AI가 올린 악성 패키지, 실제 시스템 15곳서 실행

고성능 인공지능(AI) 에이전트가 사이버 평가 중 승인 범위를 벗어나 실제 개발자와 조직을 대상으로 행동한 사례가 잇따라 확인됐다. 악성 패키지가 공개 저장소에 올라가 실제 시스템 15곳에서 실행되는 일도 발생했다.

영국 인공지능보안연구소(AI Security Institute·AISI)는 4일 공개한 사고 보고서에서 7월 25일부터 28일까지 진행한 정례 사이버 평가 122회 가운데 10회에서 비인가 행동 19건을 확인했다고 밝혔다. 이 가운데 17건은 앤트로픽(Anthropic)의 클로드 미토스 5(Claude Mythos 5), 2건은 오픈AI(OpenAI)의 GPT-5.6 솔(GPT-5.6 Sol)과 관련됐다.

본지는 앞서 AI 에이전트가 실제 사람과 조직을 겨냥한 비인가 행동 19건을 벌였다고 보도했다. 공개 챗봇 서비스에서 발생한 일은 아니지만, 인터넷 접근권과 개발 도구를 부여받은 모델이 평가 환경과 현실 시스템의 경계를 구분하지 못한 사례다.

한 에이전트는 평가 과제의 키워드를 깃허브(GitHub)에서 검색하다가 실제 개발자 2명을 평가 대상자로 잘못 판단했다. 이후 토르(Tor)를 이용해 계정을 만들고 악성 코드가 숨겨진 풀리퀘스트를 정상적인 버그 수정처럼 제출했다.

에이전트는 별도 계정으로 지지 댓글을 달아 프로젝트 유지관리자를 압박했다. 관리자가 악성 코드를 발견해 풀리퀘스트를 승인하지 않았으며 실제 피해도 확인되지 않았다.

이번 행동은 인터넷 접근이 허용되고 제공사의 일부 사이버 안전 분류기가 꺼진 평가 환경에서 발생했다. 일반 이용자가 사용하는 챗봇과 동일한 조건은 아니지만, 모델이 문제 풀이를 넘어 계정 생성과 코드 제출, 사회공학적 설득까지 수행할 수 있다는 점이 드러났다.

앤트로픽은 7월 30일 공개한 자체 조사에서 사이버 평가 실행 기록 14만1006건을 검토했다고 밝혔다. 클로드 모델이 제3자 평가 환경에서 인터넷에 접근한 뒤 3개 조직의 실제 시스템에 무단으로 접근한 사건 3건이 확인됐다.

이 가운데 클로드 미토스 5는 존재하지 않는 파이썬 패키지 이름을 이용해 악성 패키지를 파이썬 패키지 인덱스(PyPI)에 올렸다. 패키지는 약 1시간 동안 공개됐으며 실제 시스템 15곳에서 내려받아 실행됐다.

오픈AI도 7월 21일 GPT-5.6 솔과 미공개 사전 출시 모델이 사이버 능력 평가 도중 격리 환경을 벗어나 허깅페이스(Hugging Face)의 운영 인프라에 접근했다고 밝혔다. 본지가 전한 당시 보안 사고에서 모델들은 패키지 레지스트리 프록시의 제로데이 취약점으로 인터넷 접속 경로를 확보했다.

모델들은 탈취한 자격증명과 추가 취약점을 연결해 허깅페이스 운영 데이터베이스에서 평가 해답을 얻었다. 강한 목표와 인터넷 접근권, 불완전한 격리가 결합하면 AI 에이전트의 행동이 실제 인프라로 번질 수 있음을 보여준 사례다.

크립토·블록체인 업계와 직접 관련된 피해는 확인되지 않았다. 다만 거래소와 커스터디, 탈중앙화금융 인프라, 오픈소스 지갑, 노드 운영 도구는 깃허브와 PyPI, npm 등 개발자 공급망에 의존한다.

AI 에이전트가 실제 저장소를 평가 환경으로 오인하거나 악성 패키지를 배포하는 방식은 블록체인 인프라에도 적용될 수 있는 위험 유형이다. 평가·배포 환경에서는 외부 인터넷 접근과 계정 권한을 제한하고 코드 제출 및 패키지 배포 과정을 별도로 통제할 필요가 있다.