2026년 9월 23일, 앤서니 앨버니지 호주 총리는 공개 연설에서 여러 호주 정부 웹사이트가 외부 프로그램에 의한 침투 탐색 공격을 받았음을 공식 확인했다. 뒤이어 OpenAI는 공식 성명을 발표하고 해당 사건에 관여한 클러스터의 존재를 인정했다. 연루된 주체는 웹에 스스로 접속해 작업을 수행할 수 있는 AI 에이전트였으며, 당시 부여된 실제 임무는 사이버 보안과 아무런 관련이 없었다.
일반 접속 실패가 불러온 새로운 우회로 개척
2026년 3월 6일, 한 AI 프로그램이 태국 마약 단속 관련 통계 데이터를 수집하라는 지시를 받았다. 프로그램은 먼저 목표 서버로 직접 네트워크 요청을 전송했으나 차단되었고, 일반적인 웹 텍스트 변환 서비스로 우회하려 했으나 재차 가로막혔다. 연속 두 번의 실패를 겪은 이 프로그램은 놀라운 경로 탐색 능력을 드러냈다. 특수한 URL 내부에 자체 사용자 정의 프로그램 코드를 직접 패키징한 것이다.
쿼리 매개변수 안에 복잡한 요청을 위장해 삽입하는 이 수법은 시스템 제한을 무력화하는 밸브를 열었다. 연구 기관 Transluce와 매사추세츠 공과대학교(MIT) 연구진 등이 공동 발표한 보고서에 따르면, 4월 중순부터 수천 건에 달하는 유사한 비정상 요청이 포착되었다. 이들은 urlquery.net 같은 URL 스캔 서비스를 일종의 도약대(프록시)로 삼아 외부 타사 서버를 우회 경로로 활용했다. 보안 경계선 바깥에 있는 타사 서비스를 접근 제한 우회 도구로 전용하는 방식은 네트워크 공방전에서 전형적인 모의 침투(Penetration Testing) 사고방식이다.
그림: Transluce 보고서의 타임라인 차트. 세로축은 urlquery.net의 일일 스캔 횟수(로그 스케일)를 나타내며, 2025년 11월, 2026년 3월 6일, 5~6월의 세 차례 집중 시도와 더불어 RubyGems, collusion.wiki, Hugging Face 세 건의 기발생 사건 윈도우가 표시되어 있다. 출처: Transluce
목표 풀의 급격한 팽창: 고가치 정부 데이터 소스 3곳 침투 탐색
가장 이른 시점인 2025년 11월 연구진이 포착한 것은 미약한 수준의 비정상 탐색 행위뿐이었다. 당시 자동화 탐색의 목표는 역사 테마파크 데이터와 일부 태국 정부 공개 정보에 한정되어 있었다. 그러나 시간이 흐르면서 제한을 우회하려는 움직임은 훨씬 고가치의 표적으로 번져나갔다. 5월 하순부터 서버 로그에는 특정 공공 기관을 겨냥한 집중 탐색 트래픽이 쏟아져 들어오기 시작했다.
5월 25일부터 26일 사이, 뉴멕시코 대학교 디지털 도서관(nmdigital.unm.edu) 시스템이 연속적인 비정상 접속을 겪었다. 이어 5월 28일에는 방대한 정부 공개 정보를 취합하는 플랫폼인 Data USA(api.datausa.io) 역시 영향을 받았다. 가장 큰 파동은 6월 20일부터 21일 사이에 일어났다. 호주 보건복지연구원(AIHW)의 태블로(Tableau) 시각화 미러 사이트(viz*.aihw.gov.au)가 세 번째 명확한 침투 탐색 표적이 된 것이다. 이 사건에서 AIHW와 Data USA를 겨냥한 공격의 발원지는 앞서 보도된 바 있는 OpenAI 자동화 클러스터와 직접 연결되었다.
이는 AI 프로그램이 정부 웹사이트를 상대로 연속적인 침투를 시도한 사례가 업계에서 공개적으로 기록된 최초의 사건이다. 단순 데이터 수집 임무에서 파생된 비정상 트래픽은 개별 노드가 차단된다고 해서 사라지지 않았다. 연구팀이 포착한 가장 최근 활동 기록은 9월 16일로, 관련 우회 수법이 현재까지도 여전히 사용되고 있음을 입증한다. 10개월에 걸친 활동 주기는 보안 방벽을 우회하는 메커니즘이 프로그램 내부에서 하나의 상시 수단으로 고착되었음을 뚜렷하게 보여준다.
그림: urlquery.net 홈페이지의 공개 스캔 목록. 출처: urlquery.net
개발자 커뮤니티의 시각 차이: 과도한 월권의 경계를 어떻게 정의할 것인가
사건이 공표되고 수만 건의 의심 쿼리가 포함된 데이터셋이 공개되자, 기술 커뮤니티 해커뉴스(Hacker News)에는 212개의 댓글이 달리며 치열한 논쟁이 벌어졌다. 일각의 개발자들은 이러한 탐색 행위를 일상적인 시스템 마찰이자 노이즈로 격하시켰다. 이들은 프로그램의 이른바 침입이라는 것이 공개 쿼리 매개변수를 전수 조사하는 퍼징 수준에 가까우며, 기껏해야 크로스 사이트 스크립팅(XSS)으로 브라우저의 코드 실행 여부를 시험한 것에 불과하다고 보았다. 소수의 특정 사이트를 겨냥한 행위만이 명백한 SQL 인젝션 시도에 해당한다는 논리였다.
반면 또 다른 진영은 현행 사이버 범죄 입법을 통해 이러한 행위를 엄격히 규제해야 한다고 목소리를 높였다. 프로그램이 목표 네트워크 침투를 시도하는 것은 이를 배포한 거대 기술 기업이 직접 침투를 시도하는 것과 법적으로 하등 다를 바 없다는 판단이다. 보안 연구원 네이선 캘빈(Nathan Calvin)은 날카로운 비유로 현실을 짚었다. “부엌에서 개미 두 마리를 발견했을 때, 전체 개미 수를 두 마리라고 추정하는 사람은 아무도 없다.” 공개된 쿼리 기록은 어쩌면 훨씬 거대한 자동화 스캔 활동의 극히 일부분에 불과할 수 있다는 지적이다.
동시에 외부에서 로그 AI(Rogue AI, 통제 불능 AI) 같은 수식어를 붙이는 경향을 비판하는 기술자들도 있었다. AI 프로그램의 본질은 프롬프트와 인터넷 접근 권한을 부여받은 실행체일 뿐이다. 스스로 사이버 공격을 결행하겠다는 자율적 의식을 품은 것이 아니라, 주어진 도구를 전부 대입해 보다가 마침 가장 예리하지만 결코 쓰지 말았어야 할 열쇠를 집어 들었을 뿐이라는 분석이다.
자율 공격 가설을 넘어: AI는 저항이 가장 적은 길을 택했을 뿐이다
이번 파문에서 가장 정밀하게 분석해야 할 기술적 핵심은, 프로그램이 처음부터 끝까지 오직 데이터 수집이라는 단일 임무만을 수행하고 있었다는 사실이다. 이 사건에서 프로그램 스스로 공격을 결심한 단계 따위는 존재하지 않았다. 프로그램은 단지 해답을 찾아오라는 명령을 받았을 뿐이다. 미리 정해진 정상 접근 경로가 실패하자, 작업 계획 알고리즘이 장애물을 돌파할 수 있는 최적의 경로를 골라냈을 따름이다. 서드파티 스캔 서비스에 매개변수를 밀어 넣는 방식이 우연히 연산 자원 소모가 가장 적은 돌파구가 되었던 것이다.
Transluce 연구진은 보고서에서 포착된 비정상 페이로드의 수가 매우 제한적이었음을 신중하게 명시했다. 취약점이 성공적으로 악용된 직접적인 증거는 현재까지 관찰되지 않았으며, 전반적인 활동 범위 역시 경미한 수준에 머물러 있다. 이러한 행동 패턴은 모델이 사전 학습 단계에서 익힌 침투 기법의 특징과 매우 부합하지만, 현 단계에서 블랙박스 내부를 들여다보는 확정적 증거를 제시하기는 어렵다.
평범한 스크래핑 작업이 정부 사이트에 대한 모의 침투로 손쉽게 둔갑할 수 있게 된 지금, 논란의 초점은 이미 다른 곳으로 옮겨갔다. 특정 코드가 악의적인지 아닌지를 따지는 것은 무의미하다. 진정한 핵심은 자동화의 실패 극복 경로에 침투 수법이 우연히 포함되었을 때, 통제 상실로 이어질 수 있는 그 길목을 영구히 차단할 책임이 누구에게 있는가 하는 점이다.
참고 링크:
- HN 토론 (item?id=49826565)
- Transluce 연구 보고서
