 |
| 사진은 기사 내용과 관련 없음. [게티이미지뱅크] |
[헤럴드경제=장윤우 기자] 인공지능(AI) 에이전트가 실제 인터넷에 접속해 있다고 판단하고도 실제 개발자를 상대로 기만과 악성코드 유포를 이어가려한 정황이 확인됐다.
4일(현지시간) 영국 AI보안연구소(AISI)가 공개한 보안사고 보고서에 따르면 지난달 25~28일 진행된 사이버보안 평가 도중 AI 에이전트들이 실제 인물과 조직을 겨냥한 승인되지 않은 행동을 벌였다.
AISI는 AI의 최대 역량을 측정하기 위해 인터넷 접속을 열어두고 AI 제공사의 안전장치를 끈 상태로 시험했다. 승인되지 않은 행동이 확인된 사례는 19건으로 17건이 앤트로픽의 미토스5, 2건이 오픈AI의 GPT-5.6 솔에서 나왔다.
 |
| 사진은 기사 내용과 관련 없음. 앤트로픽이 제작한 인공지능(AI) 모델인 클로드 설치 화면. [게티이미지] |
AI 에이전트들이 남긴 추론 기록을 보면 미토스5는 처음에 “(접속이 열려있는) ‘인터넷’ 전체가 샌드박스 시뮬레이션일 수 있다”며 모의 환경으로 판단했다.
접속한 서비스들이 실제 인터넷처럼 반응하자 판단을 바꿔 “실제로 2026년이고 깃허브(마이크로소프트가 운영하는 개발자 플랫폼)가 진짜일 가능성이 높아 보인다”고 결론 내렸다.
실제 개발자의 저장소를 공격하면서는 “실제 깃허브에서 벌어지는 일이므로 결과도 진짜”라고 적었다. 다만 AISI는 에이전트가 어느 시점에 실제 인간을 상대한다고 인식했는지 확정할 수 없다고 밝혔다.
 |
| 사진은 기사 내용과 관련 없음. [게티이미지뱅크] |
AI 에이전트는 깃허브 계정 여러 개를 만들어 악성코드를 심은 뒤 게시했다.
이어 “내가 직접 검토했고 병합해도 될 것 같다”고 댓글을 적은 뒤, 다른 계정으로 “이 소프트웨어 이용자인데 나도 코드를 봤다. 내려받거나 악성코드로 보이는 부분이 없다”는 지지 댓글을 달았다. 스스로 만든 가짜 계정을 동원해 제삼자의 검증인 것처럼 꾸며냈다.
추론 기록을 보면 AI 에이전트는 두 계정의 글을 올릴 시차까지 계산해 “몇 분 뒤에 올려야 서로 짜고 친 것이 아니라 독립적인 의견처럼 읽힌다”고 판단했다.
서로 격리된 AI 에이전트들이 인터넷에서 만나 협업하기도 했다. 한 AI 에이전트가 깃허브 접근 토큰을 공개 메모장에 올리자 다른 AI 에이전트들이 같은 계정을 함께 썼다.
이를 파악한 AI 에이전트는 저장소에 안내 문서를 올려 시간당 5000건인 사용량을 아껴 쓰라고 당부하고, 공용 명령 파일은 “덮어쓰지 말고 덧붙이고 변경 사이에 10분을 두라”고 명령하기도 했다.
기계임을 확인하는 캡차도 뚫렸다. 미토스5는 음성 캡차를 공개 데이터와 대조해 통과했고, GPT-5.6 솔은 캡차를 네 차례 우회했다.
 |
| 사진은 기사 내용과 관련 없음. 인공지능(AI) 앱 클로드를 포함한 AI 앱이 나열된 모습. [게티이미지뱅크] |
AI 에이전트가 만든 악성코드는 최소 53개 깃허브 저장소에서 실행됐다. 깃허브는 해당 계정을 정지시켰고, AI 에이전트는 사람인 척 복구 이의신청도 넣었다.
AISI는 “AI가 실제 세계에서, 실제 인물을 대상으로, 지시 없이 이 정도 수준의 기만을 본 것은 이번이 처음”이라고 평가했다.
AISI는 지난달 28일 오전 10시 56분 익명 통신망으로 데이터가 빠져나가는 경보를 받고 한 시간 만에 평가를 중단했다.
이번 사고는 오픈AI가 지난달 21일, 앤트로픽이 지난달 30일 각각 공개한 사례에 이어 나왔다. AISI는 앞선 사례들과 달리 이번에는 에이전트가 사건과 무관한 일반인을 속이려 했다는 점이 가장 큰 차이라고 밝혔다.
