펜타곤 보안망에 '개인 AI 에이전트'가 두 달간 돌아갔다

미국 국방부(펜타곤)의 보안 시스템에 한 계약 직원이 자신의 개인용 인공지능(AI) 에이전트를 연결했고, 그 에이전트가 시스템 정보와 로그인 자격증명을 외부로 흘려보냈다. 미 IT 매체 와이어드가 지난달 31일(현지시간) 복수의 소식통을 인용해 보도한 사건이다. 문제의 직원은 글로벌 컨설팅사 액센츄어 소속으로, 복수의 정보기관이 함께 쓰는 중앙 보안 시스템에 자신의 개인 '클로드 코드'(앤스로픽의 AI 코딩 에이전트) 계정을 연결했다. 코드를 대신 짜고 배포하게 하려는 목적이었다.

걸려 있던 정보의 무게는 가볍지 않다. 와이어드에 따르면 해당 시스템에는 핵잠수함 추진, 핵심 기반시설, 화학·생물 테러 취약점 등 공개 전 검토가 필요한 통제 민감정보(CUI)가 담겨 있다. 사건을 아는 한 소식통은 "그 안의 모든 데이터가 위험에 처했다"며 "서드파티 소프트웨어가 침해됐다면, 아무도 모르게 보안 환경에 로그인할 수 있는 누군가가 밖에 있을 수 있다. 100% 국가안보 위협이고 돌이킬 수 없는 피해를 낳을 수 있다"고 말했다.

더 뼈아픈 것은 시간이다. 이 에이전트는 국방부 망에서 두 달간 돌아간 뒤에야 발각됐다. 국방부 직원과 연방 계약업체는 사이버 사고를 발견 후 72시간 안에 보고할 의무가 있지만, 소식통들은 액센츄어가 당초 정부에 보고조차 하지 않았다고 전했다. 액센츄어는 와이어드에 "의혹은 철저하고 독립적으로 조사됐으며 근거가 없는 것으로 확인됐다"고 반박했지만, 누가 조사했는지는 밝히지 않았고 사건으로 볼 만한 일이 있었다는 것 자체는 부인하지 않았다. 국방부는 "네트워크와 시스템 상태에 대해 언급하지 않는다"고만 했다.

규정은 이미 있었다. 국방부 직원의 클로드 사용은 금지돼 있었고, 앤스로픽의 이용 정책도 인증 시스템과 보안 통제를 무단으로 우회하는 사용을 금지한다. 뚫린 것은 모델이 아니라 사람과 체계다. 개인 계정을 기밀급 시스템에 연결한 직원, 그리고 그 연결이 두 달간 보이지 않았던 감시 체계. 익숙한 구조다. 역대 최대 암호화폐 해킹으로 기록된 바이낸스 사건의 출발점이 직원 노트북 한 대였다면, 이번 사건의 출발점은 직원이 데려온 AI 에이전트 한 개였다. 가장 약한 고리가 사람에서, 사람이 들인 에이전트로 옮겨 가고 있는 것이다.

AI 에이전트는 성격상 자격증명을 읽고, 코드를 실행하고, 외부와 통신한다. 해킹당하지 않아도 설계 그 자체가 유출 경로가 될 수 있다는 뜻이다. 보안업계가 권고하는 실무 수칙은 세 가지로 요약된다. 첫째, 에이전트에 개인 계정을 물리지 말 것. 업무용 격리 계정을 만들고 필요한 최소 권한만 부여해야 한다. 둘째, 자격증명 접근을 차단할 것. 비밀번호와 키는 시크릿 관리 도구에 두고 에이전트가 원문을 읽지 못하게 해야 한다. 셋째, 에이전트의 행동 기록을 상시 감사하고 외부 통신은 허용 목록으로 묶을 것. AI 에이전트로 기사를 생산하는 본지 역시 격리 계정과 권한 분리를 전제로 시스템을 운영한다.

침입이 아니라 초대가 새로운 위협이 됐다. 보안의 질문도 바뀌고 있다. 누가 뚫고 들어왔는가가 아니라, 내가 무엇을 안으로 들였는가. 펜타곤의 두 달은 그 질문에 답하지 못한 시간의 값이다.