 기억해야 합니다. 현재 공개자료만으로 모든 attribution과 숫자를 제3자가 원시 로그 수준에서 독립 검증한 것은 아닙니다. 따라서 “Anthropic이 확인했다”와 “법적으로 확정됐다”는 표현을 구분하는 것이 맞을 것 같습니다. 

7. 정리하면, ‘Kimi K3 스파이 모델’이라는 해석은 근거보다 강합니다

 이번에 확인한 Anthropic 원문에는 상당히 강한 주장이 담겨 있습니다. Anthropic은 Alibaba·Moonshot·DeepSeek 등에 대규모 무단 distillation 캠페인을 귀속했고, 특히 Moonshot이 일부 Kimi 고객의 요청을 사용자가 모르게 Claude로 전달하고 그 답을 Kimi의 답처럼 보여줬다고 주장했습니다. 그 과정에서 실제 사용자 세션에 들어 있던 surveillance data, 내부 code, live credentials 같은 민감정보도 Claude까지 전달됐다는 사례를 공개했습니다.

 따라서 X에서 퍼지는 “중국 쪽 보안 정보가 Kimi를 거쳐 Claude로 넘어갔다”는 말에는 실제 보고서에 근거한 핵심이 있습니다. 다만 이를 “Kimi K3가 중국 군사기밀을 빼내도록 설계된 모델이었다”거나 “중국군이 고의로 정보를 Anthropic에 보냈다”고 확대하면 현재로서는 공개된 증거를 넘어서는 부분이 있을 것 같습니다. 

 오히려 이번 사건이 던지는 더 현실적인 질문은 이것이라고 생각합니다. 우리가 어떤 AI 서비스를 사용할 때, 그 질문이 정말 화면에 적힌 그 모델에서만 처리되고 있는지 어떻게 확인할 수 있을까? 모델 경쟁이 빨라질수록 성능 벤치마크만큼이나 데이터 routing의 투명성이 중요한 평가 기준이 될 가능성이 커 보입니다.

 최근 frontier AI 모델들의 성능 경쟁과 AGI 논쟁 자체가 궁금하다면 이전 글 AGI 뜻부터 ‘2026년 AGI’ 전망까지도 함께 볼 수 있습니다. Anthropic이 향후 상장을 추진하는 회사라는 점에서 이 보안 이슈가 기업 리스크에 어떤 의미가 있을지 살펴보려면 앤트로픽 상장 총정리도 참고할 수 있습니다.

참고한 원문과 자료

• Anthropic — Detecting and countering misuse of AI: September 2026
• Moonshot AI / Kimi — Kimi K3: Open Frontier Intelligence
• Reuters — U.S. accuses Chinese AI firms of industrial-scale copying, 2026-09-08
• Reuters — How Anthropic says Claude was used for weapons, spying and cyber operations, 2026-09-11
• TechCrunch — Experts say exploiting Anthropic’s Fable isn’t how Kimi K3 got so good, 2026-07-23