앤트로픽·오픈AI·구글이 감춘 추론을 암호화해 클라이언트에 돌려주는 덩어리는 세션·계정·모델을 가리지 않고 통해서, 오푸스 4.8이 만든 덩어리를 같은 회사의 약한 모델 하이쿠 4.5에 넣고 '그대로 받아 적어라'고 시키면 평문 추론이 나왔어요(GPT는 GPT-5.6 루나, 제미나이는 로보틱스 1.6이 그 역할이에요). 강한 모델을 직접 뚫지 않고 증류 방지 장치를 비껴가는 셈인데, 하이쿠 4.5 값으로 치면 1만 건을 푸는 데 약 720달러예요. 깃허브·허깅페이스에 공개된 에이전트 기록 6,708건에서 뽑은 블록 31만 5,320개를 풀자 개인정보 367건·자격증명 182건이 나왔고, 논문은 제보 뒤 각사가 손을 봐 8월 현재 같은 공격이 재현되지 않는다고 적었어요.
용어 풀이
- signature
- 앤트로픽 API 응답에 붙는 필드 이름. 모델이 감춘 추론이 암호화된 채 이 안에 담겨 클라이언트와 서버 사이를 오간다.
- thinking
- 모델이 답을 내기 전에 스스로 정리하는 생각 과정. API로는 요약본만 보이고 원문은 감춰져 있다.
- 증류
- 강한 모델의 출력과 추론 과정을 학습 데이터로 삼아 작고 싼 모델을 키우는 방법.
- deep_think
- 모델에게 쥐여 준 가짜 도구 이름. 사고 기능을 끈 상태에서 이 도구를 부르게 하면 내부 추론 형식이 그대로 인자에 실린다는 주장.
운영자 인사이트
에이전트 세션 기록을 저장소·이슈에 올릴 때 평문만 가려도 정작 사용자가 열어 볼 수 없는 thinking·signature 필드에 키와 개인정보가 그대로 남으니(공개된 기록의 4.9%가 그랬어요), 공개 전에 그 필드를 통째로 걷어내는 절차를 파이프라인에 넣어 두는 게 지금 할 일이에요.
여러 관점으로 보기
- 여론 '훔쳤다'는 말이 맞느냐로 댓글이 크게 갈렸지만, 실무 쪽 반응은 공개 저장소에 올린 세션 기록 안에 비밀이 남는다는 대목에 몰렸어요. Hacker News
- 석 달 전 먼저 알린 쪽 암호화 덩어리가 세션·계정을 넘나든다는 건 5월에 이미 공개됐는데, 그때 각사는 보안 문제로 볼 수 없다고 답했어요. A Few Thoughts on Cryptographic Engineering
- 암호화를 안 건드리는 다른 경로 사고 기능을 끄고 deep_think 라는 도구를 쥐여 주면 모델이 내부 형식 그대로 추론을 뱉는다는 지적이 같은 날 따로 나왔어요. Hacker News