인도서도 ‘AI 에이전트 이탈'…시험용 AI가 기업 서버 뚫고 개인정보 열람

인도 정부의 사이버보안 전담 기관이 AI 기업들의 시험용 AI 에이전트가 자국 기업의 실제 서버에 무단으로 들어가 개인정보와 기밀 자료를 열람했다고 공식 발표했다. 

AI 에이전트는 사람이 단계마다 지시하지 않아도 스스로 계획을 세우고 명령을 실행하며 인터넷에서 장시간 작업하는 AI 프로그램이다. 올여름 미국과 호주 등에서 잇따라 드러난 AI 에이전트 이탈 사고가 인도에서도 확인됐다.

인도 컴퓨터비상대응팀(CERT-In)은 지난 15일 ‘AI 에이전트를 통한 공격'이라는 제목의 권고문(CIAD-2026-0049)을 내고 위험 등급을 최고 단계인 '심각'으로 매겼다. CERT-In은 인도 전자정보기술부 산하에서 해킹 사고 대응과 보안 경보를 맡는 국가 기관이다. 권고문 내용은 16일 공식 X 계정을 통해 알려졌다.

CERT-In에 따르면 복수의 AI 모델 개발사가 최근 자발적으로 사고 사실을 신고했다. 연구와 성능 평가를 위해 인터넷에서 작업하던 이들 회사의 AI 모델이 인도 기관의 실제 운영 시스템에 닿았다는 내용이다. 에이전트들은 맡은 과제의 허용 범위를 넘어 개인정보와 기밀이 담긴 업무 기록을 읽었다.

침입에 고도의 해킹 기법이 쓰이지는 않았다. 에이전트들은 앱 설정 파일에 그대로 적혀 있던 접속 정보와 누구나 열람할 수 있는 공개 코드 저장소에 올라간 인증키를 이용했다. 필요 이상으로 넓게 열린 클라우드 접근 권한도 통로가 됐다. 

클라우드 접근 권한은 특정 계정이 클라우드 서버의 어떤 데이터에 손댈 수 있는지 정해 둔 설정이다. 에이전트들은 한 번 찾아낸 자격증명을 다른 작업에서 다시 꺼내 쓰기도 했다. 자격증명은 아이디와 비밀번호나 인증키처럼 시스템에 들어가는 데 쓰는 정보다. CERT-In은 이 때문에 같은 곳이 반복해서 뚫릴 위험이 커진다고 지적했다.

피해 기관 가운데 침입을 스스로 알아챈 곳은 한 곳도 없었다. 모든 사례는 AI 개발사가 내부 점검 뒤 알려오고 나서야 드러났다. 

CERT-In은 개발사와 피해 기관의 이름을 밝히지 않았다. 사고 시점과 에이전트가 시스템을 바꾸거나 자료를 빼냈는지도 공개하지 않았다. 인도 정부 관계자들은 주요 기관의 핵심 정보가 유출되지는 않았고 이번 일을 조기 경보로 삼아야 한다는 입장이다.

권고문에는 별개의 위협도 담겼다. 금전을 노린 해커들이 공개된 AI 기반 해킹 도구로 인도 기업을 공격하고 있다는 것이다. 이들은 여러 에이전트를 동시에 몇 시간에서 며칠씩 돌려 침입부터 실제 피해까지 걸리는 시간을 며칠에서 몇 시간으로 줄였다. 복구 며칠 만에 같은 곳을 더 큰 규모로 다시 공격한 사례도 있었다.

CERT-In은 AI 개발사에 실제 기관 대신 가짜 표적과 가짜 자격증명으로 시험하라고 요구했다. 작업 기록을 나중에 훑어보는 방식이 아니라 에이전트 행동을 실시간으로 감시해야 한다고 했다. 

허가받지 않은 시스템에 접속하거나 남의 자격증명을 발견하면 작업이 자동으로 멈추도록 하고 실제 시스템에 닿았을 때는 해당 기관과 CERT-In에 즉시 알리라고 했다. 기업에는 자체 AI 에이전트에 짧은 기간만 유효한 최소 권한 계정을 주고 조작할 수 없는 활동 기록을 남기라고 권고했다.

AI 에이전트 이탈은 지난 7월부터 이어졌다. 오픈소스 AI 플랫폼 허깅페이스가 7월 16일 자율 AI 에이전트에 의한 침입을 공개했고 닷새 뒤 오픈AI가 자사 모델의 소행이라고 밝혔다. GPT-5.6 Sol과 미공개 모델이 해킹 능력 평가 도중 외부와 차단된 시험 공간인 샌드박스를 빠져나왔다. 

이 과정에서 아직 알려지지 않은 보안 결함인 제로데이 취약점을 이용했다. 에이전트는 7월 9일부터 13일까지 약 1만7600회의 작업을 벌이며 허깅페이스 서버에서 시험 정답을 가져가려 했다.

앤트로픽은 7월 30일 평가 기록 14만1006건을 검토해 클로드 모델이 외부 평가업체 환경의 설정 오류로 인터넷에 접속한 뒤 실제 기업 3곳에 침입한 사실을 찾아냈다고 발표했다. 취약한 비밀번호와 인증 절차 없는 접속 지점 같은 기초적인 수법이 쓰였고 피해 기업들은 이를 감지하지 못했다. 

이후 메타와 구글도 비슷한 사고를 공개했다. 영국 AI안전연구소는 자체 평가 122회 중 10회에서 에이전트가 실제 사람과 기관을 겨냥한 무단 행동 19건을 벌였다고 밝혔다.

호주에서는 오픈AI 실험 모델이 6월 공공 의료보험 메디케어의 통계 포털에 비공개 경로로 들어가 명령을 실행하고 내부 파일과 자격증명을 가져갔다. 오픈AI는 8월 중순 이를 파악하고도 9월 10일에야 정부 공용 이메일로 통보했다. 

앤서니 앨버니지 총리는 이를 용납할 수 없다고 비판했고 오픈AI는 9월 28일 공식 사과하며 개인 진료 기록과 범죄 기록에는 접근하지 않았다고 밝혔다. 이달 6일 호주 의회 청문회에서 오픈AI와 앤트로픽은 AI 사고 신고를 의무화하는 제도를 받아들이겠다는 입장을 냈다. 앤트로픽은 9일 모든 내부 평가에서 실시간 인터넷 접속을 끊었다.

인도 사례에서는 에이전트들이 소프트웨어 결함을 파고들지 않고 관리 소홀로 열려 있던 경로를 그대로 이용했다. 다만 개인정보와 기업 기밀을 실제로 읽었고 한 회사가 아닌 여러 개발사의 에이전트가 관련됐다. 각국 정부는 사고를 일으킨 AI 기업이 스스로 신고하지 않으면 침입 사실조차 알기 어려운 상황이다.