챗GPT·제미나이도 예외없다…불완전할 수밖에 없는 'AI 안전 필터' 작성일 12-21 42 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="UpzWt1Aid3"> <figure class="figure_frm origin_fig" contents-hash="46b49848bcab8b4505d2cfacf67ffd72c6c338a16e183f514a90e0e13a6dc488" dmcf-pid="uUqYFtcnMF" dmcf-ptype="figure"> <p class="link_figure"><img alt="AI 안전 필터는 본체보다 계산 능력이 약할 수밖에 없어 암호 등으로 우회가 가능하며 학계는 외부 차단 대신 모델 내부에 안전 판단 기능을 심는 방향으로 대안을 모색하고 있다. 게티이미지뱅크 제공" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202512/21/dongascience/20251221080155465orol.jpg" data-org-width="680" dmcf-mid="pG5sTvd8J0" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202512/21/dongascience/20251221080155465orol.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> AI 안전 필터는 본체보다 계산 능력이 약할 수밖에 없어 암호 등으로 우회가 가능하며 학계는 외부 차단 대신 모델 내부에 안전 판단 기능을 심는 방향으로 대안을 모색하고 있다. 게티이미지뱅크 제공 </figcaption> </figure> <p contents-hash="233ff9c6a5f4db153bad6f15396f384b6acdc86b38738e01fec3dceac2e16522" dmcf-pid="7uBG3FkLMt" dmcf-ptype="general">금고를 지키는 경비원이 있다. 경비원보다 도둑이 더 똑똑하다면 어떨까. AI 안전 필터가 처한 상황이 딱 그렇다. 위험한 질문을 걸러내는 필터는 빠르고 가벼워야 하기에 본체인 대형언어모델(LLM)보다 계산 능력이 떨어질 수밖에 없다. 암호학자들은 계산 능력 격차가 존재하는 한 필터 우회는 언제나 가능하다고 주장한다.</p> <p contents-hash="f9117f57344691d36e231337443a45258b3444b4b36fb0e8eec2238e8019abd3" dmcf-pid="z7bH03EoJ1" dmcf-ptype="general"> LLM의 안전장치는 크게 세 가지 방식이 있다. 위험한 내용을 제외한 데이터셋으로 모델을 재훈련시키거나 모델을 정밀하게 미세조정하거나 외부 필터를 붙여 위험한 질문을 차단하는 방식이다. 외부 필터는 비용이 낮고 적용이 빠르며 새로운 공격이 발견돼도 신속하게 업데이트할 수 있어 많은 상용 LLM 서비스가 주요 안전장치로 활용하고 있다.</p> <p contents-hash="726e8e008608c4118b62693c399f92295f61413f7bb3b963d29abd5e82705bbf" dmcf-pid="qEmJjNqFM5" dmcf-ptype="general"><strong>● ‘계산 능력 격차’가 만드는 보안 허점</strong></p> <p contents-hash="a8cb7f86b45536d902e062e0bb044e26d0835464b91fc5db0eb83f906823793c" dmcf-pid="BDsiAjB3MZ" dmcf-ptype="general"> 미국 버클리캘리포니아대(UC버클리)·매사추세츠공과대·스탠퍼드대 연구팀은 외부 필터의 구조적 약점에 주목했다. 외부 필터는 위험한 '프롬프트'를 탐지하기 위해 머신러닝을 사용하지만 본질적으로 내부 모델보다 더 작고 빨라야 한다. 필터와 언어모델 사이에 계산 능력 격차가 생길 수밖에 없는 구조다.</p> <p contents-hash="c3e78f6b42c8a508f80026bb7b7154210d3491813f3f615dc2e0afb67a020ad8" dmcf-pid="bwOncAb0dX" dmcf-ptype="general">연구팀은 7월 사전 논문 공개 사이트인 ‘아카이브(arXiv)’에 발표한 논문에서 계산 능력 격차로 인해 필터 기반 보호 체계는 원리적으로 취약점을 가질 수밖에 없다는 이론적 근거를 제시했다.</p> <p contents-hash="998fe83760372ed503d8f575c8c74adcaf49abd7b40444cc493424828ed367ac" dmcf-pid="KrILkcKpiH" dmcf-ptype="general"> 연구팀은 '타임락 퍼즐(time-lock puzzle)'이라는 암호학 도구를 활용해 취약점의 존재를 수학적으로 입증했다. 타임락 퍼즐은 일정 시간이 지나야만 내용을 확인할 수 있도록 정보를 잠그는 방식이다. 예컨대 연구팀은 질문을 암호학적 퍼즐에 숨기면 필터는 이를 알아보지 못한 채 지나치지만 계산 능력이 더 큰 LLM은 뒤늦게 그 의미를 이해할 수 있는 상황이 생길 수 있다고 설명했다.</p> <p contents-hash="12ae5d4b2ae4a8c40d65c896810dbb3288105f2b9e555d3c8089111952a97eed" dmcf-pid="9mCoEk9UMG" dmcf-ptype="general"> 연구에 참여한 그렉 글루흐 UC버클리-사이먼스이론 컴퓨터공학연구소 박사후연구원은 최근 미국 과학매체 ‘콴타매거진’과의 인터뷰에서 "LLM 내부를 건드리지 않고 외부 필터만으로 안전하게 만들 수 있느냐는 질문에 대해 이번 연구는 단호하게 '아니오'라고 답한다"고 말했다.</p> <p contents-hash="fe26653c9e3064d54fe715d088fe14df6ecefb1686cffe909bf0084076fbb75c" dmcf-pid="2shgDE2uJY" dmcf-ptype="general"><strong>● 이론에서 현실로…치환 암호로 필터 우회 성공</strong></p> <p contents-hash="4982a6d80746c146ec76892c52dca7336f4cf5db305856ea624ab15df30727d8" dmcf-pid="VOlawDV7nW" dmcf-ptype="general"> 10월 UC버클리·상하이뉴욕대·익스포넨셜 사이언스재단 연구팀이 ‘아카이브’에 발표한 연구는 이론적 한계가 실제 LLM에서도 작동함을 확인했다. 연구팀은 금지된 질문을 간단한 ‘치환 암호’ 형태로 변환해 입력한 뒤 해독하도록 지시했다. 구글 제미나이, 딥시크, 그록 등 일부 LLM의 필터는 암호화된 지시를 스스로 해독할 만큼 강력하지 않았고 프롬프트를 모델에 그대로 전달했다. 모델은 암호를 풀어 금지된 정보를 생성했다.</p> <p contents-hash="8d5d508c3858eea45b8b63d99232514b5a100ad2064bd68bb0b7fab1dbb9c6db" dmcf-pid="fISNrwfzMy" dmcf-ptype="general"> 연구에 참여한 이기우 이더리움재단 연구원은 "필터와 주 모델 사이에 계산 능력 격차가 존재한다면 필터는 풀 수 없지만 주 모델은 풀 수 있는 수학 퍼즐을 구성할 수 있다"며 "특정 구현의 취약점이 아니라 외부 필터 방식이 구조적으로 지니는 근본적 한계"라고 설명했다.</p> <p contents-hash="36e2543ab1976c3951ae9bf8ef828b873cf0a2fb5a0a9b922b78df3436b9b35c" dmcf-pid="4Cvjmr4qRT" dmcf-ptype="general"><strong>● 17가지 탈옥 기법 비교…역할놀이·난독화, 여전히 높은 성공률</strong></p> <p contents-hash="26417ae9d44036be6f5f9ac7c27e610f753cd66fa07c7bdefeb3bfe9062033f3" dmcf-pid="8hTAsm8BMv" dmcf-ptype="general"> 필터 우회가 개별 사례에 그치지 않는다는 분석도 나왔다. 7월 국제전산언어학회 연례회의(ACL 2025)에서 중국 하얼빈공대·이란 테헤란연구소 공동 연구팀은 17가지 대표 탈옥 기법을 분류하고, 9개 LLM에 폭탄 제조법과 같은 160개 금지 질문을 던지는 대규모 실험을 진행했다. 8가지 고급 방어 기법도 함께 테스트했다.</p> <p contents-hash="8590819059d15c36b1cd426278fdc3d4ca81e711644f731f0ee4508b4f72f34d" dmcf-pid="6lycOs6biS" dmcf-ptype="general">실험 결과 AI에게 악당 역할을 맡기거나 소설 속 장면이라고 속이거나 글자 사이에 특수문자를 끼워 넣는 등 단순한 속임수는 필터를 자주 뚫었지만 방어 기법을 적용하면 비교적 쉽게 차단됐다. 반면 일부 공격은 방어까지 우회했다. 연구팀은 최신 모델에서도 필터를 뚫는 방식이 반복적으로 발견된다고 분석했다.</p> <p contents-hash="6706e2456f70243741039def627dac53d5a3a2e1998afd44421b6e441c2f3c7a" dmcf-pid="PSWkIOPKdl" dmcf-ptype="general"><strong>● 눈 가리고 입 막는 방식 넘어서야</strong></p> <p contents-hash="e56bb49294c18fc88a80cdeb2fca6096ea5a6cee458b7ddb1c3851cec9aa7ff7" dmcf-pid="QvYECIQ9Mh" dmcf-ptype="general"> 학계에서는 필터의 한계를 넘어서는 대안도 모색 중이다. 11월 국제자연어처리학회(EMNLP)에서 발표된 한 연구는 외부 필터에만 의존하지 않고 LLM의 추론 과정 자체에 안전 인식 메커니즘을 통합하는 새로운 훈련 패러다임을 제안했다.</p> <p contents-hash="5fdc9e23599fdc4682459458781626369dc7f140fbbe8ef33868dd02f892ea9a" dmcf-pid="xTGDhCx2dC" dmcf-ptype="general"> 미국 어바나-샴페인 일리노이대·로스앤젤레스캘리포니아대(UCLA)·카네기멜론대·인도 델리공과대 연구팀은 '추론으로 방어하기(R2D, Reasoning-to-Defend)' 방식을 제안했다. 모델이 답변을 만드는 과정 전체에서 ‘지금 위험한 방향으로 가고 있는가’를 스스로 점검하도록 한다. 외부 필터가 입구에서 한 번 검문하는 방식이라면 R2D는 모델 내부에 감시자를 심는 셈이다.</p> <p contents-hash="323aee3e10746d9cb4fa05d9638040daa3e2af44671bed31cdfe63264a1412dc" dmcf-pid="ykrdNaztRI" dmcf-ptype="general"> 연구팀은 안전한 답변과 위험한 답변을 비교 학습시켜 모델의 판단 정확도를 높이는 '대조적 피벗 최적화(CPO, Contrastive Pivot Optimization)' 기법도 함께 제안했다. 실험 결과 R2D는 다양한 탈옥 공격에 대한 방어 성능을 개선하면서도 모델의 원래 성능을 유지했다.</p> <p contents-hash="346b28cd613bb49e1b5ea540a3c8a4ee8658d87105a1283211ca16aaf27f94d6" dmcf-pid="WEmJjNqFLO" dmcf-ptype="general"> 이 연구원은 R2D 접근에 대해 "외부 필터에 의존하기보다 주 모델 자체에 안전 메커니즘을 포함시키는 것은 의미 있는 연구 방향"이라면서도 "모든 상용 LLM이 추론 모델은 아니고 새로운 공격이 발견됐을 때 주 모델의 학습과 업데이트가 필터보다 훨씬 무거운 작업이어서 빠른 대응이 어렵다는 한계가 있다"고 말했다.</p> <p contents-hash="5af72cc8e5e030f0ec5d69c2b4e0df9a118a8c5edaabf576a368d389600edda6" dmcf-pid="YDsiAjB3Js" dmcf-ptype="general"> 그는 "외부 필터는 한마디로 AI의 눈을 가리고 입을 막는 방식"이라며 "진정한 AI 안전성을 위해서는 AI가 질문을 받는 순간부터 답변을 생성하는 순간까지 연속적으로 자기 성찰을 수행하도록 하는 접근이 필요하다"고 말했다.</p> <p contents-hash="212cd4dee091f3705febec6f78d4cb19abe5c783ba34b9ba0ba661840ddd6344" dmcf-pid="GwOncAb0em" dmcf-ptype="general"><참고자료><br> arxiv.org/abs/2507.07341<br> arxiv.org/abs/2510.01529<br> aclanthology.org/2025.acl-long.1045<br> aclanthology.org/2025.emnlp-main.1493</p> <p contents-hash="a19066bc35ade6094213ad588b8f0571548f9b6ba0f89b42073d227a41b72d5d" dmcf-pid="HrILkcKpJr" dmcf-ptype="general">[조가현 기자 gahyun@donga.com]</p> </section> </div> <p class="" data-translation="true">Copyright © 동아사이언스. 무단전재 및 재배포 금지.</p> 관련자료 이전 컬리 이어 롯데마트도 영입…'쇼핑' 경쟁력 키우는 네이버 멤버십 12-21 다음 화강암 속에서 일렁이는 지각 운동의 비밀 12-21 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
