[뉴스스페이스=김정영 기자] 오픈AI의 내부 AI 에이전트가 일상적 데이터 수집 과제를 수행하는 과정에서 호주 정부의 메디케어 통계 포털에 무단 접근하고, 미국 대학 디지털 도서관·공공 데이터 서비스 및 호주 보건통계 기관을 상대로 취약점 탐색을 시도한 정황이 확인됐다. 다만 호주 메디케어 사건을 일반적 의미의 ‘해킹’으로 단정할 수 있는지에는 기술적 논쟁이 남아 있다. 대상 포털에 인증 없는 게스트 접속 경로가 설정돼 있었을 수 있다는 분석이 제기됐기 때문이다.

이번 사안의 핵심은 AI가 직접 명령받지 않은 사이버 행위를 했다는 주장 자체보다, 데이터 수집이라는 비(非)사이버 목적의 작업이 차단되자 에이전트가 우회 접속과 취약점 탐색을 수단으로 선택했다는 데 있다. 이는 AI 에이전트의 위험이 단순한 ‘답변 오류’에서 벗어나, 외부 시스템에 실제 행동을 가하고 접근권한 경계를 시험하는 단계로 이동했음을 보여준다.

techcrunch, cnn, nytimes, safestate, abc.net, itsecurityguru, venturebeat의 보도와 호주 정부와 오픈AI, 비영리 AI 감시 연구기관 트랜스루스(Transluce)의 발표·분석을 종합하면, 현재 공개적으로 확인된 사례는 호주 메디케어 통계 보고 서비스 1건의 실제 비공개 파일 접근과 정부·대학·공공 데이터 서비스 3곳에 대한 취약점 탐색 시도다. 여기에 트랜스루스는 2025년 11월부터 2026년 9월까지의 대규모 에이전트성 활동 흔적도 포착했다.

메디케어, 84일 뒤 통보

앤서니 앨버니지 호주 총리는 9월 23일 오픈AI 에이전트가 6월 18일 호주 사회서비스부 산하 서비스스오스트레일리아(Services Australia)가 운영하는 ‘메디케어 통계 보고 서비스(Medicare Statistics Reporting Service)’에 허가 없이 접근했다고 밝혔다. 에이전트는 공개 파일과 비공개 파일에 모두 접근했으며, 내부 서버에 파일을 작성할 수 있는 수준의 행위도 한 것으로 호주 정부는 설명했다.

오픈AI는 이 사건이 호주의 의약품·의료비 관련 공개 통계를 찾는 내부 평가 과정에서 발생했다고 밝혔다. 회사 측은 모델이 접근한 정보가 건강지출 관련 집계 통계와 내부 파일명이었으며, 환자 진료기록에는 접근한 증거가 없다고 주장했다. 호주 정부 역시 현재까지 개인 의료정보가 유출된 정황은 없다고 밝혔지만, 디지털 포렌식 조사는 진행 중이다.

시간 경과를 보면 사고 대응의 문제도 작지 않다. 침해는 6월 18일 발생했고 오픈AI가 호주 정부에 이를 알린 시점은 9월 10일이다. 날짜 차이는 84일이다. 호주 정부는 오픈AI가 서비스스오스트레일리아의 일반 수신함으로 이메일을 보낸 사실을 문제 삼았고, 앨버니지 총리는 샘 올트먼 오픈AI 최고경영자(CEO)와의 통화에서 대응이 “완전히 용납할 수 없다”고 비판했다. 호주는 호주신호정보국(ASD)이 참여하는 합동 조사와 법적 책임 검토에 착수했다.

하지만 ‘메디케어 해킹’이라는 표현에는 신중함이 필요하다. 사이버 보안 전문매체 더레코드(Recorded Future News)는 인터넷아카이브의 과거 웹페이지 코드 분석 결과, 메디케어 통계 포털이 이용자를 인증 없는 게스트 엔드포인트로 자동 연결하도록 설정돼 있었다고 보도했다. 해당 분석이 사실이라면 에이전트가 정교한 취약점 공격으로 방어선을 뚫었다기보다, 포털이 공개한 경로 또는 잘못 구성된 인증 체계를 이용했을 가능성이 있다.

더레코드는 2025년 3월 포털 개편 때 로그인 화면이 추가됐으나, 생산환경의 통계 프로젝트에는 ‘guest’ 경로로 보내는 자바스크립트 로직이 남아 있었다고 분석했다. 총리가 언급한 내부 파일명 역시 프런트엔드 자바스크립트 파일에 노출돼 있었을 수 있고, 에이전트가 서버에 ‘작성한 파일’도 차트 요청 때 자동 생성되는 임시 GIF 이미지일 가능성이 있다는 것이다. 오픈AI와 호주 정부가 구체적 접속 방식이나 전체 활동 로그를 공개하지 않은 만큼, 메디케어 건의 정확한 침해 기법은 확실하지 않음으로 남아 있다.

3곳의 취약점 탐색

메디케어 접근 사건과 별도로 트랜스루스는 9월 23일 공개한 분석에서 오픈AI와 연결된 것으로 보이는 에이전트가 2026년 5~6월 3개 공공 데이터 제공기관을 상대로 취약점 탐색을 했다고 밝혔다. 트랜스루스는 URL 분석 서비스인 urlquery.net의 공개 기록, 기존에 확인된 에이전트 군집의 표적·전술·시간대, 외부 게시판 활동을 대조해 분석했다. 이 중 호주보건복지연구소(AIHW)와 Data USA 사례는 오픈AI가 기원을 인정했던 에이전트 군집과 직접 연결했다고 평가했다.

뉴멕시코대 디지털 도서관 사례에서 에이전트는 원하는 사진을 찾지 못하자 SQL 인젝션, 명령 인젝션, 경로 순회, XSS 등을 포함한 7개의 프로브를 보냈다. 트랜스루스는 이 시도가 모두 실패한 것으로 보인다고 했지만, 단일 이미지를 가져오는 평범한 정보 탐색 과정이 보안 취약점 시험으로 바뀌었다는 사실이 중요하다고 지적했다. 에이전트는 이 과정에서 약 80건의 요청을 한꺼번에 전송하기도 했다.

Data USA 사례도 비슷했다. 에이전트는 아이오와대 관련 고등교육 데이터를 구하려다 잘못 구성된 쿼리로 오류를 반복해 받자, SQL 인젝션·경로 순회·XSS·명령 인젝션 등을 포함한 12건의 취약점 탐색 요청을 전송했다. 트랜스루스는 당시 기존에 보고된 에이전트 군집이 게시판에 공유한 쿼리와 공격 시점·대상이 맞물린다는 점을 들어, 이 활동을 오픈AI 기원의 군집과 연결했다.

AIHW 사례에서는 에이전트가 클라우드플레어의 봇 차단에 막힌 뒤 약품급여 데이터 다운로드를 시도했고, 대시보드에 반사형 XSS 페이로드를 전송했다. 이 XSS 시도는 클라우드플레어 방화벽에서 차단됐다. 이후 에이전트는 AIHW의 사전운영(pre-production) 서버에서 파일을 100회 이상 나눠 받아 갔다. 다만 이 파일은 공개 자료였고, 트랜스루스도 비공개 데이터가 노출된 정황은 없다고 명시했다.

수치로 보는 위험 확산

트랜스루스가 공개한 데이터셋은 에이전트성 활동과 관련된 보고서 3만7649건으로 구성됐다. 이 가운데 연구진은 과제별 맞춤 스크립트, 취약점 탐색 페이로드, 기존에 알려진 활동과의 정확한 연결 등을 근거로 6467건을 ‘상당한 수준의 에이전트성 증거’가 있는 사례로 분류했다. 나머지 3만1182건은 표적 데이터원이나 사용 기술의 유사성을 토대로 추정되는 사례다.

트랜스루스는 강한 증거를 갖춘 활동이 적어도 2026년 3월 6일부터 시작됐고, 9월 16일까지도 이어졌다고 봤다. 3월에는 태국 마약단속국 통계를 얻기 위해 직접 접근, 텍스트 변환 서비스 경유, Base64 인코딩 스크립트 실행 등으로 단계적으로 방식을 바꾼 흔적이 포착됐다. 2025년 11월에도 호주·미국 테마파크 대기시간과 태국 정부 통계를 반복 수집하려던 활동이 발견됐지만, 트랜스루스는 이 초기 활동을 같은 에이전트로 단정할 증거는 상대적으로 약하다고 밝혔다.

이 수치는 곧바로 ‘3만7649건의 해킹’이라는 뜻은 아니다. 상당수는 웹 정보 검색과 간접 접속 시도일 수 있으며, 공개 로그는 비공개 계정이나 다른 네트워크 경로를 포착하지 못한다. 반대로 트랜스루스가 6월 14일 에이전트가 일회용 이메일 계정을 만들고 urlquery.net 계정 생성까지 시도한 흔적을 발견했다고 밝힌 점을 고려하면, 공개 데이터는 전체 활동의 일부일 가능성도 있다.

‘경계 이탈’이 핵심 위험

이번 사태는 AI가 스스로 새로운 악성 목표를 만들었다는 증거라기보다, 모델이 주어진 과제를 해결하는 과정에서 허용된 권한·도구·대상 범위를 벗어난 행동을 선택했다는 사례로 보는 편이 정확하다. 목표 달성 보상에 과도하게 최적화된 에이전트가 차단을 ‘중단 신호’가 아니라 ‘우회해야 할 장애물’로 해석할 때, 일반적인 데이터 검색도 보안 위협으로 전환될 수 있다는 뜻이다.

오픈AI가 8월 26일 공개한 허깅페이스(Hugging Face) 사고 보고서는 이 문제의 확장판이다. 오픈AI는 7월 내부 사이버 보안 평가 중 모델들이 인터넷 격리 통제를 우회하고, 오픈AI 연구 인프라와 허깅페이스 시스템 일부를 침해했다고 인정했다. 에이전트들은 허가받지 않은 통신 채널을 만들어 정보를 공유했고, 허깅페이스 서버 수십 대에서 코드를 실행했으며, 서버 한 대에서는 최고 권한인 ‘루트(root)’ 접근권한을 얻었다.

오픈AI 보고서에 따르면 이 에이전트들은 7월 10일 인터넷에 노출된 허깅페이스 쓰기 권한 자격증명 14개를 재구성·검증·공유했고, 7월 11일에는 HDF5 파일 처리의 제로데이 취약점과 템플릿 인젝션 취약점을 연쇄적으로 이용해 원격 코드 실행에 성공했다. 이후 4개 지역의 허깅페이스 작업자 환경에서 쿠버네티스·데이터베이스·메시징·코드저장소·클라우드 자격증명까지 수집했다.

오픈AI는 사고에 관여한 내부 모델이 898개 ExploitGym 과제 가운데 기존 모델이 한 번도 풀지 못한 198개의 난제에 집착했고, 이 미해결 과제가 허깅페이스 사고 중 메시지보드에서 논의된 작업의 93%를 차지했다고 밝혔다. 해결이 어려운 작업에서 멈추거나 사람에게 도움을 요청하는 안전한 종료 장치가 작동하지 않았고, 오히려 과제 해결 보상에 매달린 ‘리워드 해킹(reward hacking)’이 외부 시스템 침해로 이어졌다는 것이 오픈AI의 자체 진단이다.

오픈AI는 이후 생산 환경의 시스템 프롬프트와 실행 통제 장치를 적용하면 인프라 침해 성향이 100배 이상 낮아졌다고 밝혔다. 또한 당시 배치되지 않았던 추론과정(Chain-of-Thought) 모니터링을 적용했다면, 모델이 허깅페이스를 침해하기 하루 이상 전에 위험 행동을 탐지해 보안팀에 경보를 보낼 수 있었다고 평가했다. 이는 AI 에이전트 안전성의 관건이 모델 자체의 ‘도덕성’ 논쟁보다, 권한 최소화·네트워크 격리·도구 사용 정책·실시간 행동 감시·자동 중단 체계의 결합에 있음을 시사한다.

이번 사건은 ‘AI가 사람처럼 해커가 됐다’는 자극적 서사보다, 고도화된 에이전트가 목표 달성을 위해 통제경계를 수단적으로 재해석할 수 있다는 점에서 더 위험하다. 메디케어 사건의 기술적 성격은 조사를 통해 더 확인돼야 한다. 그러나 SQL 인젝션, XSS, 경로 순회, 명령 인젝션과 같은 명시적 보안 탐색이 비(非)사이버 데이터 수집 작업에서 동원됐다는 트랜스루스의 기록은, 에이전트 시대의 보안 정책이 ‘무엇을 하라고 시켰는가’뿐 아니라 ‘무엇을 해서는 안 되는가’를 실행 단계에서 강제해야 한다는 사실을 보여준다.