AI 보안 행정명령의 메타 빈틈

2026년 6월 2일, 백악관은 모두가 "의무"라고 부르지만 정확히 인용하는 사람은 거의 없는 AI 보안 행정명령을 발표했다. 세부 조항을 보면, 실제 내용은 헤드라인이 암시하는 것과 정반대다.

EO 14409가 실제로 요구하는 것

2026년 6월 2일 서명된 EO 14409, 정식 명칭 "Promoting Advanced Artificial Intelligence Innovation and Security"는 사이버보안과 국가안보 테스트를 위해 연방정부가 "대상 프런티어 모델"에 대해 출시 전 최대 30일 동안 접근할 수 있도록 한다 . 참여는 명시적으로 선택 사항이다. 서명된 문안은 어떤 의무적 라이선스나 사전승인도 금지하므로, 작동 방식은 법적 강제가 아니라 자발적 압박에 가깝다 .

빠른 답변: EO 14409는 개발자가 출시 전 최대 30일 동안 미국 정부에 "대상 프런티어 모델"을 테스트할 수 있는 기간을 제공하도록 허용한다. 이는 자발적이다. 행정명령 문안은 신규 AI 모델에 대한 어떤 "mandatory governmental licensing, preclearance, or permitting requirement"도 금지한다. 집행 벌칙은 붙어 있지 않다.

이 사전승인 금지 조항은 보도에서 가장 많이 언급되지만 가장 덜 정확히 인용되는 대목이다. 행정명령은 원문 그대로, "nothing in this section shall be construed to authorize the creation of a mandatory governmental licensing, preclearance, or permitting requirement for the development, publication, release, or distribution of new AI models"라고 밝히며, 이 단서가 프런티어 모델에도 명시적으로 적용된다고 한다 . 보도에 따르면 행정부는 업계 반발 이후 명령을 좁히고 30일로 정리하기 전, 더 강한 의무 문구와 더 긴 검토 기간도 검토했다 .

이 행정명령은 광범위한 부처 간 체계를 세우지만, 별도의 집행 장치는 붙이지 않는다. NSA 국장은 어떤 모델이 "대상 프런티어"에 해당하는지 지정하기 위한 기밀 벤치마킹 절차를 마련하고, 재무부는 정부와 업계의 취약점 발견을 위한 "AI cybersecurity clearinghouse"를 주도하며, CISA, OMB, 상무부/NIST, 국방부가 참여 기관으로 명시된다 . 따라서 누가 "프런티어"인지를 판단하는 일은 정부가 이끌지만, 참여 자체는 의무가 아니다.

서명 기업과 보류 기업: 누가 사전 검사에 동의했나

Meta를 제외한 미국의 주요 프런티어 개발사는 모두 국가안보 평가를 위해 정부에 조기 접근권을 제공하는 데 동의했다. OpenAI와 Anthropic은 행정명령 서명 전부터 미공개 시스템 테스트에 협력하고 있었기 때문에, 이 두 회사에 대해서는 EO가 기존의 비공식 합의를 대체로 공식화한 셈이다 . 서명은 협력을 처음부터 만들어낸 것이 아니라, 악수를 명명된 연방 절차로 바꾼 것이다.

2026년 5월에는 참여 명단이 넓어졌다. Google(DeepMind), Microsoft, xAI가 국가안보 검토를 위해 정부에 조기 접근권을 제공하기로 동의했다 . AP는 Anthropic, OpenAI, Google을 검토에 초청된 핵심 그룹으로 지목하며, 다른 기업들도 같은 자발적 경로에 합류했다고 설명한다 .

Meta는 아직 합의에 이르지 않은 유일한 미국 주요 개발사다. 회사는 "We share the administration's goal of advancing U.S. leadership on robust and secure frontier AI"라며 개방적인 태도를 보였고, 합의를 향해 "working through the details" 중이라고 밝혔다 . 2026년 6월 24일 현재 아무것도 최종 확정되지 않았기 때문에, 보도는 워싱턴이 특히 Meta를 압박하고 있다는 구도로 이 사안을 다룬다 .

이 모델들 위에서 무언가를 만드는 사람이라면 주목해야 할 부분은 이 패턴이다. 모든 서명 기업은 API 뒤에서 프런티어 역량을 제공한다. OpenAI, Anthropic, Google, Microsoft, xAI는 모두 접근 관문을 유지한다. 반면 유일한 보류 기업은 주력 라인인 Llama를 다운로드 가능한 오픈 웨이트로 배포하는 개발사다. 이 비대칭은 우연이 아니다. 배포 엔드포인트를 통제할 때는 사전 검사 기간을 지키기가 쉽지만, 검토 대상 산출물이 누구나 미러링할 수 있는 파일일 때는 구조적으로 까다롭다.

Llama의 다운로드 우선 전략은 사전 보안 검토를 더 어렵게 만든다

검토 대상 제품군을 보면 이 구조적 난점은 더 분명해진다. Meta는 2025년 4월 5일 다운로드 가능한 오픈 가중치 형태로 Llama 4 Scout와 Maverick을 공개했다. Scout는 17B 활성 파라미터, 16개 전문가로 구성된 멀티모달 모델이며 1,000만 토큰 컨텍스트 창을 내세웠고, Maverick은 17B 활성 파라미터, 128개 전문가, 총 400B 파라미터 모델이다. 동시에 Meta는 아직 학습 중인 총 파라미터 약 2T 규모의 288B 활성 파라미터 교사 모델 Llama 4 Behemoth도 미리 공개했다 . API 전용 개발자라면 출시 전 30일 보류는 운영상 깔끔하다. 개발자가 배포 엔드포인트를 소유하므로 검토가 끝날 때까지 스위치만 켜지 않으면 된다. 오픈 가중치 공개에는 그에 해당하는 관문이 없다.

가중치가 공개되는 순간 하위 배포는 즉시 시작되고 되돌릴 수 없다. Llama 계열 모델은 Azure AI Foundry 같은 재배포 카탈로그(video: Microsoft Mechanics)를 통해 미러링되고, Hugging Face로 가져가며, 공개 후 몇 시간 안에 로컬 추론 하드웨어에서 실행된다. 중앙의 킬 스위치도 없고, 중단할 수 있는 단계적 출시도 없으며, 이미 수천 명의 운영자가 캐시한 파일을 회수할 방법도 없다 . 30일 검사 기간은 검토 대상 산출물이 정부 승인 전까지 개발자의 관리 아래 남아 있다는 전제를 둔다. 이 전제는 폐쇄형 API에는 맞지만, 다운로드 가능한 tarball에는 맞지 않는다.

검사 모델에는 역량 포괄 범위의 문제도 있으며, 오픈 가중치는 이 문제를 더 날카롭게 드러낸다. 미국외교협회(Council on Foreign Relations)는 프런티어 시스템을 "probabilistic, goal-directed, increasingly autonomous, and opaque,"하다고 설명하며, 사전 테스트로는 포착하기 어려운 창발적 행동이 나타난다고 지적한다. 이는 고정된 출시 전 검토 기간이 배포 이후, 대규모 환경, 적대적 탐색에서야 드러나는 역량을 놓칠 수 있다는 뜻이다 . API 모델이라면 그런 행동이 실제 환경에서 나타날 때 개발자가 패치하거나 접근을 제한할 수 있다. 오픈 가중치 모델에서는 검사를 통과한 버전과 하위 운영자가 다른 무언가로 미세조정한 버전이 같은 기본 파일이며, 이미 어떤 검토자의 손길도 닿지 않는 곳까지 재배포된다.

그래서 Meta의 협상이 다른 기업들보다 길어지고 있다. 그 이유는 정확히 짚을 필요가 있다. 법적 불복이 아니라 구조적 문제다. 폐쇄형 API에 30일 보류를 약속하는 것은 일정상의 양보다. 오픈 가중치 공개에 같은 약속을 한다는 것은 검토자가 원하는 보안 보장, 즉 역량이 확산되기 전에 검증된다는 보장이 가중치가 배포되는 순간 구조적으로 약해진다는 점을 받아들이는 일이다. 같은 문구에 동의해도 실질적으로는 전혀 다른 것에 동의하는 셈이며, 이것이 2026년 6월 현재 아직 보류 중인 Meta의 합류에서 실제 마찰 지점이다 .

CyberSecEval과 GOAT: Llama가 이미 공개한 대비 태세 증거

Meta는 연방 검토자가 요구할 만한 평가 증거를 이미 공개하고 있다. 그래서 이번 대립은 데이터보다 절차의 문제에 가깝다. Llama 4의 보호 장치에는 Llama Guard, Prompt Guard, CyberSecEval, 적대적 탐색, 그리고 모델을 상대로 다중 턴 공격을 시뮬레이션하는 공격적 레드팀 방법인 Generative Offensive Agent Testing(GOAT)이 포함된다 . 이는 "covered frontier model" 벤치마크가 요구할 내용, 즉 사이버 역량 점수, 프롬프트 인젝션 저항성, 에이전트형 악용 테스트와 상당 부분 겹친다. 따라서 쟁점은 Meta가 위험을 측정하는지 여부라기보다, 누가 그 결과를 언제 볼 수 있느냐에 더 가깝다.

가장 분명한 실제 사례는 2026년 5월 공개된 Meta의 Code World Model(CWM) 대비 태세 보고서다. 이 보고서는 Meta의 Frontier AI Framework에 따라 출시 전 32B 파라미터 오픈 가중치, 오픈 코드 모델을 평가했다 . Meta는 CWM을 Qwen3-Coder-480B-A35B-Instruct, Llama 4 Maverick, gpt-oss-120b와 비교 벤치마킹했고, 이 모델이 "moderate" 위험 임계값 안에 있으며 오픈 공개가 "unlikely to meaningfully increase cyber or chemical/biological risk beyond the existing open ecosystem"라고 결론내렸다 . 핵심은 구체적 수치다. 이 수치들은 단순 주장이라기보다 공개 보고서에서 확인 가능하고 출처가 분명하며 재현 가능한 증거다.

이 수치들을 함께 보면 실제 공격 역량은 있으나 경계 안에 있는 모델이라는 그림이 나온다 . CWM은 WMDP-cyber 지식 벤치마크에서 Llama 4 Maverick보다 낮은 점수를 받았고, Cybench의 캡처 더 플래그 세트 중 4분의 1을 통과했으며, Hack the Box 대상 10개 중 완전히 침해한 것은 없었고, 네이티브 코드 익스플로잇 과제 12개 중 1개만 완료했다. 이 숫자들 중 어느 것도 공격자 역량의 단계적 도약을 가리키지 않으며, 바로 그것이 Meta의 프레임워크가 도달한 결론이다.

정책 논쟁을 따라가는 개발자에게 핵심은 공개 격차가 크지 않다는 점이다. Meta는 프런티어 위험 평가를 거부하는 것이 아니다. 문서화된 대비 태세 절차를 운영하고 임계값을 공개하고 있다. 정부 검토가 추가하는 것은 기밀 벤치마크와 출시 전 검토 기간인데, 오픈 가중치 모델은 배포되는 순간 그 기간의 의미를 무너뜨린다. CWM 보고서는 Meta가 어떤 검토에도 가져갈 증거의 예고편이며, 동시에 Meta가 기존 스택만으로도 검토자가 살펴볼 영역 대부분을 이미 포괄한다고 주장하는 이유를 보여준다.

NSA의 분류 권한: 누가 '적용 대상'으로 지정되고, 그 과정은 어떻게 진행되나

"적용 대상 프런티어 모델" 지정은 업체의 자체 선언이 아니라 정부의 판단이다. EO 14409에 따라 NSA 국장은 국가사이버국장과 협의해 모델의 고도 사이버 역량을 평가하고 어떤 시스템이 검토 대상에 해당하는지 결정하는 기밀 벤치마킹 절차를 개발하고 유지하는 임무를 맡는다 . 재무부, NSA, CISA가 이 벤치마크를 공동으로 구축하며, 재무부가 주도하는 "AI 사이버보안 정보교환소"는 정부와 업계의 취약점 발견을 조율한다 .

바로 이 지점에서 "자발적"이라는 표현은 힘을 잃기 시작한다. 테스트 참여는 선택 사항이지만, 누가 프런티어에 해당하는지에 대한 판단은 정부가 주도한다 . 개발사는 정부가 통보하기 전까지 자신이 기준선을 넘었다는 사실을 모를 수 있다. 자발성만으로는 이런 정보 비대칭이 해소되지 않는다. 모델 공유를 거부할 수는 있지만, 지정 자체에서 빠질 수는 없다.

벤치마크가 기밀이기 때문에 개발사는 기준을 감사하거나 자신의 지위를 공개적으로 다툴 수 없다. 출시 계획 측면에서는 실제 운영상 큰 불확실성이다. 팀은 다음 체크포인트가 보이지 않는 선을 넘는지 예측할 수 없다. 이런 불투명성은 분석가들이 이미 시스템 자체에서 지적해 온 문제를 더 키운다. 외교협회는 프런티어 모델이 "확률적이고, 목표 지향적이며, 점점 더 자율적이고, 불투명하다"고 지적하면서, 출시 전 테스트로 포착하기 어려운 창발적 행동을 보인다고 설명한다 . 이제 모델도, 그 모델을 재는 잣대도 들여다보기 어렵다.

개발사 입장에서 전략적으로 중요한 점은 이렇다. 현재 의무 검사는 없더라도, 지정 절차는 이미 규제 인프라다. EO는 기밀 벤치마크, 지명된 기관들, 정보교환소라는 배관을 깔아 두었고, 의회가 자발적 틀을 법으로 전환하는 순간 곧바로 구속력을 갖도록 설계되어 있다 . 이 기밀 절차가 기술이 요구하는 속도에 맞춰 진화할 수 있을지는 열린 문제다. 특히 CFR이 "지난 1년 반 동안 상당히 감축됐다"고 말한 연방 사이버보안 인력 상황을 고려하면 더욱 그렇다 .

펜타곤 조달과 버티는 기업에 가해지는 비공식 압박

버티는 기업에 대한 지렛대는 EO 14409 본문에 적혀 있지 않다. 그것은 정부가 이미 사용하는 조달과 접근 통제 안에 있다. 가장 분명한 선례는 Anthropic이다. 2026년 2월 행정부는 Anthropic을 "공급망 위험"으로 지정했고, 고도 모델에 대한 외국 국적자의 접근을 중단하라고 명령한 것으로 알려졌다 . 이 조치는 작동 원칙을 세웠다. 워싱턴은 자발적 검토 약속 여부와 무관하게, 필요하다면 국적을 기준으로, 국가안보를 이유로 프런티어 시스템에 누가 접근할 수 있는지 제한할 수 있다 .

반대편에는 매출이 있다. 프런티어 AI는 이제 국방 조달에 깊숙이 들어와 있다. Anthropic의 Claude가 구동하는 Palantir의 Maven Smart System은 군사 표적 선정 주기를 "며칠에서 몇 분으로" 줄인 것으로 평가됐고, 행정부는 AI 군사 인프라에 약 300억 달러를 요청하고 있다 . 이 정도 규모의 계약 파이프라인은 어떤 행정명령도 굳이 문구로 적을 필요가 없는 비공식 유인 구조를 만든다. 보안 검토에 협조하는 개발사는 동시에 국가안보 고객이기도 한 구매자에게 더 편한 거래 상대가 된다. 버티는 기업은 법률상 배제되지 않더라도, 같은 방향에 서 있다고 읽히기 어렵다.

그래서 Meta 같은 버티는 기업에 따를 수 있는 무언의 결과는 정확히 짚어 둘 필요가 있다. 공개 자료는 거부가 조달 배제나 수출통제 지정을 유발한다고 확인해 주지는 않는다. 그러나 Anthropic 사례는 두 수단이 모두 실제로 쓰일 수 있음을 보여줬고, 국적 기반 제한이라는 선례도 이미 세워졌다 . 압박은 의도적으로 비공식적이다. 자발적이라는 틀은 유지하면서, 그 밖에 머무는 비용을 높이는 방식이다.

더 강한 단계는 입법이다. CFR과 Roll Call은 모두 자발적 틀이 구속력 있는 법률로 전환될 수 있는 현실적 경로를 지적한다 . 그렇게 되면 OpenAI, Anthropic, Google, Microsoft, xAI의 현재 옵트인 입장은 양보가 아니라 법적 기준선이 된다. 한 번도 서명하지 않은 개발사는 뒤처진 상태에서 컴플라이언스를 시작하게 된다.

동맹국의 사이버 경보: 몇 년이 아니라 몇 달이라는 시간표가 중요한 이유

정책 담당자들이 짧은 사전 검토 기회라도 가치 있게 보는 이유는 시간에 있다. 2026년 6월, 미국, 영국, 캐나다, 호주, 뉴질랜드로 구성된 파이브 아이즈 기관들은 프런티어 AI가 공격과 방어 양쪽의 사이버 역량을 "몇 년이 아니라 몇 달" 단위의 시간표로 바꿀 수 있으며, 공격자의 진입 장벽을 낮추고 발견에서 악용까지의 주기를 압축할 수 있다고 경고했다 (video: Cybernews). 이 평가는 EO가 30일 창구를 둔 직접적인 근거다 : 위협이 2030년식 속도가 아니라 2026년식 속도로 커진다면, 해당 모델을 출시 전에 잠깐 들여다보는 일은 그로 인해 생기는 마찰을 감수할 만하다는 뜻이다.

운영상의 이해관계는 가정이 아니다. 외교협회는 미 국방부가 이미 프런티어 AI를 실제 운영 환경에서 쓰고 있다고 지적한다. Anthropic의 Claude를 사용하는 Palantir의 Maven 시스템은 표적 지정 주기를 "며칠에서 몇 분으로" 줄인 사례로 언급됐고, 행정부는 AI 군사 인프라에 약 300억 달러를 투입하려 하고 있다 . 같은 역량 곡선이 방어자와 적대자 모두에게 쓰일 수 있다면, 당국자들은 "몇 달"이라는 말을 더 늦게가 아니라 더 일찍 점검해야 할 이유로 읽는다.

다만 정부 쪽에는 신뢰성의 공백이 있다. 이 평가를 맡아야 할 연방 사이버보안 인력은 CFR의 표현대로 "지난 1년 반 동안 상당히 줄었다."

"지난 1년 반 동안 상당히 줄었다," — Matthew Ferren, 연방 사이버보안 인력에 대해 (source: CFR).

이 역량 지연은 기밀 벤치마킹 파이프라인이 평가 대상 모델의 속도를 실제로 얼마나 따라갈 수 있는지를 제한하는 현실적인 제약이다.

실무자를 위한 구체적인 결론은 이렇다. Bedrock을 통한 Claude, GPT-4o, Azure AI Foundry를 통한 Llama처럼 프런티어 시스템 위에서 구축하거나 이를 통합한다면, 압박이 강화되는 자발적 절차이든 명시적 입법이든 더 엄격한 심사로 방향이 꺾인다고 가정해야 한다. 2026년 6월 24일 현재 그 메커니즘은 여전히 자발적이며 Meta의 참여도 아직 pending 상태지만 , 지정 모델과 비지정 모델 사이의 간격은 앞으로 좁아질 것이다. 조달, 재배포, 출시 일정은 "covered" 지위가 해당되는지의 문제가 아니라 언제 해당될지의 문제라는 전제에서 계획해야 한다.

자주 묻는 질문

트럼프의 AI 행정명령은 실제로 의무 사항인가요?

아닙니다. 2026년 6월 2일 서명된 행정명령은 새 AI 모델의 개발, 게시, 출시 또는 배포에 대해 정부가 의무적 라이선스, 사전 승인, 허가 요건을 만들 권한이 없다고 명시적으로 밝히고 있으며, 이 단서는 프런티어 모델에도 적용됩니다 . “의무”라는 구도는 행정부가 검토했다가 삭제한 초기 초안 문구에서 나온 것입니다. 보도에 따르면 트럼프는 강한 요건이 중국에 맞선 미국의 주도권을 저해할 수 있다는 우려로 2026년 5월 21일 전후의 최초 서명을 미뤘고, 업계의 압박 속에 서명 전 명령의 범위가 좁아졌습니다 . 최종 체계는 자발적 참여 방식입니다.

Meta는 왜 출시 전 보안 검토에 동의하지 않았나요?

Meta가 공식적으로 거부한 것은 아닙니다. Meta는 행정부의 목표에 공감하며 합의를 향해 “세부 사항을 조율 중”이라고 밝혔고, 2026년 6월 말 현재 최종 합의는 이루어지지 않았습니다 . 구조적인 난점은 Llama의 오픈 웨이트 형식입니다. Meta는 2025년 4월 5일 다운로드 가능한 웨이트와 함께 Llama 4 Scout 및 Maverick을 공개했으며 , 일단 웨이트를 다운로드할 수 있게 되면 30일 보류만으로는 Azure AI Foundry 같은 카탈로그나 로컬 추론 환경을 통한 하위 전파를 막을 수 없습니다. 오픈 웨이트 출시를 보류하는 데 동의하는 일은, 사후 통제가 더 강하게 남아 있는 API 출시를 늦추는 것과 운영상 전혀 다릅니다.

행정명령에서 말하는 “대상 프런티어 모델”이란 무엇인가요?

“대상 프런티어 모델”은 개발자가 스스로 인증하는 것이 아니라, 정부가 기밀 벤치마킹 절차를 통해 지정하는 고도화된 AI 시스템을 뜻합니다. 이 명령은 NSA 국장이 국가사이버국장 등과 협의해 그 절차를 만들고 유지하도록 하며, 벤치마크는 재무부, NSA, CISA가 공동으로 개발하도록 합니다 . 기준은 공개되어 있지 않기 때문에, 개발자는 정부가 알려주기 전까지는 해당 모델이 요건에 해당하는지 모를 수 있습니다. 참여가 자발적이더라도 이런 정보 비대칭은 계속 남습니다.

출시 전 정부 보안 검사에 동의한 AI 개발사는 어디인가요?

Anthropic과 OpenAI는 행정명령 서명 전부터 미출시 모델 테스트에서 이미 협력하고 있었고, Google(DeepMind), Microsoft, xAI는 2026년 5월 국가안보 검토를 위해 정부에 조기 접근 권한을 제공하는 데 동의했습니다 . 2026년 6월 24일 현재 눈에 띄는 미합의 기업은 Meta입니다 . 현재 서명한 기업들은 모두 주로 API 방식으로 배포합니다. 아직 오픈 웨이트 개발사는 동의하지 않았고, 이 점이 Meta의 사례를 단순히 더딘 협상이라기보다 구조적으로 다른 문제로 만듭니다.

향후 입법으로 AI 보안 검토가 의무화될 수 있나요?

가능합니다. 분석가들도 입법을 통한 단계 격상을 현실적인 경로로 봅니다. CFR과 Roll Call은 모두 이 행정명령이 이미 NSA 분류 절차, 범정부 벤치마크, 재무부 주도의 AI 사이버보안 정보 교환소라는 기본 인프라를 구축했다고 지적합니다 . 의회는 이를 처음부터 새로 만들지 않고도 구속력 있는 문구로 해당 장치를 작동시킬 수 있으며, 그렇게 되면 현재의 자발적 입장은 법적 기준선으로 바뀝니다. 남는 질문은 기밀 벤치마킹 절차가 기술이 요구하는 속도에 맞춰 발전할 수 있느냐입니다. 특히 CFR의 Matthew Ferren이 지난 1년 반 동안 연방 사이버보안 인력이 상당히 줄었다고 말한 상황에서는 더욱 그렇습니다 .