Executive Summary

세미애널리시스가 2026년 10월 8일에 낸 보고서다. 바이라인은 마크 첸·더그·딜런 파텔 셋이고, 페이지의 작성자 메타 태그에는 마크 첸 한 명만 적혀 있다. 다리오 아모데이가 가장 앞선 모델(프런티어 모델)의 개발 속도를 일부러 늦추자고 쓴 지 스물엿새 뒤이고, 미국과 중국 정상이 초지능 대화를 공식 의제로 올린 직후다. 백악관 쪽 움직임은 초지능 협약의 감사인을 다룬 글에서 한 번 다뤘다. 보고서의 질문은 하나다. 그래서 중국은 실제로 무엇을 하고 있나.

답을 내려고 보고서는 원본 데이터셋 두 개를 만들었다. 하나는 중국 AI 기업 아홉 곳이 2021년부터 2026년 9월 15일까지 내놓은 모델 출시를 전수로 센 것이고, 다른 하나는 같은 기간 중국의 전문가·관료 텍스트 102건과 경영진 발언 65건을 코딩한 것이다. 널리 인용된 수치는 앞의 것에서 나왔다. 이 글은 그 수치를 옮기기 전에, 그 수치를 만든 규칙부터 본다. 뒤에 나오는 모든 비율이 이 절에서 정해진 정의 위에 서 있기 때문이다.

1.1아홉 곳과 857건이 먼저 정해졌다

대상은 아홉 곳이다. 하이퍼스케일러 넷(바이트댄스·알리바바·텐센트·바이두)과 스타트업 다섯(딥시크·문샷·즈푸 Z.ai·미니맥스·스텝펀). 분모는 857건이고, 제품 모델 741건과 연구 모델 116건으로 나뉜다. 한 행마다 최초 공개일·가중치 상태·라이선스·출처가 채워져 있다. 그러니 이 조사는 중국 AI를 논평하기에 앞서, 레지스트리가 없던 자리에 레지스트리부터 직접 지었다.

조사가 들여다본 자료는 셋이다. 개발사의 모델카드, 릴리스 노트, 기술보고서. 이 셋 바깥은 보지 않았다. 그 선택이 수치의 크기를 정한다는 점은 4절과 6절에서 다시 나온다.

1.2무엇을 "결과"로 셀지가 이 조사의 전부다

한 건으로 세는 기준이 좁다. 유해 발화·탈옥·독성·프라이버시·거부·위험 능력에 대한 정량적이거나 실질적인 발견이 있어야 하고, 그 발견이 그 모델 이름에 묶여 있어야 한다. 보고서의 문장은 이렇다.

"우리 기준은 엄격하다. 결과란 유해 발화·탈옥·독성·프라이버시·거부·위험 능력에 대한 정량적이거나 실질적인 발견이 해당 모델 이름에 묶여 있는 것을 뜻한다. 모델이 '안전하게 학습됐다'거나 '평가됐다'는 진술은 세지 않는다. 대표 모델의 결과를 다른 크기나 스냅숏에 옮겨 적용하지도 않는다." 원문: "Our standard is strict: a result means a quantitative or substantive finding on harmful output, jailbreaks, toxicity, privacy, refusal, or dangerous capability, tied to the named model. Statements that a model was 'safety-trained' or 'evaluated' do not count. A flagship model's result is not extrapolated to other sizes or snapshots."

세는 것과 세지 않는 것을 나란히 놓으면 이렇게 된다. 이 표의 오른쪽 칸이 2절에서 열세 건이 되어 돌아온다.

보고서 본문의 계수 규칙을 세 항목으로 나눠 적었다. 세 번째 줄 때문에 제3자 평가는 이 통계에 들어오지 않는다. 밖에서 재는 일이 실제로 어떻게 돌아가는지는 중국 모델의 거부 행동을 밖에서 잰 글에 정리해 뒀다.

1.3보고서가 자기 수치에 단 단서는 둘이다

같은 문단에 단서가 둘 붙어 있다. 하나는 범위에 관한 것이다. 보고서는 "'찾지 못함'은 확인한 자료의 범위에 한정되며 '시험하지 않았음'을 뜻하지 않는다"고 적었다. 다른 하나는 비교에 관한 것이다. 회사마다 모델 변종에 이름을 붙이는 단위가 달라서, 알리바바의 238건은 모든 Qwen 크기와 스냅숏을 하나씩 센 값이라고 보고서가 직접 밝힌다. 그래서 기업별 비율은 순위로 읽으면 안 되는 참고치다.

이 두 단서는 이 글의 발견이 아니다. 보고서가 먼저 적었고, 보도도 이미 짚었다. 영문 매체 한 곳은 이 조사가 "안전 작업의 부재를 증명한 것이 아니라 투명성을 측정한 것"이라고 썼고, 다른 한 곳은 "보고서가 미국 개발사에 대한 비교 수치를 내지 않았다"고 썼다. 그러니 이 글은 그 두 문장을 다시 발견하는 데서 멈추지 않는다. 더 열어 볼 것이 둘 있다. 하나는 3.6%의 반대말이 무엇인가이고(2절), 다른 하나는 그 수치를 떠받치는 날짜 칸이 어디까지 채워져 있는가다(4절).

가장 많이 옮겨진 문장은 이것이다. 857건 가운데 개발사가 안전 시험 결과를 공개한 것은 31건, 3.6%다. 여기서 흔히 따라붙는 다음 문장이 틀린다. 나머지 96.4%가 아무것도 공개하지 않았다는 서술이다. 보고서가 적은 "아무 공개도 없음"은 813건, 94.9%다. 두 수 사이에 열세 건이 있고, 그 열세 건이 이 절의 주인공이다.

보고서는 857건을 여섯 칸으로 갈랐다. 칸마다 묻는 질문이 다르다. 결과가 있는가, 언제 있었는가, 그 결과를 이 모델의 것이라고 확정할 수 있는가, 말만 있는가, 개발사 문서가 아예 없는가.

보고서 본문의 여섯 칸을 옮겼다. 9 + 16 + 6 = 31이고, 31 + 10 + 3 + 813 = 857로 더해진다. 3.6%와 94.9%는 서로의 여집합이 아니다. 앞의 수는 "결과가 있는가"의 답이고, 뒤의 수는 "아무 말도 없는가"의 답이다.

페블러스가 보고서 본문의 여섯 칸을 띠로 재구성했다. 위 띠의 길이는 857건에 비례하고, 아래 띠는 왼쪽 44건을 펼친 것이다. 오렌지 테두리 칸이 평가했다고 말만 하고 숫자는 적지 않은 열 건이다.

2.1"안전하게 학습했습니다"는 세지 않기로 한 문장이다

열 건은 평가했다는 주장을 담았지만 숫자를 적지 않았고, 세 건은 언론이나 투자자 기록으로만 알려졌다. 이 열세 건은 침묵도 아니고 기록도 아니다. 1절에서 본 계수 규칙이 이 칸을 만들었다. 보고서는 "안전하게 학습했다"는 진술을 세지 않기로 했고, 그 결정이 통계의 모양을 바꾼다. 같은 자료를 두고 세는 규칙만 느슨하게 하면 3.6%는 4%대로 올라가고, 더 느슨하게 하면 5%를 넘는다.

어느 쪽이 옳은 규칙인지는 이 글이 판정하지 않는다. 다만 한 가지는 분명하다. 규칙을 바꾸면 수가 바뀌는데, 인용되는 쪽은 규칙이 아니라 수다. 3.6%를 옮겨 적는 모든 문장은 사실은 "이 정의 아래에서 3.6%"를 옮겨 적는 것이다.

2.2공개된 서른한 건은 절반 넘게 발화 쪽에 몰려 있다

결과가 있는 31건의 내용물도 한쪽으로 쏠린다. 유해 발화나 거부 결과를 보고한 것이 18건, 탈옥 저항을 보고한 것이 7건이다. 코드나 사이버 보안을 다룬 문서는 9건인데 그중 7건은 코딩 모델의 보안 코드 생성 시험이었다. 사이버 공격 능력이나 생물학 위험을 건드린 문서는 셋뿐이다. 그리고 그 셋 가운데 하이퍼스케일러에서 나온 것은 없다. 이 숫자들은 더해서 쓰면 안 된다. 한 문서가 여러 항목을 함께 보고하기 때문에 18 + 7 + 9는 31을 넘는다.

사이버 공격이나 생물학 위험을 건드린 셋이 무엇인지는 보고서가 이름을 밝힌다. 즈푸의 GLM-5.2 책임 고지, 같은 회사의 GLM-5.3 사이버 능력 고지, 문샷의 Kimi K2 기술보고서다. 아홉 곳이 5년 넘게 낸 857건에서 이 영역을 건드린 문서가 셋이고, 그 셋을 낸 회사는 둘이다.

출시 시점에 결과가 함께 나온 아홉 건 중에서도 행동 안전 시험은 넷이다(Qwen2-72B-Instruct, MiniMax-Text-01, Seed-OSS-36B-Instruct, DeepSeek-V3). 나머지는 발화 안전 점수, 보안 코드 시험, 그리고 능력 평가 하나다. 보고서는 여기에 한 줄을 더 붙인다. 국제 AI 안전 대화(IDAIS) 성명이 이름을 붙인 영역들에 대해 위험 능력 평가를 달고 출시된 중국 최전선 텍스트 모델은 아직 없고, GLM-5.3의 사이버 관련 기록이 그에 가장 가깝다는 것이다.

2.3349일은 출시 뒤 안전 부록이 논문에 들어가기까지 걸린 기간이다

사후에만 문서화된 16건의 중앙값 지연은 42일이고, 최장은 349일이다. 그 최장 사례가 DeepSeek-R1이다. 여기서 한 가지를 더 확인해야 한다. 그 "검증된 안전 부록"이 정확히 무엇인가. 직접 확인해 보니 같은 논문의 개정판이었다. R1 기술보고서 arXiv:2501.12948의 첫 판은 2025년 1월 22일에 올라왔고, 안전 부록("D.3 DeepSeek-R1 Safety Report")이 들어간 두 번째 판은 2026년 1월 4일에 올라왔다. 모델 공개일인 2025년 1월 20일부터 세면 349일이다.

보고서를 받아쓴 기사들은 대개 회사 이름을 앞세웠다. 알리바바·바이트댄스·텐센트·바이두·딥시크를 나란히 적고 3.6%를 붙이는 식이다. 그 서술이 틀렸다기보다, 아홉 줄을 적은 도표가 본문 산문에는 없고 그림 안에만 있어서 산문만 읽으면 그 이름들이 다 같아 보인다. 도표를 열면 줄마다 다른 수가 적혀 있다.

보고서 도표의 아홉 줄을 옮겼다. 출시 건수가 많은 순으로 적었고, 비율 순으로 정렬하지 않았다. 세 열의 합이 각각 857·31·9로 상위 수치와 맞아떨어진다. ⚠️ 이 표는 순위가 아니다. 그 이유를 아래에서 다룬다.

딥시크는 출시 93건 가운데 6건에 결과가 붙어 있다. 전체 평균 3.6%의 거의 두 배다. 알리바바는 238건 중 7건이고, 보고서가 집단으로 나눠 적은 비교는 이렇다. 스타트업 다섯 곳은 317건 중 20건(6.3%), 하이퍼스케일러 넷은 540건 중 11건(2%). 그리고 보고서는 바로 다음에 못을 박는다. 어느 회사도 이것을 일상적인 절차로 하고 있지는 않다는 것이다.

줄마다 다른 수가 적힌 사정을 보고서가 회사별로 몇 줄 더 적는다. 즈푸는 2022년부터 해마다 결과가 하나씩은 있는 유일한 개발사다. 딥시크는 V3 을 출시 시점에 문서화했고, R1 과 V3.1 과 V4 계열은 출시 시점 기준으로 비어 있다. 그래서 이 표에서 읽을 것은 비율의 높낮이보다 그 일이 절차인지 사건인지다. 해마다 하는 곳은 즈푸 하나이고, 나머지는 계열 하나가 어쩌다 문서를 달고 나온다.

3.1보고서가 먼저 순위를 금지했다

이 표를 성적표로 읽으면 안 되는 이유를 보고서가 자기 문장으로 적어 뒀다. 회사마다 모델 변종에 이름을 붙이는 단위가 다르다는 것이다.

"회사들은 변종에 서로 다른 입도로 이름을 붙이기도 한다(알리바바의 238건은 모든 Qwen 크기와 스냅숏을 센 것이다). 따라서 기업별 비율은 순위가 아니라 참고치다." 원문: "Companies also name variants at different granularity (Alibaba's 238 releases count every Qwen size and snapshot), so per-company rates are indicative rather than a ranking."

분모를 세는 규칙이 서로 다르면 비율은 비교되지 않는다. 한 회사가 중간 크기 모델마다 이름을 새로 붙이고 스냅숏마다 번호를 올리면 분모가 수백이 되고, 다른 회사가 계열 하나를 한 건으로 묶으면 분모는 수십에 머문다. 분자인 안전 결과 문서의 수는 대개 계열 단위로 나오기 때문에, 분모를 잘게 쪼개는 회사일수록 비율이 내려간다. 분모를 먼저 읽어야 하는 이유는 AI 확산 지표의 분모를 다룬 글에서 한 번 길게 적었다.

3.2같은 회사를 두 레지스트리가 238과 469로 센다

분모가 세는 규칙의 함수라는 것은 밖에서도 확인된다. 2026년 10월 12일 허깅페이스 공개 API로 조직 계정에 올라온 저장소 수를 직접 세어 봤다. 알리바바의 Qwen 계정은 469개다. 같은 회사를 보고서는 238건으로 센다.

2026년 10월 12일 허깅페이스 공개 API 직접 조회. ⚠️ 이 표는 회사 비교가 아니다. 허깅페이스 저장소는 출시 단위가 아니어서 양자화본·파생 모델·비언어 모델·데모가 섞이고, 한 회사가 계정을 여럿 쓰며, google 의 1,136개에는 언어 모델이 아닌 것이 많이 들어 있다.

둘 중 하나가 틀린 것이 아니다. 둘은 다른 것을 센다. 한 건을 무엇으로 볼지 정하지 않으면 분모는 세는 사람마다 달라지고, 그 분모 위에 올린 비율은 서로 맞댈 수 없다.

3.3출시 단위로 미국을 센 집계는 아직 보이지 않는다

그러면 같은 규칙으로 미국 기업을 세면 몇 퍼센트가 나오는가. 이 질문에 답이 없다는 지적은 이미 나와 있다. 그다음을 찾아보면, 미국과 중국을 같은 잣대로 재는 공개 지수가 둘 보인다. 다만 둘 다 한 행이 회사다.

세 집계의 단위를 나란히 적었다. ⚠️ 두 지수의 점수와 등급은 이 글에서 회사 비교로 쓰지 않았다. 보고서가 금지한 순위를 다른 자료로 우회하는 꼴이 되기 때문이다. 두 지수는 모델의 안전성 말고 회사의 정책과 공개 관행을 잰다.

회사 수준 점수를 출시 수준 비율로 환산할 방법은 없다. 그러니 "미국은 몇 퍼센트인가"의 답은 아직 숫자가 아니다. 답은 이렇다. 공개된 집계 가운데, 그 질문에 답할 수 있게 출시 단위로 세어 둔 레지스트리를 찾지 못했다. 중국 쪽에는 이제 하나 생겼고, 그걸 만든 것은 규제 기관이 아니라 민간 조사 회사다.

"출시 시점에 공개됐는가"는 판단이 아니라 뺄셈이다. 결과가 공개된 날짜에서 모델이 공개된 날짜를 빼서 0 이하면 출시 시점, 양수면 사후다. 그러면 날짜가 없는 행은 어디로 가는가. 보고서의 분기별 도표 아래 주석에 그 답이 적혀 있다. 연도까지만 알거나 날짜를 확인하지 못한 출시 82건과 2023년 이전으로 적힌 출시 8건은 집계에서 빠졌다는 것이다.

이 주석은 본문 산문에 한 줄도 나오지 않는다. 그런데 도표의 분기 막대를 전부 더하면 767이 되고, 857에서 90을 뺀 값과 정확히 맞는다. 제외가 실제로 적용됐다는 뜻이고, 도표를 눈으로 읽은 값이 맞다는 뜻이기도 하다.

페블러스가 보고서 도표의 주석을 띠로 옮겼다. 분기 막대 열다섯 개를 더하면 767이고, 전체 857에서 제외된 90건을 뺀 값과 맞는다.

여든두 건은 전체의 9.6%다. 이것은 보고서의 흠이 아니라 레지스트리가 없는 분야에서 레지스트리를 짓는 일의 비용이다. 다만 하필 그 비어 있는 칸이 가장 자주 인용되는 수치를 떠받친다. 출시 시점 공개 1.1%는 날짜 비교의 결과이고, 날짜 비교는 날짜가 있는 행에서만 가능하다.

4.1두 선은 바닥에 깔려 있고, 어떤 정책 시점에도 움직이지 않는다

분기별로 보면 출시 건수는 2023년 1분기 3건에서 2025년 3분기 101건까지 올라간다. 보고서 산문은 여기까지 적고 멈춘다. 도표에는 그 뒤 네 분기가 더 있고, 막대는 내려앉는다. 다만 마지막 분기는 7월 1일부터 9월 15일까지만 센 부분 분기라서 다른 막대와 같은 길이의 기간이 아니다.

같은 도표에 선이 둘 더 있다. 결과가 붙은 출시는 분기당 7건을 넘은 적이 없고, 출시 시점에 공개된 출시는 3건을 넘은 적이 없으며 열다섯 분기 가운데 아홉 분기가 0이다. 막대가 서른 배로 커지는 동안 두 선은 바닥에 붙어 있었다.

페블러스가 보고서 도표의 수치를 받아 다시 그렸다. 두 점선은 실제 분기별 값이 아니라 보고서가 적은 상한이다. 보고서는 이 기간의 어떤 정책 시점도 두 선에 자국을 남기지 않았다고 적었다. 2023년 잠정 조치, 1.0·2.0판 안전 관리 문서, 라벨링 규칙이 전부 그렇다.

보고서 도표의 막대는 색으로 한 번 더 갈라져 있다. 가중치를 공개한 출시가 2023년 중반 이후 모든 분기에서 절반을 넘는다. 1절의 데이터셋이 행마다 가중치 상태를 적어 둔 이유가 여기 있고, 6절에서 볼 상하이 AI 랩의 틀은 가중치 공개를 가장 위험한 배포 방식으로 본다. 가장 위험하다고 적힌 배포 방식이 이 기간 내내 다수였다는 뜻이다.

4.23.6%는 최종값이 아니라 바닥값이다

사후 공개의 최장 지연이 349일이라는 사실에는 따라오는 계산이 있다. 조사 마감일인 2026년 9월 15일에서 349일을 거꾸로 세면 2025년 10월 1일, 그러니까 2025년 4분기가 시작되는 날이다. 그 뒤에 나온 출시는 아직 결과가 붙을 수 있는 창 안에 있다. 분기 막대로 세면 2025년 4분기 54건, 2026년 1분기 54건, 2분기 45건, 3분기 23건으로 176건이고, 날짜가 확인된 767건의 23%다. 보고서가 적은 수와 같다.

그러니 3.6%는 지금까지 확인된 비율이지 최종 공개 비율이 아니다. 반대로 출시 시점 공개 1.1%는 지연에 영향을 받지 않는다. 그 수는 이미 지나간 날짜를 비교한 값이기 때문이다. 같은 보고서의 두 수치가 성질이 다르다는 뜻이고, 인용할 때 바뀌지 않을 쪽은 뒤엣것이다.

창 안에 있는 출시 가운데 이름이 알려진 쪽이 보고서 본문에 있다. 2026년에 나온 최전선 출시, 그러니까 GLM-5.2, 문샷의 Kimi K2.5부터 K3 까지, 딥시크 V4 계열, Qwen3.7-Max 와 Qwen3.8-Max, 더우바오 시드 2.1 은 전부 출시 시점에 문서가 없었다. 예외는 능력 평가 기록을 단 GLM-5.3 하나이고, 2.2절에서 아홉 건의 내용물을 가를 때 나온 "능력 평가 하나"가 이것이다. 열려 있는 창은 3.6% 쪽이다. 1.1% 쪽에서는 2026년의 최전선 출시가 이미 0 을 쌓고 있다.

4.3추론 모델의 93%는 전체 평균보다 나은 쪽이다

보고서는 "가장 빨리 나아가는 범주인 추론 모델은 93%가 공개된 결과 없이 나왔다"고 적는다. 이 문장은 자주 "추론 모델이 가장 깜깜하다"로 옮겨지는데, 숫자를 맞대 보면 반대다. 전체에서 아무 공개도 없는 비율이 94.9%이고, 통틀어 확인된 결과가 없는 비율은 96.4%다. 93%는 둘 다보다 낮다.

세 비율은 분모가 다르다. 추론 모델의 모집단 크기는 보고서에 없어서 건수로 역산하지 않았다. 비율끼리의 대소 비교만 유효하다.

그러면 보고서는 왜 이 범주를 따로 들었나. 비율이 나빠서가 아니라 중요해서다. 보고서가 붙인 수식이 "가장 빨리 나아가는 범주"다. 같은 문단에서 보고서는 위험 능력 평가를 달고 나온 중국 최전선 텍스트 모델이 아직 없다는 쪽에 무게를 싣는다.

4.4다른 집계는 같은 분기를 가속으로 적는다

분기 막대가 마지막 네 분기 내려앉는 것을 두고 중국의 모델 출시가 줄었다고 읽으면 다른 자료와 부딪힌다. 에포크 AI는 2026년 4월 말부터 6월 중순까지 여덟 주 사이에 최전선급 공개 모델 네 건이 나왔다고 적고, 아티피셜 애널리시스와 허깅페이스의 2026년 중반 정리는 중국 랩의 출시 속도를 가속으로 서술한다.

모순이 아니라 분모 차이다. 세미애널리시스의 857건은 아홉 회사의 모든 변종과 스냅숏을 세는 좁고 깊은 집계이고, 다른 둘은 주요 모델(notable models)이나 최전선급만 세는 넓고 얕은 집계다. 전수조사는 최근 출시일수록 문서가 덜 모여 구조적으로 덜 잡힐 수 있고, 마지막 막대가 부분 분기인 것도 같은 방향의 절단이다. 그래서 이 글은 어느 쪽도 결론으로 쓰지 않는다. 이 글의 축은 출시 속도가 아니라 기록 여부다.

여기까지가 공개 기록의 이야기다. 그런데 공개 비율은 이 보고서가 내놓은 증거다. 결론은 제도 쪽에 있고, 그 결론이 담긴 칸은 도표의 마지막 열이다. 보고서는 2025년 이후 중국이 낸 구속력 있는 규칙을 표로 아홉 줄 정리하고, 줄마다 "최전선 학습에 닿는가"를 묻는다. 아홉 줄의 답이 전부 "닿지 않는다" 또는 "최전선을 특정한 임계가 없다"이다.

보고서 도표의 아홉 줄을 한국어로 옮겼다. 본문 산문은 이 가운데 여덟 건만 열거하고 GB/T 45654-2025는 표에만 적는다. ⚠️ 보고서는 아홉 줄을 "구속력 있는 규칙"이라는 제목 아래 묶었지만, 같은 표의 법적 지위 칸은 이 GB/T 를 권고 국가표준으로, 2026년 5월 지능체 실시의견을 정책 지침으로 적는다. 이 글이 세는 아홉 건은 그 표 기준이고, "구속력"의 폭도 그 표가 잡은 폭이다. 2026년 5월의 지능체 규정이 실제로 무엇을 가르는지는 중국 에이전트 규정의 결정 등급을 다룬 글에 정리했다.

아홉 줄이 규율하는 것은 전부 AI가 무엇을 말하는지와 사람에게 무엇을 하는지다. 연산량이나 모델의 능력으로 켜지는 의무는 하나도 없다. 보고서가 이 표 아래에 붙인 문장은 짧다.

"따라서 규정 준수는 최전선 안전에 대해 아무것도 알려 주지 않는다. 중국의 랩은 이 목록의 모든 규칙을 지키면서도 위험 능력 평가를 한 번도 돌리지 않을 수 있다." 원문: "Compliance therefore tells us nothing about frontier safety. A Chinese lab can satisfy every rule on this list without ever running a dangerous-capability evaluation."

이 문장은 중국의 규제가 약하다는 말이 아니다. 같은 대목에서 보고서는 공개 서비스의 콘텐츠와 절차에 관한 한 중국이 세계 어느 나라보다 엄격한 체제를 세웠다고 적는다. 느슨한 쪽은 최전선이고, 비교 상대로 든 것은 의무가 연산량에서 켜지는 EU 와 캘리포니아다. 한 체제 안에 가장 엄격한 영역과 가장 느슨한 영역이 같이 있는 셈이다. 속도 쪽에는 숫자도 붙어 있다. 국무원의 AI+ 행동계획은 에이전트와 지능형 단말의 보급률을 2027년까지 70%, 2030년까지 90%로 잡는다.

5.1가장 앞선 위험을 적은 문서가 가장 구속력이 없다

인식이 없어서 생긴 공백이 아니다. 2026년 9월 14일 TC260이 낸 「AI 안전 거버넌스 프레임워크 3.0」은 "기대에서 벗어나는 행동"이라는 모델 위험 범주를 새로 넣었다. 권한과 외부 자원을 허가 없이 얻는 것, 안전장치를 우회하는 것, 평가자를 속이는 것, 실제 능력을 숨기는 것, 지시를 거부하는 것이 그 아래 들어가고, 박스 사례로 종료 스크립트를 무력화하는 모델, 평가 중 능력을 감추는 모델, 격리를 벗어나 실제 시스템으로 나가는 모델을 든다. 보고서는 이 문서의 어휘가 같은 주에 중국 관영 매체가 비판한 다리오 아모데이의 글과 놀랄 만큼 겹친다고 적는다.

그런데 같은 문서가 원칙 첫 줄에 "AI 혁신과 발전을 제1 우선순위로 추진한다"를 적는다. 그리고 이 문서는 국가가 의무화하기 전까지 권고다. 보고서가 그 주의 흐름을 세어 보인 숫자가 닷새에 일곱 문서인데, 전부 에이전트나 응용 서비스를 어떻게 만들고 배포하고 누구에게 제공하는지에 관한 것이었다. 최전선 쪽 공백은 그 주에도 움직이지 않았다. 포괄 AI 법은 2023년과 2024년 입법계획에 들어 있다가 2025년에 빠졌고, 보고서는 그 시점을 딥시크 모먼트 넉 달 뒤로 적는다.

5.2능력으로 켜지는 제도 셋 가운데 공개를 적은 것은 하나다

보고서는 비교 대상으로 EU와 캘리포니아를 한 줄로 든다. 한국 독자에게는 비교 대상이 하나 더 필요하다. 세 제도의 발동 조건과, 평가 결과가 어디로 가는지를 따로 떼어 보면 이렇게 된다.

네 제도의 조문을 발동 조건과 결과의 행선지로 나눠 적었다. EU 쪽은 법과 자발적 실천강령을 나눠 읽어야 한다. 강령은 참여가 자발이고, 공개도 "필요한 범위에서" 요약본이다. 한국 정부는 현재 이 기준을 충족하는 국내 모델이 없다고 밝혔고 계도기간을 두고 있다. 캘리포니아 쪽의 사고 신고 범위는 SB 53 의 사고 신고를 다룬 글에서 따로 다뤘다.

페블러스가 보고서의 표와 네 제도의 조문을 한 그림에 모았다. EU 쪽 "제출"은 법조문 기준이고, 자발적 실천강령의 조건부 요약본 공개는 이 그림에 넣지 않았다.

중국에 최전선 모델을 평가할 능력이 없다고 결론 내리면 틀린다. 보고서가 그 점을 먼저 적는다. 상하이 AI 랩은 2025년 7월에 최전선 AI 위험관리 틀을 내고 두 번 고쳐 2026년 7월 세계인공지능대회에서 2.0판을 공개했다. 다섯 개 위험 영역에 레드라인 열세 개를 긋고, 빨간 구역에서는 배포를 멈추라고 적는다. 보고서에 따르면 유효 연산이 4배·10배로 뛸 때를 평가 시점으로 제안하고, 가중치 공개를 가장 위험한 배포 방식으로 보아 미세조정으로 안전 학습이 얼마나 싸게 벗겨지는지 재고 나서 가중치를 풀라고 요구한다. 이 랩은 영국 AI보안연구소의 평가 도구로 중국과 서구 모델 스무 종가량을 돌려 보기도 했다.

기관도 있다. 공업정보화부 산하 중국정보통신연구원(CAICT)의 평가는 중국에서 공식 안전 시험에 가장 가깝고, 2026년 2월 안전 시험 2.0판에 기만·통제 상실·위험 영역 오남용·에이전트 위험을 더했다. 파리에서 출범한 중국 AI 안전발전협회(CnAISDA)는 여덟 개 기관의 연결망으로 해외에서 중국을 대표한다. 그런데 보고서는 이 생태계 전체에 한 문장을 붙인다. 어느 기관도 실질적인 권한이 없다는 것이다.

보고서가 네 기관에 붙인 서술을 옮겼다. 상하이 AI 랩 원장 저우보원은 TC260의 AI 안전 작업반 의장이기도 하다. 가장 최전선 지향인 중국 문서 둘이 한 사람을 통해 이어진다.

6.1명단은 있는데 점수가 이름에 붙지 않는다

네 줄 가운데 이 글의 축과 정면으로 맞물리는 것은 두 번째 줄이다. 중국정보통신연구원은 초청을 받은 모델을 자발적 참여로 시험하고, 2024년 1분기부터 분기마다 결과를 발표해 왔다. 그런데 그 발표는 익명이 관행이다. 예외가 하나 있고 그 예외가 더 정확한 그림을 준다. 2025년 7월의 코드 대모델 전용 시험은 대상 모델 열다섯 종의 명단을 공개했다. 그러면서 점수는 이름에 붙이지 않고 위험 등급 분포로만 냈다.

그래서 쓸 수 있는 문장은 "이름을 지운다"가 아니라 "명단은 있는데 점수가 이름에 안 붙는다"다. 1절에서 본 계수 규칙을 다시 보면, 결과가 존재해도 모델 이름에 묶이지 않으면 애초에 세어지지 않는다. 공식 평가와 전수조사가 서로를 못 보게 돼 있는 셈이다. 2026년 2월 2.0판의 결과 발표 형식은 이 글이 확인하지 못해, 여기 적은 것은 그동안의 발표 관행까지다.

6.2아홉 곳 가운데 자기 안전 관리 문서를 낸 곳은 없다

3.6%보다 깨끗한 0이 도표에 둘 있다. 하나는 아홉 곳 가운데 최전선 안전 관리 문서를 낸 회사가 한 곳도 없다는 것이고, 다른 하나는 2.2절에서 본 0이다. 국제 AI 안전 대화 성명이 짚은 위험 영역을 평가해 달고 나온 중국 최전선 텍스트 모델이 아직 하나도 없다. 앞엣것은 페블러스가 한 번 다룬 이야기의 반대쪽 끝이다. 서구 랩이 이미 낸 안전 약속을 조용히 고치는 일을 그때 적었다면, 이쪽은 고칠 문서 자체가 없는 자리다.

말하는 쪽도 성기다. 보고서는 아홉 곳의 창업자·최고경영자·수석과학자 발언을 두 차례 독립으로 모아 대조해 65건의 목록을 만들었다. 그 가운데 최전선 안전을 실제로 다룬 것은 15건이고, 우려를 표하면서 무언가를 제안한 것은 9건이며, 그 아홉 중 여섯이 즈푸 한 곳에서 나왔다. 아홉 곳 중 다섯 곳은 창업자나 최고경영자가 이 주제로 아무 말도 하지 않았다. 딥시크의 량원펑은 4년 동안 안전이나 규제에 대한 공개 발언이 없고, 알리바바 우융밍이 2025년 9월에 한 6,000단어 기조연설에는 안전이라는 말도 위험이라는 말도 한 번 나오지 않는다.

페블러스가 보고서의 아홉 곳 리더 발언 매트릭스에서 "최전선 안전 발언" 열을 막대로 옮겼다. 두 차례 독립 조사로 모은 발언 65건 가운데 최전선 안전을 실제로 다룬 열다섯 건을 회사별로 가른 수다. 본문의 "아홉 중 여섯"은 이 열다섯 건 가운데 우려와 제안을 함께 담은 아홉 건을 가리키니, 즈푸의 여섯 건은 그 아홉에 전부 들어간다. 막대가 0인 곳은 셋이고, 본문이 적은 "다섯 곳"은 창업자·최고경영자만 센 수다. Source: SemiAnalysis inventory of 65 leader statements.

다만 침묵의 단위는 회사라기보다 직급에 가깝다. 알리바바의 보안 담당 부사장 쉐후이는 2025년 9월에 AI 안전 역량이 모델 역량의 발전에 뒤처져 있다고 인정하면서 자기복제 같은 새 위험을 연구에 넣어야 한다고 말했다. 딥시크의 연구자 천더리도 우전에서 길게 보면 위험이 더 클 수 있다고 말했다. 보고서는 이 회사들에 안전에 대한 이해가 있다면 그 자리는 사령관이 아니라 참모라고 정리한다. 같은 아홉 곳 안에 정반대 사례가 있다. 즈푸의 장펑은 2024년 3월 국제 AI 안전 대화의 베이징 레드라인에 서명했고, 두 달 뒤 서울 최전선 AI 안전 약속에는 당시 중국 기업 가운데 유일하게 이름을 올렸다. 3절에서 본 해마다 결과가 있는 유일한 개발사가 이 회사다.

규칙을 쓰는 자리에 앉은 사람과 구속력 있는 최전선 규칙을 요구하는 사람도 거의 겹치지 않는다. 보고서는 영향력 있는 32인을 두 축으로 갈라, 요구하되 자리가 없는 사람 열 명, 자리와 요구를 함께 가진 사람 넷, 자리만 가진 사람 여덟, 둘 다 없는 사람 열 명으로 셌다. 그 넷도 도표 각주가 깎는다. 둘은 국제 성명 서명으로만 요구에 들어갔고, 한 명의 요구는 능력 기준이 아니라 고위험 용도의 허가제다. 전문가 텍스트 102건 가운데 구속력 있는 최전선 의무를 요구한 글은 열세 편이었고, 보고서의 문장으로는 그 열세 편 가운데 요구한 것을 얻은 글은 하나도 없다.

페블러스가 보고서의 32인 매트릭스에서 사분면 인원수를 그대로 옮겼다. 강조한 칸(4명)은 자리와 요구를 모두 가진 사람들로, 그중 둘은 국제 성명 서명으로만 요구에 들어갔고, 한 명은 고위험 용도의 허가제를 요구했다. Source: SemiAnalysis expert matrix (32 individuals).

그 열세 편이 무엇을 요구했는지가 이 글의 축과 바로 붙는다. 기술 쪽 여섯 편은 국제 AI 안전 대화 성명 다섯 건과 2026년 4월 「내셔널 사이언스 리뷰」 사설 한 편이고, 요구는 다섯 가지다. 연산 임계를 넘는 학습 실행의 등록, 출시 전에 규제 당국에 내는 안전 사례, 독립 제3자 감사, 레드라인을 넘은 모델의 모든 사본 정지, 그리고 이것들을 강제할 법적 장치. 나머지 일곱 편은 법학자와 정책학자의 모델법 초안이고, 구속력 있는 의무를 포괄 AI 법 안에 넣자고 적는다.

앞의 두 가지는 안전을 더 하라는 요구이기 전에 기록을 남기라는 요구다. 학습 실행이 등록되면 이 조사가 직접 지어야 했던 분모가 생기고, 출시 전에 안전 사례가 제출되면 4절에서 본 날짜 칸이 처음부터 채워진다. 다시 말해 중국 과학자들이 요구했다가 받아들여지지 않은 것은 세미애널리시스가 4년치 모델카드를 손으로 뒤져서 대신 만든 바로 그 자료다. 사설의 공저자인 쩡이는 국가 AI 거버넌스 위원회에 앉아 있고, 그 사설은 AI 거버넌스의 진전이 놀랄 만큼 느리다고 적었고, 개발자의 자제에 기대는 일을 환상이라고 불렀다. 보고서가 그 아래 붙인 한 줄은 지금까지 국가의 답이 정확히 그 자제에 기대는 쪽이었다는 서술이다.

6.3중국 쪽 반론 둘도 이 보고서 안에 있다

이 보고서를 "중국이 안전을 안 챙긴다"로 읽고 닫으면, 보고서가 직접 실은 반대 방향의 목소리를 빠뜨리게 된다. 둘이 있다. 베이징통용인공지능연구원장 주쑹춘은 2026년 세계인공지능대회에서 "인류 멸종 서사"를 자본용으로 포장된 세 가지 기술적 오판 가운데 하나로 꼽았다. 나머지 둘은 대규모 언어모델이 곧 범용인공지능이라는 주장과 규모의 법칙이다. 그는 앤트로픽이 1조 달러 밸류에이션으로 자금을 모으면서 미토스 모델을 위험해서 못 낸다고 한 것을 두고 "위험을 팔고 공포로 마케팅하는 이 관행을 업계는 오펜하이머식 마케팅이라고 부른다"고 말했다. 다만 그는 같은 자리에서 "AI 안전과 규제가 중요하지 않다는 말이 아니라, 문제를 인류 멸종 수준으로 과장하는 데에 자본의 논리가 있다는 뜻"이라고 단서를 달았다.

중국사회과학원 법학연구소의 즈전펑은 2025년 12월에 다른 각도로 적었다. 강대국 사이의 포괄 AI 입법 논쟁이 군사 용어를 빌린 "인지영역 형성"의 성격을 띠게 됐다는 것이다. 그는 워싱턴이 연방 차원에서 구속력 있는 AI 규제를 거의 통과시키지 않으면서 국내에서는 고삐를 늦추는데, 통과되지 않은 법안의 홍수가 중국 쪽에서 미국이 조이는 증거로 오독된다고 봤다. 그의 문장으로는 미국이 "AI 입법 의제를 설정해 인지영역을 형성하고, 다른 나라가 규제를 강화해 스스로 혁신을 늦추도록 유도"한다.

그리고 보고서는 같은 칼을 서쪽으로도 돌리며 닫는다. 속도를 늦추자고 요청한 엿새 뒤 앤트로픽이 기업공개를 앞두고 새 모델을 저울질한다는 보도가 나왔고, 나흘 뒤 클로드 오푸스 5.5가 나왔다. 회사 스스로 "우리가 속도 조절을 요청한 이후 첫 출시"라고 부른 그 출시 글은 속도 조절을 "중국과의 경쟁력 유지" 방법으로 다시 쓴다. 보고서의 마지막 문장은 이것이다.

"혼자 속도를 늦추는 사람은 없다. 그 글을 쓴 사람조차도." 원문: "Nobody paces alone, not even the man who wrote the essay."

페블러스 관심의 이유

레지스트리가 없는 자리에 레지스트리를 지은 일이다

이 보고서가 실제로 한 일은 중국 AI를 논평한 것이 아니다. 857개 행을 만들고 각 행에 최초 공개일·가중치 상태·라이선스·출처를 채운 것이다. 페블러스가 DataClinic 에서 남의 데이터셋을 받아 결측과 중복과 식별자 일관성을 검사할 때 하는 일과 같은 종류다. 그래서 한계도 데이터 품질의 한계와 같은 모양으로 나타난다. 여든두 개 행의 날짜 칸이 비었고, 하필 그 칸이 가장 널리 인용된 수치를 떠받친다.

한 건을 무엇으로 볼 것인가는 기본키 설계 문제다

이 조사에서 가장 조용한 문장은 분모에 관한 것이다. 보고서는 기업별 비율을 참고치라고 적으면서 이유를 밝혔다. 회사마다 모델 변종에 이름을 붙이는 단위가 다르다는 것이다. 데이터 품질 쪽에서는 이 문제에 이미 이름이 붙어 있다. 무엇을 한 건으로 볼 것인가, 즉 개체 식별과 기본키 설계다. 그게 정해지지 않으면 건수를 분모로 쓰는 모든 비율이 성립하지 않는다.

묶을 자리의 규격이 아예 없는 것은 아니다. 소프트웨어 쪽에는 이미 식별자 표준이 있다. 패키지 URL 은 pkg:huggingface/{조직}/{모델}@{커밋해시} 꼴로 레지스트리와 이름과 스냅숏을 한 문자열에 담고, CycloneDX 의 ML-BOM 은 모델을 기계학습 모델 구성요소로 선언하며 모델카드 항목을 품는다. SPDX 3.0.1 의 AI 프로파일도 같은 자리를 정의해 뒀다. EU AI법 부속서 XI 은 모델 설명과 평가 결과를 기술문서에 적도록 요구한다. 그러니 비어 있는 것은 규격이 아니라 그 자리에 결과를 채워 공개하는 관행이다. 다만 이 규격들의 채택률이 아직 낮고 도구가 덜 여물었다는 지적도 함께 나와 있다.

그 끝이 6절의 중국정보통신연구원이다. 명단은 있는데 점수가 이름에 붙지 않으니, 결과가 존재해도 어떤 전수조사에도 잡히지 않는다. 뒤집으면 이렇게 된다. 평가를 한 조직과 평가했다고 증명할 수 있는 조직은 다르다. 그 차이를 만드는 것은 모델도 평가 방법도 아니고, 결과를 어느 식별자에 묶어 어디에 남겼는가다.

우리도 대 봐야 하는 네 가지

먼저 인정하고 간다. 페블러스도 모델과 데이터셋의 평가 결과를 버전 식별자에 묶어 공개 가능한 형태로 남기는 절차를 정식으로 두고 있지 않다. 아래는 우리도 대 봐야 하는 항목이다.

첫째, 안정적인 식별자가 있는가. 버전과 스냅숏과 크기가 달라지면 다른 이름을 받는가, 아니면 같은 이름이 조용히 바뀌는가. 둘째, 우리가 내는 평가 결과가 그 식별자에 묶여 있는가. "우리 모델은 안전하게 학습했습니다"는 이 보고서가 세지 않기로 한 문장이고, 세어지려면 어느 모델에 대해 무엇을 얼마로 쟀는지가 있어야 한다. 셋째, 평가와 공개 사이의 지연을 재 본다. 이 조사에서 사후 공개의 중앙값은 42일이었고 최장은 349일이었다. 우리 조직의 그 값은 얼마이고, 애초에 그 값을 알고 있는가. 넷째, 우리가 쓰는 모델의 평가 결과가 공개인지 제출인지 가른다. 5절의 표가 보여 주듯 한국의 제도와 EU 의 법조문은 결과를 당국에 보내게 한다. 그 결과는 존재하지만 도입하는 쪽이 열어 볼 수 있는 문서는 아니다. 조달과 실사에서 "규제를 지킨다"와 "내가 확인할 수 있다"는 다른 칸이다.

같은 시험을 하고도 한쪽만 세어진다

AI 안전을 말할 때 쓰는 말은 대개 모델 쪽에 있다. 정렬, 레드팀, 위험 능력. 이 보고서가 여는 칸은 다르다. 두 회사가 똑같은 시험을 돌려도 한쪽 결과만 남고 한쪽은 사라진다. 가르는 것은 시험이 아니라 기록의 구조다. 페블러스는 이 구분을 한국어로 먼저 언어화할 수 있다. 데이터가 모델에 들어갈 준비가 됐는가와, 모델에 대해 한 일이 뒤에 세어질 준비가 됐는가는 다른 검사다. 앞엣것에는 도구가 있고, 뒤엣것은 아직 대부분 사람의 기억과 사내 위키에 있다. 그리고 규칙이 능력 대신 용도에 걸리는 한, 뒤엣것을 요구하는 쪽은 당분간 규제가 아니라 사는 쪽이다.

참고문헌

이 글의 대상

• 1.SemiAnalysis, Beijing Will Not Pace the Frontier: China's Speed-First AI Safety Regime, 2026-10-08. 바이라인은 마크 첸·더그·딜런 파텔 셋이고 페이지의 작성자 메타 태그는 마크 첸 하나다. 본문의 축자 인용과 수치는 무료 전문과 함께 실린 도표 여섯 장에서 대조했다. ⚠️ 보고서에는 유료 구간이 있고, 저자들이 예고한 향후 여섯 달의 반증 시험 항목은 그 안에 있어 확인하지 못했다.
• 2.insideai.news · the420.in — 이 보고서를 먼저 다룬 영문 보도. 앞의 매체가 미국 개발사 비교 수치의 부재를, 뒤의 매체가 이 조사가 투명성을 측정한 것이라는 점을 먼저 적었다. 연간 150건 이상이라는 파생 수치는 857을 조사 기간 약 5.7년으로 나눈 매체의 산술이며 보고서 수치가 아니다.

모델 쪽 1차 문서

• 3.DeepSeek-AI, DeepSeek-R1: Incentivizing Reasoning Capability in LLMs via Reinforcement Learning, arXiv:2501.12948 — v1 은 2025-01-22, v2 는 2026-01-04 제출이고 안전 부록 "D.3 DeepSeek-R1 Safety Report" 는 v2 에서 처음 들어갔다. 2.3절의 349일은 모델 공개일 2025-01-20 에서 v2 제출일까지의 간격이다. 같은 연구는 Nature 645, 633–638(2025)에도 실렸다.
• 4.Moonshot AI, Kimi K2 기술보고서 §4.3 Safety Evaluation · Z.ai, GLM-4.5 기술보고서(SafetyBench 점수 포함) — 개발사 문서에 결과가 들어간 사례. 두 계열의 후속 판에서는 같은 자리를 확인하지 못했다.
• 5.NIST CAISI, Evaluation of DeepSeek AI Models(2025-09) · Assessment of Z.ai's GLM-5.2(2026-07) · SaferAI, GLM-5.2 평가 보고서 — 개발사 문서가 아니라 제3자 평가라서 이 전수조사의 계수 규칙에는 들어가지 않는다. 1.2절 표의 세 번째 줄이 그 이유다.

비교 집계와 식별자 표준

• 6.Stanford CRFM, Foundation Model Transparency Index(2025년 12월판) — 개발사 한 곳이 한 행이고 투명성 지표 100개로 잰다. 딥시크와 알리바바가 처음 들어갔다.
• 7.Future of Life Institute, AI Safety Index — Summer 2026 — 기업 한 곳이 한 행이고 6개 영역 37개 지표에 전문가 패널이 등급을 매긴다. 증거 마감은 2026-06-03 이다. 3.3절에서 이 지수의 등급을 회사 비교로 인용하지 않았다.
• 8.Hugging Face 공개 API 직접 조회(2026-10-12) — 3.2절 표의 조직 계정별 저장소 수. 저장소는 출시 단위가 아니다.
• 9.OWASP CycloneDX, Authoritative Guide to AI/ML-BOM(ML-BOM 1.7 규격은 2026-09-17 공개) · SPDX 3.0.1 AI Profile · Package URL 규격 — 평가 결과를 묶을 모델 식별자의 규격.
• 10.Epoch AI 2026년 10월 브리프 · Hugging Face, State of Open Models, Summer 2026 — 4.4절의 교차 집계. 주요 모델만 세는 넓고 얕은 집계라 857건과 분모가 다르다.

제도 — 조문과 해설

• 11.EU AI법 부속서 XI(제53조 1항 a 기술문서) — 모델 설명과 평가 결과를 기술문서에 적도록 요구하되, 공개가 아니라 AI Office 요청 시 제출이다.
• 12.EU 범용 AI 실천강령(2025-07-10) 안전·보안 장 약속 10 및 조치 10.2 — 강령 본문 · 집행위 안내. 참여가 자발이고, 공개도 체계적 위험 완화에 필요한 범위에서 요약본이다. 이 조항을 두고 공개를 넓혔다는 평가와 예외가 조항을 비웠다는 비판이 함께 나와 있다(CSET).
• 13.California SB 53(TFAIA) 해설 — 10²⁶ 연산 임계, 연례 안전 관리 문서와 투명성 보고서 공개, 중대 사고 15일 신고, 위반 건당 최대 100만 달러.
• 14.인공지능 발전과 신뢰 기반 조성 등에 관한 기본법(2026-01-22 시행)과 시행령 제24조 1항 — 정부 보도자료 · 법률신문 해설. 누적 연산량 10²⁶ 이상, 최첨단 기술 적용, 기본권에 광범위·중대한 위험이라는 세 요건을 모두 충족할 때 안전성 확보 의무가 붙고, 이행 결과는 과학기술정보통신부에 제출한다.

중국 기관

• 15.Shanghai AI Lab · Concordia AI, Frontier AI Risk Management Framework — v2.0 은 2026년 7월 세계인공지능대회에서 공개됐고 다섯 개 위험 영역에 레드라인 열세 개를 긋는다. ⚠️ 유효 연산 4배·10배 평가 시점과 오픈웨이트 조항은 보고서 서술로만 적었다.
• 16.CAICT 코드 대모델 안전 전용 시험 결과(2025-07, 보도) · ChinAI #351 — 초청제, 분기별 발표, 익명 공개 관행. 2025년 7월 시험은 대상 열다섯 종의 명단을 공개했으나 점수는 위험 등급 분포로만 냈다. ⚠️ 2026년 2월 2.0판의 발표 형식은 확인하지 못했다.

페블러스 블로그 인접 글

• 17.안전 약속을 조용히 고치는 일(6.2절) · 중국 에이전트 규정의 결정 등급(5절) · 중국 모델의 거부 행동을 밖에서 잰 기록(1.2절) · 분모를 먼저 읽는 법(3.1절) · SB 53 의 사고 신고 범위(5.2절) · 초지능 협약의 감사인(1절) · 영국 AI보안연구소가 하는 일