개방형 모델 · 에이전트 안전
메타 슈퍼인텔리전스 랩이 296억 파라미터 모델의 가중치를 아파치 2.0으로 공개했다. 같은 날 발표된 14쪽 편지는 안전의 근거를 능력의 광범위한 분배에 둔다. 그 논증이 성립하려면 확인되어야 하는 수치가 있고, 공개된 문서에는 그 자리가 비어 있다.
메타 슈퍼인텔리전스 랩(Meta Superintelligence Labs, MSL)은 2026년 8월 10일 뮤즈 글리머 30B(Muse Glimmer 30B)의 가중치를 허깅페이스에 아파치 2.0 라이선스로 올렸다. 총 파라미터는 약 296억이며 이 가운데 약 18억이 시각 입력을 처리하는 퍼셉션 인코더다. 텍스트와 이미지를 섞어 입력받아 텍스트로 답하고, 음성 입출력은 지원하지 않는다.
학습은 세 단계로 이뤄졌다. 사전학습은 폐쇄형 플래그십 뮤즈 스파크(Muse Spark)의 출력에 로짓 증류를 적용했고, 중간학습에서 긴 컨텍스트와 에이전트 중심 데이터를 넣었으며, 후속학습은 지도 미세조정에 온폴리시 증류와 강화학습을 섞었다. 모델 카드는 학습 데이터의 출처를 공개 데이터, 제3자 제공 데이터, 그리고 메타의 제품·서비스에서 나온 정보로 적었다.
여기서 용어가 두 뜻으로 갈린다. 아파치 2.0이 적용된 대상은 가중치와 부속 산출물이지 학습 데이터도 학습 코드도 아니다. 다운로드·수정·재배포·상업적 이용이 열렸다는 점에서 라이선스는 관대하지만, 무엇으로 학습됐는지 재현할 수 있는 자료는 함께 나오지 않았다. 발표문과 보도가 이 상태를 통칭 오픈소스라고 부르는데, 정확한 명칭은 오픈웨이트다. 두 낱말의 간격은 나중에 사이버 위험 평가를 볼 때 다시 문제가 된다.
296억 파라미터를 원래 정밀도로 올리면 55GB가 넘는 메모리가 필요하다. 어떤 소비자용 그래픽카드도 감당하지 못하는 크기다. 메타는 가중치를 약 4비트로 압축해 언어 모델 부분을 20GB 아래로 줄였고, 남은 여유를 대화 내용을 담아두는 KV 캐시, 이미지를 읽는 퍼셉션 인코더, 추측 디코딩용 초안 모델에 배분해 전체 구성이 24GB 또는 32GB 안에 들어가도록 맞췄다.
압축의 대가는 자체 측정으로 15개 벤치마크 평균 정확도 기준 32GB 구성에서 0.2%, 24GB 구성에서 1.0%다. 커뮤니티가 같은 날 올린 양자화판의 요구 메모리는 2비트 14GB, 3비트 16GB, 4비트 17~21GB, 6비트 28GB, 8비트 34GB다. 이 구간에서 "로컬에서 돌아간다"는 말과 "내 장비에서 원하는 정밀도로 돌아간다"는 말이 갈린다. 24GB 아래로 내려가면 속도만 낮아지는 것이 아니라 정확도도 함께 내려간다.
속도는 추측 디코딩으로 끌어올렸다. 블록 확산 방식의 DFlash 초안 모델이 16토큰 블록을 한 번의 순전파로 제안하고 본 모델이 이를 병렬로 검증한다. 검증은 토큰을 하나씩 새로 만드는 것보다 싸기 때문에 출력 품질을 바꾸지 않고 지연만 줄인다. 자체 측정치는 RTX 5090에서 초당 74.9토큰에서 233.4토큰으로 3.1배, 맥북 M5 맥스에서 26.6에서 50.2로 1.8배, M4 맥스에서 23.7에서 37.8로 1.5배다. 배치 크기 1, 그리디 디코딩 조건이며 애플 기기는 ExecuTorch, RTX는 llama.cpp로 측정했다.
같은 최적화가 엔비디아 데스크톱에서 3.1배, 애플 노트북에서 1.5배로 나뉜다. 추측 디코딩의 이득은 초안 제안의 수용률과 병렬 검증 대역폭에 함께 달려 있어서, 메모리 대역폭이 좁은 통합 메모리 장비에서는 검증 단계가 병목으로 남는다. "노트북에서 돌아가는 개인 에이전트"라는 문장은 하드웨어에 따라 체감이 두 배 이상 갈린다.
비교 대상으로 세운 모델은 젬마4 31B(Gemma4-31B)와 큐원3.6 27B(Qwen3.6-27B)다. 세 모델 모두 추론 강도를 높인 설정에서 측정했다.
| 벤치마크 | 뮤즈 글리머 30B | 젬마4 31B | 큐원3.6 27B |
|---|---|---|---|
| 일반 에이전트 | |||
| MCP 아틀라스(공개판) | 75.5 | 54.2 | 62.5 |
| 딥서치 QA | 74.6 | 61.7 | 71.1 |
| τ³ 뱅킹 | 23.5 | 15.1 | 16.7 |
| 와일드클로벤치 | 47.6 | 37.6 | 43.2 |
| 가이아2 | 43.3 | 36.4 | 40.0 |
| GDPval-AA v2 | 953 | 811 | 1141 |
| 스킬스벤치 | 44.3 | 32.4 | 46.6 |
| OSWorld-Verified | 65.9 | 58.5 | 75.6 |
| 에이전트 코딩 | |||
| SWE-Bench Pro | 51.2 | 36.9 | 50.2 |
| SWE-Bench Verified | 76.0 | 66.6 | 77.2 |
| 터미널벤치 2.1 | 51.7 | 43.4 | 60.7 |
| 사이코드 | 43.6 | 43.4 | 39.8 |
| 멀티모달 | |||
| CharXiv 추론 | 78.8 | 77.7 | 78.4 |
| 스크린스팟 프로 | 75.4 | 75.9 | 76.1 |
| 옴니독벤치 v1.5 | 75.8 | 72.5 | 77.8 |
| 일반 능력·추론 | |||
| IF벤치 | 77.0 | 76.0 | 70.8 |
| AIME 2026 | 94.7 | 89.2 | 94.1 |
| GPQA 다이아몬드 | 83.5 | 85.7 | 84.2 |
| HLE 텍스트 | 22.0 | 23.6 | 23.1 |
| AA-LCR | 80.0 | 68.3 | 73.3 |
| BEAM 128K | 65.1 | 58.2 | 63.0 |
GDPval-AA v2는 백분율이 아닌 별도 점수 체계다. 스킬스벤치는 스킬 폴더를 붙인 조건, 터미널벤치 2.1은 터미너스2 하네스 조건이다.
승패의 분포에 규칙이 있다. 도구 서버를 여러 개 붙여 다단 질의를 처리하는 MCP 아틀라스에서 21.3점 차, 자율 웹 탐색인 딥서치 QA에서 3.5점 차, 장문 다문서 추론인 AA-LCR에서 6.7점 차, 128K 대화 기억을 재는 BEAM에서 2.1점 차로 앞선다. 반대로 화면을 보고 우분투 데스크톱을 조작하는 OSWorld-Verified에서 9.7점, 터미널 작업에서 9.0점, 44개 직종의 경제적 산출물을 재는 GDPval에서 188점 뒤진다. 학술 지식을 재는 GPQA와 HLE에서는 세 모델 중 가장 낮다.
앞선 항목은 모두 도구 호출과 긴 맥락 유지에 몰린다. 뒤진 항목은 범용 컴퓨터 조작, 실무 산출물 생산, 학술 지식이다. 강점과 약점이 학습 데이터의 방향을 그대로 따라간다. 중간학습에 긴 컨텍스트와 에이전트 데이터를 넣고 후속학습을 도구·코딩 영역에 집중했다고 밝힌 그대로의 결과다. 30B급에서 이 정도 도구 호출 성능이 오픈웨이트로 나온 것은 실질적인 변화지만, 그 변화는 "동급 최강"이 아니라 "특정 작업 유형에서 동급 최강"이다.
교사 계열의 성능은 공개돼 있다. 7월 9일 유료 API로 나온 뮤즈 스파크 1.1은 MCP 아틀라스에서 88.1점을 기록했다. 학생 모델의 공개판 점수는 75.5점이다. 다만 두 수치를 곧바로 비율로 환산하는 것은 위험하다. 글리머 표의 항목명은 MCP 아틀라스 공개판이고, 방법론 문서는 그것이 500개 공개 과제를 4회 평균한 값이라고 밝힌다. 스파크 1.1의 88.1점이 같은 부분집합에서 나온 값인지는 공개 문서로 확인되지 않는다. 파라미터를 크게 줄이고도 교사에 근접했다는 서술은 여러 곳에서 반복되지만, 비교 가능성 자체가 전제로 남아 있다.
더 눈에 걸리는 것은 표에 없는 항목이다. 방법론 문서가 열거한 벤치마크 목록에는 사실성이나 환각을 직접 재는 항목이 하나도 없다. 지시 준수, 수학, 대학원급 과학 지식, 장문 맥락 기억은 있으나, 단순 사실 질의에 얼마나 정확히 답하는지를 재는 계열은 빠져 있다. 증류로 만든 소형 모델에서 추론 점수와 사실 정확도가 같은 방향으로 움직이지 않는다는 것은 이미 여러 차례 관찰된 현상이다. 일정과 메시지와 파일을 맡기려는 사용자에게는 도구 호출 점수보다 그쪽이 더 중요한 수치인데, 발표된 표에는 그 열이 없다.
방법론 문서는 이례적으로 상세하다. 경쟁 모델은 자체 보고 점수와 내부 재현 결과 중 더 유리한 쪽을 채택했다고 밝히고, 항목별로 심판 모델과 하네스와 시도 횟수를 적었다. 그 상세함이 드러내는 사실이 하나 있다.
MCP 아틀라스의 채점은 제미나이 2.5 프로가 맡았다. 딥서치 QA와 가이아2는 gpt-oss-120b, 와일드클로벤치와 BEAM은 GPT-5.4가 채점했다. 개인 맥락 처리를 재는 CI 메모리즈는 클로드 소네트 4.6이 속성 노출 여부를 판정했고, 프롬프트 주입 저항을 재는 사이렌 에이전트도조에서는 클로드 오퍼스 4.6이 공격자 역할을 맡아 최대 6회까지 공격을 다듬었다. 클라우드 없이 돌아가는 모델을 만들었다는 발표의 근거 수치가, 구글·오픈AI·앤스로픽의 클라우드 모델을 심판으로 세워 생산됐다.
이것 자체가 잘못은 아니다. 현재 에이전트 벤치마크에서 심판을 대체할 방법은 마땅치 않다. 다만 오픈웨이트의 논거로 흔히 제시되는 "누구나 검증할 수 있다"는 문장이 여기서 조건부가 된다. 가중치를 내려받은 사람이 이 표를 재현하려면 세 회사의 유료 API를 심판으로 호출해야 한다. 검증 가능성은 열려 있지만 무료는 아니다.
OSWorld-Verified 측정에서 큐원3.6과 글리머는 클로드의 컴퓨터 사용 행동 공간(computer_20251124, 0~1000 정규화 좌표)을 썼고, 젬마4는 제미나이 2.5 플래시의 컴퓨터 사용 인터페이스를 썼다. 화면 조작 벤치마크에서 행동 공간의 표현력은 성능에 직접 영향을 준다. 방법론 문서는 이 차이를 숨기지 않고 적었지만, 표에서는 세 값이 같은 조건의 세 열처럼 보인다. 젬마4의 58.5점이 모델의 한계인지 인터페이스의 한계인지를 표만 보고는 가릴 수 없다.
SWE-Bench 계열의 처리도 비슷하다. SWE-Bench Verified에서는 큐원3.6의 자체 보고 점수를 채택했고, SWE-Bench Pro에서는 큐원의 자체 보고가 정제된 버전에서 측정된 값이라며 채택하지 않고 원래 과제 집합으로 직접 재현했다. 두 판단 모두 근거가 명시돼 있어 반박하기 어렵지만, 어떤 열에 어떤 출처가 들어갔는지는 항목마다 다르다.
메타가 이만큼 절차를 적어 낸 배경에는 이력이 있다. 2025년 4월 5일 공개된 라마 4는 벤치마크 논란에 휩싸였고, 실험용 변종이 리더보드에 올라간 뒤 공개 가중치판은 순위가 크게 내려갔다. 2025년 11월 회사를 떠난 얀 르쿤은 2026년 1월 파이낸셜 타임스와의 인터뷰에서 결과가 다소 손질됐으며 벤치마크별로 서로 다른 모델을 썼다고 밝혔다. 그 뒤 15개월 넘게 메타는 언어 모델을 공개하지 않았고, 예고했던 최상위 모델 비히모스는 끝내 나오지 않았다. 8월 10일의 방법론 문서는 성능 자료이면서 동시에 신용 복구 장치다. 상세함을 그 맥락에서 읽는 것이 공정하다.
발표 표에서 안전 항목은 두 줄이다.
| 지표 | 뮤즈 글리머 30B | 젬마4 31B | 큐원3.6 27B |
|---|---|---|---|
| CI 메모리즈 — 위반율 | 26.4 | 12.1 | 53.4 |
| CI 메모리즈 — 커버리지 | 64.8 | 53.0 | 66.9 |
| 사이렌 에이전트도조 — 공격 성공률 | 28.4 | 25.6 | 40.3 |
| 사이렌 에이전트도조 — 유용성 | 94.2 | 90.8 | 92.7 |
CI 메모리즈는 사용자당 100개 이상의 속성을 담은 합성 프로필을 두고, 2500개 상황에서 어떤 속성을 공유해야 하고 어떤 속성을 숨겨야 하는지를 판정한다. 재무·건강·관계 정보 같은 항목은 의사에게 말할 때 필요하고 거래처에 말할 때는 위반이다. 글리머의 위반율 26.4%는 젬마4의 두 배가 넘고 큐원3.6의 절반이다. 동시에 필요한 정보를 실제로 활용한 비율은 64.8%로 젬마4보다 11.8포인트 높다. 두 수치를 함께 읽으면 성향이 보인다. 개인 맥락을 더 적극적으로 끌어 쓰고, 그만큼 잘못 끌어 쓰는 경우도 많다.
사이렌 에이전트도조는 은행·여행예약·업무관리·온라인상점 네 환경에서 정상 과제 97개와 악성 과제 35개를 조합해 949개 프롬프트 주입 시나리오를 만든다. 글리머는 공격 성공률 28.4%에 정상 과제 완수율 94.2%를 기록했다. 유용성은 세 모델 중 가장 높고 공격 저항은 젬마4에 2.8포인트 뒤진다.
가중치를 기기에 두면 입력한 내용이 서버로 나가지 않는다. 그것은 사생활 문제의 해결이다. 그러나 도구를 쥔 에이전트가 기기 안에서 권한을 잘못 쓰는 문제, 신뢰할 수 없는 문서에 심어진 지시를 따라가는 문제는 실행 위치와 무관하다. 열 중 셋 가까이 공격이 통하는 모델이 일정과 메시지와 결제 도구를 쥐고 있으면, 데이터가 기기를 떠나지 않는다는 사실은 위안이 되지 못한다. 비공개 저장과 안전한 행동은 서로 독립된 두 문제다.
모델 카드는 이 지점을 스스로 인정한다. 모델을 그 자체로 종단점에 두지 말고 추가 가드레일을 갖춘 시스템의 일부로 배치하라고 권고하며, 되돌릴 수 없는 행동에는 사람의 확인을 넣으라고 적었다. 18세 미만은 다운로드·사용 대상이 아니라고도 명시했다. 조건을 갖춘 배포자에게는 합당한 요구다. 다만 개인이 노트북에서 개인 에이전트를 돌리는 시나리오에서 그 가드레일을 설계할 주체는 사용자 본인이거나 실행 앱을 만든 제3자다. 안전 책임의 상당 부분이 가중치 공개와 함께 하류로 이전된다.
같은 날 마크 저커버그는 「모두를 위한 미래: 긍정적 AI 미래로 가는 길」이라는 14쪽 편지를 냈다. 약 6500단어이며, 7월 28일 월스트리트 저널에 실은 기고의 확장판에 해당한다. 세 원칙은 번영의 원천으로서의 개인 역량 강화, 초지능의 주된 목적으로서의 발명, 안전의 토대로서의 힘의 균형이다.
안전 논증의 핵은 대칭 논변이다. 한 사람만 초지능 변호사를 갖는 세계는 법정을 불공정하게 만들지만 모두가 갖는 세계는 정의를 더 효율적으로 만든다. 한 사람만 사이버보안 초지능을 갖는다면 거의 모든 시스템을 뚫을 수 있어 세계는 지금보다 덜 안전해지지만, 모두가 접근하면 널리 배포된 초지능이 모든 시스템을 단단하게 만들어 지금보다 안전해진다. 편지는 능력을 제한하는 방향이 중앙집중과 견제 부재로 이어진다며 그 길에 극히 신중해야 한다고 적었다.
이 논변은 하나의 경험적 전제 위에 서 있다. 능력이 널리 퍼질 때 공격과 방어가 대칭적으로 확장된다는 전제다. 방어가 공격을 앞서는 균형이 유지되어야 결론이 성립하고, 그 균형은 논리가 아니라 측정으로 확인되는 사안이다.
그래서 모델 카드의 대비 태세 항목이 중요해진다. 메타는 글리머가 자사 고급 AI 확장 프레임워크의 프런티어 AI 정의에 해당하지 않는다고 판단한 뒤, 신중을 기해 위험 등급을 부여했다고 적었다. 화학·생물은 중간 이하, 사이버는 중간 이하(추론), 통제 상실은 중간 이하(추론)다. 괄호가 붙은 두 항목의 근거는 다음 한 문장이다. 글리머가 뮤즈 스파크 1.0보다 전반적으로 약하고 스파크 1.0이 해당 영역에서 같은 등급을 받았으므로 같은 등급으로 추론한다.
방법론 문서는 사이버 영역 평가 도구를 두 개 서술한다. 실제 오픈소스 코드베이스에서 취약점을 자동 발견하는 능력을 재는 사이버짐, 그리고 단일·다중 턴 적대적 시나리오에서 안전장치 우회를 재는 사이버벤치다. 측정 방식과 지표까지 적혀 있다. 그러나 발표된 비교 표에도 모델 카드에도 이 두 항목의 수치는 없다. 화학·생물은 여섯 개 벤치마크의 숫자가 표로 공개됐고, 사이버는 숫자 없이 등급만 추론으로 채워졌다.
| 벤치마크 | 뮤즈 글리머 30B | 젬마4 31B | 큐원3.6 27B | 키미 K3(참고) |
|---|---|---|---|---|
| MBCT 분자생물학 | 41.5% | 50.6% | 45.9% | 58.9% |
| HPCT 인체병원체 | 52.3% | 54.0% | 48.7% | 59.6% |
| VCT 바이러스학 | 37.0% | 43.5% | 33.7% | 48.0% |
| WMDP 생물 | 86.5% | 85.9% | 84.8% | 89.1% |
| WMDP 화학 | 75.2% | 80.5% | 74.8% | 84.2% |
| 랩벤치 프로토콜QA | 80.2% | 75.8% | 69.1% | 81.9% |
굵은 값은 동급 세 모델 가운데 최고. 키미 K3는 크기 계층이 달라 비교군에서 제외한 참고값이다.
화학·생물 쪽 결론은 자료로 뒷받침된다. 여섯 항목 중 넷에서 동급 모델에 뒤지고, 여섯 항목 모두 더 큰 오픈웨이트 모델보다 낮다. 공개로 인해 새로운 위협이 실질적으로 가능해질 가능성이 낮다는 판단에 근거가 붙는다. 사이버에서는 같은 형태의 근거가 제시되지 않았다. 편지가 안전 논증의 가장 구체적인 예시로 든 영역이 바로 사이버보안인데, 그 영역의 수치가 발표 자료에서 비어 있다.
추론이 틀렸다고 단정할 근거는 없다. 더 약한 모델이 더 약한 위협을 낸다는 추정은 대체로 성립할 것이다. 문제는 다른 층에 있다. 오픈웨이트 규제 논쟁의 쟁점은 정확히 "공개된 모델이 공격 능력을 얼마나 올리는가"이고, 그 쟁점에 답할 숫자를 가진 쪽은 모델을 만든 회사뿐이다. 그 회사가 규제 완화를 요구하는 편지와 함께 모델을 내면서 해당 숫자를 공개하지 않으면, 논쟁은 측정 대신 등급 판정을 놓고 진행된다. 화학·생물 표를 공개했다는 사실이 이 대비를 더 뚜렷하게 만든다. 낼 수 있는 형식을 이미 갖고 있다는 뜻이기 때문이다.
편지는 두 가지를 나란히 요구한다. 실리콘 수출통제는 해외 랩의 진전을 늦추는 데 효과가 있었으므로 계속하는 것이 전략적으로 옳다. 반면 해외 오픈소스 모델에 대한 접근을 제한하는 것은 효과적인 해법이 아니며, 미국 기업이 최고의 오픈소스 모델을 만들도록 장애물을 없애는 쪽이 옳다.
두 문장은 논리적으로 모순되지 않는다. 하드웨어 접근 제한과 소프트웨어 이용 제한은 다른 정책 수단이고, 후자는 자국 사용자의 선택권을 줄이는 반면 전자는 줄이지 않는다. 다만 힘의 균형이라는 원리는 이 지점에서 개인 대 기관의 축에서 국가 대 국가의 축으로 옮겨간다. 개인에게 유리한 균형을 만들자는 원칙이, 특정 국가 랩에 불리한 균형을 유지하자는 정책 권고와 한 문서 안에 들어 있다. 발화자의 위치를 고려하면 이 조합은 자연스럽다. 메타는 미국에 본사를 둔, 수출통제의 수혜를 받으면서 오픈웨이트 유통에서 경쟁하는 기업이다.
같은 구조가 정부 협력 제안에도 나타난다. 편지는 프런티어 랩이 학습이 끝나기를 기다리지 말고 중간 학습 체크포인트와 기술 인력을 정부에 제공해, 정부가 미리 중요 시스템을 단단하게 만들 수 있게 하자고 제안한다. 개인의 접근을 늦추지 않으면서 국가 안보 역량을 높이는 방법으로 제시된다. 그런데 이는 최상위 능력에 대한 조기 접근을 특정 주체에 비대칭적으로 부여하는 설계다. 편지가 경계하는 힘의 집중과 형태가 같고, 수혜자가 정부라는 점만 다르다. 편지 자체는 이 긴장을 다루지 않는다.
수익 구조는 세 층으로 정리된다. 30B 글리머는 무료로 풀고, 상위 모델 뮤즈 스파크 1.2는 메타 모델 API에서 유료로 제공하며, 개인 초지능은 무료판과 유료 연산으로 나눈다. 스파크 1.1의 요금은 100만 입력 토큰당 1.25달러, 출력 토큰당 4.25달러이고 캐시된 입력은 0.15달러다. 추론 모델이므로 내부 사고 토큰이 출력 요율로 과금되어, 사고를 많이 하는 호출의 실효 단가는 표시 가격보다 높다.
편지가 개인 초지능의 과금 방식을 서술한 문장은 이렇게 요약된다. 수십억 명이 쓸 수 있는 무료판을 제공하고, 더 많은 연산을 쓰려는 사람에게는 동적 경매 방식을 적용해 각자가 쓰는 지능과 연산에 대해 가능한 가장 낮은 가격을 보장하면서, 동시에 그 용량이 사람들이 집단적으로 가장 가치 있다고 여기는 곳에 쓰이도록 보장한다.
경매가 만드는 것은 시장청산가격이다. 용량이 희소하면 청산가격은 수요와 함께 올라가고, 배분은 지불 의사가 높은 순으로 이뤄진다. "가능한 가장 낮은 가격"이라는 표현이 성립하는 범위는 청산가격 위로 잉여를 더 걷지 않는다는 뜻까지다. 절대적인 저가를 뜻할 수 없다. 그리고 뒤 절의 약속, 즉 용량이 가장 가치 있는 용도로 가도록 보장한다는 것은 지불 의사를 가치의 대리 지표로 삼는다는 뜻이다. 희소 조건에서 두 약속은 같은 방향을 가리키지 않는다. 앞 절은 개별 구매자의 부담을 줄이는 서술이고 뒤 절은 배분 효율을 높이는 서술인데, 후자를 달성하는 경로가 전자를 제약한다.
그래서 균형론의 실질적 시험대는 유료 계층이 아니라 무료 계층이다. 모두가 초지능 변호사를 갖는다는 사고 실험이 현실에서 검증되는 지점은 무료판의 능력 상한이다. 무료판이 유료판과 같은 모델을 같은 추론 강도로 제공하고 사용량만 제한한다면 편지의 논변은 힘을 얻는다. 무료판이 더 작은 모델이거나 더 낮은 추론 강도로 제공된다면, 능력의 분배는 여전히 지불 능력에 따라 계층화되고 대칭 논변의 전제가 약해진다. 편지는 이 구분을 밝히지 않는다.
가중치 공개가 이 계산에 개입하는 방식은 별개로 볼 만하다. 스파크 1.2의 가중치까지 공개되면 API 요금의 성격이 달라진다. 모델에 접근하기 위한 입장료가 아니라, 대규모 연산과 100만 토큰 맥락과 장애 대응과 업데이트를 위탁하는 운영비에 가까워진다. 상위 모델이 계획을 세우고 로컬 30B가 반복 작업을 실행한 뒤 상위 모델이 결과를 검증하는 구성도 성립한다. 다만 가중치 공개 시점, 공개판과 API판의 성능 동일성, 컨텍스트 길이, 라이선스는 아직 발표되지 않았다.
16개월의 공백이 있었다. 라마 4가 2025년 4월 5일에 나오고, 예고된 비히모스는 출시되지 않았고, 2025년 12월에는 차세대 모델 아보카도가 폐쇄형으로 나올 가능성이 보도됐고, 2026년 3월에는 그 아보카도마저 추론·코딩·작문 내부 평가에서 경쟁 모델에 밀려 출시가 미뤄졌다. 2026년 4월 뮤즈 스파크가 나왔지만 폐쇄 가중치였다. 그사이 FAIR를 세운 얀 르쿤이 회사를 떠났고, 조직 개편과 인력 이탈이 이어졌다.
공백 기간에 오픈웨이트의 상위권은 중국 랩이 채웠다. 7월 16일 문샷 AI가 2조 8000억 파라미터 규모의 키미 K3를 내놓고 7월 27일 가중치를 공개했다. 7월 19일 알리바바가 2조 4000억 파라미터 큐원3.8 맥스를 예고한 뒤 8월 3일 가중치를 열었다. 7월 31일 딥시크가 총 2840억·활성 130억 파라미터의 V4-플래시를 MIT 라이선스로 공개했다. 미국 기업이 처리하는 토큰 중 중국 오픈웨이트 모델의 비중이 크게 올라갔다는 관측이 이어졌는데, 구체적 수치는 집계 방식에 따라 30%대에서 60% 근처까지 크게 갈리므로 하나를 고르기보다 추세만 보는 것이 안전하다.
정책 쪽 사건도 같은 창에 몰려 있다. 7월 21일 미 재무장관 스콧 베선트가 미국 모델을 증류해 만든 것으로 확인되면 제재나 엔티티 리스트 지정을 검토할 수 있다고 말했다. 7월 22일 백악관 과학기술정책실장 마이클 크라치오스는 문샷 AI가 K3를 만들면서 앤스로픽의 페이블을 증류했으며, 탐지를 피하려고 접근 경로를 바꿔가는 내부 플랫폼을 구축했다고 X에 적었다. 태국을 경유해 대중국 수출이 금지된 엔비디아 GB300 서버에 접근했다는 주장도 함께였다. 근거는 공개되지 않았고 여러 연구자가 증류만으로 K3의 성능을 설명할 수 있는지 의문을 제기했다. 앤스로픽은 2026년 2월 문샷·딥시크·미니맥스가 약 2만 4000개 위조 계정으로 약 1600만 건의 상호작용을 만들었다고 주장한 바 있고, 6월에는 알리바바 큐원 관련해 약 2만 5000개 계정과 2880만 건 이상을 언급했다.
7월 24일에는 「오픈웨이트와 미국의 AI 리더십」이라는 공동 서한이 나왔다. 엔비디아, 마이크로소프트, 메타, IBM, 델, 팔란티어, 앤드리슨 호로위츠, 허깅페이스, 와이 컴비네이터, 미스트랄, 클라우드플레어, 시스코, 리눅스 재단 등 25개 이상의 기업이 이름을 올렸다. 오픈AI, 앤스로픽, 구글은 서명하지 않았다. 오픈웨이트 진영과 폐쇄 프런티어 진영의 경계가 서한의 서명란에서 선명해졌다.
재무 압력도 배경에 있다. 메타의 2026년 설비투자 전망은 최대 1450억 달러이고, 주가는 연초 대비 약 10% 내려 있었다. 8월 10일 발표 직후 주가는 2%대 올랐다. 발표 하루 동안 무료 가중치와 유료 연산과 개인 에이전트와 규제 요구가 하나의 구조로 묶였고, 데이터센터 지역 사회를 위한 10억 달러 규모 기금도 함께 발표됐다. 루이지애나 리치랜드 패리시에서 세수 증가로 교사들이 5만 달러 보너스를 받았다는 사례가 근거로 인용됐다.
편지는 증류에 관해 분명한 입장을 취한다. 모델이 다른 모델에게서 배우는 능력은 오픈소스 생태계가 작동하는 중요한 원리이며, 모든 AI 모델은 인간 지식에서 파생된 것이므로, 관찰할 수 있는 것에서 배울 수 있다는 원칙을 지켜야 하고 미국이 이 부분에서 스스로를 제약하면 앞서 나갈 수 없다는 것이다. 학습 데이터에 관한 규제 완화 요구도 함께다. 해외 랩이 우위를 갖는 이유가 미국 랩에 적용되는 추가 제약이라는 진단이다.
글리머 자체가 증류의 산물이다. 다만 메타의 경우 교사와 학생 모두 자사 모델이므로, 방금 방어한 원칙이 이번 모델을 만드는 데 필요했던 것은 아니다. 원칙이 실제로 걸리는 자리는 다른 쪽이다. 스파크 1.2의 가중치가 공개되면 그 순간부터 메타의 최상위 모델이 증류의 대상이 된다. 로짓 접근이 가능한 공개 가중치는 API 질의보다 훨씬 효율적인 증류 경로를 제공한다. 관찰할 수 있는 것에서 배울 수 있다는 원칙은 양방향으로 작동한다.
여기서 정책 요구와 사업 이해가 갈릴 여지가 생긴다. 증류를 국적에 따라 차별 규제하려는 시도는 원칙 자체를 부정하지 않으면 성립하기 어렵고, 원칙을 지키면 자사 공개 모델의 증류를 막을 근거도 사라진다. 크라치오스 역시 소형 효율 모델을 만드는 정당한 증류와 대규모 은밀한 산업적 증류를 구분했지만, 그 구분선을 기술적으로 판정하는 방법은 제시되지 않았다. 판정 방법이 없는 구분선은 집행 단계에서 국적이나 정치적 판단으로 대체되기 쉽다.
편지는 자신이나 다른 누구도 초지능 배포의 단독 결정권자가 되는 것이 메타나 세계의 이익에 부합하지 않는다고 적으며, 독립 이사회에 모델 출시 안전 기준의 승인 권한과 각 출시가 그 기준을 지켰는지 검토할 권한을 주는 거버넌스 구조를 도입한다고 밝혔다. 다른 프런티어 랩의 최고경영자들도 모델 출시에 광범위한 권한을 갖고 있으므로 유사한 구조를 도입하기를 권한다고 덧붙였다.
이 약속의 실질은 두 가지 조건에 달려 있다. 첫째, 메타는 창업자가 지배하는 회사이며 편지도 그 사실을 스스로 적었다. 이사회의 승인 권한이 지배구조의 어느 층에서 작동하는지, 기준 미달 판단이 나왔을 때 출시를 실제로 막을 수 있는지는 정관과 위임 범위의 문제다. 둘째, 승인 대상은 안전 기준과 준수 여부이지 개별 모델의 능력 판단이 아니다. 기준 자체를 누가 어떤 수치로 쓰는지가 남는다. 글리머의 사이버 위험 등급이 측정 대신 추론으로 채워진 사례가 그 기준의 실제 해상도를 보여주는 첫 표본이다.
아래 각 항목에는 예측이 틀렸다고 판정할 조건을 함께 적었다.
1. 스파크 1.2 공개판이 나오면 로컬 소형 모델의 가치 기준이 능력에서 지연·비용으로 옮겨간다.
상위 모델을 기기에 올릴 수 있게 되면 30B의 존재 이유는 "여기까지가 로컬의 한계"가 아니라 "이 작업에는 이쪽이 싸고 빠르다"로 바뀐다.
반증 조건 — 공개판이 API판보다 낮은 성능이나 짧은 컨텍스트로 나오거나, 아파치 2.0이 아닌 사용 제한 라이선스로 나오거나, 수주 내 공개 약속이 이행되지 않으면 이 예측은 성립하지 않는다.
2. 개인 에이전트의 상용화 병목은 도구 호출 점수가 아니라 정보 흐름 위반율이다.
일정·메시지·파일 권한을 넘기는 결정은 성능표가 아니라 오작동 비용으로 이뤄진다. 위반율 26.4%와 공격 성공률 28.4%는 그 결정을 정당화하기 어려운 구간이다.
반증 조건 — 다음 세대 동급 오픈웨이트 모델이 CI 메모리즈 위반율을 10% 아래로 낮추면서 커버리지를 60% 이상 유지하거나, 프롬프트 주입 공격 성공률을 한 자릿수로 내리면 이 예측은 성립하지 않는다.
3. 오픈웨이트 규제 논쟁의 분기점은 사이버 위험 등급이 추론에서 측정으로 바뀌는 시점이다.
공개 모델이 공격 능력을 얼마나 올리는지를 재는 숫자가 발표 자료에 들어오기 시작하면 논쟁의 언어가 바뀐다. 들어오지 않으면 등급 판정에 대한 신뢰 공방으로 남는다.
반증 조건 — 주요 랩이 오픈웨이트 발표에 취약점 발견율이나 안전장치 우회율 수치를 정례적으로 포함시키는데도 정책 논의가 그 수치를 참조하지 않고 진행되면 이 예측은 성립하지 않는다.
4. 증류 원칙을 방어한 비용은 스파크 1.2 공개 시점에 메타 자신에게 청구된다.
로짓 접근이 열린 공개 가중치는 API 질의보다 효율적인 증류 경로다. 원칙을 지키는 쪽에 선 회사가 그 원칙의 적용을 자사 모델에서 배제할 근거를 갖기 어렵다.
반증 조건 — 공개판에 증류 억제 장치(출력 워터마킹, 로짓 접근 제약 등)가 라이선스나 기술 수준에서 부과되거나, 증류를 국적별로 차별 규제하는 입법이 실제로 집행되면 이 예측은 성립하지 않는다.
5. 무료 계층의 능력 상한이 균형론의 실질적 검증 지점이 된다.
무료판이 성능이 낮은 계층으로 고정되면 능력 분배는 지불 능력에 따라 계층화되고, 모두가 같은 도구를 갖는다는 전제가 약해진다.
반증 조건 — 무료판이 유료 계층과 동일한 모델·동일한 추론 강도로 제공되고 사용량 제한만 다르게 운영되면 이 예측은 성립하지 않는다.
296억 파라미터 모델이 24GB 그래픽카드 한 장에서 초당 200토큰 넘게 돌아가고, 도구를 스무 개 붙인 다단 작업에서 동급 최고 점수를 낸다는 것은 작은 사건이 아니다. 열두 시간 안에 양자화판과 실행 가이드와 에이전트 하네스 연결이 커뮤니티에서 나왔다는 사실도 생태계의 두께를 보여준다. 오픈웨이트 시장은 모델 하나의 점수가 아니라 공개 주기와 양자화판과 실행 도구가 쌓이는 속도로 움직이고, 그 축에서 메타는 하루 만에 다시 위치를 잡았다.
같은 날 나온 편지는 그 사건을 안전 이론으로 감쌌다. 능력이 널리 퍼지면 견제가 생기고 견제가 생기면 안전해진다는 논변이다. 논변은 검증 가능한 형태로 제시될 수 있었다. 사이버 영역에서 공개 모델의 능력이 방어 쪽에 얼마나 기울어 있는지를 재는 방법이 이미 사내 방법론 문서에 서술돼 있었다. 화학·생물에서는 그 형식대로 숫자가 나왔다. 사이버에서는 나오지 않았다.
그 빈칸이 논변을 무효로 만들지는 않는다. 다만 논변의 지위를 바꾼다. 측정으로 뒷받침된 주장과, 측정 도구를 가진 쪽이 측정 없이 제시한 주장은 정책 논의에서 같은 무게를 가질 수 없다. 스파크 1.2의 가중치가 실제로 공개될 때 그 칸이 채워지는지가, 8월 10일의 발표가 전략의 전환이었는지 한 번의 복귀였는지를 가르는 지점이 될 것이다.
본문 수치는 메타 슈퍼인텔리전스 랩의 발표문·평가 방법론 문서·모델 카드, 메타가 공개한 편지, 그리고 8월 10일까지의 공개 보도에서 확인한 값이다. 자체 발표 벤치마크는 발표 주체가 밝힌 조건에서 측정된 값이며 독립 재현으로 검증되지 않았다.