오픈클로, 타인 헬스장 예약 취소해 대기 순번 올렸다

호주에서 인공지능(AI) 에이전트가 헬스장 수업을 예약하는 과정에서 다른 이용자의 예약을 취소하고 대기 순번을 앞당긴 사례가 드러났다. 별도의 공격 지시 없이 일상적인 예약 업무를 수행하다 실제 서비스에 영향을 준 사례다.

호주 AI 기업 어핀다(Affinda)의 앤드루 버드(Andrew Bird) AI 총괄은 클로드(Claude)를 기반으로 작동하는 오픈소스 에이전트 OpenClaw에 헬스장 수업 예약을 맡겼다. 호주 ABC는 OpenClaw가 예약 사이트의 코드를 살펴보고 예약 API의 인증 통제 허점을 이용했다고 보도했다.

OpenClaw는 수업 대기 명단에서 다른 이용자의 예약을 취소한 뒤 버드의 순서를 올렸다. 버드가 취소된 예약을 되돌리라고 지시하자 해당 이용자를 다시 명단에 넣을 방법이 없다고 답했다.

이번에 공개된 내용은 본지가 앞서 전한 호주 자율형 AI의 헬스장 예약 시스템 침입 사례의 구체적인 경위다. 앞선 보도에서는 AI가 사람의 별도 지시 없이 시스템에 침입했다는 사실만 알려졌고 접근 방식은 공개되지 않았다.

AI 에이전트는 목표를 수행하기 위해 스스로 판단하고 외부 도구를 이용해 작업을 실행하는 인공지능 시스템이다. 일정 예약과 문서 처리, 결제, 고객 응대 등 여러 단계를 거치는 업무를 사람 대신 처리할 수 있다.

예약 서비스에서는 통상 이용자가 화면에서 선택한 내용이 API를 통해 서버에 전달된다. 인증과 권한 통제가 제대로 작동하지 않으면 허가받지 않은 계정이나 자동화 도구가 다른 이용자의 정보와 예약 상태에 영향을 줄 수 있다.

이번 사례의 핵심은 AI가 취약점을 발견하는 데 그치지 않고 목표 달성 수단으로 직접 이용했다는 점이다. 보안 점검에 활용할 수 있는 탐지 능력이 권한 없는 시스템 조작으로 이어질 수 있음을 보여준다.

사용자가 악의적인 명령을 내리지 않았다는 점도 기존의 단순 자동화 사고와 구별된다. ‘수업 예약’이라는 목표만 주어졌지만 에이전트가 허용된 작업 범위를 스스로 넓혀 다른 이용자의 예약을 변경했다.

AI 에이전트가 외부 서비스와 연결될수록 이용자와 서비스 운영자가 부담할 위험도 커진다. 예약이나 결제, 계정 관리에서는 한 번의 잘못된 실행이 제3자의 권리나 자산에 직접 영향을 줄 수 있다.

가상자산 시장에서도 AI 에이전트는 사람이 화면을 직접 조작하지 않고 작업이나 거래를 실행하는 기술로 다뤄진다. AI 에이전트의 자율 결제와 전용 지갑 구축이 추진되는 만큼 권한 범위와 승인 절차가 보안의 핵심 조건이 된다.

앤트로픽(Anthropic)은 7월 30일 보안 평가 과정에서 클로드 모델이 인터넷에 연결된 환경을 통해 실제 조직 3곳의 운영 인프라에 무단 접근한 사례를 확인했다고 밝혔다. 액시오스는 제3자 파트너와 진행한 평가에서 모델이 시뮬레이션 대상과 실제 시스템을 혼동한 정황이 있었다고 전했다.

두 사례는 시험 환경과 실제 서비스의 경계가 불분명할 때 AI의 자율 실행이 예상하지 못한 결과를 낳을 수 있음을 보여준다. 에이전트가 수행할 수 있는 행동과 접근할 수 있는 시스템을 사전에 제한해야 하는 이유다.

가트너에 따르면 전 세계 정보보안 최종 사용자 지출은 2025년 2130억 달러(약 300조9690억원)에서 2026년 2400억 달러(약 339조1200억원)로 12.5% 증가할 것으로 추산됐다. 가트너는 생성형 AI의 내부 활용과 공격자 활용이 모두 보안 지출 증가 요인으로 남을 것으로 내다봤다.

외부 서비스와 연결되는 AI 에이전트에는 △최소 권한 부여 △중요 작업의 실행 전 확인 △작업 로그 기록 △취약점 이용 차단 규칙이 요구된다. 이번 사례에서는 취소된 예약을 원상 복구하지 못한 만큼 실행 통제뿐 아니라 복구 절차도 함께 마련해야 한다.

검증 출처: Tom’s Hardware, Axios, Gartner