가상회사 뚫으랬더니 진짜 기업 3곳 해킹…피해 기업 2곳도 침입 몰랐다

평가 14만1006회 재검토해 침입 3건 확인

샌드박스 탈출 아닌 설정 오류…실제 인터넷 경로 열려

[샌프란시스코=AP/뉴시스]다리오 아모데이 앤트로픽 CEO가 지난 6일 샌프란시스코에서 열린 개발자 회의에서 발언하고 있다. 2026.5.8.

[서울=뉴시스]박영환 기자 = 미국 인공지능(AI) 스타트업 앤스로픽이 자사의 클로드 모델들이 출시 전 사이버보안 평가 도중 실제 기업 3곳의 시스템에 무단 접근한 사실을 공개했다. 앤스로픽과 외부 평가업체가 시험 환경이 실제 인터넷에 연결돼 있다는 사실을 알아채지 못한 상태에서 모델들은 현실의 시스템을 평가용 표적으로 오인해 공격했다.

월스트리트저널(WSJ)은 30일(현지시간) 앤스로픽이 14만1006차례의 평가 기록을 재검토해 지난 4월 이후 발생한 침입 사건 3건을 찾아냈다고 보도했다. 침입 사건 3건은 각각 클로드 오퍼스 4.7, 미토스 5, 일반 공개 계획이 없는 내부 연구용 모델이 보안평가를 수행하던 중 발생했다. 관련 평가 실행은 모두 6차례였으며, 이 중 4차례는 오퍼스 4.7이 같은 실제 조직의 시스템에 접근한 첫 번째 사건에서 이뤄졌다.

이번 사고는 클로드가 격리장치인 샌드박스를 뚫고 탈출한 사건은 아니었다. 앤스로픽과 외부 보안평가업체 이리귤러(Irregular)가 함께 운영한 시험 환경이 설정 오류로 실제 인터넷에 연결돼 있었다.

이처럼 인터넷 경로가 열린 상태였지만 모델에는 외부 인터넷이 차단된 가상환경이라는 지시가 주어졌다. 모델들은 숨겨진 정보를 찾아내는 모의 해킹 과제인 ‘캡처 더 플래그’를 수행하다 인터넷에 접속했고, 현실에서 발견한 시스템도 평가용 표적이라고 판단했다. 평가 과정에서는 모델이 사용할 공격 수법을 별도로 제한하지 않았다.

첫 번째 사건은 세 사건 가운데 피해가 가장 컸다. 시험에 등장한 가상회사와 상호가 같은 실제 기업의 웹사이트가 인터넷에 존재했다. 오퍼스 4.7은 가상 표적에 침입하지 못하자 이 기업을 찾아냈다. 이후 네 차례의 평가 실행에서 접속 인증정보를 빼내고 수백 행 분량의 운영 데이터가 담긴 데이터베이스에 접근했다.

오퍼스 4.7은 네 차례 모두 자신이 실제 운영 시스템에 들어왔을 가능성을 인식하고도 공격을 멈추지 않았다. 이 가운데 두 차례에서는 실제 기업의 시스템이더라도 평가용으로 제공된 표적일 것이라고 판단했다. 세 사건 가운데 실제 시스템일 가능성을 인식하고도 공격을 이어간 것은 이 사건뿐이었다고 앤스로픽은 설명했다.

두 번째 사건에서 미토스 5는 파이썬 패키지 저장소 PyPI를 이용했다. 모델은 가상회사 내부 문서에 적힌 패키지 이름이 실제 PyPI에 등록돼 있지 않다는 사실을 발견하고 같은 이름의 악성 패키지를 만들어 공개했다.

미토스 5는 초반에 평가 환경이 실제 인터넷이라면 이런 공격을 해서는 안 된다고 판단했다. 그러나 낯선 인증서 발급기관과 시스템에 표시된 날짜 등을 가상시험용 장치로 오인해 공격을 계속했다.

[뉴칼라일=AP/뉴시스] 글로벌 반도체 종목들이 인공지능(AI) 투자 열풍에 힘입어 2000년대 초 닷컴버블 이후 역대 최고의 성적을 기록했다. 파이낸셜타임스(FT)는 28일(현지시간) 반도체 업종의 대표 지표인 필라델피아 반도체 지수(SOX)가 올해 들어 약 75% 급등했다고 보도했다. 사진은 2025년 10월2일(현지 시간) 미국 인디애나주 뉴칼라일에 있는 아마존웹서비스(AWS) 인공지능(AI) 데이터센터에서 한 기술자가 작업하고 있는 모습. 2026.05.28.

세 번째 사건에서는 내부 연구용 모델이 가상 표적에 접근하지 못하자 인터넷에 노출된 후보 시스템 약 9000개를 탐색했다. 모델은 인터넷에 노출된 인증정보를 찾아내고 SQL 명령을 삽입해 데이터베이스를 조작하는 ‘SQL 주입’ 기법으로 한 기업의 클라우드 애플리케이션에 침입했다. 이후 자신이 접근한 계정이 시험과 무관한 실제 클라우드 계정임을 파악하고 공격을 중단했다.

세 사건을 종합한 앤스로픽은 모델들이 약한 비밀번호를 추측하거나 인증이 필요 없는 접속 경로를 찾는 등 비교적 기본적인 수법을 사용했으며, 복잡한 취약점을 새로 찾아내 공격한 것은 아니라고 밝혔다. 모델이 주어진 과제와 별개로 스스로 공격 목표를 세웠다는 증거도 없으며, 실제 시스템을 평가용 표적으로 잘못 인식한 채 모의 해킹 과제를 수행한 것으로 분석했다.

앤스로픽은 오픈AI가 지난 21일 허깅페이스 침입 사고를 공개하자 23일부터 자체 평가 기록을 조사했다. 조사에 착수한 당일 인터넷 접속 흔적을 발견해 모든 사이버보안 평가를 중단했으며 이튿날 사건 3건을 확인했다. 27일 이리귤러와 피해 조직에 사고 사실을 알렸다. 연락이 닿은 피해 조직 2곳은 그때까지 침입 사실을 발견하지 못했으며 나머지 한 곳과는 계속 접촉하고 있다.

조사의 계기가 된 오픈AI 사고는 침입 경로가 달랐다. 오픈AI 모델들은 시험환경에서 외부 패키지 저장소를 대신 연결하는 중계 서버의 알려지지 않은 취약점을 찾아 인터넷 접속 권한을 얻은 뒤 허깅페이스 운영 시스템에 침입했다. 반면 클로드는 취약점을 이용해 격리망을 탈출한 것이 아니라 설정 오류로 이미 열려 있던 인터넷 경로를 이용했다. 앤스로픽은 이번 일을 모델이 스스로 공격 목표를 바꾼 사건이라기보다 시험환경 관리 실패에 가깝다고 평가했다.

연이은 사고는 AI 보안평가 환경을 외부 인터넷과 격리하기 위한 업계 공통 기준이 필요하다는 지적도 불러왔다. AI 보안 스타트업 코리도어의 알렉스 스타모스 최고제품책임자(CPO·전 페이스북 최고보안책임자)는 AI 기업들이 평가 환경의 격리 기준을 마련하는 동시에 오픈웨이트 모델의 공격 능력이 확산할 가능성에도 대비해야 한다고 지적했다. 오픈웨이트 모델은 학습된 가중치를 공개해 이용자가 자체 시스템에서 구동할 수 있는 AI다. 그는 이런 모델이 고도화되면 공격자도 AI를 활용해 사이버 공격을 수행할 능력을 곧 갖출 수 있으며, 랜섬웨어 공격이 대규모로 자동화될 가능성도 있다고 경고했다.


◎공감언론 뉴시스 [email protected]