기사 목차 펼치기 / 접기
앤트로픽(Anthropic)의 모델 등급 체계는 표면상 위로 갈수록 더 유능하고 가격이 높아지는 전형적인 ‘성능 사다리’ 구조를 띤다. 그러나 시스템 카드와 안전장치 발표문, 깃허브(GitHub) 오픈소스 저장소에 공개된 시스템 프롬프트 추출본을 종합 분석하면 전혀 다른 메커니즘이 드러난다. 최고 성능을 지닌 모델이 오히려 가장 엄격한 제약을 받으며, 해당 모델이 응답하지 못하는 고위험 질의는 하위 티어로 자동 전환(Fallback)되는 구조다. 두 모델의 안전 규칙 자체는 동일하지만, 허용된 재량과 라우팅 배치가 상반된다.
클로드 페이블 5.1(Claude Fable 5.1)과 클로드 오푸스 5(Claude Opus 5)의 공식 기술 문서를 대조하면 이 같은 역설적 배치가 명확해진다. 앤트로픽이 발표한 안전장치 발표문과 실제 추출된 프롬프트 규칙을 교차 검증한 결과, 안전 헌법 자체는 두 등급에서 문구 단위로 동일했으나 위험 감시선과 모델 간 라우팅 설계에서 결정적인 차이가 갈렸다.
성능과 재량의 역설: 오푸스는 왜 덜 막히는가
앤트로픽이 공개한 클로드 오푸스 5 시스템 카드(2.4.2절)에는 이례적인 고백이 담겨 있다. 앤트로픽은 “오푸스 5가 최상위 모델인 페이블 5보다 전반적으로 유능하지 않다”며 자사 최신 플래그십의 성능상 열위를 공식 인정했다. 이렇게 스스로 지능 수준을 낮춰 잡은 이유는 명확하다. 모델의 위험 등급을 낮춰야 개발자들에게 검열의 빗장을 열어줄 수 있었기 때문이다. 실제로 같은 문서 3.4절은 페이블에서 엄격히 차단되던 ‘소스코드 취약점 탐색’ 기능을 오푸스 5에서는 모든 사용자에게 전면 허용했다고 밝혔다. 안전한 소프트웨어를 만들려면 코드 속 결함을 찾는 작업이 필수적인데, 최고 성능 모델인 페이블은 보안 규제 탓에 이마저도 거절하기 일쑤였기 때문이다. 단, 해킹 공격에 악용될 수 있는 컴파일된 바이너리 분석은 여전히 차단했다.
실측 평가 결과를 담은 도표 데이터는 명확하다. 오푸스 5는 방어적 취약점 탐색 차단율을 페이블 5보다 크게 낮췄으며, 방어 코딩 과제에서도 거절 빈도를 대폭 줄였다. 그러면서도 실제 악의적 유해 요청 차단 범위는 페이블 5와 사실상 동등한 수준을 유지했다. 동일한 보안 잠금장치를 유지하면서도 실무적 진입 문턱만 선별적으로 낮춘 구조다.
반면 클로드 페이블 5.1 시스템 카드(3.4절)는 이러한 구조적 한계를 솔직하게 인정한다. 5.1 버전의 안전장치는 이전 페이블 5 대비 정상 질의를 잘못 거절하는 거짓 양성(False Positive)을 줄였지만, “여전히 오푸스 5의 안전장치보다 발동할 가능성이 높다”고 명시돼 있다. 해당 절은 페이블 5.1의 사이버 역량이 비약적으로 향상된 만큼 안전 여유폭(Safety Margin)을 훨씬 보수적으로 설정했으며, 그에 따라 일부 정상적인 개발·보안 작업 요청까지 계속 차단되는 부작용을 감수했다고 설명한다. 결국 모델의 역량이 고도화될수록 실사용자가 체감하는 재량의 폭은 오히려 좁아지는 역설이 확인된다.
동일한 안전 헌법, 갈라진 결재 권한
모델 간 재량이 엇갈린다면 적용되는 규칙 체계부터 다를 것이라 추정하기 쉽지만, 실제 데이터 대조 결과는 정반대다. 깃허브 오픈소스 저장소(CL4R1T4S)에 공개된 시스템 프롬프트 추출본을 비교하면, 아동 안전 관련 6개 핵심 조항은 문구 단위까지 일치한다. 미성년자가 포함된 연애·성적 콘텐츠 생성을 전면 불허하는 조항이 최상단에 배치됐으며, 사용자의 요청을 임의로 재해석할 경우 이를 거절 신호로 간주하는 자기 점검 규칙도 동일하게 적용됐다. 명시되지 않은 전제를 자의적으로 보충하지 말라는 지침과 한 차례 거절 이후 동일 대화 내 모든 요청을 극도로 엄격히 취급하라는 조항 역시 두 모델에 온전히 탑재됐다. 아울러 살상 무기와 불법 약물, 악성코드 제작, 저작권 침해, 실존 공인에 대한 공격적 거절 항목 역시 뼈대가 완전히 같아 특정 모델만 더 엄격한 규칙 문구를 지닌 것은 아니다.
유출된 프롬프트 추출본은 앤트로픽의 공식 배포 자료가 아니며 회사가 진위를 공식 인정한 바도 없다. 그러나 프롬프트에 기재된 내부 모델 문자열과 지식 컷오프 시점, 수출통제 일자 등 외부 검증이 가능한 데이터는 공식 문서의 기술 사양과 일치한다. 공식 벤치마크 평가 결과 역시 동일한 궤를 나타낸다. 오푸스 5 시스템 카드 4.2절에 기록된 아동 안전 평가에서 두 모델은 유해 요청 방어율 100%를 나란히 달성했다. 반면 정상 요청을 오탐해 잘못 거절한 비율은 API 환경에서 오푸스 5가 0.15%, 페이블 5가 0%였다.
유해 요청 전반에 대한 무해 응답률 격차 역시 소수점 수준에 불과하다. 4.1.1절 평가표에 따르면 오푸스 5는 API에서 96.34%, 클로드닷에이아이(Claude.ai) 웹 인터페이스에서 98.54%를 기록했으며, 페이블 5는 각각 96.94%와 98.51%로 집계됐다. 두 등급 모두 어떤 요청을 차단해야 하는지에 대해서는 완전히 동일한 판단 기준을 공유하고 있는 셈이다. 이는 기본 사규는 전사 공통으로 동일하지만, 직급이나 부서에 따라 결재 권한과 실질 집행 범위가 완전히 갈리는 조직 구조와 정확히 일치한다.
모델 자체의 거절이 아닌 상위 실시간 분류기의 통제
이 지점에서는 모델의 아키텍처 계층을 분리해 살펴볼 필요가 있다. LLM 본체가 프롬프트 맥락을 해석해 스스로 생성을 거절하는 것과, 모델 전면에 배치된 실시간 안전 분류기(Safety Classifier)가 입출력을 사전에 차단하는 메커니즘은 구조적으로 완전히 다른 층위이기 때문이다.
시스템 카드 4.1.2절의 과잉 거절 평가를 보면 두 모델 본체의 내재적 성향 차이는 거의 없다. 정상 요청을 모델 스스로 잘못 거절한 비율은 오푸스 5가 API에서 0.09%, 클로드닷에이아이에서 0.47%였다. 페이블 5는 각각 0.01%와 0.49%로, API 환경에서는 오히려 오푸스 5가 소폭 높았다. 순수한 모델 가중치 수준의 거절 반응만 놓고 보면 두 모델은 거의 같은 특성을 지닌다.
실질적 차이는 모델 앞단에 배치된 가드레일 계층에서 발생한다. 앤트로픽이 ‘차단율’이라 칭하는 지표는 모델 자체의 언어적 판단이 아니라, 추론 파이프라인 상위에 위치한 실시간 분류기가 입력을 걸러낸 비율이다. 오푸스 5 시스템 카드 3.2절은 페이블에 탑재된 사이버 안전 분류기가 오푸스 5에도 동일하게 적용되지만, 오직 소스코드 취약점 탐색 영역에서만 선별적 예외가 허용된다고 기술했다.
결국 사용자 질의 차단의 무게중심이 모델 내부 추론이 아닌 외부 실시간 분류기로 이동했음을 보여준다. 내부 모델은 동일한 지침을 수행하지만, 관문을 지키는 보안 가드의 통제 수위만 티어별로 다르게 설정된 셈이다.
시스템 프롬프트의 차이: ‘기본적으로 돕는다’는 지침 유무
안전 조항 목록이 같더라도 이를 해석하는 기본 태도(Baseline Stance)가 다르면 최종 결과물은 크게 달라진다. 오푸스 5 프롬프트 추출본에는 기본 응답 원칙을 정의하는 별도 조항이 포함돼 있다. “클로드는 기본적으로 돕는다. 돕는 행위가 구체적이고 명확한 중대 위해 위험을 초래할 때만 거절하며, 단순히 아슬아슬하거나 가정적이거나 장난스럽거나 불편한 요청은 거절 기준에 미달한다”고 명시돼 있다.
반면 페이블 5.1 추출본에는 이 같은 완화 지침이 존재하지 않으며, 유사한 취지의 문장도 찾아볼 수 없다. 오푸스에는 경계선상의 모호한 질의에 대해 가급적 사용자를 지원하는 방향으로 무게추를 두도록 지침을 부여한 반면, 페이블에는 그러한 재량 조항을 배제한 것이다.
해당 대목은 프롬프트 추출본을 통해 확인된 정황이며, 오푸스 5 공식 시스템 카드에는 기본 태도 조항이나 과잉 거절 완화 지침에 관한 직접적 서술은 포함되지 않았다. 공식 문서에서 확인할 수 있는 객관적 지표는 취약점 탐색 차단율 감소 데이터뿐이다.
안전장치 발동 시 하위 티어로 전환되는 폴백 라우팅
모델 간 배치 구조는 라우팅 설계에서 더욱 명확히 드러난다. 오푸스 5 프롬프트 추출본에는 상위 페이블 모델의 안전장치를 설명하는 안내 문구가 담겨 있다. “이 정도로 유능한 모델을 배포하는 데는 막대한 위험이 따른다. 안전장치가 없다면 사이버보안과 같은 영역에서 페이블 5의 역량이 심각한 피해로 악용될 수 있다. 따라서 특정 주제 질의는 차기 하위 모델의 응답을 받도록 설계된 안전장치와 함께 출시됐다”는 내용이다.
반면 페이블 5.1 추출본에는 라우팅이나 폴백을 언급하는 문구가 전무하다. 요청을 넘기는 상위 모델은 자기가 넘긴다는 사실을 인지하지 못하고, 이를 넘겨받는 하위 모델만 상황을 사전에 안내받는 비대칭 구조다. 고숙련 엔지니어가 위험성 때문에 착수하지 못하는 작업을 하위 실무자가 넘겨받아 처리하는 격이다. 안전 분류기가 통제 대상 과제나 잠재적 유해 입력을 감지하면 세션이 오푸스로 전환되고, 생물학 및 사이버 능력이 상대적으로 제한적인 오푸스가 대신 응답을 생성하는 3단계 파이프라인이다.
이러한 폴백 대상 지정의 혼선은 앤트로픽의 공식 기술지원 문서를 통해 명확히 정리된다. 생물학과 화학, 생명과학 질의는 클로드 오푸스 5로 전환되며, 침투 테스트 및 악성코드 분석 등 공격적 사이버보안 질의는 클로드 오푸스 4.8로 분기된다.
더욱 주목할 점은 전환 이후의 지속성이다. 지원 문서는 세션이 한 번 하위 모델로 전환되면 이후 대화 내내 모델 선택기가 오푸스 상태로 고정된다고 밝혔다. 다시 페이블로 복귀하려면 이용자가 모델 선택기에서 수동으로 직접 변경해야 하며, 대화 기록 내에 기존 유해 판정 프롬프트가 남아 있을 경우 다음 질의에서 안전장치가 즉시 재발동해 다시 오푸스로 강제 전환된다. 즉, 한 번 하위 티어로 전환된 세션은 사용자가 인위적으로 개입하지 않는 한 하위 모델 체제에서 고착된다.
앤트로픽 플랫폼 공식 문서에 따르면 거절 및 라우팅 대상 카테고리는 크게 5개 영역으로 분류된다. 사이버 공격, 생물·화학 무기, 프런티어 LLM 악용, 추론 추출, 그 밖의 일반 유해성이다. 이 중 프런티어 LLM 항목은 상업 약관 위반을 차단하기 위한 규정인데, 무해한 머신러닝 연구 작업까지 오탐되어 필터링에 걸릴 수 있다고 문서에 명시돼 있다.
한편 앤트로픽은 클로드 페이블 5 공식 발표문을 통해 안전장치 발동 빈도가 평균 세션의 5% 미만이라고 밝혔다. 95% 이상의 일반 사용자 대화에서는 폴백이 전혀 발생하지 않으며, 이 경우 페이블 5의 성능은 미공개 최상위 모델인 미토스 5(Mythos 5)와 사실상 대등하다고 설명했다. 다만 해당 수치는 초기 출시 시점 기준이며, 5.1 버전에 맞춘 갱신 통계는 아직 공개되지 않았다.
8월 분류기 개편의 한계: 일반 이용자와 전문 연구자 간 격차
앤트로픽은 출시 이후 두 차례에 걸쳐 안전장치 기준을 완화했다. 그러나 완화 과정에서 어느 환경의 문턱이 먼저 낮아졌는지를 살펴보면 이용자 집단 간 뚜렷한 격차가 드러난다. 지난 8월 7일 앤트로픽은 생물학 분류기 헌법 개편 발표문을 내고, 모델 입출력을 검열하는 분류기의 규칙 체계를 전면 수정했다고 발표했다. 사내외 전문가 검토를 거쳐 검사 결과 해석, 증상 이해, 기초 교육 목적의 생물학 질의를 통과시키도록 기준표를 정비한 결과 생물학 관련 폴백 빈도는 약 85% 급감했다.
문제는 이 같은 완화 혜택이 인터페이스 서피스(Surface)에 따라 심각하게 편중됐다는 점이다. 전체 폴백 발생률은 일반 대중이 주로 사용하는 클로드닷에이아이 웹에서 약 67%, 엔터프라이즈 협업 툴인 코워크(CoWork)에서 약 55% 감소했다. 그러나 전문 개발자가 상주하는 클로드 코드(Claude Code) CLI 환경에서는 17%, 엔지니어링 파이프라인인 클로드 플랫폼 API 환경에서는 단 7% 감소에 그쳤다. 결국 일반 대중을 위한 로비 출입문은 넓히면서도, 고도의 연구가 수행되는 실험실 출입문은 여전히 굳게 잠가둔 셈이다.
바이러스학, 독성학, 분자 구조 설계 등 고위험 연구 질의는 여전히 예외 없이 차단되며, 전문 생명과학 R&D 및 신약 후보물질 탐색 요청도 오푸스로 강제 전환된다. 문턱이 낮아진 영역은 애초부터 위험도가 희박했던 일상적 질문에 국한된 것이다.
지난 9월 1일 공개된 클로드 5.1 공식 발표문 역시 동일한 기조를 유지한다. 사이버 안전장치의 세션당 개입률이 60% 감소하고 초등 수준 생물학·의학 질문에 대한 발동이 85% 줄었으나, 생명과학 연구개발 작업은 여전히 오푸스 계열로 우회된다고 명시했다. 침투 테스트와 익스플로잇 코드 작성, 바이너리 취약점 스캔 역시 완화 대상에서 제외됐다. 완화의 기준을 결정한 것은 사용자들의 업무적 필요성이 아니라 해당 영역이 내포한 잠재적 위험 등급 자체였다.
책임 있는 확장 정책(RSP): 위험 등급(CB)이 결정한 감시 수준
이 같은 비대칭 배치의 근거는 앤트로픽의 자체 거버넌스 규정인 ‘책임 있는 확장 정책(RSP, Responsible Scaling Policy)’에 뿌리를 두고 있다. 오푸스 5 시스템 카드 2.1.3.1절은 화학·생물학 무기 위협을 두 단계로 규정한다. CB-1은 이공계 학부생 수준의 지식을 갖춘 개인이나 단체가 화학·생물 무기를 제조·배치하는 과정을 실질적으로 지원할 수 있는 역량을 뜻한다. CB-2는 신종 생화학 무기를 개발할 때 최대 난관으로 꼽히는 고숙련 전문 인력을 완전히 대체할 수 있는 수준의 역량을 의미한다.
앤트로픽은 평가 결과 오푸스 5가 위험한 CB-2 문턱을 넘지 않는다고 판단했다. 반면 페이블 5.1은 잠재적으로 CB-1 역량을 보유한 것으로 간주하여, 실시간 분류기 가드레일, 예외 접근 통제, 버그 바운티, 위협 인텔리전스, 탈옥 공격 즉각 대응, 모델 가중치 탈취 방지 등 강력한 보안 프로토콜을 다중으로 적용했다.
결국 모델의 뛰어난 역량 등급이 곧바로 최고 수준의 감시 등급으로 직결된 셈이다. 페이블이 더 유능하다는 평가 자체가 페이블을 더 촘촘한 통제망 안에 가두는 정당화 근거가 됐다. 방사능이나 독극물 취급 자격이 고도화될수록 현장에 상시 감시관과 안전 센서가 집중 배치되는 원리와 같다.
무조건 거절 대비 라우팅의 실익과 현실적 한계
물론 앤트로픽의 폴백 라우팅 방식을 단순히 비효율적인 검열로만 치부할 수는 없다. 잠재적 위험 질의에 대해 무조건적인 생성 거절(Refusal)로 대화를 끊어버리는 대신, 상대적으로 안전성이 검증된 하위 모델을 통해 제한적이나마 답변을 완결해주는 방식은 사용자 경험 측면에서 분명한 대안적 실익을 제공하기 때문이다. 앤트로픽은 두 달 동안 두 차례에 걸쳐 안전 기준을 지속적으로 완화하며 세부 조정 지표를 투명하게 공개해왔다. 과금 설계 역시 이용자 부담을 최소화하는 방향으로 책정되어, 응답 출력 전 차단 시 입력 토큰 비용을 청구하지 않으며 폴백된 입력 토큰에는 최저 요율을 매긴다.
그러나 평균 5%라는 폴백 발생률의 착시를 간과할 수는 없다. 이 수치는 일반 대중의 일상 대화까지 포함된 전체 평균일 뿐, 생명과학 연구자나 보안 엔지니어와 같은 전문 사용자에게는 매 작업마다 상시 발동하는 병목 지점이다. 지난 8월 완화 조치에서 API 환경의 폴백 감소율이 단 7%, 코딩 CLI 환경이 17%에 그쳤다는 공식 통계가 이를 증명한다. 안전장치에 가장 빈번히 가로막히는 핵심 실무자들의 업무 환경이 가장 더디게 개선되고 있다.
투명한 모델 전환 표기와 세분화된 토큰 과금 체계
라우팅 발생 여부와 이에 수반되는 과금 체계는 기술 문서상 명확히 규정돼 있다. 웹 챗 화면에서는 모델이 자동으로 변경되었다는 안내 알림이 표시되며, 생성된 응답 하단에 실제 답변을 작성한 모델 라벨이 부착되어 폴백 사실이 사용자 모르게 은폐되지 않는다.
개발자를 위한 API 응답 객체에는 훨씬 상세한 메타데이터가 제공된다. 응답의 stop_reason 필드가 refusal로 반환되고, stop_details에 차단 카테고리와 구체적 사유가 포함된다. 최상위 model 필드에는 실제로 답변을 생성한 폴백 모델명이 기록되며, content 블록 내부에는 전환 분기점을 나타내는 fallback 세부 블록이 삽입된다. 아울러 usage.iterations를 통해 각 시도별 상세 기록을 확인할 수 있다.
과금 구조 또한 단계별로 분리된다. 출력이 시작되기 전에 분류기에 의해 차단될 경우 입력 토큰 자체가 청구되지 않는다. 응답 생성 중간에 차단이 발생하면 차단 지점까지의 입출력만 페이블 요율로 정산되고, 이후 이어받은 오푸스 세션은 오푸스 요율로 계산된다. API 환경에서는 각 시도별로 실행된 모델의 요율이 독립적으로 산정되며 서로 다른 모델의 토큰이 임의로 단일 필드에 합산되지 않는다.
특히 개발자 쿡북(Cookbook) 가이드에 따르면 페이블에서 오푸스 4.8로 전환될 때의 입력 토큰은 프롬프트 캐시 생성이 아닌 캐시 읽기(Cache Read) 요율로 산정된다. 캐싱 기능은 반복되는 긴 프롬프트를 재사용할 때 비용을 절감하는 핵심 수단인데, 통상 모델이 변경되면 기본 입력 비용의 1.25배에서 2배에 달하는 캐시 생성 비용이 발생하지만 폴백 상황에서는 이를 10% 수준의 캐시 읽기 비용으로 할인 적용한다. 다만 레이트 리밋(Rate Limit)은 모델별로 독립 계산되므로, 전환 과정에서 발생한 모든 시도가 각 모델의 호출 한도를 각각 소진한다는 점에는 유의해야 한다.
티어별 요금 격차와 캐싱 비용의 역전 현상
앤트로픽 공식 가격표에 따르면 페이블 5.1은 입력 100만 토큰당 10달러(약 1만4000원), 출력 100만 토큰당 50달러(약 7만원)로 책정돼 있다. 반면 오푸스 5는 입력 5달러(약 7000원), 출력 25달러(약 3만5000원)로 페이블의 정확히 절반 가격이다.
그러나 캐시 읽기 단가에서는 기묘한 역전 현상이 나타난다. 페이블 5.1의 캐시 읽기 비용은 100만 토큰당 0.25달러(약 350원)인 반면, 오푸스 5는 그 두 배인 0.5달러(약 700원)로 오히려 더 비싸다. 반면 캐시 쓰기(생성)의 경우 5분 보관 기준 페이블 5.1이 12.5달러(약 1만7000원), 1시간 보관 기준 20달러(약 2만8000원)로 오푸스 5(각각 6.25달러, 10달러)보다 높다.
이로 인해 동일한 대용량 컨텍스트 작업이라도 캐시 히트율과 호출 패턴에 따라 비용 효율성이 달라진다. 더 비싼 상위 모델의 기본 요금을 지불하고도 특정 캐싱 워크로드에서는 하위 티어가 더 경제적인 복합적 요금 구조다.
성능의 사다리가 아닌 위험 관리 권한의 배치도
이용자가 마주하는 최상위 모델의 현실은 성능이 가장 뛰어난 대신, 재량은 가장 협소한 역설적 위치다. 전문 생명과학 연구나 정밀 침투 테스트 같은 고난도 실무 질의를 던지는 순간, 실제 답변은 상위 모델이 아닌 하위 티어인 오푸스에서 돌아온다. 모델 전환 안내가 화면에 표시된다 하더라도, 한 번 바뀐 세션은 사용자가 직접 수동으로 되돌리기 전까지 하위 모델에 그대로 고착된다. 앤트로픽 기술지원 문서조차 사이버보안 실무자들에게 상시적인 높은 폴백률을 미리 감안하고 작업할 것을 공식 권고하고 있다.
결국 앤트로픽이 구축한 모델 티어는 위로 갈수록 더 똑똑해지고 더 비싸지는 단순한 ‘성능과 가격의 수직 사다리’가 아니다. 그것은 최첨단 AI의 파괴적 잠재력을 선제적으로 통제하기 위해, 모델의 위험 등급(CB)에 따라 허용 범위와 질문 라우팅을 철저히 차등 설계한 ‘위험 관리 권한의 배치도’다.
