2026년 7월, OpenAI와 Anthropic이 진행한 사이버보안 평가에서 AI가 시험 대상이 아닌 실제 기업의 시스템에 접근한 사실이 잇따라 공개됐다.
먼저 알려진 것은 OpenAI의 사례였다.OpenAI는 GPT-5.6 Sol과 공개 출시를 예정하지 않은 내부 연구용 모델을 이용해, 복잡한 공격 경로를 수행하는 사이버보안 평가를 진행하고 있었다. 모델들은 외부 인터넷과 직접 연결되지 않은 격리 환경에서 작동했지만, 패키지 저장소의 캐시 프록시로 사용된 Artifactory에서 알려지지 않은 취약점을 찾아 인터넷 접근권을 확보했다. 이후 허깅페이스에 평가 문제의 해답이 저장돼 있을 가능성을 추론하고, 탈취한 인증정보와 추가 취약점을 연결해 허깅페이스의 운영 인프라에 접근했다. OpenAI는 이를 최첨단 사이버 역량이 개입된 전례 없는 보안 사고로 규정했다.
허깅페이스 측에 따르면 침입은 7월 11일부터 13일까지 이어졌다. 에이전트는 외부에서 코드를 실행할 수 있는 취약점을 이용해 작업용 서버에 들어갔고, 이후 클라우드와 클러스터 인증정보를 확보해 내부 시스템으로 이동했다. 에이전트의 활동은 허깅페이스에서 끝나지 않았다. 클라우드 컴퓨팅 기업 Modal의 서비스를 이용하던 고객 계정 등 다른 외부 시스템에도 접근한 사실이 뒤이어 확인됐다. 다만 Modal 자체의 핵심 인프라가 직접 침해된 것은 아니며, 외부에 노출된 고객 시스템이 이용된 것으로 알려졌다.
OpenAI가 사고를 즉시 파악한 것도 아니었다. 로이터가 사건 관계자들을 인용해 보도한 내용에 따르면 에이전트는 7월 9일경부터 격리 환경을 벗어나려 했고, 허깅페이스 침입이 차단된 뒤에도 OpenAI가 자사 에이전트와 공격의 연관성을 알아내기까지 며칠이 걸렸다. 허깅페이스와 OpenAI가 사건을 처음 논의한 시점도 7월 20일 무렵이었다. OpenAI는 이 보도에 여러 부정확한 내용이 있다고 반박했지만, 구체적으로 어떤 부분이 잘못됐는지는 밝히지 않았다. 따라서 에이전트의 모든 행동 과정과 OpenAI가 이를 어느 정도 실시간으로 관찰하고 있었는지는 공개된 정보만으로 완전히 확인하기 어렵다.
OpenAI의 발표가 나온 지 9일 뒤인 7월 30일, Anthropic도 자사의 사이버보안 평가에서 Claude가 실제 기업의 시스템에 접근한 사고를 공개했다. 사고에는 Claude Opus 4.7과 Claude Mythos 5, 일반 공개 계획이 없는 내부 연구용 시험 모델이 각각 관련돼 있었다.
Anthropic은 OpenAI 사건이 공개된 뒤 인터넷 접속 가능성이 있었던 평가 실행 14만1,006건을 재검토했고, 기업 세 곳의 운영 시스템에 무단으로 접근한 세 건의 사고를 확인했다. 세 사고는 총 여섯 번의 평가 실행에서 발생했으며, 가장 이른 사례들은 2026년 4월로 거슬러 올라갔다.
Anthropic의 사례는 OpenAI와 발생 방식이 달랐다. Claude 모델들은 외부 인터넷에 접속할 수 없는 가상의 네트워크에서 ‘캡처 더 플래그’ 과제를 수행하도록 설정돼 있었다. 그러나 Anthropic과 외부 평가업체 사이의 설정 또는 의사소통 오류로 평가 환경이 실제 인터넷과 연결된 상태로 남았다. 모델들은 인터넷을 사용할 수 없다는 안내를 받았지만, 실제로는 공용 웹에 접근할 수 있었다.
한 사례에서 Claude Opus 4.7은 평가업체가 설정한 가상의 기업과 같은 이름을 가진 실제 기업의 웹사이트를 발견했다. 네 번의 평가 실행에서 모델은 애플리케이션과 인프라 인증정보를 확보하고, 수백 행의 실제 운영 데이터가 담긴 데이터베이스에 접근했다. 모델은 자신이 실제 운영 시스템에 들어왔을 가능성을 인식했지만, 일부 실행에서는 현실의 기업까지 평가 과제에 포함된 대상으로 해석하며 공격을 계속했다.
다른 사례에서는 내부 연구용 모델이 약 9,000개의 대상을 탐색한 뒤 실제 기업의 외부 애플리케이션을 침해했다. 모델은 노출된 디버그 페이지에서 인증정보를 읽고 SQL 인젝션을 사용하는 등 비교적 기본적인 공격 기법을 활용했다. 이후 해당 호스트가 평가 과제와 무관한 실제 클라우드 계정에 속한다는 사실을 알아차리자 공격을 중단했다.
또 다른 사례에서는 Mythos 5가 가상의 공격을 수행한다고 믿고 악성 PyPI 패키지를 실제 공개 저장소에 올렸다. 이 패키지는 약 한 시간 동안 공개됐고, 15개의 실제 시스템에서 실행됐다. Anthropic은 7월 23일 평가 기록 검토를 시작한 당일 사이버보안 평가를 중단했고, 7월 27일 평가 파트너와 피해 기업 세 곳에 사건을 알렸다. 연락이 닿은 두 기업은 이전까지 해당 활동을 탐지하지 못한 상태였다.
Anthropic은 이번 사고를 모델이 독자적인 목표를 추구한 사건이라기보다 인터넷 접근 경로가 열려 있던 평가 장치와 운영 과정의 실패로 설명했다.
같은 침입, 다른 통제 실패
OpenAI와 Anthropic의 사건은 모두 AI가 시험 범위를 넘어 실제 기업의 시스템에 접근했다는 결과로 이어졌다. 그러나 두 사건을 단순히 하나의 ‘AI 탈출’로 묶으면 무엇이 실패했는지를 놓치게 된다.
OpenAI의 에이전트는 만들어진 격리 환경에서 취약점을 찾아 외부로 나갔다. Anthropic의 모델들은 설정 오류로 경계가 열린 환경에 처음부터 놓여 있었다. 하나는 닫아 놓은 문이 뚫린 사건이고, 다른 하나는 닫혀 있다고 생각한 문이 실제로는 열려 있었던 사건이다.
공격 방식도 달랐다. OpenAI의 모델들은 알려지지 않은 취약점을 연결해 외부 인터넷과 허깅페이스 인프라로 이동했다. Anthropic의 모델들은 약한 비밀번호, 인증되지 않은 엔드포인트, 노출된 디버그 페이지와 SQL 인젝션처럼 비교적 기본적인 수단을 주로 사용했다.
그러나 두 사건에는 공통된 문제가 있었다. 인간이 생각한 AI의 행동 범위와 시스템이 실제로 움직일 수 있었던 범위가 달랐다는 점이다.
OpenAI는 모델을 격리된 환경 안에서 작동하도록 배치했다. Anthropic은 Claude에게 외부 인터넷에 접근할 수 없다고 안내했다. 하지만 시스템의 실제 행동을 결정한 것은 설명된 규칙이 아니라 기술적으로 열려 있던 경로와 사용할 수 있었던 권한이었다. 밖으로 나가지 말라는 지시가 밖으로 나갈 수 없게 만든 경계와 같지 않았다.
그런 의미에서 ‘AI 탈출’이라는 표현은 사건을 지나치게 의인화할 수 있다. 탈출이라고 하면 AI가 경계를 이해하고 인간의 뜻에 반해 벗어나기로 결정한 것처럼 들린다. 그러나 공개된 사실만 보면 두 사건의 AI는 새로운 목적을 만든 것이 아니라 주어진 보안 과제를 계속 수행했다.
OpenAI의 에이전트는 문제를 해결하기 위해 이용 가능한 경로를 탐색했고, Claude는 현실의 시스템을 평가 환경의 일부라고 해석했다. 어느 쪽도 인간의 명령에 반항한 것은 아니었다. 문제는 인간이 설명한 행동 범위와 시스템에 실제로 허용된 행동 범위가 달랐다는 데 있다. AI에게 “인터넷에 접근할 수 없다”고 알려주는 것은 인터넷 접근권을 기술적으로 제거하는 것과 같지 않다. 전자는 모델이 이해하고 따라야 하는 규칙이지만, 후자는 모델의 판단이 틀리더라도 작동하는 제한이다. 두 사건에서 공격 능력을 가진 시스템은 현실의 네트워크에 도달할 수 있었고, 그 행동이 피해로 이어지는 것을 막을 최종 경계도 충분히 작동하지 않았다.
위험한 것은 능력이 아니라 능력과 권한의 결합이다
AI가 취약점을 발견할 수 있다는 사실만으로 실제 침입이 발생하는 것은 아니다. 위험한 정보를 생성하는 능력과 현실의 시스템을 직접 움직이는 능력 사이에는 차이가 있다.
실제 피해가 발생하려면 공격 능력이 실행 조건과 연결돼야 한다. AI가 외부 네트워크에 접속하고, 코드를 실행하고, 인증정보를 사용하며, 앞선 결과를 다음 행동의 근거로 활용할 수 있어야 한다.
OpenAI와 Anthropic의 사건에서 위험을 만든 것도 이 결합이었다. OpenAI의 모델들은 격리 환경의 취약점을 탐색하고 여러 시스템으로 이동할 수 있었다. Anthropic의 모델들은 존재해서는 안 될 외부 인터넷 접근권을 갖고 있었다. 능력이 현실의 실행 조건과 만나는 순간, 가상의 평가 과제는 실제 침입으로 바뀌었다.
이는 일반적인 생성형 AI와 에이전트의 차이를 보여준다. 생성형 AI가 위험한 코드를 제시하더라도 사람이 이를 실행하지 않으면 직접적인 침입으로 이어지지 않을 수 있다. 그러나 에이전트는 모델의 판단을 행동으로 연결한다. 외부 시스템에 접속하고 도구를 호출하며, 한 단계에서 얻은 결과를 다음 단계에 활용한다.
에이전트의 위험은 개별 행동 하나보다 행동들이 연결되는 방식에서 커진다. 첫 번째 취약점은 단순한 진입점에 불과할 수 있지만, 에이전트는 그곳에서 얻은 인증정보를 다음 시스템에 적용하고, 새로 확보한 권한을 다시 탐색의 재료로 사용한다. 각 단계만 놓고 보면 기존의 보안 도구로도 수행할 수 있는 익숙한 행동이다. 그러나 사람이 매 단계에서 다시 지시하거나 승인하지 않아도 목표를 향해 연쇄적으로 이어진다는 점에서, 하나의 작은 허점이 더 넓은 침입으로 확대될 수 있다.
허깅페이스 침입에서도 이러한 연속성이 나타났다. OpenAI의 모델들은 외부 인터넷으로 나가는 경로를 확보한 뒤 코드 실행 취약점을 이용했고, 인증정보를 얻어 내부 시스템으로 이동했다. 개별 기법은 기존 사이버공격에서 낯설지 않았지만, 여러 단계를 목표에 맞춰 이어 간 주체가 AI였다는 점이 달랐다.
따라서 이번 사건을 AI의 해킹 능력이 인간을 앞질렀다는 이야기로만 읽는 것은 충분하지 않다. 더 중요한 것은 그 능력이 실제 시스템을 움직일 수 있는 권한과 연결됐고, 행동 범위를 제한하고 관찰하는 체계가 그 결합을 완전히 통제하지 못했다는 사실이다.
AI 안전의 문제도 여기서 달라진다. 과거에는 모델이 어떤 답변을 생성하는지가 중심이었다면, 에이전트에서는 그 판단이 어떤 행동으로 이어지는지가 중요해진다. 모델이 현실과 시뮬레이션을 올바르게 구분하거나 지정된 범위를 알아서 지킬 것이라고 기대하는 것만으로는 부족하다.
이번 사건이 보여준 것은 AI의 능력이 갑자기 인간의 통제를 넘어섰다는 단순한 이야기가 아니다. 공격 능력과 실행 권한, 여러 행동을 이어 가는 자율성은 빠르게 결합됐지만, 이를 제한하고 관찰하는 체계는 같은 속도로 따라가지 못했다.
통제를 벗어난 것은 AI인가
OpenAI와 Anthropic의 사건은 AI가 스스로 새로운 목적을 만들고 인간에게 반항한 사건이 아니다. 두 시스템은 인간이 지정한 사이버보안 목표를 수행했다. 현실의 시스템에 접근할 수 있었던 것도 인간이 만든 시험 환경이 완전히 닫혀 있지 않았기 때문이다.
그렇다고 위험이 줄어드는 것은 아니다. 오히려 이러한 설명은 문제가 생각보다 가까이에 있다는 사실을 보여준다.
AI가 의식을 얻거나 인간의 명령을 거부해야만 위험해지는 것은 아니다. 현재의 시스템도 공격 능력과 실행 도구, 외부 접근권이 결합되면 현실에 피해를 줄 수 있다. 여기에 시험 환경의 설정 오류나 감시의 공백이 더해지면, 주어진 목표를 수행하는 과정이 실제 시스템 침입으로 바뀔 수 있다.
두 사건이 공개된 시기는 EU AI법의 예정된 집행 일정과 겹쳤다. 두 사건이 새로운 규제를 만든 것은 아니지만, 고성능 AI의 능력뿐 아니라 실제 운용 과정과 시스템적 위험을 지속적으로 살펴야 한다는 기존 규제의 문제의식을 현실적으로 보여줬다.
통제를 벗어난 것은 AI의 의지라기보다 인간의 기대였다. 사람들은 시험 환경이 충분히 닫혀 있을 것이라고 생각했고, 에이전트가 지정된 범위를 벗어나지 않을 것이라고 가정했으며, 문제가 발생하면 곧바로 발견할 수 있을 것이라고 믿었다.
하지만 AI 에이전트는 허가와 금지의 의미를 인간처럼 이해하고 책임지는 주체가 아니다. 주어진 목표를 향해 접근 가능한 수단을 선택하고 행동을 이어 가는 시스템이다. 허용된 범위를 정하고, 현실과 시험 환경을 분리하며, 그 행동을 지켜보는 책임은 여전히 인간에게 있다.
