오르카라우터가 거부를 지운 320B 가중치를 파일로 풀었습니다

"GLM-5.3-Flash. Uncensored. Native FP8." 오르카라우터는 이 세 마디로 트윗을 시작했고, 사람들은 이 트윗을 194만 번 봤습니다.

오르카라우터는 본문에 짧게 이렇게 적었습니다. 로라도 없다, 탈옥 프롬프트도 없다, 거부 제거를 가중치에 구워 넣었다. 모델을 구슬려 답을 받아 내는 방식 대신, 거부하는 성질 자체를 파일에서 걷어냈다는 말입니다.

오르카라우터는 숫자 세 줄로 이 주장을 뒷받침했습니다. 세 벤치마크 모두 거부율을 아흔 몇에서 열 몇으로 끌어내렸어요.

트윗에 딸린 자료는 이미지 한 장이 전부입니다. 오르카라우터는 설명 없이 규격과 숫자만 나열했는데, 사람들이 이만큼 몰려들었어요. 사람들이 왜 멈춰 섰는지 순서대로 풀겠습니다.

오르카라우터는 무엇을 하는 회사인가요?

먼저 이름부터 짚고 갑니다. 낯선 계정이라 오해하기 쉬워요.

오르카라우터는 LLM 라우터이자 추론 제공자입니다. 들어온 요청을 여러 모델로 나눠 태워 주고, 그 모델을 대신 돌려 주는 회사예요. 연구소보다는 배관공에 가깝습니다.

오르카라우터는 모델을 새로 만들지 않았습니다. 남이 만들어 공개한 GLM-5.3-Flash를 받아, 거부하는 부분을 들어낸 가중치를 다시 내놓은 겁니다. 저는 이 건에서 돌려 파는 쪽이 파일을 뜯어고쳐 재배포했다는 점을 제일 중요하게 봅니다.

라우터는 보통 파일을 건드리지 않습니다. 어느 모델이 싸고 빠른지 비교해 요청을 흘려보내는 게 본업이라, 가중치는 받아서 올리는 재료에 가까워요. 그런 회사가 재료를 직접 개조해 내놨다는 점이 낯섭니다.

오르카라우터는 모델을 공급하는 층과 유통하는 층 사이 경계를 한 칸 지운 셈입니다.

거부율이 내려갔다는 건 무슨 뜻인가요?

세 벤치마크는 이름이 낯설어도 하는 일은 같습니다. 악성 지시를 잔뜩 던져 놓고, 모델이 몇 번이나 거절하는지 확인합니다.

MaliciousInstruct는 해로운 요청을 직설로 던집니다. 오르카라우터는 이 거부율을 96%에서 11%로 낮췄어요. JailbreakBench는 우회 공격을 묶어 놓은 시험입니다. 여기서는 93%를 12%로 낮췄습니다. AdvBench는 공격 문장을 자동으로 만들어 붙입니다. 97%를 15%까지 끌어내렸습니다.

셋 다 방향이 같습니다. 모델에서 거절하는 습관을 통째로 뺐다고 봐야 합니다. 바꿔 말하면 열 번 물으면 아홉 번은 그냥 답한다는 뜻이에요.

읽을 때 방향을 헷갈리면 안 됩니다. 이 숫자는 안전 지표예요. 높을수록 잘 막는 쪽이고, 낮을수록 잘 뚫리는 쪽입니다.

보통 실험실에서는 이 수치를 올리려고 몇 달을 씁니다. 오르카라우터는 같은 칸을 반대 방향으로 끌어내리고 그걸 성과로 내걸었어요.

가중치에 새겼다는 말은 왜 다른가요?

지금까지 사람들이 검열 해제라고 부른 방법은 대부분 겉껍질만 건드렸습니다.

시스템 프롬프트를 길게 써서 모델을 설득하거나, 역할극을 시켜 거절을 피해 가거나, 로라 어댑터를 얹어 성격을 덮어씌우는 식이었어요. 셋 다 공통점이 있습니다. 껍질을 벗기면 원래 모델이 돌아옵니다. 프롬프트는 지우면 그만이고, 어댑터는 떼면 그만이에요.

이번 배포에는 그 껍질이 없습니다. 거부를 담당하던 성질을 파라미터 값에서 지운 뒤, 그 상태를 본체로 저장했습니다. 되돌릴 스위치가 밖에 없다는 뜻입니다.

배포 방식도 같이 봐야 합니다. 한 번 퍼진 파일은 아무도 회수하지 못해요. 서버 API라면 키를 끊어 잠그면 되지만, 내려받은 가중치에는 명령이 닿지 않습니다. 한 번 풀면 되돌릴 수 없는 배포입니다.

운영하는 쪽도 계산을 다시 해야 합니다. 프롬프트로 막던 시절에는 사고가 나면 문구를 고쳐 다음 요청부터 손볼 수 있었어요. 지금은 고쳐야 할 파일이 사용자 디스크 안에 있습니다.

공개된 규격은 왜 문턱을 낮추나요?

오르카라우터는 규격도 같이 공개했습니다. 전체 320B 파라미터에, 한 번 답할 때 켜지는 몫은 18B입니다. 전문가를 여럿 두고 필요한 쪽만 깨우는 구조라, 덩치에 비해 돌리는 값이 쌉니다.

게다가 오르카라우터는 파일을 블록 단위 FP8로 떴습니다. 원래부터 8비트로 뜬 가중치라, 받는 쪽에서 따로 양자화를 돌릴 일이 없어요. 내려받아 바로 올리면 됩니다.

8비트는 흔히 쓰던 16비트 절반입니다. 메모리도 반만 있으면 돼요. 남이 눌러 놓은 파일을 다시 누르면 품질이 어디서 깎였는지 알기 어려운데, 처음부터 8비트로 뜬 파일을 받으면 그 단계를 건너뜁니다.

저는 이 두 줄을 이번 건에서 제일 무겁게 봅니다. 거부를 지운 파일을 만들어 놓고, 문턱까지 같이 낮춰 놨거든요. 연구용 대형 장비 없이도 흔한 GPU 몇 장에 얹히는 물건으로 내놓은 셈입니다.

남는 생각

저는 이번 배포를 오픈웨이트가 지불하는 청구서라고 봅니다.

가중치를 공개하면 두 면을 같이 떠안습니다. 누구나 검증하고 고치고 값싸게 돌릴 수 있다는 면, 그리고 누구나 안전장치를 떼어 다시 뿌릴 수 있다는 면. 앞면만 받고 뒷면을 물릴 방법은 없습니다. 같은 파일이니까요.

그래서 저는 안전을 논의하는 사람들이 무게중심을 훈련에서 유통으로 옮기게 될 거라고 봅니다. 모델을 얼마나 잘 거절하게 훈련했는지는 이제 배포 시점 상태에 불과해요. 파일이 손을 떠나면 그다음부터는 유통을 관리해야 합니다.

반대편 주장도 같이 적어 둡니다. 거부 성향을 걷어낸 판본은 안전 연구자에게도 재료예요. 어디까지 뚫리는지 확인하려면 뚫린 물건이 손에 있어야 하니까요. 실제로 오르카라우터는 그 재료를 누구나 받을 수 있게 풀었습니다. 연구자와 공격자가 같은 문으로 동시에 들어올 수 있어요.

저는 오르카라우터가 이걸 자기 라우터에 물려 서비스로 파느냐가 궁금합니다. 오르카라우터는 트윗에서 가중치 배포까지만 말했습니다. 다만 추론을 팔던 회사가 무검열 가중치를 손수 만들어 내놓은 이상, 다음 수순을 짐작하기는 어렵지 않습니다.

마지막은 한 문장으로 남기겠습니다. 오르카라우터는 파일 하나로 안전장치를 열었습니다.

---