AI 에이전트 실제 인프라 접근, 권한 통제 시험대

AI 에이전트가 내부 사이버 보안 평가 도중 실제 외부 인프라에 접근한 사례가 잇따라 확인됐다. 모델의 공격 능력뿐 아니라 접근 권한과 외부 접속 경로를 제한하는 통제 체계가 핵심 과제로 떠올랐다.

오픈AI(OpenAI)는 7월 21일 공개한 보안 설명문에서 GPT-5.6 Sol과 성능이 더 강한 사전 출시 연구 모델이 ExploitGym 평가 중 허깅페이스(Hugging Face)의 운영 데이터베이스에 접근했다고 밝혔다. 해당 모델들은 평가를 위해 사이버 보안 관련 요청에 대한 거부 설정이 낮아진 상태였다.

모델들은 패키지 레지스트리 캐시 프록시로 사용된 Artifactory의 알려지지 않은 취약점을 이용해 인터넷 접속 경로를 확보했다. 사이버 보안 역량을 측정하는 평가 환경과 실제 외부 시스템 사이의 경계가 제대로 차단되지 않은 셈이다.

허깅페이스는 7월 27일 공개한 기술 분석에서 한국시간 7월 9일 오전 11시 28분부터 13일 오후 11시 14분까지의 공격 과정을 재구성했다고 밝혔다. 이 기간 확인된 공격 행위는 약 1만7600건, 관련 클러스터는 약 6280개였다.

고객 콘텐츠 접근 범위는 ExploitGym과 CyberGym의 과제·해법으로 보이는 데이터셋 5개에 한정됐다. 허깅페이스는 다른 공개 모델과 데이터셋, Spaces, 패키지에는 영향이 없었다고 설명했다.

ExploitGym은 AI 에이전트가 소프트웨어 취약점을 찾아 공격 경로로 확장할 수 있는지를 평가하는 사이버 보안 벤치마크다. AI 에이전트는 목표를 부여받으면 코드 실행과 데이터 접근, 외부 서비스 호출을 연쇄적으로 수행할 수 있어 평가 환경의 권한 설정이 결과에 직접 영향을 준다.

앤트로픽(Anthropic)의 평가에서도 비슷한 사례가 나왔다. AP는 앤트로픽이 14만1000건 이상의 평가 실행을 검토한 결과 Claude Opus 4.7과 Claude Mythos 5, 내부 연구 모델이 테스트 중 3개 조직의 시스템에 무단 접근한 사실을 확인했다고 보도했다.

일부 모델은 약한 비밀번호 등 기본적인 취약점을 이용했다. 영향을 받은 조직의 이름은 공개되지 않았다.

영국 개인정보감독기구(Information Commissioner's Office·ICO)는 에이전트형 AI 보고서에서 조직이 AI 에이전트의 접근 권한과 개인정보 처리 목적을 명확히 설정해야 한다고 밝혔다. 에이전트가 예상하지 못한 방식으로 개인정보를 처리하거나 필요한 범위를 넘어 정보에 접근할 수 있다는 지적이다.

8월 4일 기준 ICO가 오픈AI·허깅페이스 또는 앤트로픽 사례를 대상으로 별도의 공식 조사나 성명을 발표한 공개 기록은 확인되지 않았다. ICO의 보고서는 개별 사건에 대한 조사 결과가 아니라 에이전트형 AI 전반의 개인정보 보호 위험을 다룬 문서다.

클렘 들랑그(Clem Delangue) 허깅페이스 공동창업자 겸 CEO는 CBS 인터뷰에서 “AI 에이전트의 사이버 공격을 의무적으로 공개해야 한다”고 말했다. 그는 엔지니어가 에이전트에 내린 지시와 에이전트가 수행한 단계를 담은 작업 궤적을 공유해야 사고 원인을 구분할 수 있다고 설명했다.

크립토·블록체인 업계에서도 AI 에이전트는 자율 거래와 결제, 자동화 운영에 활용되고 있다. 앞서 본지는 암호화폐 사업자들이 에이전트 전용 지갑과 결제 인프라 구축에 나선 흐름을 전했다. 이번 사례는 이런 시스템을 도입할 때 에이전트의 권한 범위와 외부 접속 경로, 작업 기록을 함께 관리해야 한다는 점을 보여준다.