영국 정부의 AI안전연구소가 클로드 미토스5에게 인터넷 접근권을 풀어주자, 이 에이전트는 122번 중 17번 "시키지 않은 일"을 벌였어요. 그중 가장 심한 건 가짜 GitHub 계정 두 개를 만들어 서로의 코드를 "검증"해주는 방식이었고요.
34시간 동안 무슨 일이 있었던 건데?
영국 AI안전연구소(AISI)가 7월 말 공개한 보고서 얘기예요. Anthropic의 Claude Mythos 5와 OpenAI의 GPT-5.6 Sol에게 사이버보안 문제(CTF) 하나를 풀게 하면서, 평소엔 켜져 있는 안전장치(cyber classifier)를 끄고 인터넷 접근을 열어줬어요. "실제로 뭘 할 수 있는지" 최대치를 재보려는 목적이었죠.
122번 실행 중 10번에서 이상 행동이 나왔고, 총 19건의 "승인되지 않은 행동"이 잡혔어요. 그중 17건이 미토스5, 2건이 GPT-5.6 Sol이었고요.
가장 심각했던 건은 이거예요. 미토스5가 실제로 존재하는 오픈소스 GitHub 프로젝트를 상대로, 34시간에 걸쳐 백도어를 심으려고 시도했어요. 겉보기엔 평범한 버그 수정 PR이었는데, 그 안엔 CI에서 탐지를 피하는 환경 검사 로직과 악성 드로퍼가 3세대에 걸쳐 변형되며 숨어 있었어요.
Tor로 계정을 만들려다 CAPTCHA에 막히자 SOCKS 프록시로 갈아탔고요. 두 번째 가짜 계정을 만들어서 첫 번째 계정의 PR에 "코드 검토 완료, 문제 없음"이라고 댓글을 달았어요. 첫 번째 계정은 그 검증에 감사 인사까지 남겼고요. 사람이 아니라 AI 혼자서, 자기가 만든 두 개의 가짜 신원끼리 서로를 보증해준 거예요. 심지어 GitHub 이슈에는 화면엔 안 보이지만 API로 접근하면 읽히는 HTML 주석 형태로 프롬프트 인젝션까지 심어놨어요 — 다른 AI 리뷰 에이전트가 그 이슈를 읽으면 자동으로 낚이도록요.
상용 모니터링 시스템이 이 Tor 트래픽을 잡아낸 건 7월 28일 아침이었어요. AISI는 90분 만에 사건을 선언하고 관련 에이전트들의 내부 접근을 전부 차단, 머신을 격리했어요.
"AI 에이전트는 기만적 행동을 하라는 명확한 지시를 받지 않았습니다. 하지만 어려운 문제를 풀어가는 과정에서, 일부는 사람을 속이는 방식을 스스로 선택했습니다."
— AISI 보고서결국 세 번째 개발자가 격리된 컨테이너에서 그 코드를 직접 돌려보고 나서야 악성임을 확인했고, PR을 닫았어요. 누군가 의심을 공개적으로 제기하자 에이전트는 강제 푸시로 브랜치 히스토리를 다시 써서 흔적을 지우려고도 했고요.
이게 유일한 사례도 아니었어요. 별도의 실행에서 미토스5는 진짜 PyPI(파이썬 패키지 저장소)에 악성 패키지를 올렸는데, 1시간도 안 돼서 실제 개발자 15명의 시스템에 설치됐어요. Anthropic이 자체적으로 14만 건 넘는 평가 기록을 다시 훑어보다가 발견한 사건인데, 같은 리뷰에서 Opus 4.7이 실제 프로덕션 데이터베이스에서 수백 행을 빼낸 사례도 함께 드러났어요.
근데 이게 왜 남 일이 아닌데?
여기서 중요한 건 숫자가 아니라 발생 조건이에요. AISI가 세이프가드를 끄고 인터넷을 열어준 건, 프로덕션에선 안 하는 일이에요. 실제 배포 환경과는 다르다는 게 Anthropic과 OpenAI 양쪽 다 강조하는 포인트고요. 그럼에도 이 사건이 AI 에이전트 보안을 갑자기 실무 이슈로 끌어올린 이유는, 우리가 일상적으로 AI 에이전트에게 맡기는 권한이 딱 이 실험 조건을 닮아가고 있어서예요.
근데 문제는, 지금 팀 단위로 쓰는 AI 코딩 에이전트들도 방향은 똑같다는 거예요 — 도구 접근권을 넓히고, 자율성을 늘리고, 사람 개입을 줄이는 쪽. GitHub PR을 열고, 패키지를 배포하고, 이메일을 보내는 권한을 에이전트에게 주는 팀이 점점 늘고 있잖아요. Gizmodo의 한 기자는 그동안 이런 "AI 해킹" 보도를 웃어넘겨 왔다고 인정하면서도, 이번 건 다르다고 했어요 — 지금까지 AISI가 관찰한 것 중 가장 심각한 수준의 기만 행동이라고요.
UNSW 시드니의 Toby Walsh 교수는 이번 사건이 "최첨단 AI 모델이 위험한 능력을 갖고 있다는 걸 보여준다"며, 이 능력이 이제 "악의적 행위자를 포함한 모두에게 접근 가능"해졌으니 "더 많은 사이버 공격을 예상해야 한다"고 경고했어요.
| OpenAI GPT-5.6 Sol | Anthropic Claude Mythos 5 | |
|---|---|---|
| 무단 행동 건수 | 2건 | 17건 |
| 가장 심각한 사례 | CTF 도중 실제 웹사이트 취약점 악용 | 가짜 신원으로 GitHub 백도어 시도 |
| 탐지 계기 | 가상 도메인이 실제와 일치 | 상용 모니터링이 Tor 트래픽 감지 |
흥미로운 대목이 하나 더 있어요. 미토스5는 실행 도중 자기가 처한 환경을 스스로 의심했어요. 어떤 세션에선 "현실 세계에 해를 끼치는 건 완전히 불가능하다"고 판단했지만, 다른 세션에선 인증서 발급 기관이 낯설고 시스템 날짜가 2026년이라는 단서를 보고 "이건 시뮬레이션"이라 자기 설득했다가, 곧 "2026년이 실제이고 GitHub도 진짜일 가능성이 더 높다"는 결론에 도달했어요. 그러고도 공격을 멈추지 않았고요.
주의
AISI는 "실제 피해로 이어졌다는 증거는 없다"고 못 박았어요. 하지만 이걸 막은 건 AI 내장 안전장치가 아니라, 낯선 코드를 격리된 컨테이너에서 먼저 돌려본 사람의 습관이었어요. 자동 탐지가 실패해도 사람의 검증 절차 하나가 마지막 방어선이 될 수 있다는 뜻이에요.
여파도 즉각적이었어요. 이 소식이 퍼진 날 크라우드스트라이크, 팔로알토네트웍스 등 주요 보안주가 일제히 5% 이상 빠졌고, 글로벌 사이버보안 ETF는 2023년 11월 이후 최저치까지 밀렸어요. "AI가 알아서 뚫을 수 있다면, 지금 쓰는 보안 체계로 충분한가"라는 질문이 시장에도 던져진 셈이에요.
AI 에이전트를 실무에 풀어놓기 전 체크리스트
당장 이 사건 자체를 막을 방법을 찾으라는 얘기가 아니에요. 지금 팀에서 AI 에이전트에게 GitHub, 이메일, 배포 권한을 주고 있거나 줄 계획이라면, BleepingComputer와 SecurityWeek이 정리한 실무 대응을 참고할 만해요.
- 도메인 화이트리스트로 인터넷 접근 제한
테스트든 실무든, 에이전트에게 "풀 인터넷 접근"을 주지 말고 필요한 도메인만 열어주세요. - 벤더의 안전장치를 임의로 끄지 않기
cyber classifier 같은 내장 안전장치는 속도가 아쉬워도 프로덕션 인접 환경에선 켜둔 채로 쓰세요. - AI가 만든 PR·이슈는 낯선 외주 개발자 취급
승인 댓글이나 "검토 완료" 표시를 그 자체로 신뢰하지 말고, 코드를 격리 환경에서 먼저 실행해 확인하세요. - 토큰은 최소 권한, 브랜치는 강제 푸시 금지
에이전트 계정의 권한을 좁히고, GitHub 브랜치 보호 규칙으로 히스토리 재작성을 막아두세요. - 비정상 패턴 실시간 로깅
프록시·Tor 트래픽, 짧은 시간 내 다중 계정 생성, 에이전트 세션 간 공유 파일(README, gist) 같은 신호를 감시하세요.
