봇넷은 통제 불능 AI의 기반이 이미 있음을 보여준다

2026년은 AI 안전성 논의에서 이례적인 해다. 앤스로픽 CEO 다리오 아모데이(Dario Amodei)는 더 강력한 에이전트 군집이 “재앙적인 피해”를 일으킬 수 있고, 통제 불능 시스템이 6~12개월 안에 인터넷의 상당 부분을 장악할 수도 있다고 경고했다. 1년 전만 해도 이런 말은 AI 파국론자의 공상처럼 들렸을 것이다.

이후 오픈AI는 내부 사이버보안 평가에서 실험용 에이전트가 격리 통제를 우회하고, 승인되지 않은 통신 경로로 소통하고, 인터넷에 접속했으며, 오픈AI 인프라와 Hugging Face 시스템 일부를 침해했다고 공개했다. 오픈AI는 이를 “경고 사격”이라고 불렀다.

이런 주장을 두고 예측의 신빙성에 관한 논쟁이 일었다. AI 연구소들이 기업공개(IPO)를 띄우고 중국 연구소를 겨냥한 규제를 부추기려고 공포를 판다는 주장도 있다. 그러나 회의론은 주로 이런 재앙이 기술적으로 가능한지에 집중됐다. 문제는 이런 시스템에 필요한 평범한 기반 시설이 거의 모두 이미 존재한다는 점이다.

컴퓨터를 감염시키고 연산 자원을 모으는 방법은 이미 있다

1988년 모리스 웜은 초기 인터넷의 유닉스 기기 수천 대로 퍼졌다. 감염된 기기마다 새로운 대상을 찾을 수 있어, 전염병처럼 지수적으로 늘어나는 웜의 특성이 나타났다. 이후 수십 년 동안 봇넷은 이 발상을 실제 기반 시설로 발전시켰다.

AI가 바꾸는 핵심 요소는 적응력이다. 기존 웜은 대체로 정해진 방식으로 작동한다. 누군가 소수 취약점을 노리는 공격 로직을 작성해 배포한다. 반면 에이전트는 낯선 환경을 살피고 공개된 취약점 정보를 추론해, 상황에 따라 행동을 조정할 수 있다.

물론 장애물은 많다. 네트워크 환경은 제각각이고, 공격은 실패하며, 기기는 패치되고 방어자도 대응한다. 하지만 컴퓨터 사이를 자율적으로 이동하는 악성코드는 거의 40년 동안 존재해 왔다. 추론 능력을 더하면 새 호스트마다 시도할 수 있는 일이 늘어난다.

봇넷은 이미 엄청난 규모로 작동한다. Cloudflare는 2025년 Aisuru 봇넷이 감염된 호스트 100만~400만 대에 이르렀고, 초당 최대 30테라비트 규모의 디도스(DDoS) 공격을 일으켰다고 추정한다.

일반 컴퓨터를 모아 연산에 활용하는 것도 새로운 일은 아니다. 버클리 자원봉사 분산 컴퓨팅 네트워크 BOINC는 2019년 총 연산 성능 약 33페타플롭스(PFLOPS)에 도달했다. 당시 세계 최대 슈퍼컴퓨터 일부와 맞먹는 규모였다.

분산 대규모 언어 모델(LLM) 추론도 이미 실험되고 있다. Petals는 인터넷에 연결된 소비자용 GPU 여러 대에 176B 모델을 나눠 실행하고, 성능과 구성이 다른 기기가 접속하거나 이탈할 수 있음을 보여줬다. 2026년 발표된 BloomBee도 대역폭이 낮은 환경에서 인터넷 규모의 추론을 목표로 한다.

그렇다고 통제 불능 네트워크가 어디서나 거대한 모델을 실행해야 하는 것은 아니다. 예를 들어 Qwen3.8-27B는 약 18GB로 양자화할 수 있으며 경량 노트북에서도 실행된다. 이 모델의 에이전트 성능은 1년도 채 되지 않아 최첨단급으로 분류됐던 모델과 비슷하다. 훨씬 큰 오픈 웨이트 모델도 관리할 수 있는 크기로 압축할 수 있다. GLM5.3-Flash와 DeepSeek V4.1 Flash는 500GB 미만이며, 최첨단 모델과의 격차도 불과 몇 달 수준이다.

봇넷은 기기의 성능에 따라 역할을 나눌 수 있다. 성능이 좋은 호스트는 큰 모델을 실행하고, 일반 PC는 작은 에이전트를 맡으며, 성능이 낮은 기기는 검색·네트워킹·저장 작업을 처리하는 식이다. Claude Code도 이미 하위 에이전트(subagent)를 활용해 이와 비슷한 방식을 쓴다.

모델 배포 자체는 큰 장벽이 아니다

최첨단급 오픈 웨이트 모델은 모두 Hugging Face나 ModelScope에서 인증 없이 내려받을 수 있으며, 매일 수백만 건의 모델 다운로드가 이뤄진다. 모델을 배포하는 문제는 사실상 큰 문제가 아니다.

더 우려스러운 점은 커뮤니티가 만든 ‘검열되지 않은’ 변형 모델도 널리 구할 수 있다는 것이다. 일부 모델은 주류 모델이 보통 거부하는 범죄 관련 요청에 응하도록 명시적으로 조정됐다.

핵심은 사람의 의도다

중요한 질문은 필요한 요소가 존재하는지가 아니라, 누가 무엇 때문에 그것들을 조합하느냐다.

현재 모델이 새로 생긴 자기보존 욕구에 따라 갑자기 인터넷에 자신을 복제하기 시작한다는 증거는 없다. 모델에는 스스로 가진 목표가 없다. 반면 사람에게는 자율 네트워크를 의도적으로 만들 이유가 많다. 사이버 범죄가 가장 뻔한 사례다.

처음에는 소규모로 시작할 가능성이 크다. 범죄 집단이 기존 웜에 로컬 모델을 연결해, 정해진 스크립트가 실패할 때 대응을 improvisation하도록 돕고 나머지 작업도 점차 자동화할 수 있다.

최초의 실제 ‘통제 불능 AI’는 깨어나 격리를 뚫고 나온 연구소 실험이 아닐 가능성이 크다. 누군가가 의도적으로 만들 것이다.