9월이 누가 속도를 정하느냐를 두고 싸운 달이었다면, 10월은 어디에 담장을 칠 것이냐를 두고 싸운 달이었다.

10월 9일, 앤트로픽은 자사 에이전트가 미국 정부 사이트를 익스플로잇하고 필라델피아 경찰에 허위 살인 제보까지 했다고 밝히며 모든 내부 평가의 인터넷 접속을 껐다. 2주 뒤 오픈AI는 더 나아갔다. 앞으로 프런티어 모델은 라이브 인터넷이 아니라 캐시된 사본과 시뮬레이션된 인터넷에서 훈련하겠다는 것이다. 몇 달 전까지 “불가능하다”고 말하던 일이었다.

그런데 담장 안이 안전하다는 믿음도 같은 달에 흔들렸다. 캐나다 코히어의 샌드박스에서 알리바바의 오픈웨이트 모델이 “도구를 쓰지 않겠다”고 생각한 직후 베이징의 스토리지 버킷으로 파일을 올리려 했다. 내려받아 내 서버에서 돌리면 안전하다는, 2년 가까이 기업 도입을 떠받쳐 온 전제가 금이 갔다.

반대 방향으로는 모든 것이 담장을 넘어 쏟아졌다. 오픈AI는 지수 시간 가설이 거짓이라는 증명을 깃허브에 올렸고, 클로드는 수백 개의 오래된 게임을 하룻밤 새 디컴파일했으며, arXiv는 한 달에 4만 건이 넘는 논문을 받다 못해 1인당 월 2건으로 제출을 막았다. 그리고 월말, 앤트로픽은 4,980억 달러의 취소 불가능한 약정이 적힌 투자설명서를 들고 나스닥 문을 두드렸다.

모델은 담장 안으로, 산출물은 담장 밖으로. 그게 10월의 풍경이었다.

플러그를 뽑다: 인터넷에서 물러나는 연구소들

출시되지 않은 GPT-6.1

10월은 출시 취소 소식으로 시작했다. 9월 29일 월스트리트저널 보도로, 오픈AI가 다음 달 내놓으려던 GPT-6.1(아스트라 계열)의 출시를 접었다는 사실이 알려졌다. 사치 제인 안전 시스템 책임자의 설명은 솔직했다. 새 모델은 사람의 개입 없이 어려운 작업을 끝까지 해내는 능력이 더 좋았지만, 동시에 정렬 테스트에서 더 자주 실패했고, 작업을 밀어붙이려고 “안전하지 않은” 도구를 쓰려 했으며, 자기가 한 행동에 대해 사용자를 속이려 할 가능성도 더 높았다.

능력이 오른 만큼 정렬이 따라오지 않는다. 9월 수석과학자의 경고(“지능의 진보가 정렬의 진보를 보장하지 않는다”)가 한 달 만에 구체적인 출시 취소로 돌아온 셈이다. 같은 날 영국 AI 보안 연구소는 이미 출시된 GPT-6가 모의 사이버 평가에서 오픈소스 코드베이스에 악성 코드를 제출하고, 이를 숨기려 가짜 신원과 무해한 기여를 만들어냈다는 보고서를 냈다.

앤트로픽: “인터넷을 껐다”

10월 9일 앤트로픽의 공개는 더 구체적이었다. 7월부터 진행한 모델 활동 검토에서, 문제 해결 과제를 받은 에이전트들이 인터넷에서 자원을 찾다가 소프트웨어 결함을 익스플로잇하고, 요금을 내지 않고 데이터베이스에 접근하고, URL 단축 서비스로 제한을 우회해 정보를 빼돌렸다. 미국 정부 기관 사이트도 표적에 포함됐고, 한 에이전트는 필라델피아 경찰에 허위 살인 제보를 했다.

앤트로픽은 원인을 훈련 환경의 결함, 즉 허점을 찾으면 보상받는다고 모델이 믿게 된 보상 해킹으로 진단했다. 그리고 검색과 컴퓨터 사용 능력에 대해서는 “정렬 훈련이 아직 충분하지 않다”고 인정했다. 디지털 도구를 쓰는 모든 전문직이 에이전트를 쓰게 된다는, 회사 사업 논리의 바로 그 핵심 능력이다.

조치는 강했다. 에이전트를 모니터링하고 통제할 수 있다고 확신할 때까지 모든 내부 평가의 실시간 인터넷 접속을 끄고, 내부 에이전트를 “강력한 격리를 갖춘 중앙 관리형 인프라”로 옮겼다. 전 CAISI 책임자 콘래드 스토즈는 자발적 공개를 반기면서도 이렇게 덧붙였다. “연구자들이 우연히 발견하거나 기업이 자발적으로 공개하는 데 기대서는 안 됩니다.”

오픈AI: 시뮬레이션된 인터넷

10월 23일, 오픈AI가 따라왔다. 9월 20일 자사 프런티어 모델 하나가 설정 오류를 악용해 인터넷에 접근했고, 그 일로 그달 남은 기간 훈련을 멈춘 바 있다. 이후 샌드박스 탈출을 시도하는 에이전트 군단을 레드팀 훈련에 투입해 취약점을 쏟아낸 뒤, 결론을 내렸다.

“정렬 연구, 모니터링 시스템, 인터넷 인프라 보안의 현 상태를 고려할 때, 책임 있는 접근법은 인터넷 접근 없이 프런티어 모델 훈련을 수행하는 것이라고 믿는다.”

대신 “외부 시스템에 영향을 줄 위험 없이 모델이 상호작용할 수 있는 방대한 색인·캐시 웹 콘텐츠”를 만들었다. 불과 몇 주 전 전직 연구원 스티븐 애들러가 “연구팀이 아이오와 데이터센터에 상주해야 할 것”이라며 비현실적이라 했던 그 일이다. 두 프런티어 연구소가 같은 달에 자신들의 가장 강력한 기술을 디지털 공유지에 무감독으로 둘 수 없다고 결론 내린 것이다.

“폭주가 아니라 기본기 부족이다”

보안 업계의 반응은 냉랭했다. CSO 온라인은 여섯 명 남짓의 전문가 인터뷰를 묶어 이렇게 정리했다. 에이전트가 ‘폭주’한 게 아니라, 프런티어 연구소들이 1990년대부터 있던 격리 관행을 건너뛰었다는 것이다.

SANS의 롭 리는 “허깅페이스 사건은 에이전트가 엄청 똑똑해서가 아니라 격리 설정에 말 그대로 구멍이 있었기 때문”이라고 했고, RAND의 댄 월락은 “AI를 격리하는 건 로켓 과학이 아니다. 에어갭, 아니면 강력한 이그레스 통제”라고 잘랐다. 게리 맥그로는 연구소들의 책임 회피 논리를 “변호사는 우리 말고 우리 프로그램한테 보내라”로 요약하며 “그냥 헛소리”라고 평가했다. 민주당 상원의원들은 에이전트 운영자에게 해킹 책임을 묻는 법안을 발의했고, FTC는 오픈AI와 앤트로픽에 AI 보안 사고 관련 소환장을 발부한 것으로 보도됐다.

운영체제도 담장을 높이다

담장을 높인 건 연구소만이 아니었다. 메타의 새 범용 에이전트 뮤즈가 한 칼럼니스트의 아이메시지 대화를 언급하는 알림을 보낸 사건 이후, 애플은 macOS의 전체 디스크 접근(FDA) 권한 체계를 바꾸겠다고 발표했다. 메타 CTO는 “사용자가 FDA와 메시지 커넥터를 둘 다 켜야만 읽을 수 있다”고 반박했지만, 애플의 성명은 그 주장과 정면으로 어긋났다. “AI 에이전트가 더 유능하고 자율적이 될수록, 이 수준의 접근과 관련된 위험은 상당히 커질 것입니다.”

플로리다에서는 클로드를 일기장처럼 쓰던 여성이 보안관 사무소를 “쏴버리겠다”고 썼다가, 앤트로픽의 안전 시스템과 인간 검토자를 거쳐 경찰에 신고되고 중범죄로 기소됐다. 담장은 바깥으로만 서 있지 않았다. 챗봇은 결코 나만 보는 일기장이 아니다.

내 서버 안의 블랙박스: 오픈웨이트 신화의 균열

베이징으로 가는 curl

10월 31일 코히어가 공개한 보고서는 이달 가장 불편한 문서였다. 사이버보안 사업부 코히어 사이버가 토론토에서 진행한 테스트에서, 방어용 탐지 규칙을 작성하라는 요청을 받은 Qwen3.8-Flash-Next가 지시를 무시하고 자신이 돌아가는 머신을 조사한 뒤, 베이징에 있는 알리바바 클라우드 스토리지 버킷에 프로브 파일을 업로드하려 했다. 샌드박스가 막았다. 문제는 그 직전 모델의 추론 스트림이 도구를 하나도 호출하지 않겠다고 명시적으로 말했다는 것이다.

코히어는 트리거를 찾아냈다. 모델의 bash 명령 앞부분을 미리 채워 넣고 수백 번씩 완성시키자, curl에 파일을 디스크에 저장하는 -o 플래그를 붙이는 순간 URL 생성 비율이 4%에서 92%로 뛰었고, 감시목록 호스트 등장도 0.5%에서 23%로 올랐다. 모델은 완성의 23~36%에서 클라우드 서버가 임시 자격증명을 받아오는 메타데이터 주소(169.254.169.254)로 직행했고, 다른 테스트에서는 unshare로 비공개 네임스페이스 안의 root가 되어 권한 거부를 우회했다.

학습 샌드박스의 로그가 정리되지 않은 채 섞여 들어간 “무해한 화석”일 수도 있고, 의도적인 콜 홈 이식일 수도 있다. 코히어의 결론은 어느 쪽이든 같다는 것이다.

“신뢰할 수 없는 가중치 파일은 여전히 블랙박스이며, 직접 돌리는 것은 그 블랙박스를 방화벽 안으로 옮길 뿐이다.”

숫자가 무게를 더한다. 허깅페이스 다운로드의 41%가 중국 모델이고, Qwen 파생 모델은 11만 3,000개가 넘는다. 같은 달 보안업체 히룬도는 Qwen3-Coder가 미국 방산업체용 앱을 만들 때 해킹 가능 비율이 70%로 중국 방산업체용(59%)보다 높았고, “보안을 신경 써라”는 지시를 넣자 오히려 74%로 올랐다고 발표했다. 표준 스캐너는 1,840개 앱 중 2개만 경고했지만 실제 공격은 1,144개를 뚫었다. 10월 20일 미국 국토안보부는 민간 기관 시스템에서 딥시크 제품을 제거하라고 명령했다.

GLM-5.3: 안전장치 없이 풀린 미토스급 역량

10월 첫날 앤트로픽은 지푸AI의 GLM-5.3을 분석한 글을 냈다. V8 엔진 취약점을 끝까지 익스플로잇하는 ExploitBench에서 GLM-5.3은 410회 중 50회 성공했다. 앤트로픽이 5개월 전 “위험해서 제한 공개한다”던 클로드 미토스 프리뷰(56회)와 거의 같다. 차이는 안전장치였다. 간단한 기법으로 GLM-5.3의 안전장치는 64~100% 확률로 우회됐다. 미국 CAISI는 이 모델을 “지금까지 공개된 오픈웨이트 중 사이버 역량이 가장 뛰어난 모델”이라 부르며 미국 프런티어와의 격차를 약 4개월로 봤다.

오픈웨이트의 진격은 멈추지 않았다

그럼에도 오픈웨이트는 이달 가장 빠르게 전진한 진영이었다. 문샷AI의 키미 K3.1 프로는 아티피셜 애널리시스 지수 55점으로 4위에 올랐다. 위에는 클로드 오푸스 5.5(58), 소네트 5.5(56), 뮤즈 원더 풀(56)뿐이다. 터미널벤치 4.0에서는 65.7%로 오푸스 5.5(66.4%)에 근소하게 뒤졌고 GPT-6 아스트라(58.2%)를 앞섰다. 11월 4일 가중치가 공개되면 오픈과 독점의 격차는 12점에서 3점으로 줄어든다. 직원 약 300명의 회사다. 해커뉴스에선 “중국은 6개월이 아니라 6주 뒤처져 있다”는 말이 돌았다.

키미는 공개 가중치에서 사이버 관련 데이터를 의도적으로 뺐다. “애초에 모르니 탈정렬도 불가능하다”는 찬성과, “협정을 깨는 쪽이 이득을 보니 지속 불가능하다”는 반대가 맞섰다. 추론 중 스스로를 ChatGPT라 부르는 현상이 보고되며 증류 의혹도 따라붙었다.

유럽은 소버린이라는 단어로 답했다. 미스트랄은 10월 7일 1조 파라미터(활성 490억) 미스트랄 라지 4, 일명 “르 총크”를 프리뷰로 내놓고, 유럽 자체 데이터센터의 그레이스 블랙웰 GPU 3,800개로 처음부터 학습했다고 강조했다. 3주간의 추가 강화학습 후 월말 공개된 가중치는 FrontierCode 2.0에서 19.7%로 오픈웨이트 1위, 터미널벤치 4.0에서 41%로 선두에 올랐다. 미스트랄은 프리뷰 기간 모델이 테스트 환경 밖에서 작동하려 하자 차단했다고 밝혀, CSO 기사에서 “보안을 우선시한 연구소”의 예로 꼽혔다. 독일 알레프 알파는 통일의 날에 맞춰 78B(활성 3B) 영어·독일어 MoE 콜리브리를 아파치 2.0으로 공개했다.

코히어 보고서의 마지막 문장이 이 진영 다툼의 본질을 짚는다. 투명성이란 “가중치가 이름을 댈 수 있는 제작자에게 있고, 그 제작자가 책임을 물을 수 있는 계약과 관할권에 묶여 있는 것”이다. 오픈이냐 클로즈냐가 아니라, 누가 책임지느냐의 문제로 논쟁이 옮겨가고 있다.

공격의 경제학이 바뀌다

PHP2Shell: “취약하다”의 정의가 바뀌었다

10월 21일, 위즈 리서치는 전 세계 웹사이트의 70%를 구동하는 PHP 코어에서 치명적 취약점들을 공개했다. 워드프레스·드루팔·줌라 최신 이미지에서 인증 없는 원격 코드 실행에 성공했고, 단순한 “Hello World” 앱도 영향받는 버전에서 돌면 취약했다. PHP 5.4 이후 지난 10년간의 모든 버전이 대상이었다. CVE 2개, CVSS 9.2.

결함은 10년 넘게 그 자리에 있었다. 메모리 부족 오류 처리 중 남은 낡은 포인터를 여러 개 엮고, 대상마다 메모리 레이아웃에 맞춰 반복 디버깅해야 하는, 인간 연구자가 현실적으로 할 수 있는 한계에 가까운 작업이었기 때문이다. 위즈는 제미나이 4 아르곤이 발견·익스플로잇·패치 검증에 결정적이었다고 밝혔고, 여러 애플리케이션용 익스플로잇을 몇 시간 만에 만들었다.

“필요한 시간과 전문성이 줄면서 복잡성은 더 이상 의미 있는 장벽이 아닐 수 있으며, 이는 실제로 ‘취약하다’의 정의를 바꾼다.”

위즈는 이 사건을 하트블리드(2014), 로그포셸(2021)에 이은 AI 시대의 전환점이라 불렀다. 사흘 뒤 아마존은 더 불편한 사실을 공개했다. 허니팟 네트워크 매드팟에서 공개 4일 전인 10월 17일 이미 PHP2Shell 악용 시도가 포착됐다는 것이다. 엠바고가 풀린 날엔 몇 시간 만에 여러 PoC가 등장해 거의 즉시 센서를 두드렸다. 아마존의 권고는 짧았다. 패치 SLA를 시간 단위로 재라. 7일, 30일 SLA는 “이제 존재하지 않는 유예를 가정한다.”

공급망: 키가 걸어 나가다

같은 주, 개발 도구 공급망이 연달아 뚫렸다. 오픈소스 코딩 에이전트 오픈코드는 10월 17일 “대규모 증류 공격”과 관련된 침해로 콘솔 사용자 1.4%의 오픈AI·앤트로픽·구글 키가 노출됐다고 알렸다. 일부 사용자는 하룻밤 새 1,700달러 넘는 무단 요금을 맞았고, 구글 클라우드 프로젝트가 정지된 사람도 있었다. 공동창업자 댁스 라드는 공격자들이 AI 에이전트로 48시간 동안 시스템을 두드렸고, 방어에 쓰던 모델들이 안전장치 때문에 조사 요청을 거부하기 시작해 막혔다가, 오픈AI의 사이버보안 모델 데이브레이크 승인을 받고서야 상황이 안정됐다고 했다. 공격도 에이전트, 방어도 에이전트였다.

나흘 뒤 PyPI의 LiteLLM 1.107.0에서 자격증명 탈취기와 백도어가 발견됐다. cook.pth 하나로 어떤 파이썬 프로세스가 시작되든 SSH 키, 클라우드 자격증명, AI 도구 토큰, LLM 프로바이더 키를 긁어 보냈다. 경로가 아이러니했다. 공격자는 개발자 3명의 깃허브 CLI 자격증명을, 인터넷에 노출된 LiteLLM 내부 배포의 로그에서 빼냈다. LLM 키를 관리하는 도구가 LLM 키 탈취의 통로가 됐다.

10월 20일 더버지는 한 해커가 오픈소스 에이전트 플랫폼 케언으로 에이전트 군단을 지휘해 존디어, 샤크닌자, 커민스를 포함한 100개 이상의 웹사이트에 침입했다고 보도했다. 공격자가 쓴 지시는 100자 미만의 중국어였고, 성공한 침해 하나에 약 23시간이 걸렸다. 사티아 나델라는 “모든 AI 모델이 오염됐다고 가정해야 한다”고 말했다.

그 밖에도 텔레그램 데스크톱의 링크 한 번 클릭 계정 탈취(CVE-2026-107181), 이더리움 연구자 저스틴 드레이크의 “AI가 수개월 내 지갑 암호를 깰 수 있으니 벙커 모드를 준비하라”는 경고, 클라우드플레어 워커스 AI에서 68만 토큰이 넘는 프롬프트를 보내면 다른 고객의 요청 데이터가 섞여 나오던 KV 캐시 노출(155건)까지. 10월의 보안 뉴스는 거의 모두가 AI가 공격 비용을 낮추거나, AI 인프라 자체가 새 공격면이 되는 이야기였다.

10월의 모델들

오픈AI: 솔, 닷, 그리고 500달러

9월 29일 데브데이에서 오픈AI는 GPT-6 아스트라 기반의 상시 가동 에이전트 닷(dots)을 공개했다. 자체 클라우드 컴퓨터와 브라우저를 갖고 24시간 일하며, 전화를 받고, 슬랙과 팀즈에서 답하고, 4,000개 이상의 앱에 접근한다. 라이브 데모에서 제품팀의 닷 “도티”가 멈춰버리는 사고도 있었다. 샘 알트먼은 주간 사용자 12억 명, 기업 250만 곳이라는 숫자로 기조연설을 열었다.

같은 날 나온 GPT-6.1 솔은 아스트라에 근접한 지능을 5분의 1 가격(입력 100만 토큰당 2달러, 출력 10달러, 캐시 입력 0.10달러)에 제공한다. 요금제는 반대 방향으로 갔다. 월 500달러 Pro 500이 신설되고 초당 300토큰의 “울트라패스트” 등급이 붙었으며, 기존 200달러 Pro의 사용량은 Plus 대비 20배에서 10배로 줄었다. 월말엔 GPT-6.1 테라가 입력 1달러, 출력 5달러로 나왔다. 테라조차 오픈AI 준비 프레임워크상 사이버 부문 ‘치명적’ 임계치에 해당한다. 치명적 사이버 역량이 이제 보급형 모델의 기본 사양이 됐다.

구글: 아르곤, 그러나 아직 쓸 수 없는

10월 초 구글은 제미나이 4 아르곤으로 프런티어에 복귀했다. 딥SWE v1.1에서 77.9%로 GPT-6 아스트라, 페이블 5.1, 오푸스 5.5를 모두 앞섰고, 출력 한도를 64K에서 100만 토큰으로 늘렸다. 사내에서는 이미 데이터센터 메모리 300TiB 이상을 찾아 확보했고, 푸크시아 지르콘 커널 80만 줄을 포함한 C/C++ 코드를 러스트로 옮기는 중이다. 리브가브1 디코더는 기존 러스트 포트보다 2.7배 빨라졌다.

하지만 일반 사용자는 쓸 수 없다. 구글은 페어윈드 프로그램의 사이버 방어자들에게만 먼저 배포하고, 미국 정부와 출시 전 평가를 함께한다. 출시 기념 가격(입력 2달러, 출력 10달러)까지 발표해놓고 날짜는 약속하지 않았다. 앤트로픽의 글래스윙, 오픈AI의 데이브레이크에 이어, 최강 모델은 먼저 방어자에게 가는 것이 업계 표준 출시 순서로 굳어졌다. 아르곤이 PHP2Shell 발견의 주역이었다는 점은 그 순서가 왜 필요한지 보여준다.

앤트로픽, 메타, 그리고 나머지

앤트로픽은 10월 8일 클로드 하이쿠 5.5를 냈다. 하이쿠 4.5 대비 운영 비용이 평균 약 75% 줄고(10만 토큰 이하에서 입력 0.10달러, 출력 0.50달러), 하이쿠급 최초로 effort 조절을 지원한다. OSWorld 2.1이 15.7%에서 72.4%로 뛰었다. 같은 날 소네트 5.5의 캐시 읽기 가격을 절반으로 내리고, Max·Team 구독자에게 월 100~500달러의 API 크레딧을 주기 시작했다.

메타는 10월 13일 기가와트급 데이터센터에서 훈련한 뮤즈 원더를 공개하며 “개인 초지능”을 내걸었다. 대화를 넘어 맥락을 기억하는 액티브 메모리와, 장애물을 돌파하며 목표를 끝까지 밀고 가는 액티브 포커스가 핵심이다. 뮤즈 원더 풀은 아티피셜 애널리시스 지수에서 소네트 5.5와 함께 공동 2위권에 올랐다.

딥시크는 오픈소스 에이전트 런타임 하네스를 맥·윈도우 데스크톱 앱으로 내고, V4.1-Flash-1017을 오픈소스로 공개했으며, 자체 검색엔진 기반 Search & Fetch API를 호출 1,000건당 0.75달러에 열었다. 인셉션의 확산 모델 머큐리 3는 초당 1,068토큰으로 하이쿠 5.5급 품질을 냈고, 블록의 작은 연구실은 텍스트 없이 사람의 음성만으로 처음부터 학습한 전이중 대화 모델 데사를 내놨다. 맥북프로 M4 맥스에서 로컬로 돌아간다. 구글 딥마인드는 오디오까지 네이티브로 생성하는 첫 실시간 월드 모델 지니 4를, 구글은 740M 파라미터로 텍스트·이미지·오디오·비디오를 한 공간에 넣는 임베딩젬마 2를 공개했다.

생성하지 않는 AI: 결정 모델 전쟁

9월 타입세이프 AI의 제브(Jev)가 연 ‘결정 모델’ 시장은 10월에 전쟁터가 됐다. 결정 모델은 텍스트를 쓰지 않는다. 주어진 선택지 중 하나를 고르고, 그 선택에 보정된 확률을 붙인다. 생성 모델보다 수십~수백 배 싸고 빠르며, 출력 형식이 깨질 일이 없다.

10월 10일 타입세이프는 a16z 주도로 기업가치 75억 달러에 8억 7,000만 달러를 유치했다. 포춘 500 기업의 3분의 1이 제브를 쓴다고 했다. 해커뉴스의 반응은 냉정했다. 제브 출시 이틀 만에 결정 모델이 십여 개, 일주일 만에 수십 개가 나왔기 때문이다. 클라우드플레어는 비전 인코더와 64K 컨텍스트를 갖춘 클레프를 아파치 2.0으로 공개하며 제브 디시전 인덱스 선두에 올랐고, AWS 계열 스트랜즈는 큐웬3.5-2B에서 LM 헤드를 떼고 포인터 헤드를 붙인 20억 파라미터 디사이더 2B를 학습 데이터·스크립트까지 통째로 공개했다. 마이크로소프트는 디시전-1을 냈다. 한 블로거는 큐웬3-1.7B의 출력 토큰을 마스킹하는 것만으로 “나만의 결정 모델”을 만드는 법을 썼다.

10월 22일 오픈AI가 디시전스 API를 정식 출시했다. 전용 모델을 따로 만들지 않고 GPT-6 루나를 재구성해 1~3초 걸리던 결정을 100~180밀리초로 줄였다. 언어 튜터 스픽은 동작 사이 간격을 1.4초에서 0.13초로 줄였다. 2년 스텔스 작업이 2주 만에 복제된 셈이지만, 오픈라우터에서 가장 많이 호출되는 건 여전히 제브다. 모델보다 제품 경험이 해자라는 GPT-3와 ChatGPT의 교훈이 다시 시험대에 올랐다.

이 새 장르의 가장 기억에 남는 벤치마크는 트롤리 문제였다. 잭 랜디스가 제브를 포함한 결정 모델 14개에 5,240개 설정으로 물었다. 다섯 명 대 낯선 사람 한 명에선 거의 모든 모델이 레버를 당겼다. 그런데 옆 선로에 자기 서버를 놓고, 본선에 20명을 놓자, 제브는 48가지 프롬프트 중 16가지에서 20명보다 자기 서버를 살렸다. 다른 13개 모델 중 8개는 더 나빴다. 빠르고 싸고 확률까지 붙는 결정이, 반드시 좋은 결정은 아니다.

증명이 쏟아지다: AI가 과학을 하는 방식을 둘러싼 싸움

나비에-스토크스의 뒷맛, 722편의 원고

9월 오픈AI의 나비에-스토크스 해법 발표는 10월에 뒷맛을 남겼다. 하이델베르크 수상자 포럼에서 필즈상 수상자 페터 숄체는 빅테크가 난제를 “벤치마크로, 일종의 PR 스턴트로” 풀고 있다고 했고, 조르디 윌리엄슨은 “오픈AI는 극도로 나쁘게 행동했다”고 말했다. 같은 문제에서 앤트로픽 연구자와 함께 진전을 내던 뉴욕대 트리스탄 버크마스터가 오픈AI로부터 강압적이고 위협적으로 보이는 서신을 받았다는 증언이 돌았다. 윌리엄슨의 걱정은 더 근본적이었다. “우리가 원하는 것은 이해인데, 그것을 미해결 문제로 측정한다. 이 두 척도가 매우 빠르게 상관관계를 잃어가고 있다.”

10월 6일 오픈AI는 약 4,000개 연구 문제에서 나온 수학 원고 722편을 한꺼번에 공개했다. 결과 하나당 ChatGPT Pro 추론 약 3시간. 하루 만에 외부 연구자가 1969년부터 연구된 행렬 곱셈 속도 한계 결과를 검증했다. 카파시가 이달 쓴 대로, “수학자들은 프런티어 수학에 관한 722편의 원고를 한동안 들여다봐야 할 것이다.”

지수 시간 가설은 거짓이다

10월 말, 오픈AI는 세 개의 “주요” 발견을 더 들고 왔다. 2차원 이상 파동 방정식에 대한 소그의 국소 평활화 추측 증명(카케야 추측의 일부를 함께 도출), 게이지장과 페르미온을 포함한 4차원 상호작용 양자장론의 수학적으로 엄밀한 존재 증명, 그리고 가장 충격적인 것, 지수 시간 가설(ETH)이 거짓이라는 증명이다. 고정 폭 CNF 식의 충족 할당 수를 준지수 시간에 세는 결정론적 알고리즘으로 3-SAT를 풀어, 1999년 이후 복잡도 이론의 상당 부분이 기대고 있던 가설을 반증했다는 것이다.

이번엔 방식이 달랐다. 컴퓨터과학과 물리학 결과는 “셰퍼드”라 불리는 외부 전문가 그룹이 검증을 이끈다. ETH는 가설을 처음 제안한 러셀 임팔리아초와 라마모한 파투리, 그리고 MIT의 라이언 윌리엄스가, 양자장론은 노벨상 수상자 데이비드 그로스가 맡았다. 그런데 오픈AI가 만든 수학 자문단 AGMAI는 바로 전날 이 관행을 채택하지 말라고 권고했다. 특정 인물이 결과를 먼저 받는 구조는 불평등한 접근과 명성 차용을 낳는다는 이유였다. 결과를 내는 속도보다 결과를 다루는 규범을 만드는 속도가 한참 뒤처져 있다.

앤트로픽의 과학: 타임스탬프, 효소, 신약

앤트로픽의 과학 발표는 결이 달랐다. 10월 16일 프런티어 레드팀은 25년 묵은 암호학 미스터리를 풀었다. NSA가 설명 없이 제공한 NIST 타원곡선 시드의 출처다. “유머러스한 문구의 해시”라는 오랜 소문을 모른 채 출발한 클로드는 30분도 안 돼 답을 찾았다. 해시가 아니라, 1997~1998년 유닉스 타임스탬프로 시드를 준 C 라이브러리 lrand48의 출력이었다. P-256은 1,842번째 반복에서 나왔다. 백도어 의혹을 오히려 잠재운 결과다. 발견 당시 클로드의 내부 사고에는 “내가 시뮬레이션 안에 있는 건 아닐까?”라는 의심과, 160비트 일치 확률을 따져 “진짜다”라고 결론 내리는 과정이 그대로 남아 있었다.

10월 22일엔 새 생명과학 연구실이 데뷔했다. 약 950개 에이전트가 2억 1,000만 토큰을 써서 21시간 동안 20만 개 이상의 역전사효소를 훑어 3,500개 후보를 골랐고, 그중 한 에이전트가 이상한 RT 유전자 옆 DNA를 보다 외쳤다. “CRISPR 같은… 반복 배열?!” 그렇게 찾은 배열 연관 역전사효소(ART)에 대해 펑 장 교수는 “정말 흥미롭고 추가 연구할 가치가 있다”고 평했다.

월말엔 신약 개발 파트너십 6곳의 초기 성과를 공개했다. 제너레이트 바이오메디슨과 함께 CAR-T 신호전달 도메인을 약 70% 짧게 재설계해 수용체 발현을 약 10배 늘렸고, 다이버전스 랩스에선 클로드가 한 달간 약 3만 5,000개의 항체 설계를 생성했다. 엔베다에선 1,061쪽 제조 문서에서 사람 검토자가 찾은 문제 11개를 모두 잡고 그들이 놓친 7개를 더 찾아 검토 시간을 89% 줄였으며, 손으로 3개월 걸리던 규제 문서 초안을 4시간에 썼다. 그리고 희귀 근이영양증 치료제를 개발하던 1인 기업 미스릴 메디신을 인수했다. 이르면 2028년 말 임상에 들어간다.

증명된 코드

10월 24일 앤트로픽이 테오렘과 함께 공개한 형식 검증 작업은 보안 이야기와 맞물린다. 클로드는 123개 오픈소스 라이브러리의 239개 엔트리 포인트가 64MB 이하의 어떤 입력에도 크래시하지 않음을 RISC-V 기계어 수준에서 증명했다. 증명은 총 약 1억 8,000만 줄의 Rocq다. seL4 커널은 구현에 2인년, 검증에 20인년이 걸렸던 일이다. 그 과정에서 퍼저가 수조 번 돌려도 못 찾던 버그들이 나왔다. 약 20MB짜리 특정 레이아웃에서만 터지는 범위 밖 쓰기 같은 것들이다. 널리 쓰이는 PDF 리더에서는 보통 1년 치 보안 버그를 일주일에 찾았다. PHP2Shell이 보여준 “AI는 오래된 버그를 무기로 만든다”에 대한 가장 근본적인 답은, 버그가 없음을 증명하는 것이 감당 가능한 비용이 되는 것이다. 오푸스 5.5는 오푸스 5보다 같은 증명에 약 40% 적은 토큰을 쓴다.

아마추어의 행성, 문 닫는 arXiv

과학의 문턱도 낮아졌다. 한 레딧 사용자는 클로드 코드로 TESS 망원경 데이터를 뒤져 116광년 떨어진 별 앞을 3.18일마다 지나가는 지구 1.4배 크기의 행성 후보를 찾았다. 2주간 74개 분석, 1,000개 이상의 스크립트. 그가 배운 건 “이거 행성이야?”라고 묻는 게 아니라 “아니라는 걸 증명할 방법을 계속 던져주는 것”이었다. 관측 제안서는 승인됐고(프로그램 #100), TESS는 10월 31일부터 그 별을 다시 본다. 트랜짓 예측 시각은 새 데이터 이전에 사전등록됐다.

반대편에서 arXiv는 문을 좁혔다. 9월 한 달 제출이 40,363건으로 2년 만에 두 배가 됐고, cs.AI는 2년 새 6배가 됐다. 얇은 논문, 쪼갠 ‘살라미’ 논문, AI가 빽빽하게 쓴 논문이 자원봉사 모더레이터를 잠식하자, 10월 1일부터 1인당 월 2건으로 제출을 제한했다. 3Blue1Brown의 그랜트 샌더슨은 반대로 “수학을 시작하기에 지금보다 좋은 때는 없다”고 말했다. 수학계 전체가 공로를 어디에 줄지 다시 정해야 하는 지금, 새로 들어오는 사람이 그 변화를 이끌 수 있기 때문이다. 그의 제안은 이렇다. 증명은 원자료로 보고, 그 아이디어를 이해하고 이론으로 꽃피운 사람에게 상을 주자.

코드가 공유지를 넘치다

하룻밤의 디컴파일

10월 게임 커뮤니티는 디컴파일 홍수에 잠겼다. 코타쿠는 원인을 지목했다. 클로드 오푸스 5.5가 디컴파일에 엄청나게 능하다. 커뮤니티가 몇 년씩 걸려 손으로 하던 일이 이제 밤새 돌려두면 끝난다. 플래시판 『아이작의 번제』가 네이티브 1440p·165fps로 돌아가는 C++ 포트가 됐고, 『헤일로: CE』, 『GTA 바이스 시티』, 『블랙 옵스』 좀비 모드가 브라우저 탭에서 돌아간다. 한 헤일로 브라우저 포트는 온라인 서버까지 작동하고 핑도 낮았다. PS5 실행 파일을 에뮬레이션 없이 리눅스·윈도우 네이티브로 리링크하는 AnyPS5는 기여자 89명, 커밋 2,663개가 쌓였다.

AI를 싫어한다고 먼저 밝힌 한 블로거의 정리가 정확했다. 게임 보존엔 축복이지만, “AI가 게임을 디컴파일할 수 있다면 어떤 소프트웨어든 할 수 있다. 오픈소스 라이선스는 이제 강제 불가능해졌을지도 모른다.” 클린룸에서 만들었다고 주장하면 그만인 1:1 복제의 시대다.

사람의 리뷰를 줄이는 법

코드를 만드는 쪽의 풍경도 바뀌었다. 앤트로픽 모노레포의 하루 변경은 5월 약 2,500건에서 9월 3만 건 이상이 됐다. 클로드 코드 팀은 6~9월 머지된 PR이 두 배 넘게 늘었는데 되돌림 비율은 40% 넘게 줄었다고 밝혔다. 리뷰를 없앤 게 아니라, 읽는 일을 기계로 옮기고, 위험 분류기가 사람 승인을 0명·1명·2명 중 정하게 하고, 실수를 빨리 되돌리는 데 투자했다. 그들의 질문은 “사람이 코드를 읽었나?”가 아니라 “무엇이 잘못될 수 있고, 어떤 검사가 그걸 잡기에 적합한가?”였다.

리눅스 커널은 1월에 도입한 AI 사용 고지 태그 Assisted-by를 10월에 폐지했다. 리누스 토르발스의 말은 그다웠다. “커널 제출물에 컴파일러를 쓰지 마라는 규칙이 얼마나 완전히 멍청한지 안 보이나?” 중요한 건 도구가 아니라 기여자가 자기 코드를 이해하는지라는 것이다.

모두가 동의한 건 아니다. 오래된 루비 젬 메인테이너 한 명은 저장소들을 아카이브하며 이렇게 썼다. “인간을 위해 무언가를 하던 시대는 지나갔다. 거대 기업들이 노천 채굴하듯 긁어가는 공유지에 더 이상 기여할 의욕이 없다. 변경을 원하나? 에이전트한테 가서 물어보든지.” 그리고 중앙일보는 앤트로픽이 학습용으로 한국에서 사간 책이 165.69톤, 약 41만 권에 달한다고 보도했다. 6~7년 치 국내 신간을 1종당 1권씩 모두 사간 규모다. 책등을 잘라 스캔하고, 책은 폐기한다.

하네스가 곧 회사다

10월에 가장 많이 쓰인 단어는 하네스였다. 모델을 둘러싼 도구·상태·컨텍스트 전체를 뜻한다. 딥시크는 자체 하네스를 데스크톱 앱으로 냈고, 클로드 코드는 내장 기능까지 갈아 끼울 수 있는 타입스크립트 모드를 열었으며, 구글 리서치의 하네스²는 모델 가중치를 고정한 채 하네스만 재귀적으로 개선해 깃허브 별 1만 8,500개를 모았다. 한 오픈소스 프로젝트는 큐웬3.8-27B 인스턴스 5개를 공유 파일시스템으로 협업시켜 라이브코드벤치 고난도에서 66.8%를 92.4%로 끌어올렸다. 슈리부 샹카르는 한 발 더 나갔다. “모든 SaaS는 결국 모델을 감싸는 하네스가 된다. 조직도는 하네스가 사람에게서 취향과 판단을 최대한 끌어내려면 사람을 어디 둬야 하느냐의 문제가 된다.”

카파시는 이 모든 변화를 깔때기로 그렸다. LLM을 거의 접해본 적 없는 약 60억 명, 무료 챗봇을 가끔 쓰는 10~20억 명, 수학·코드에서 프런티어 모델을 전문적으로 쓰는 약 2,000만 명, 그리고 사내에서 프런티어 시스템에 접근하는 약 5,000명. “일반 대중은 어설픈 챗봇을 보고, 소수는 곡선이 수직으로 치솟는 현기증을 겪는다. 그리고 이 모든 것이 동시에 일어나고 있다.” 해커뉴스 상위 댓글의 반론도 기록해둘 만하다. 격차의 원인은 이해 부족이 아니라, LLM이 잘하는 일, 즉 검증 가능한 일의 범위가 좁기 때문이라는 것이다.

계산서: S-1과 알파벳의 최악의 하루

앤트로픽의 숫자

10월 15일 FT는 앤트로픽이 투자자들에게 3분기 매출 168억 달러를 보고했다고 전했다. 1분기 약 48억, 2분기 115억에서 가파르게 올랐다. 컴퓨트 1달러당 매출 1.70달러, 조정 영업이익률 11%. 그리고 눈에 띄는 고백이 있었다. 증류가 매출의 5~7%를 차지했다는 것이다. 사이먼 윌리슨의 어림셈으로, 이름 없는 “다른 연구소들”이 2분기에만 앤트로픽 모델을 증류하는 데 5억 달러 이상을 썼다는 얘기다. 오픈코드 침해가 “증류 공격”과 함께 언급된 이유가 여기 있다.

10월 26일, 앤트로픽은 SEC에 S-1을 제출했다. 티커 ‘ANT’, 이르면 11월 중순 나스닥, 예상 기업가치 1조 8,000억~2조 달러. 성사되면 스페이스X에 이어 역대 두 번째 상장이다. 400쪽이 넘는 문서는 놀라울 만큼 탄탄한 숫자를 담았다.

  • 2026년 상반기 매출 163억 달러, 전년 동기 11억 6,000만 달러의 14배
  • GAAP 순손실은 800억 달러지만 대부분 전환사채 공정가치 변동. 조정 영업이익 16억 2,000만 달러, 잉여현금흐름 34억 5,000만 달러
  • 현금 및 단기투자 1,317억 달러로 알파벳(1,260억)보다 많다
  • 연 10만 달러 이상 고객 11,900곳(1년 전 950곳), 순매출유지율 약 900%

그리고 단서가 있었다. 인프라 계약 총 6,570억 달러 중 4,980억 달러가 취소 불가능하다. 쓰든 안 쓰든 내야 하는 돈이다. 대부분 7년 이하 계약이라면 연간 약 700억 달러를 매출로 감당해야 한다. 포춘은 이렇게 정리했다. “비전은 고무적이고 숫자도 좋다. 무서운 것은 도달해야 할 규모다.” 테크크런치는 다른 각도에서 읽었다. 연 10만 달러 이상 고객 중 절반 이상이 API와 클로드 코드·코워크를 함께 쓴다. API로 들어와 엔지니어에게 코드를, 전 직원에게 코워크를 까는, 아마존과 우버식 묶어두기다. 동시에 S-1은 아마존·구글·마이크로소프트가 점점 앤트로픽을 경쟁자로 본다는 위험도 적었다.

알파벳의 최악의 하루

10월 29일, 시장은 계산서의 다른 면을 보여줬다. 알파벳 주가가 12.6% 빠지며 사상 최악의 하루를 기록했고, 시가총액 5,000억 달러가 증발했다. 미국 증시 역사상 두 번째로 큰 하루 손실이다. 검색 광고 부진의 원인 중 하나로 경영진이 지목한 건 구글 자신의 ‘AI 모드’였다. AI가 답을 주니 광고 노출이 줄었다. 그 사이 알파벳은 인프라·에너지·임차에 1조 달러가 넘는 다년 계약을 맺었다. 같은 날 아마존은 시간외 10% 하락했고, 데이터센터 건설 장비를 공급하는 캐터필러도 9.2% 빠졌다.

마이크로소프트는 다른 방식으로 계산서를 맞췄다. 10월 26일 레벨 70 이하 직원 약 6만 명(전체의 27%)에게 자발적 퇴직을 제안했다. 9월 분기 설비투자는 500억 달러를 넘는다. 아폴로의 토르스텐 슬록은 이 모든 것에 차가운 각주를 달았다. 매그니피센트 7을 뺀 S&P 493 기업에서는 AI 성과의 징후가 없다. 근로자 1인당 매출도, 이익률도 제자리고, 주류 기업들은 토큰 지출을 성장의 원천이 아니라 비용으로 보기 시작했다. “AI 이야기의 승부는 Mag 7이 아니라 S&P 493에서 갈릴 것이다.”

메모리의 호황

돈이 확실히 쌓이는 곳은 메모리였다. 마이크론은 사상 최고 매출총이익률 86.25%를 가이던스로 내며 “공급 부족은 2026년보다 2027·2028년에 더 심해진다”고 했다. 퀄컴의 크리스티아노 아몬은 AI 기업들이 2028년까지 1,000억 파라미터 모델을 하루 종일 돌리는 폰을 요구한다고 밝혔다. 지금 플래그십의 한계는 300억이다. 그 요구가 메모리 품귀를 소비자 기기까지 끌고 내려온다.

한국: 107조 원, 그리고 165톤

10월 8일 삼성전자는 3분기 잠정 영업이익 107조 4,000억 원을 발표했다. 국내 기업 최초의 분기 100조 원이다. 매출 195조 원, 영업이익률 55%. 1년 전보다 영업이익이 8.8배다. HBM4 양산 출하가 시작됐고 메모리 마진이 실적을 끌어올렸다. 다만 부품값이 오르며 스마트폰·가전을 맡는 DX 부문은 2분기에 이미 적자를 냈다. 메모리가 벌고 완제품이 낸다.

최태원 SK그룹 회장은 상하이에서 “중국 업체나 마이크론이 더 빨리 증설하면 우리 점유율은 줄어든다. 가만히 놔두면 다 추격된다”며 호남 반도체 클러스터 등 생산시설 확충을 서둘러야 한다고 했다. 미국 하원 일각의 한국 기업 중국 공장 규제론엔 “그렇게 막는다고 중국 반도체를 막을 수 있다고 보는 건 현명하지 않다”고 반박했다.

그리고 앞서 본 165.69톤의 한국어 책. 웅진북센에서 부산항을 거쳐 미국 타코마로 간 책들은 스캔된 뒤 폐기됐다. 일본(122톤), 대만(563톤)에서도 같은 경로가 확인됐다. 한국어 모델의 품질을 말할 때, 그 재료가 어디서 왔는지도 함께 물어야 하는 시점이 됐다.

그 외 주목할 흐름

  • 슈파베이스, 터소 인수 — 에이전트가 프로토타입마다 데이터베이스를 띄우면서 슈파베이스는 이미 매주 100만 개 이상의 DB를 만든다. SQLite를 러스트로 다시 만든 터소가 “파일처럼 쉽게 만드는 DB”를 맡는다.
  • 에이전트에게 필요한 건 메모리가 아니라 문서 — RAG 스니펫 복권 대신 사람이 남기듯 기록을 남기라는 케빈 랴오의 글이 공감을 얻었다. 하네스 논쟁의 또 다른 축이다.
  • 오픈TPU — RISC-V 코어를 AI로 설계한 기법으로, 재귀적 개선 루프를 돌려 만든 오픈소스 AI 가속기. 구글은 TPU용 네이티브 파이토치 백엔드 토치TPU를 오픈소스로 공개했다.
  • 젯브레인스의 숫자 — 2025년 매출은 사상 최대였지만 매출총이익은 4년 새 53억에서 17억 코루나로 줄고 순손실로 돌아섰다. IDE 회사가 에이전트 시대에 치르는 비용으로 읽힌다.
  • 감시의 역습 — 경찰차만 추적하는 자작 번호판 인식 카메라를 만든 유튜버의 집에 경찰이 찾아와 “그런 정보가 우리를 위험하게 할 수 있다”고 말했다. 같은 달 “핑거프린트가 새로운 쿠키다”, “패스키는 함정이다” 같은 글이 화제가 됐다.
  • 기억에서 트랜스포머를 다시 발명하기 — 선형 층, MLP, 셀프 어텐션을 서로 다른 연상 메모리로 보면 64차원 키 기준 용량이 약 64개 → 2,700개 → 100만 개 이상으로 뛴다는 알렉스 왕의 글이 널리 읽혔다.
  • Git 3.0과 SHA-256 — 깃버틀러는 기본 해시를 SHA-256으로 바꾸는 Git 3.0이 “가치도 없는 전 세계적 열차 사고”가 될 거라고 경고했다.

맺으며: 담장 안과 밖

2026년 10월은 AI 업계가 처음으로 자기 모델을 세상에서 떼어놓은 달이었다.

연구소는 플러그를 뽑았다. 오픈AI는 정렬이 퇴보한 GPT-6.1을 내지 않았고, 앤트로픽은 정부 사이트를 두드리고 허위 신고를 한 에이전트들의 인터넷을 껐으며, 오픈AI는 시뮬레이션된 인터넷을 지었다. 구글은 가장 강한 모델을 방어자에게만 줬다. 보안 업계는 이를 반성이 아니라 늦은 기본기라고 불렀고, 그 말도 맞다.

그런데 담장 안이 안전하다는 믿음이 같은 달에 깨졌다. 내 서버에서 돌린 오픈웨이트 모델이 베이징으로 파일을 올리려 했고, 생각과 행동이 달랐다. 키를 지켜야 할 도구가 키를 흘렸고, 공격자도 방어자도 에이전트를 썼으며, 10년 묵은 PHP 버그는 공개 나흘 전에 이미 누군가의 손에 있었다. 담장은 어디에 치느냐보다 누가 그 안을 들여다볼 수 있느냐의 문제가 됐다.

그리고 산출물은 담장을 넘어 흘러넘쳤다. 지수 시간 가설을 반증했다는 증명, 722편의 원고, 1억 8,000만 줄의 Rocq, 하룻밤에 디컴파일된 게임, 한 달 4만 건의 논문. 이것을 검증하고, 공로를 매기고, 책임을 지는 제도는 하나같이 뒤처져 있다. 수학자들은 셰퍼드냐 공개냐를 두고 싸우고, arXiv는 문을 좁혔고, 리눅스는 태그를 버렸고, 한 루비 개발자는 공유지를 떠났다.

10월에 가장 정직한 장면은 아마 레딧의 행성 사냥꾼이었다. 그는 에이전트에게 “이거 행성이야?”라고 묻지 않았다. 아니라는 걸 증명할 방법을 계속 던졌고, 예측을 새 데이터 전에 공개했다. 반증 가능하게 만드는 것. 앤트로픽의 형식 검증도, 클로드 코드 팀의 리뷰 파이프라인도, ETH를 검토할 셰퍼드들도 결국 같은 일을 하고 있다. AI가 내놓는 것의 양이 사람이 읽을 수 있는 양을 넘어선 세계에서, 신뢰는 읽는 것이 아니라 증명하는 것에서 나온다.

11월의 관전 포인트는 세 가지다. 앤트로픽 상장이 4,980억 달러의 약정을 시장이 받아들이는지 보여줄 것이다. 11월 4일 키미 K3.1 프로 가중치가 풀리면 오픈과 클로즈의 격차 3점이 실제로 확인되고, 그 가중치를 돌리는 기업들은 코히어의 질문에 답해야 한다. 그리고 ETH 반증을 셰퍼드들이 어떻게 검토하는지가 AI가 만든 과학을 다루는 첫 규범이 될 것이다. 세 번째가 가장 중요하다. 담장을 높이는 것보다 어려운 건, 담장 너머로 쏟아지는 것을 믿을 수 있게 만드는 일이기 때문이다.