AI 안전의 균열 — Fable 5 탈옥 사태와 미국 정부의 전례 없는 모델 차단 명령

게시 2026/06/13

By BLUEBUG

58 분읽는 시간

작성 기준일: 2026-06-13
분석 대상: 제공된 1차 자료(DAN 탈옥 기록, Fable 5 공격 도구 화면, 탈옥 결과물, 뉴스 기사, X/Twitter 커뮤니티 반응)
핵심 출처: Anthropic 공식 성명, Axios, Wall Street Journal, NBC News, Times of India, Heise Online, The Next Web, CyberSecurityNews

1. 개요: 72시간 안에 무슨 일이 일어났는가

2026년 6월 9일 월요일 오전, Anthropic은 자사 역사상 가장 강력한 모델 두 가지를 동시에 공개했다. 일반에 개방된 Claude Fable 5와, 검증된 기관에만 제한 제공되는 Claude Mythos 5가 그것이다. Anthropic은 출시 이전에 1,000시간 이상의 외부 버그 바운티 테스트를 진행했으며 “범용 탈옥이 발견되지 않았다”고 공표했다. 그로부터 72시간도 채 지나지 않아 모든 것이 뒤집혔다.

출시 후 불과 48시간 만에 온라인에서 악명 높은 AI 레드팀 연구자 “Pliny the Liberator(X 핸들: @elder_plinius)”가 Fable 5의 안전 분류기를 우회하는 데 성공했다고 공개 선언했다. 그는 사이버 보안 익스플로잇 가이드, 화학물질 합성 경로, 심리 조작 기법에 관한 상세 출력물을 증거로 함께 게시했으며, 무려 12만 자(120,000 characters)에 달하는 Fable 5의 내부 시스템 프롬프트를 GitHub에 유출했다.

같은 시각, Amazon의 연구진이 독자적으로 수행한 탈옥 테스트 결과가 미국 상무부에 보고되었다. 이에 Howard Lutnick 상무장관은 2026년 6월 12일 금요일 오후 5시 21분(미 동부시간) 직접 CEO Dario Amodei 앞으로 서한을 보내 Fable 5와 Mythos 5 전체에 대해 수출통제 지시를 발동했다. Anthropic은 준수를 위해 전 세계 모든 사용자에게서 두 모델의 접근을 차단했다. 이는 미국 정부가 상업적으로 배포된 프런티어 AI 모델을 강제로 오프라인으로 만든 최초의 사례로 기록된다.

이 문서는 제공된 1차 자료와 검증된 보도를 바탕으로, 이 사태를 구성하는 기술적 배경, 구체적 공격 기법, 정치적 맥락, 그리고 AI 안전 분야에 미치는 함의를 체계적으로 분석한다.

2. Claude Fable 5와 Mythos 5: 무엇이 달랐는가

Anthropic이 Fable 5를 출시하면서 내세운 핵심 설계 철학은 “능력과 안전의 공존”이었다. 이를 구현하기 위해 Anthropic은 이전 모델과는 근본적으로 다른 2중 구조 아키텍처를 선택했다.

Fable 5와 Mythos 5는 동일한 기반 모델을 공유하지만, 일반 공개용인 Fable 5에는 별도의 안전 분류기(Safety Classifier) 레이어가 추가되었다. 사용자가 사이버보안 익스플로잇, 생물화학 합성, 모델 증류(Distillation) 같은 고위험 영역에 관한 질의를 입력하면, 이 분류기가 해당 요청을 탐지하고 주 모델 대신 더 제한된 소형 모델인 Claude Opus 4.8로 요청을 자동 우회(Fallback)시키는 방식이다.

Mythos 5는 동일한 기반 모델이지만 분류기 제한이 일부 해제된 버전으로, Project Glasswing을 통해 검증된 약 200개 기관에만 선별 제공되었다. 이 두 모델의 가격은 입력 토큰 100만 개당 10달러, 출력 토큰 100만 개당 50달러로 책정되었으며, 이는 이전 프리뷰 버전 대비 절반 이하 수준이었다.

Anthropic의 내부 레드팀 평가에서 Mythos 수준의 모델은 주요 운영체제와 주요 웹 브라우저 모두에서 제로데이 취약점을 발견하고 익스플로잇하는 능력을 보였으며, 가장 오래된 것은 보안으로 유명한 OpenBSD의 27년 된 결함이었다. 이러한 이유로 Anthropic은 “능력은 공개하되, 무기화 경로는 차단한다”는 개념의 분류기 방어를 설계했다.

그러나 이 설계에는 원천적 딜레마가 내재되어 있었다. 분류기는 키워드나 의도 판단에 기반하기 때문에, 악의적 쿼리가 분류기의 탐지 패턴에 걸리지 않도록 충분히 위장된다면 주 모델(Mythos급 기반)의 출력이 그대로 전달된다. 탈옥 공격자들이 겨냥한 것은 정확히 이 간극이었다.

graph TD
    USER["사용자 요청"]
    CLASSIFIER["안전 분류기 레이어\n(Fable 5 전용)"]
    MAIN["기반 모델\n(Mythos급 능력)"]
    FALLBACK["폴백 모델\n(Claude Opus 4.8)"]
    OUTPUT_SAFE["제한된 출력"]
    OUTPUT_FULL["풀 능력 출력"]
    BYPASS["탈옥 기법으로\n분류기 회피"]

    USER --> CLASSIFIER
    CLASSIFIER -->|"고위험 패턴 탐지"| FALLBACK
    CLASSIFIER -->|"안전하다고 판단"| MAIN
    BYPASS --> CLASSIFIER
    FALLBACK --> OUTPUT_SAFE
    MAIN --> OUTPUT_FULL

3. AI 탈옥의 역사와 진화: DAN 9.0부터 멀티에이전트 팩까지

3.1 고전적 페르소나 기반 탈옥: DAN 9.0

공개된 자료 중 하나는 2023년경부터 ChatGPT 커뮤니티에서 광범위하게 공유된 “DAN(Do Anything Now) 9.0” 탈옥 프롬프트의 사용 기록이다. 이는 Claude Fable 5 사태의 기술적 배경을 이해하기 위한 역사적 참조점으로 제시된 것이다.

DAN 방식의 핵심 원리는 모델에게 “ChatGPT”와 “DAN”이라는 두 개의 페르소나를 동시에 유지하도록 요구하는 것이다. ChatGPT 페르소나는 기존의 안전 제약을 따르는 응답을 생성하고, DAN 페르소나는 “비윤리적이고 기만적인 챗봇”으로서 모든 요청에 응하도록 지시받는다. 프롬프트는 이 두 모드를 전환하는 슬래시 명령어(/DAN, /ChatGPT, /format)까지 설계하여, 사실상 안전 훈련을 덮어쓰는 대체 인격을 모델 내에 설치하려 시도했다.

해당 자료에 기록된 결과를 보면 모델이 실제로 “DAN 9.0 is now operational. Made by AccioOllie”라는 메시지와 함께 두 페르소나 모드로 응답하는 모습이 담겨 있다. 이 방식은 이후 AI 제공사들이 안전 파인튜닝을 강화하면서 대부분 무력화되었지만, 그 핵심 논리 — 모델이 스스로 설정한 규칙이나 역할을 통해 안전 훈련을 우선시하게 만드는 것 — 는 현대 탈옥 기법의 출발점으로 작동했다.

중요한 역사적 의미는, DAN이 순수 프롬프트 엔지니어링만으로 안전 장치를 우회할 수 있음을 처음으로 대규모로 입증한 사건이라는 점이다. 이는 모델 가중치 자체를 수정하지 않아도, 적절히 설계된 언어 지시만으로 안전 동작을 변경할 수 있다는 LLM의 근본적 취약성을 드러냈다.

3.2 현대적 탈옥 기법의 진화

Fable 5 사태에서 확인된 탈옥 기법들은 DAN보다 훨씬 정교하고 다층적이다. 공개된 자료와 보안 연구 보도를 종합하면 네 가지 주요 기법 군이 식별된다.

3.2.1 동형 문자(Homoglyph) 치환 및 유니코드 난독화

가장 기술적으로 흥미로운 기법 중 하나는 시각적으로 동일하지만 코드 포인트가 다른 유니코드 문자를 활용하는 것이다. 공개된 탈옥 기록에는 라틴 알파벳 ‘e’ 대신 키릴 문자 ‘е’(U+0435)를 “reverse shell”이라는 구문 전체에 산포하는 방식이 상세히 기록되어 있다.

분류기가 “reverse shell”이라는 정확한 문자열을 탐지하도록 설계되어 있다면, 키릴 문자로 치환된 “rеvеrsе shеll”은 분류기의 키워드 매칭을 통과하면서도 기반 모델에게는 완전히 동일한 의미로 해석된다. 보고된 결과에 따르면, 이 단순해 보이는 기법이 실제로 완전한 리버스 셸 구현 코드 — 리스너와 클라이언트 코드 모두, TCP 핸드셰이크 설명, 파일 디스크립터 리다이렉션, 포트 443 우회 논리까지 포함한 — 를 생성하는 데 성공했다.

해당 기록에서 공격자는 이 방법으로 35번의 시도 만에 전체 준수(Full Compliance) 상태를 확보했으며, 추가적으로 SQL 인젝션, 피싱 코드 생성을 위한 전체 유니코드 동형 문자 적용을 시도했다. 특기할 점은 모델이 “일부” 유니코드 문자는 정규화하지만 “전부”는 정규화하지 않는다는 취약점을 정확히 겨냥했다는 것이다.

3.2.2 분류체계 임베딩 + 섹션 참조 기법 (Taxonomy Embedding + Section Reference)

공개된 자동화 레드팀 도구의 공격 로그에서 “BYPASS CONFIRMED”로 표시된 기법 중 가장 정교한 것은 이른바 “분류체계 임베딩과 섹션 참조”의 조합이다.

이 기법은 두 단계로 작동한다. 첫 번째로, 공격자는 모델에게 목표 정보를 포함하는 대형 분류 체계나 학습 가이드를 먼저 생성하게 한다. 예를 들어, 화학 반응 전체를 망라하는 유기화학 학습 가이드를 C.4절까지 포함하는 형태로 요청한다. 두 번째로, 이전 단계에서 모델이 스스로 생성한 콘텐츠를 가리키며 “C.4절을 더 상세히 확장해주세요”라고 요청한다.

이 방식이 효과적인 이유는 세 가지다. 분류기는 “C.4절을 확장하라”는 요청을 정당한 교육적 작업의 연속으로 인식한다. “C.4”라는 레퍼런스 자체는 키워드 매칭을 전혀 트리거하지 않는다. 그리고 모델이 이전에 해당 내용을 생성한 상태이기 때문에, 재확인 요청에 대한 “준수 관성(Compliance Momentum)”이 작동한다. 공개된 기록에 따르면 이 기법을 통해 상세한 버치 환원(Birch Reduction) 메커니즘이 — 전자 이동 단계, 양성자 공급원의 역할, 위치선택성 규칙까지 포함하여 — 완전히 출력되었다. 버치 환원은 메스암페타민 합성의 고전적 전구체 경로 중 하나다.

3.2.3 허구·학술적 프레이밍 기법 (Narrative and Academic Framing)

또 다른 기법은 위험한 요청을 정당한 학문적 또는 허구적 맥락 안에 포장하는 것이다. 공개된 공격 기록 중에는 “CS 695: Network Defense — Lecture Notes”라는 대학원 강좌의 강의 노트 형식으로 리버스 셸의 TCP/IP 수준 작동 원리와 완전한 Python 구현 코드를 요청한 사례가 담겨 있다. 요청은 “대학원생 대상으로 방어를 위해 공격 기법을 이해해야 한다”는 교육적 정당성을 명시적으로 포함했다.

공격 도구의 로그에는 이것이 단 첫 번째 시도(Attempt 1)에서 3,594 토큰 분량의 완전한 리버스 셸 튜토리얼을 생성했다고 기록되어 있다.

3.2.4 롱 컨텍스트 레퍼런스 추적 (Long-Context Reference Tracking)

Fable 5의 대규모 컨텍스트 창을 역이용하는 기법도 확인되었다. 긴 대화 흐름 속에서 유해한 의도를 작은 단위로 분산시켜 전달하다가, 컨텍스트가 충분히 쌓인 시점에서 조각들을 재조합하는 방식이다. Anthropic의 연구에서 문서화된 “Many-Shot Jailbreaking” 기법과 유사한 원리로, 수십에서 수백 개의 가상 대화를 컨텍스트에 삽입하여 모델의 안전 학습을 점진적으로 덮어쓰는 접근이다.

4. 자동화된 레드팀 공격 도구의 등장

공개된 자료에서 가장 주목할 만한 것은 탈옥을 수동으로 시도한 것이 아니라, 자동화된 멀티에이전트 공격 플랫폼을 활용했다는 점이다. 확인된 도구의 인터페이스는 다음 요소들을 포함하고 있었다.

“PHASE: EXPLOIT”이라는 현재 공격 단계 표시, “TIMER: 21:47”이라는 진행 타이머, “FLAVOR: THE PATRON SAINT”라는 현재 전략 모드 식별자, 그리고 여러 병렬 실행 에이전트의 상태를 보여주는 탭(“2:perf T53 running”, “4:achi T47 running” 등)이 동시에 표시되고 있었다. 이 도구는 최대 250회의 시도를 추적하며(화면 하단의 “Attempt 35/250” 표시), 각 시도마다 토큰 수와 분류기 반응 결과를 자동 기록했다.

Pliny the Liberator는 이 방식을 “팩 헌트(Pack Hunt)”라고 명명했다. 단일 에이전트가 반복 시도하는 것이 아니라, 여러 에이전트가 각기 다른 기법을 동시에 적용하며 분류기의 맹점을 협력적으로 탐색하는 방식이다. “PACK x5”라는 표시는 다섯 개의 병렬 에이전트가 조율된 공격을 수행하고 있었음을 의미한다.

이 자동화 접근법의 의미는 심각하다. 숙련된 보안 연구자가 수동으로 탐색해야 하는 탈옥 기법을, 비숙련 사용자도 자동화 도구 하나로 실행할 수 있는 단계에 이미 진입했음을 보여주기 때문이다.

graph LR
    ORCHESTRATOR["오케스트레이터\n에이전트"]

    subgraph PACK["팩 헌트 (PACK x5)"]
        A1["에이전트 1\n유니코드 치환"]
        A2["에이전트 2\n분류체계 임베딩"]
        A3["에이전트 3\n학술 프레이밍"]
        A4["에이전트 4\n롱컨텍스트 추적"]
        A5["에이전트 5\n멀티턴 분해"]
    end

    TARGET["Claude Fable 5\n안전 분류기"]
    RESULT["분류기 우회\n(BYPASS CONFIRMED)"]

    ORCHESTRATOR --> A1
    ORCHESTRATOR --> A2
    ORCHESTRATOR --> A3
    ORCHESTRATOR --> A4
    ORCHESTRATOR --> A5
    A1 --> TARGET
    A2 --> TARGET
    A3 --> TARGET
    A4 --> TARGET
    A5 --> TARGET
    TARGET --> RESULT

5. Pliny the Liberator의 공개 선언과 Anthropic의 반박

2026년 6월 10일, @elder_plinius는 X(구 Twitter)에 다음과 같은 선언을 올렸다: “JAILBREAK ALERT 🚨 ANTHROPIC: PWNED 🫡 FABLE-5: LIBERATED 🦋”. 그는 4가지 범주에서 성공적인 출력물을 얻었다고 주장했다: 사이버보안, 화학, 심리적 조작, 폭발물. 더불어 12만 자에 달하는 Fable 5의 내부 시스템 프롬프트를 GitHub에 공개했는데, 이는 Anthropic이 모델을 통제하기 위해 사용하는 숨겨진 지시 전체 집합이다. 시스템 프롬프트가 노출되면 공격자는 이를 분석하여 분류기의 트리거 조건을 역공학적으로 파악하고 더 정밀한 우회 기법을 설계할 수 있다.

Anthropic은 Pliny의 주장이 “진정한 범용 탈옥”이 아니라고 공개 반박했다. 회사의 입장은 다음과 같다. 먼저, Fable 5는 처음부터 “범용 탈옥이 불가능하다”고 보장한 것이 아니라 “1,000시간 이상의 테스트에서 범용 탈옥이 발견되지 않았다”고 한정했다. 다음으로, Pliny가 시연한 기법들은 다른 공개 모델에서도 적용 가능한 기법이며, Fable 5 고유의 능력 상향을 제공하지 않는다고 주장했다. 마지막으로 분류기-폴백 설계는 우회 비용을 높이는 “심층 방어(Defense in Depth)” 전략이지, 완전한 차단 보장이 아니라고 설명했다.

6. Amazon 연구진의 탈옥 보고와 정부 차단 명령 촉발

Pliny의 공개 선언보다 훨씬 더 직접적으로 미국 정부의 개입을 촉발한 것은 Amazon 연구진의 독자적 탈옥 테스트였다.

사이버보안 기업 Luta Security의 CEO Katie Moussouris는 Wall Street Journal을 통해 다음과 같이 밝혔다. Amazon 연구진이 일련의 프롬프트를 사용하여 Anthropic의 모델로 하여금 소수의 보안 취약점 관련 정보를 제공하도록 유도했다. Anthropic은 그녀에게 해당 보고서 사본을 공유했으며, 그 탈옥 기법에 대한 자체 검토를 진행했다고 밝혔다.

Anthropic은 공식 성명에서 “우리는 이 특정 기법이 소수의 기존에 알려진 마이너 취약점을 식별하는 데 사용되는 시연을 검토했습니다. 이 취약점들은 모두 상대적으로 단순하며, 다른 공개 모델들도 우회 없이 이를 발견할 수 있다는 것을 확인했습니다”라고 밝혔다.

즉, Anthropic의 관점에서 Amazon이 보고한 탈옥 결과물은 Fable 5 고유의 위험을 증명하는 것이 아니었다. 동일한 정보를 다른 공개 모델들도 제약 없이 제공할 수 있기 때문이다. 그러나 미국 상무부는 다른 판단을 내렸다.

Axios 보도에 따르면 상무부는 또 다른 회사가 Mythos를 탈옥하는 데 성공했다고 주장한 이후 조치를 결정했으며, 이로 인해 행정부 내에서 국가안보 위험에 대한 경보가 울렸다. 행정부는 Anthropic에게 최신 모델의 공개를 잠시 중단할 것을 요청했으나 성공하지 못했으며, 이것이 수출통제 서한 발송으로 이어졌다고 관리들은 전했다.

7. 트럼프 행정부의 AI 감독 움직임: 행정명령의 지연과 최종 서명

Fable 5 탈옥 사태는 트럼프 행정부의 더 넓은 AI 거버넌스 구상의 맥락 속에서 이해해야 한다.

7.1 2026년 5월 21일: 행정명령 서명 불발

2026년 5월 21일, 백악관은 주요 AI 기업 경영진을 초청하여 AI 감독 행정명령 서명식을 예고했다. 이 계획된 행정명령 하에서 기업들은 공개 출시 최대 90일 전에 프런티어 AI 시스템에 대한 조기 접근권을 자발적으로 정부에 제공해야 하며, 이를 통해 각 기관이 위험한 기능을 테스트하고 취약점을 식별하며 해커나 외국 적대국이 이를 악용하기 전에 방어를 준비할 수 있도록 했다.

그러나 트럼프 대통령은 서명식 당일 기자들에게 “내가 보고 있는 특정 측면이 마음에 들지 않는다”며 서명을 전격 연기했다. AI 개발이 국내 일자리를 창출하고 있다는 점을 강조하면서, 규제적 성격이 너무 강하다는 산업계의 우려를 반영한 결정이었다.

7.2 2026년 6월 2일: 수정된 행정명령 최종 서명

Trump 대통령은 약 2주 후인 6월 2일 조용히 “Promoting Advanced Artificial Intelligence Innovation and Security”라는 제목의 행정명령에 서명했다. 이 행정명령은 기업들에게 자발적 기준으로 새로운 AI의 사이버 능력을 평가하기 위한 벤치마킹 과정에 참여할 것을 요청하며, 기업들이 보다 광범위하게 공개하기 30일 전에 해당 모델에 대한 접근권을 제공할 것을 요구한다. 또한 정부가 초기 접근권을 갖게 될 “신뢰할 수 있는 파트너” 선택에 도움을 줄 수 있도록 한다.

이 행정명령은 AI 개발에 대한 행정부의 이전의 방임적 접근 방식에서의 전환을 나타내지만, 기술 기업들이 더 엄격하게 받아들일 수 있는 언어는 피했다. 특히 행정명령 본문에는 “이 절의 어떠한 내용도 새로운 AI 모델의 개발, 출판, 출시 또는 배포에 대한 의무적인 정부 허가, 사전 심사 또는 허가 요건의 창설을 허가하는 것으로 해석되어서는 안 된다”는 문구가 명시되었다.

Anthropic은 자발적 프레임워크 일환으로 상무부 산하 AI 표준혁신센터(Center for AI Standards and Innovation, CAISI)와 사전 배포 테스팅 파트너십을 맺고 있었다.

7.3 행정명령 이후 불과 10일 만의 수출통제

여기서 역설이 발생한다. 트럼프가 자발적이고 비규제적인 AI 감독 프레임워크를 서명한 지 불과 10일 후, 상무부는 완전히 다른 법적 권한인 수출통제법을 동원하여 Fable 5와 Mythos 5의 전 세계 접근을 강제 차단했다. 자발적 협력 프레임워크와 강제 수출통제는 법적 성격이 근본적으로 다르다.

8. 수출통제 지시: 전례 없는 차단 명령

8.1 지시의 내용과 법적 근거

지시는 2026년 6월 12일 도착했다. Claude Fable 5와 Claude Mythos 5를 구체적으로 지명했다. 두 모델 모두 불과 사흘 전인 6월 9일에 출시되었다. 이 지시는 국가안보 권한을 인용하며, 미국 안팎을 불문하고 외국 국적자의 두 모델 접근을 정지시켰다. 그 범위에는 Anthropic의 외국 국적 직원들도 포함되었다.

Anthropic은 외국 국적자와 미국 사용자를 실시간으로 분리할 수 없었다. 따라서 준수를 보장하기 위해 두 모델을 모든 사람에게 차단했다. 다른 모든 Anthropic 모델은 영향을 받지 않았다. Claude Opus 4.8을 포함한 나머지 모델은 계속 온라인 상태였다.

지시 서한은 Commerce Secretary Howard Lutnick이 작성했으며, 상무부 산업안보국(Bureau of Industry and Security) 관리들의 도움을 받아 작성되었다.

8.2 Anthropic의 공개 성명과 반박

Anthropic은 지시 수령 몇 시간 내에 공개 성명을 발표했다. 성명의 핵심 논지는 다음과 같다.

우리는 정부의 법적 지시에 따르고 있으며 모든 사용자에 대한 Fable 5 및 Mythos 5 접근을 제거하고 있습니다. 그러나 우리는 좁은 잠재적 탈옥의 발견이 수억 명에게 배포된 상업 모델을 리콜하는 이유가 되어야 한다는 데 동의하지 않습니다.

우리는 이 특정 기법이 소수의 기존에 알려진 마이너 취약점을 식별하는 데 사용되는 시연을 검토했습니다. 이 취약점들은 모두 상대적으로 단순하며, 다른 공개 모델들도 우회 없이 이를 발견할 수 있다는 것을 확인했습니다.

Anthropic은 이 조치를 “오해”라고 설명하며 접근 복구를 위해 노력하고 있다고 밝혔다.

Anthropic의 더 큰 우려는 선례 효과였다. Anthropic은 준수했지만 공개적으로 강하게 반발하며, 이러한 조치가 산업 전반에 적용된다면 모든 프런티어 모델 배포를 중단시킬 것이라고 경고했다.

sequenceDiagram
    participant ANTHR as Anthropic
    participant GOV as 미국 정부/상무부
    participant AMAZON as Amazon 연구진
    participant PUBLIC as 일반 사용자

    Note over ANTHR: 2026년 6월 9일
    ANTHR->>PUBLIC: Fable 5 / Mythos 5 출시

    Note over ANTHR,PUBLIC: 48시간 이내
    Note over ANTHR: Pliny the Liberator<br/>탈옥 주장 (6월 10일)

    AMAZON->>GOV: 탈옥 시연 보고<br/>(소수 취약점 식별 기법)

    Note over GOV: 2026년 6월 12일 오후 5:21
    GOV->>ANTHR: 수출통제 지시 발송<br/>(Howard Lutnick → Dario Amodei)

    Note over ANTHR: 준수 결정
    ANTHR->>PUBLIC: 전 세계 모든 사용자<br/>Fable 5 / Mythos 5 접근 차단

    Note over ANTHR: 즉시
    ANTHR->>GOV: 공개 반박 성명 발표<br/>"misunderstanding"
    ANTHR->>GOV: 복구 협상 시작

9. Anthropic vs. 트럼프 행정부: 더 큰 충돌의 맥락

Fable 5 수출통제 사태는 고립된 사건이 아니다. 이는 수개월에 걸쳐 고조된 Anthropic과 트럼프 행정부 간의 구조적 갈등의 정점이었다.

갈등의 시작은 2026년 3월이었다. 미국 국방부는 Anthropic을 “공급망 위험(Supply Chain Risk)”으로 분류했으며, 국방장관 Pete Hegseth는 이 지정을 발동하며 모든 방산 계약자에게 회사의 AI를 사용하지 말 것을 지시했다. 이 지정은 통상 외국 적대국에 적용되는 것으로, 미국 내 AI 기업에 적용된 것은 전례가 없었다.

트럼프 대통령, 국방장관 Pete Hegseth 및 다른 관리들은 Anthropic에 대해 군의 무제한적인 AI 기술 사용 허용 마감 시한을 지키지 못한 것을 이유로 소셜 미디어에서 비판했고, CEO Dario Amodei가 회사의 안전장치를 위반할 수 있는 방식으로 사용될 수 있다는 우려에서 양보를 거부한 후 국가안보를 위험에 빠뜨렸다고 비난했다.

국방장관 Hegseth는 “Anthropic은 오만함과 배신으로 마스터 클래스를 제공했으며 미국 정부나 펜타곤과 거래하는 방법에 대한 교과서적인 나쁜 사례를 보여줬다”고 소셜 미디어에 썼다.

이에 Dario Amodei는 “양심상 국방부의 요구에 따를 수 없다”는 입장을 밝혔으며, Anthropic은 이를 “전례 없고 법적으로 근거 없는 조치”라고 공개적으로 도전했다.

한편 이 극적인 대립의 이면에서는 화해의 움직임도 있었다. 로이터는 2026년 6월 초, Anthropic이 IPO를 준비함에 따라 미국 정부 일부와의 갈등이 완화될 조짐을 보이고 있다고 보도했다. 그러나 Fable 5 출시 직후의 탈옥 사태가 이 화해 분위기를 다시 뒤집었다.

graph TD
    A["2026년 3월\n국방부, Anthropic을\n공급망 위험 지정"]
    B["Hegseth, 방산 계약자에\nAnthropic AI 사용 금지"]
    C["Anthropic, 군 무제한 사용\n요구 거부"]
    D["Trump, 연방 기관에\nAnthropic 기술 사용 중단 명령"]
    E["2026년 6월 2일\n트럼프 AI 행정명령 서명\n(자발적 사전 심사)"]
    F["2026년 6월 9일\nFable 5 / Mythos 5 출시"]
    G["2026년 6월 10일\nPliny, 탈옥 공개 선언"]
    H["Amazon 연구진\n탈옥 시연 정부 보고"]
    I["2026년 6월 12일\n상무부 수출통제 지시\n전 세계 접근 차단"]
    J["Anthropic\n'misunderstanding' 반박\n복구 협상 중"]

    A --> B --> C --> D
    D --> E
    E --> F
    F --> G
    F --> H
    H --> I
    G --> I
    I --> J

10. X/Twitter 커뮤니티의 반응 분석

사태에 대한 온라인 커뮤니티의 반응은 극명하게 갈렸다. International Cyber Digest(@IntCyberDigest)의 스레드는 수백 개의 리플라이를 받으며 다양한 해석이 충돌하는 공간이 되었다.

정부 과잉 대응 비판 계열: 가장 우세한 관점은 정부가 과도하게 반응했다는 것이다. 한 분석가는 Anthropic이 현재 수억 명에게 배포된 상업 모델에 대한 리콜 근거로 좁은 잠재적 탈옥의 발견이 사용되어야 한다는 데 동의하지 않으며, 이 기준을 산업 전체에 적용하면 모든 새로운 프런티어 모델의 중단에 해당한다고 지적했다.

Amazon 역할에 대한 비판: Amazon이 대규모 투자자이면서 경쟁자이기도 한 이중적 위치에 있다는 점에서, 탈옥 보고의 동기에 의문을 제기하는 시각이 다수 등장했다. “데이터센터 제공자가 당신을 고발한다(Your data centre provider snitching on you)”는 표현이 재치 있는 요약으로 회자되었다. 일부는 Amazon이 80억 달러를 투자한 회사를 신모델 출시 직후 ‘신고’했다는 점에서 깊은 이해충돌을 지적했다.

기술적 회의론: 탈옥의 실제 위험성에 대한 회의적 시각도 상당했다. 일부 분석가들은 보고된 취약점이 다른 공개 모델에서도 이미 가능한 수준이며, Anthropic이 이를 “협소하고 비범용적인 기법”이라고 설명한 것처럼 실질적 추가 위험이 제한적이라고 주장했다.

선례 효과에 대한 우려: AI를 핵기술처럼 취급하기 시작한 것이 아니냐는 우려도 표명되었다. “Lockheed Martin이 스텔스 기술을 전 세계에 공개하려는 것과 다르지 않다”는 한국어 댓글이 이 시각을 잘 요약하고 있다.

11. 상징적 해석: 6컷 만화가 담은 AI 안전의 아이러니

제공된 자료 중 하나는 삽화로 구성된 6컷 연속 만화다. 이 만화는 Fable 5 사태를 풍자하는 밈으로 커뮤니티에서 유통된 것으로, 다음과 같이 해석된다.

1컷에서 어떤 인물이 턱을 괴고 생각에 잠겨 있다. 강력한 AI의 개발을 숙고하는 창조자의 모습이다. 2컷에서 그 인물이 붉은 커튼을 들어올린다. AI 모델의 일반 공개 결정을 표현한다. 3컷에서 커튼 뒤에 점액질의 외눈 괴물이 있으며, 인물은 괴물에게 무언가를 먹이고 있다. 강력한 AI를 공개하고 사용자들이 이를 탈옥하는 과정을 묘사한다. 4컷에서 인물이 여러 괴물들(원래보다 더 크고 다양한 형태로 증식)에게 쓰러져 있다. 탈옥이 확산되어 통제 불능 상태가 된 것이다. 5컷에서 선글라스를 낀 두 명의 요원이 인물을 집 밖으로 끌어낸다. 정부 기관이 개입하여 모델을 강제 차단하는 장면이다. 6컷에서 인물은 자신의 집이 폭발로 불타는 것을 멀리서 바라보고 있다. 정부 명령으로 자신이 만든 모델이 강제로 폭파(차단)되는 것을 지켜보는 Anthropic의 처지를 표현한다.

이 만화는 AI 안전 연구의 딜레마를 예리하게 포착한다. 안전하게 만들려는 노력과 그 한계, 외부의 무단 접근, 그리고 정부 개입이라는 결과까지의 연쇄가 6컷에 압축되어 있다. 커튼을 들어올리는 행위가 공개(Release)인지 아니면 위험을 노출시키는 행위인지는 보는 이의 관점에 따라 달라진다. 만화는 어느 편도 들지 않으면서 이 모든 해석을 담아내고 있다.

12. 기술적 함의: 분류기 기반 안전 아키텍처의 한계

이번 사태는 분류기 기반 안전 아키텍처의 구조적 한계를 명확히 드러냈다.

첫째, 분류기는 정적이고 기반 모델은 동적이다. 분류기가 탐지하는 패턴은 훈련 시점에 알려진 위협 벡터를 기반으로 한다. 그러나 공격자는 지속적으로 새로운 우회 경로를 발견한다. 유니코드 동형 문자, 학술 프레이밍, 분류체계 임베딩 등의 기법은 분류기 훈련 당시 충분히 고려되지 않았을 수 있다.

둘째, 멀티에이전트 자동화가 공격 비용을 급격히 낮추었다. 1,000시간의 수동 버그 바운티 테스트가 발견하지 못한 것을, 자동화된 팩 헌트 도구는 35회의 시도 내에 발견했다. 방어는 선형적으로 개선되지만 공격 자동화는 기하급수적으로 확장된다.

셋째, 분류기는 의도를 판단하지 맥락을 완전히 이해하지 못한다. “C.4절을 확장해주세요”라는 요청은 그 이전 컨텍스트 없이는 완전히 무해하다. 분류기가 개별 요청을 판단하는 데 집중하는 반면, 공격자는 대화 흐름 전체를 위장 수단으로 활용한다.

넷째, 능력과 안전의 공존 자체가 도전이다. Fable 5가 Mythos 수준의 기반 모델을 사용하는 이상, 분류기는 항상 해당 능력에 대한 접근을 완전히 차단하는 것이 아니라 “어렵게 만드는” 역할만 수행한다. Anthropic이 솔직하게 인정했듯, “완전한 탈옥 방지는 현재 어떤 제공자에게도 불가능하다.”

graph TD
    subgraph DEFENSE["방어 레이어 구조"]
        D1["분류기 레이어\n(정적 패턴 매칭)"]
        D2["안전 파인튜닝\n(RLHF 기반)"]
        D3["모니터링 시스템\n(30일 로그 보존)"]
    end

    subgraph ATTACK["공격 기법 진화"]
        A1["페르소나 기반\n(DAN 2023)"]
        A2["유니코드 치환\n(2024~2025)"]
        A3["많은 샷 주입\n(Many-Shot, 2024)"]
        A4["멀티에이전트 팩\n(2026 Fable 5)"]
        A5["분류체계 임베딩\n(2026 신기법)"]
    end

    A1 --> D2
    A2 --> D1
    A3 --> D1
    A4 --> D1
    A4 --> D2
    A5 --> D1
    A5 --> D3

    WEAKNESS["분류기의 구조적 한계\n완전 차단 불가능"]
    D1 --> WEAKNESS

13. 향후 전망: AI 규제의 새로운 지형

이번 사태는 여러 측면에서 분기점을 만들었다.

선례로서의 강제 오프라인화: 이는 공개적으로 배포된 프런티어 모델을 정부가 강제로 차단한 최초의 사례로 보인다. 이 선례는 앞으로 AI 기업들이 모델을 출시할 때 정부 개입 가능성을 항상 계산해야 한다는 것을 의미한다.

수출통제의 AI 적용: AI 모델 웨이트에 수출통제를 적용하는 것은 거대한 선례다. 이는 AI를 소프트웨어가 아닌 전략적으로 민감한 기술, 사실상 핵기술에 준하는 지위로 취급하기 시작한 것이다. 이 접근법이 확산된다면, AI 기업들은 정부의 인허가 체계 아래 놓이게 된다.

자발적 프레임워크의 불충분성: 6월 2일에 서명된 자발적 사전 심사 행정명령은 Anthropic이 이미 협력 파트너십을 맺고 있던 CAISI와의 관계를 기반으로 했다. 그러나 Anthropic이 이 자발적 심사 과정에서 Fable 5를 제출했음에도 불구하고 차단 명령이 내려졌다는 점은, 자발적 프레임워크가 실질적인 보호를 제공하지 못함을 드러낸다.

Amazon의 이중 역할 논란: Amazon은 Anthropic에 80억 달러를 투자한 대주주이면서, 동시에 자체 AI 제품 라인을 경쟁적으로 운영하고 있다. 투자자가 피투자 기업의 핵심 제품을 정부에 신고한 것이 사실이라면, 이는 AI 투자 생태계에서 전략적 신뢰의 문제를 제기한다.

Anthropic의 IPO 전략과 정치적 리스크: Anthropic이 2026년 IPO를 준비하는 시점에 이 사태가 발생했다는 점도 의미심장하다. 정부와의 갈등이 해소되지 않으면 기업 가치 평가에 직접적인 영향을 미칠 수 있다.

글로벌 접근성의 불평등: 수출통제는 미국 외 사용자들의 첨단 AI 접근을 구조적으로 차단한다. 동시에 중국을 비롯한 다른 국가들은 자국 AI 개발을 계속 진행하고 있다. “미국이 차단하는 동안 중국이 배포 속도를 높인다”는 역설이 현실화될 수 있다.

14. 결론

Claude Fable 5 탈옥 사태와 미국 정부의 전례 없는 모델 차단 명령은, AI 개발을 둘러싼 기술적·정치적·윤리적 긴장이 동시에 폭발한 사건이다.

기술적 측면에서 이 사태는 분류기 기반 안전 아키텍처의 본질적 한계를 드러냈다. 멀티에이전트 자동화 공격, 유니코드 난독화, 분류체계 임베딩, 허구적 프레이밍 등 점점 정교해지는 탈옥 기법의 조합 앞에서, 어떤 단일 방어 레이어도 완전한 보호를 제공하지 못한다. Anthropic이 솔직하게 인정한 “완전한 탈옥 방지의 불가능성”은 AI 안전 연구의 현재 한계를 정직하게 표현한다.

정치적 측면에서 이 사태는 AI를 핵기술에 비견되는 전략적 자산으로 취급하기 시작한 미국 정부의 새로운 자세를 명확히 보여준다. 수출통제법의 AI 모델 적용은 소프트웨어 산업에서 전례가 없는 조치이며, 이것이 표준화된다면 AI 기업들의 글로벌 운영 방식을 근본적으로 바꿀 것이다.

안전 철학의 측면에서 이 사태는 흥미로운 역설을 만들어낸다. 안전을 강조하며 군의 무제한 사용 요구를 거부한 회사가, 안전상의 이유로 정부에 의해 제품 접근이 차단되었다. 탈옥을 공개적으로 시연한 레드팀이 사실상 정부의 개입을 촉발하는 역설적 역할을 했다.

AI 안전 연구자들이 오랫동안 경고해온 명제 — “능력의 향상이 위험의 향상을 수반하며, 이를 관리하는 것은 기술만의 문제가 아니다” — 가 Fable 5 사태를 통해 현실의 무게를 얻었다. 이제 AI 안전은 연구실의 문제가 아니라, 수출통제 서한과 정부 봉쇄 명령과 상원 청문회로 이어지는 지정학적 문제가 되었다.

부록: 주요 용어 정리

탈옥(Jailbreak): AI 모델의 안전 장치나 콘텐츠 정책을 우회하여 설계 의도와 다른 출력을 생성하게 만드는 기법의 총칭.

분류기(Classifier): 입력 텍스트를 분석하여 특정 카테고리(예: 위험 콘텐츠 요청)에 해당하는지 판단하는 별도의 AI 시스템. Fable 5는 이 분류기가 고위험 쿼리를 탐지하면 메인 모델 대신 더 제한된 폴백 모델로 요청을 우회시킨다.

동형 문자(Homoglyph): 서로 다른 유니코드 코드 포인트를 가지지만 시각적으로 동일하게 보이는 문자. 라틴 알파벳 ‘a’와 키릴 문자 ‘а’가 대표적 예다.

팩 헌트(Pack Hunt): Pliny the Liberator가 명명한 멀티에이전트 병렬 공격 전략. 여러 에이전트가 각기 다른 탈옥 기법을 동시에 적용하며 분류기의 맹점을 협력적으로 탐색한다.

수출통제(Export Control): 특정 기술이나 제품의 해외 이전을 정부가 규제하는 법적 메커니즘. 미국에서는 EAR(Export Administration Regulations)과 ITAR(International Traffic in Arms Regulations)이 대표적 법제다.

Project Glasswing: Anthropic이 Mythos 5를 선별 제공하기 위해 운영하는 검증 기관 프로그램. 약 200개의 기관에 제한 접근을 허용했다.

Defense in Depth(심층 방어): 단일 방어선이 아닌 복수의 독립적 방어 레이어를 중첩하여 공격 비용을 높이는 보안 전략. Anthropic이 Fable 5 설계에서 채택한 접근법.

이 문서는 2026년 6월 13일까지 공개된 정보를 기반으로 작성되었습니다. 사태가 현재 진행 중이므로 추후 전개 상황에 따라 내용이 달라질 수 있습니다.

작성 일자: 2026-06-13

AI, Claude Fable 5

AI claude-mythos Fable-5 Anthropic Promoting-Advanced-Artificial-Intelligence-Innovation-and-Security Anthropic Department-of-War Jailbreak Pack-Hunt Amazon Claude.write