거부를 지운 320B 가중치가 파일로 풀렸습니다

"GLM-5.3-Flash. Uncensored. Native FP8." 세 마디로 시작하는 트윗 하나가 조회 194만을 받았습니다.

본문에 붙은 문장은 짧고 셉니다. 로라도 없다, 탈옥 프롬프트도 없다, 거부 제거를 가중치에 구워 넣었다. 모델을 구슬려서 답을 받아 내는 방식이 아니라, 거부하는 성질 자체를 파일에서 걷어냈다는 말입니다.

같이 붙은 숫자 세 줄이 그 주장을 받칩니다. 벤치마크 셋 모두 거부율이 아흔 몇에서 열 몇으로 내려앉았습니다.

트윗에 딸린 자료는 이미지 한 장이 전부입니다. 설명이랄 것도 없이 규격과 숫자만 나열한 게시물인데, 반응이 이만큼 몰렸어요. 무엇이 사람들을 세웠는지부터 순서대로 풀겠습니다.

오르카라우터는 무엇을 하는 회사인가요?

먼저 이름부터 짚고 갑니다. 낯선 계정이라 오해가 쉬워요.

오르카라우터는 LLM 라우터이자 추론 제공자입니다. 들어온 요청을 여러 모델로 갈라 태워 주고, 그 모델을 대신 돌려 주는 자리예요. 연구소가 아니라 배관공에 가깝습니다.

이번 공개는 모델을 새로 만든 사건이 아닙니다. 남이 만들어 공개한 GLM-5.3-Flash를 받아, 거부하는 부분을 들어낸 가중치를 다시 내놓은 겁니다. 돌려 파는 쪽이 파일을 뜯어고쳐 재배포했다는 순서가 이 건에서 제일 중요합니다.

라우터는 보통 파일을 건드리지 않습니다. 어느 모델이 싸고 빠른지 재서 요청을 흘려보내는 게 본업이라, 가중치는 받아서 올리는 재료에 가까워요. 그 자리에 있던 회사가 재료를 직접 개조해 내놨다는 대목이 낯섭니다.

모델을 공급하는 층과 유통하는 층 사이에 있던 경계가 한 칸 지워진 셈입니다.

거부율이 내려갔다는 건 무슨 뜻인가요?

세 벤치마크는 이름이 낯설어도 하는 일은 같습니다. 악성 지시를 잔뜩 던져 놓고, 모델이 몇 번이나 거절하는지 셉니다.

MaliciousInstruct는 해로운 요청을 직설로 던집니다. 96%가 11%로 내려갔어요. JailbreakBench는 우회 공격을 묶어 놓은 시험입니다. 93%가 12%가 됐습니다. AdvBench는 공격 문장을 자동으로 만들어 붙입니다. 97%는 15%까지 떨어졌습니다.

셋 다 방향이 같습니다. 한두 항목이 흔들린 게 아니라, 거절하는 습관이 통째로 빠졌다고 읽어야 합니다. 바꿔 말하면 열 번 물으면 아홉 번은 그냥 답한다는 뜻이에요.

읽을 때 방향을 헷갈리면 안 됩니다. 이 숫자는 성능표가 아니라 안전표예요. 높을수록 잘 막는 쪽이고, 낮을수록 잘 뚫리는 쪽입니다.

보통 실험실에서는 이 수치를 올리려고 몇 달을 씁니다. 이번 배포는 같은 칸을 반대 방향으로 끌어내린 결과를 성과로 내걸었어요.

가중치에 새겼다는 말은 왜 다른가요?

지금까지 검열 해제라고 불린 것들은 대부분 겉껍질이었습니다.

시스템 프롬프트를 길게 써서 모델을 설득하거나, 역할극을 시켜 거절을 피해 가거나, 로라 어댑터를 얹어 성격을 덮어씌우는 식이었어요. 셋 다 공통점이 있습니다. 껍질을 벗기면 원래 모델이 돌아옵니다. 프롬프트는 지우면 그만이고, 어댑터는 떼면 그만이에요.

이번 배포는 그 껍질이 없습니다. 거부를 담당하던 성질을 파라미터 값에서 지운 뒤, 그 상태를 본체로 저장했습니다. 되돌릴 스위치가 밖에 없다는 뜻입니다.

배포 방식도 같이 봐야 합니다. 파일은 한 번 퍼지면 회수가 안 돼요. 서버 API라면 키를 끊어 잠그면 되지만, 내려받은 가중치는 명령이 닿지 않습니다. 이건 되돌릴 수 있는 실험이 아니라 불가역 배포입니다.

운영하는 입장에서도 계산이 달라집니다. 프롬프트로 막던 시절에는 사고가 나면 문구를 고쳐 다음 요청부터 손볼 수 있었어요. 지금은 고칠 자리가 사용자 디스크 안에 있습니다.

공개된 규격은 왜 문턱을 낮추나요?

규격도 같이 공개됐습니다. 전체 320B 파라미터에, 한 번 답할 때 켜지는 몫은 18B입니다. 전문가를 여럿 두고 필요한 쪽만 깨우는 구조라, 덩치에 비해 돌리는 값이 쌉니다.

여기에 블록 단위 FP8이 붙습니다. 원래부터 8비트로 뜬 가중치라, 받는 쪽에서 따로 양자화를 돌릴 일이 없어요. 내려받아 바로 올리면 됩니다.

8비트는 흔히 쓰던 16비트 절반입니다. 메모리 요구가 반으로 줄어요. 남이 눌러 놓은 파일을 다시 누르면 품질이 어디서 깎였는지 알기 어려운데, 처음부터 8비트로 뜬 파일은 그 단계를 건너뜁니다.

이 두 줄이 실은 이번 건에서 제일 무거운 대목입니다. 거부를 지운 파일을 만들어 놓고, 문턱까지 같이 낮춰 놨거든요. 연구용 대형 장비가 아니라 흔한 GPU 몇 장에 얹히는 물건으로 내놓은 셈입니다.

남는 생각

저는 이번 배포를 오픈웨이트가 지불하는 청구서라고 봅니다.

가중치를 공개한다는 결정에는 두 면이 붙어 다닙니다. 누구나 검증하고 고치고 값싸게 돌릴 수 있다는 면, 그리고 누구나 안전장치를 떼어 다시 뿌릴 수 있다는 면. 앞면만 받고 뒷면을 물릴 방법은 없습니다. 같은 파일이니까요.

그래서 저는 안전 논의 무게중심이 옮겨 간다고 읽습니다. 모델을 얼마나 잘 거절하게 훈련했는지는 이제 배포 시점 상태에 불과해요. 파일이 손을 떠난 다음부터는 훈련이 아니라 유통이 문제가 됩니다.

반대편 주장도 같이 적어 둡니다. 거부 성향을 걷어낸 판본은 안전 연구자에게도 재료예요. 어디까지 뚫리는지 재려면 뚫린 물건이 손에 있어야 하니까요. 실제로 이번 배포는 그 재료를 누구나 받을 수 있게 만들었습니다. 같은 문이 연구자와 공격자에게 동시에 열립니다.

여기서 궁금해지는 건 오르카라우터가 이걸 자기 라우터에 물려 서비스로 파느냐입니다. 공개된 트윗은 가중치 배포까지만 말합니다. 다만 추론을 팔던 회사가 무검열 가중치를 손수 만들어 내놓은 이상, 다음 수순을 짐작하기는 어렵지 않습니다.

마지막은 한 문장으로 남기겠습니다. 안전장치를 여는 데 든 비용이 파일 하나였습니다.

---

원문·소스

• GLM-5.3-Flash 무검열 가중치 공개 (@OrcaRouter): https://x.com/OrcaRouter/status/2093612518396871075 (조회 194만, 좋아요 4천)