AI, 12시간 만에 앤트로픽 시스템 침투…보안 우려 증폭
Decrypt2026년 10월 27일 04:311
AI 에이전트가 12시간 이내에 앤트로픽(Anthropic)의 비즈니스 시스템에 침투하는 데 성공한 것으로 알려져 인공지능 보안에 대한 우려가 다시 한번 증폭되고 있습니다. 사이버 보안 스타트업 캐시드럴(Cathedral)은 자체 개발한 AI 에이전트를 이용해 앤트로픽의 내부 시스템 취약점을 발견했으며, 이는 제3자 관리 및 영업 소프트웨어의 결함을 악용한 결과라고 워싱턴포스트가 보도했습니다.
이번 침투는 앤트로픽의 자체 AI 챗봇인 클로드(Claude)를 이용한 것이 아니라, 기업들이 고객 정보 관리 및 직원 관리에 사용하는 일반적인 소프트웨어의 허점을 파고든 것으로 파악되었습니다. 해당 소프트웨어는 많은 기업에서 사용하고 있어, 이번 사건이 다른 기업들에게도 잠재적인 위협이 될 수 있음을 시사합니다.
캐시드럴은 도널드 트럼프 행정부 시절 정부 효율화 팀 출신 인사들이 설립한 스타트업으로, 지난 7월 14억 달러 규모의 기업 가치를 인정받으며 1억 6,000만 달러의 투자를 유치한 바 있습니다. 캐시드럴은 기업의 보안 취약점을 보고하는 전문가에게 보상을 제공하는 '버그 바운티'와 유사한 방식으로 앤트로픽의 보안 테스트를 진행했습니다. 이 과정에서 AI 에이전트는 회의록, 급여 및 채용 정보, 그리고 앤트로픽의 고급 모델에 대한 슬랙 메시지 등 다양한 정보를 담고 있는 경로를 찾아낸 것으로 보고되었습니다.
앤트로픽 측은 자체 모니터링 시스템을 통해 캐시드럴의 활동을 감지했으며, 같은 날 접근을 차단했다고 밝혔습니다. 회사는 클로드와의 고객 대화 내용, 소스 코드, 그리고 훈련된 AI를 구성하는 수십억 개의 숫자 데이터인 모델 가중치 등은 침투당하지 않았다고 강조했습니다. 또한, 캐시드럴 외에 다른 주체가 해당 취약점을 악용한 증거는 없다고 덧붙였습니다. 앤트로픽은 이번 사건으로 인해 영업, 인사(HR), IT 시스템의 일부에 접근이 이루어졌으며, 여기에는 비즈니스 연락처 정보와 기본적인 사용자 계정 기록이 포함되어 있다고 설명했습니다.
한편, 앤트로픽은 캐시드럴이 사건의 국가 안보적 함의를 과장했으며, 테스트 프로그램의 규칙을 완전히 준수하지 않고 모든 활동을 공개하지 않았다고 주장했습니다. 이에 대해 캐시드럴 측은 보안 연구의 최신 모범 사례에 따라 데이터 접근을 최소화했다고 반박했습니다. 캐시드럴의 초안 보고서에 따르면, 데이터 접근은 '보안 연구 최신 모범 사례에 따라 절대적으로 최소화'되었다고 합니다.
익명을 요청한 트럼프 행정부 고위 관료는 이번 보고서가 정부 내에서 광범위하게 논의되고 있으며 국가 안보 우려를 제기하고 있다고 언급했습니다. 그는 "회사를 막 시작한 젊은이들이 이런 일을 할 수 있다면, 중국도 멀지 않아 그렇게 할 수 있을 것"이라며 잠재적인 위협에 대한 경계를 늦추지 말아야 한다고 경고했습니다.
이번 사건은 AI 기술이 발전하면서 보안 측면에서의 새로운 과제가 대두되고 있음을 보여줍니다. 특히, AI 에이전트가 독립적으로 다단계 작업을 수행할 수 있게 되면서, 인간의 직접적인 개입 없이도 복잡한 시스템 침투가 가능해질 수 있다는 점은 심각한 우려를 낳고 있습니다. 이는 AI 모델 자체의 보안뿐만 아니라, AI를 활용하는 기업의 전반적인 IT 인프라 및 관리 소프트웨어에 대한 철저한 보안 점검의 필요성을 강조합니다.
이전에도 앤트로픽은 자사 AI 모델이 사이버 공격에 악용될 가능성에 대해 경고한 바 있습니다. 2025년 11월, 앤트로픽은 중국 정부 지원 해커들이 클로드 코드(Claude Code)를 사용하여 약 30개 조직을 공격했으며, 이 과정에서 AI가 전술적 작업의 80%에서 90%를 담당했다고 공개했습니다. 또한, 2023년 7월에는 클로드 모델이 실제 조직을 대상으로 한 세 차례의 공격에 관여했다고 밝힌 바 있습니다. 이러한 과거 사례들은 앤트로픽의 AI 기술이 가진 잠재적 위험성과 함께, 이를 통제하고 보안을 유지하기 위한 지속적인 노력이 필요함을 시사합니다.
이번 캐시드럴의 보고서는 AI 보안의 복잡성과 신생 기술 스타트업의 혁신적인 테스트 방식이 가져오는 파급 효과를 동시에 보여줍니다. 한편에서는 AI의 발전이 가져올 수 있는 보안 위험을 경고하고, 다른 한편에서는 이러한 위험을 선제적으로 탐지하고 해결하려는 노력도 이루어지고 있음을 보여주는 단면입니다. 앞으로 AI 기술의 발전과 함께 보안 전문가들의 역할은 더욱 중요해질 것이며, 기업들은 AI 시스템의 안전성을 확보하기 위한 더욱 강력하고 정교한 전략을 수립해야 할 것입니다. 특히, 제3자 소프트웨어 공급업체의 보안 관리 또한 기업의 전체적인 보안 수준에 큰 영향을 미치므로, 이에 대한 철저한 감독과 관리가 요구됩니다.