탈옥은 일부였다. 셧다운은 전면이었다.

2026년 6월 9일, Anthropic은 새로운 프런티어 모델 두 종을 출시했다. 72시간 후, 정부의 서한 한 통이 전 세계 모든 고객의 접속을 강제로 차단했다.

오후 5시 21분에 도착한 서한

Anthropic은 2026년 6월 9일 Claude Fable 5와 Claude Mythos 5를 출시했지만, 미국 정부의 수출 통제 지침을 수신한 후 6월 12일 두 모델에 대한 모든 접근을 중단했다 . Anthropic에 따르면 해당 명령서는 그날 동부 시간 오후 5시 21분에 전달됐다 . 독립 분석가 Simon Willison은 API를 직접 추적한 결과, 실제 차단 시점을 같은 날 태평양 시간 오후 6시 59분경으로 특정했다 . 일반 출시부터 강제 서비스 중단까지, 약 72시간이었다.

핵심 요약: Anthropic은 2026년 6월 12일, 출시 사흘 만에 미국 수출 통제 지침을 준수하기 위해 Claude Fable 5와 Mythos 5의 전체 고객 접속을 차단했다. 반도체나 가중치 이전이 아닌 실제 서비스 중인 AI 모델에 해당 권한이 적용된 것은 이번이 처음으로 알려진 사례다.

이번 조치는 특정 배포 AI 제품에 미국 수출 통제 권한이 적용된 첫 번째 사례로 널리 평가받는다 . 선례로서의 의미가 크다. 기존의 통제 대상은 반도체, 제조 장비 등 물리적 하드웨어였다. 이번에는 실시간 추론 서비스가 대상이 됐다 .

적용 범위는 이례적으로 광범위했다. 국가 안보 권한을 근거로 한 이 명령은 미국 내외를 불문하고 모든 외국 국적자의 접속을 차단하도록 요구했으며, Anthropic 소속 외국 국적 직원도 명시적으로 포함됐다 . Anthropic에 따르면 서한에는 구체적인 국가 안보 근거가 전혀 제시되지 않았다 .

이 사태를 실시간으로 추적한 Willison은 당시 상황을 지켜보던 대부분의 개발자들의 반응을 대변하며 "황당하다"고 표현했다 . 개발자들에게 실질적인 결과는 냉혹했다. 두 모델 중 하나라도 연결된 서비스는 사전 공지도, 국적에 따른 예외도 없이 즉시 응답이 끊겼다.

Fable 5 취약점 탐지 기능, 무기화된 경위

정부가 문제 삼은 기능은 하나였다. Fable 5의 취약점 탐지 및 코드 수정 기능이다. 보고된 방식은 구조적으로 단순했다. 모델에 특정 코드베이스를 입력하고, 소프트웨어 결함을 찾아 수정하도록 요청한 뒤, 그 수정 결과를 공격용 익스플로잇 코드로 전용하는 것이다 . 당국은 이 방식이 적대 세력에 의해 "사이버 무기"로 전용될 수 있다고 우려한 것으로 전해진다.

Anthropic의 입장은 해당 방식이 매우 제한적이며 범용적이지 않다는 것이다. Fable 5는 미국 정부, 영국 AISI, 외부 기관, 내부 팀이 참여한 수천 시간의 레드팀 테스트를 거쳤으며, 어떤 테스터도 범용 탈옥 방법을 발견하지 못했다고 밝혔다 . Anthropic의 시각에서 이번 사안은 보안 전문가들이 이미 일상적으로 활용하는 취약점 탐지 행위였을 뿐, 해당 모델에 고유한 새로운 우회 방법이 아니었다.

Fable 5에는 자체적인 폴백 메커니즘도 탑재됐다. 사이버 보안, 생물학/화학, 모델 증류 관련 요청으로 분류되면 직접 응답하는 대신 더 제한적인 Claude Opus 4.8으로 라우팅됐다 . Anthropic에 따르면 이 재라우팅은 전체 세션의 5% 미만에서 발생했으며, 95% 이상은 폴백 없이 처리됐다 .

독립적인 연구 결과는 그 중간 어딘가를 가리킨다. 2026년 6월 arXiv에 발표된 레드팀 연구는 10개 유해 카테고리에 걸쳐 7,826가지 유해 의도를 테스트한 결과, Fable 5가 이전 세대보다 강건하지만 완전히 뚫리지 않는 수준은 아니라는 것을 확인했다 . 가장 강력한 적응형 공격 하에서의 주요 수치는 다음과 같다.

• Fable 5: 우회 성공률 6.1%, 패널 검증 유해 완성 702건 .
• Opus 4.8 (이전 세대): 우회 성공률 11.5%, 검증된 유해 완성 1,620건 .

데이터는 양면을 모두 보여준다. Fable 5는 이전 모델 대비 적응형 공격을 약 두 배 더 잘 방어했다는 점에서 Anthropic의 "범용 우회 없음" 주장을 뒷받침한다. 하지만 6.1%의 우회 성공률은 0이 아니다. 정부가 지적한 해당 기능이 일부 적응형 공격에서 여전히 작동한다는 것은 사실로 확인됐다. "강화됨"과 "완전 차단" 사이의 그 간극, 수출 통제 지침이 파고든 것은 바로 그 공간이었다.

파트너 플랫폼 전반에서 국적 기반 필터링이 기술적으로 불가능했던 까닭

Anthropic의 핵심 주장은 철학적 문제가 아닌 운영상의 문제였습니다. Fable 5와 Mythos 5가 서비스된 모든 환경에서 사용자의 국적을 실시간으로 검증할 신뢰할 만한 수단이 존재하지 않는다는 것이었습니다. 해당 모델들은 직접 Claude API뿐 아니라 AWS Bedrock, Google Cloud/Vertex, Microsoft Foundry, Snowflake, Box에 동시에 배포되었습니다 . 각 플랫폼은 자체 고객을 인증하고 과금하며, Anthropic은 그 신원 확인 레이어에 개입하지 않습니다.

6월 12일 지침은 이 간극을 더욱 다루기 어렵게 만들었습니다. 지침은 미국 내외를 불문하고 Anthropic 소속 외국인 직원을 포함한 모든 외국 국적자의 접근을 중단하도록 요구했으며, 국적 기반 예외 조항은 허용되지 않았습니다 . 국적 필터를 구현하려면 모든 요청에 대해, 모든 플랫폼에서, 동시에 정확하게 작동해야 합니다. 단 한 명의 사용자를 잘못 분류하면 컴플라이언스 조치가 오히려 금전적·민사적 제재를 초래할 수 있는 위반 행위로 돌변합니다 .

이것이 핵심 문제입니다. 국적 차단은 두 가지 방식으로 실패할 수 있으며, 그중 하나만 수습 가능합니다.

• 거짓 음성(False negative): 클라우드 제공업체가 국적 정보를 수집하지 않았기 때문에 외국 국적자가 Bedrock이나 Vertex를 통해 통과해 버립니다. 지침상 이는 위반입니다.
• 상위 신호 부재: 파트너 플랫폼이 노출하는 정보는 계정 및 지역 메타데이터일 뿐, 검증된 국적 정보가 아닙니다. 필터링할 필드 자체가 없으므로 필터를 정직하게 구축할 수 없습니다.
• 간접 접근: 임베드 또는 파이프라인 방식의 사용은 Anthropic이 볼 수 없는 다운스트림 앱을 통해 라우팅되므로, 퍼스트파티 차단이 완벽하더라도 누출이 발생합니다.

이러한 제약을 감안하여 Anthropic은 모든 고객에 대해 두 모델 모두를 전 세계적으로 일괄 중단하는 것이 유일하게 컴플라이언스를 충족하는 경로라고 결론 내렸습니다 . 중요한 점은 이번 중단이 Mythos급 두 모델에만 국한되었다는 것입니다. Claude 3.5, Opus 4.8, 그리고 나머지 라인업은 계속 운영되었습니다 . 지침은 특정 기능을 지목했고, 국적 기반 필터링의 불가능성이 좁은 명령을 제품 전반의 중단 사태로 바꾼 것입니다.

예외도, 국적 예외 조항도 없다: 멈춰버린 것들

두 모델로 향하는 모든 경로가 영향을 받았습니다. claude-fable-5 또는 claude-mythos-5 식별자를 직접 또는 임베드 방식으로 호출하는 모든 요청은 6월 12일 오후 9시 59분(ET) 무렵 접근이 종료되면서 오류를 반환했습니다 . 국적 심사도, 예외 등급도 없었습니다. 지침이 외국 국적자를 광범위하게 규정했기 때문에 일괄 차단이 불가피했습니다 .

6월 9일 출시 당시 Fable 5를 받은 구독 사용자들은 사흘 만에 접근 권한을 잃었습니다 . 사이버 방어 워크플로에 Mythos 5 도입을 기다리던 Project Glasswing 파트너들은 유효한 자격 증명을 끝내 받지 못했고, 생물학 신뢰 접근 신청 대기 중이던 지원자들은 절차 중간에 발이 묶였습니다 .

가장 까다로운 사례는 간접 접근입니다. 보도에 따르면 AWS Bedrock, Google Cloud/Vertex, Microsoft Foundry, Snowflake, Box가 영향받은 배포 채널로 언급되었으며, 코드베이스에 직접 API 호출 한 줄 없어도 앱이 이 모델들에 의존할 수 있습니다 . 모델 식별자를 grep해도 파트너 기본값이나 다운스트림 SDK를 통해 라우팅된 것은 잡히지 않습니다.

이것은 검색이 아닌 감사(audit)의 문제입니다. 법률 전문가들은 기업들에게 간접 접근 경로를 파악하고, 중단 일자를 기록하며, 컴플라이언스 기록을 위한 대체 모델 폴백을 구축할 것을 권고했습니다 .

경쟁사도 똑같이 한다: Anthropic의 반론을 들여다보다

Anthropic의 핵심 반론은 촉발 요인으로 지목된 기능이 Fable 5에만 있지 않다는 것입니다. 회사는 동일한 취약점 탐지 기법을 갖춘 모델로 OpenAI의 GPT-5.5를 명시적으로 거론했으며, 어떤 경쟁사에도 유사한 수출 통제 명령이 내려졌다는 보고는 없습니다 . 이 지시는 한 공급업체의 최신 제품 두 개에만 적용됐고, 동일한 작업을 수행하는 더 넓은 생태계는 계속 운영되고 있습니다.

문제가 된 취약점 탐지 동작, 즉 모델이 코드베이스를 분석해 소프트웨어 결함을 찾고 수정하는 것은 표준적인 보안 작업입니다. API 테스트를 통해 차단 시점을 확인한 독립 애널리스트 Simon Willison은 해당 동작이 Fable 5에만 있거나 새로운 것이 아니며 보안 전문가들이 일상적으로 사용하는 방식이라고 말했습니다 .

"이 상황 전체가 말도 안 됩니다"라고 쓴 것은 독립 AI 애널리스트 Simon Willison으로, 그는 접근 차단 시점을 6월 12일 태평양 시간 오후 6시 59분경으로 특정했습니다 (source: Fortune).

이 비대칭성이 Anthropic의 공개 경고를 뒷받침합니다. 회사는 동일한 기준을 업계 전반에 적용하면 "사실상 모든 신규 모델 배포가 중단될 것"이라고 주장했습니다 . 또한 자사의 테스트 이력도 언급했는데, Fable 5는 미국 정부·영국 AISI·제3자와 함께 수천 시간의 레드팀 테스트를 거쳤으며, 어떤 테스터도 범용 탈옥을 발견하지 못했습니다 .

개발자 입장에서 실질적인 문제는 선택적 집행입니다. 어떤 기능이 어디서나 구현 가능하다면, 한 공급업체의 두 모델만 겨냥한 명령은 그 기능을 시장에서 제거하지 못하고 수요를 다른 곳으로 돌릴 뿐입니다. 열린 질문들:

• 범위: 동일한 취약점 탐지 워크플로를 운영하는 경쟁사가 아닌 Anthropic의 두 모델만 대상으로 삼은 이유는?
• 선례: 유사한 제한이 OpenAI, Google 또는 다른 업체에도 적용될지, 아니면 이번이 일회성 개입으로 끝날지 .
• 마이그레이션 위험: 지금 GPT-5.5 대체재를 구축하는 개발자들은 동일한 당국이 그 대체재를 뒤따르지 않을 것이라는 보장이 없습니다.

결과적으로 누구도 아직 기준으로 삼아 개발할 수 없는 상황입니다. '충분히 안전한' 배포에 대한 반복 가능한 기술적 기준이 있다면 팀이 계획을 세울 수 있지만, 출시 후 사례별 대응 방식은 모든 최전선 모델을 공문 한 통으로 강제 종료될 위험에 노출시킵니다 .

미답으로 남은 질문들: 근거, 기간, 복구 기준

가장 어려운 부분은 법적 기록이 거의 비어 있다는 것입니다. 6월 12일 서한의 BIS 고지나 연방관보 원문이 어떤 출처에도 등장하지 않으므로, 법적 근거·허가 기준·claude-fable-5 및 claude-mythos-5 복구 조건 모두 확립되지 않은 상태입니다 . 개발자들은 그 조건이 공개되지 않은 지시를 중심으로 계획을 세워야 합니다.

보도가 묘사하는 것은 이전(transfer) 관련 표현입니다. Axios에 따르면 Howard Lutnick 상무부 장관의 서한은 두 제품을 수출·재수출·국내 이전 허가 대상으로 지정하고 금전적·민사적 제재를 부과했습니다 . 허가 신청 절차는 발표되지 않았으며, The Verge와 WIRED는 이론적 근거 자체가 불투명하다고 지적합니다. 호스팅 챗봇 접근은 가중치·소스코드·기술 데이터를 선적하는 것과 동일하지 않기 때문입니다 .

이 조치는 가장 명백한 프레임워크 밖에 있기도 합니다. 2026년 6월 2일 백악관 행정명령은 주요 최전선 모델에 대해 연방이 최대 30일간 자발적 사전 출시 검토를 할 수 있도록 규정하면서도, 의무적 허가·사전 승인·허가증 요건은 명시적으로 배제했습니다 . 따라서 6월 12일 지시는 해당 프로그램의 적용이 아니라 별도의 국가 안보 권한을 임시적으로 사용한 것으로 읽힙니다.

근거가 공개될 때까지는 이번 차단을 단순한 정책 논쟁이 아닌 운영상의 사건으로 취급하십시오. 최소한의 개발자 점검 목록:

핵심은 좁고 구체적입니다. 탈옥은 범용적이지 않았지만 차단은 전면적이었고, 그 배경이 되는 규칙집은 아직 쓰이지 않았습니다. 교체 가능한 인터페이스에 스택을 고정하고, 날짜가 기록된 컴플라이언스 메모를 유지하며, 어떤 최전선 모델도 공문 한 통으로 암흑 속으로 사라질 수 있다고 가정하십시오 .

자주 묻는 질문

Fable 5와 Mythos 5는 어떤 모델이었나요?

두 모델 모두 2026년 6월 9일에 출시되었습니다 . Fable 5는 Mythos급 제품의 일반 공개 버전으로, 입력 토큰 100만 개당 10달러, 출력 토큰 100만 개당 50달러로 책정되었으며 컨텍스트 윈도우 100만 토큰, 최대 출력 128k를 지원했습니다 . Mythos 5는 동일한 가중치를 사용하되, Project Glasswing 사이버방어 및 인프라 파트너를 위해 일부 안전장치를 해제한 버전이었습니다 . 두 모델 모두 6월 12일에 서비스가 중단되었습니다 .

외국 국적자만 차단하지 않고 전면 차단한 이유는 무엇인가요?

해당 지침은 미국 내외를 불문하고 Anthropic 자사 외국 국적 직원을 포함한 모든 외국 국적자의 접근을 차단하도록 요구했습니다 . Anthropic은 글로벌 클라우드 파트너 전반에 걸쳐 실시간 국적 확인이 기술적으로 불가능하고 법적 위험도 수반된다고 주장했습니다. 사용자 한 명을 잘못 판별하기만 해도 위반이 성립하기 때문입니다. 전면 차단만이 규정을 준수하는 유일한 방법이었으므로, 회사는 다른 제품은 그대로 두고 두 모델만 모든 고객에게 비활성화했습니다 .

이번 명령의 계기가 된 탈옥 기법은 무엇인가요?

Anthropic은 이를 범용이 아닌 특정 기법으로 규정했습니다. 특정 코드베이스를 모델에 입력하고 소프트웨어 결함을 찾아 수정하도록 요청함으로써, 취약점 탐지 기능을 공격용 익스플로잇 코드 생성에 전용하는 방식입니다 . Anthropic과 분석가 Simon Willison 모두 동일한 기법이 OpenAI의 GPT-5.5를 포함한 경쟁 모델에도 통하며, 보안 전문가들이 일상적으로 사용하는 방법이라고 지적합니다 .

다른 Anthropic 제품은 계속 이용 가능한가요?

네. 이번 명령은 Fable 5와 Mythos 5에만 적용되었습니다 . Claude 3.5, Opus 4.8 등 기존 모델은 중단되지 않았으며 Claude API 직접 호출과 클라우드 파트너를 통해 계속 이용할 수 있습니다. 특히 Fable 5는 자체 안전 설계상 사이버보안, 생물학·화학, 모델 증류 관련 요청을 Opus 4.8로 라우팅했는데, 이 모델은 서비스 중단 기간 내내 정상 운영되었습니다 .

Fable 5 또는 Mythos 5에 의존하던 통합 서비스는 어떻게 해야 하나요?

AWS Bedrock, Vertex, Microsoft Foundry 등 클라우드 플랫폼 SDK를 통한 간접 호출을 포함하여 claude-fable-5 및 claude-mythos-5 식별자의 직·간접 사용처를 전수 점검하세요 . 컴플라이언스 기록에 6월 12일 서비스 중단일을 명시하고, 사용 가능한 대체 모델로의 폴백을 연결한 뒤, 서비스 복구 공지를 위해 Anthropic 뉴스 페이지를 모니터링하세요 .