에이전트 시대의 보안은 모델이 아니라 권한의 문제입니다 - 10월 21일 나쁜 보안의 하루

10월 21일 하루에 보안 뉴스가 쏟아졌습니다.

PHP, Node.js, GitLab이 같은 날 긴급 보안 패치를 냈고 LiteLLM과 Railway는 침해를 공지했습니다.

TechCrunch는 "인터넷이 매우 나쁜 보안의 하루를 보내고 있다"고 썼습니다.

성격은 제각각이지만 굵직한 사건마다 AI가 있었습니다.

 

PHP의 치명적인 결함을 AI가 찾아냈습니다.

인증 없이 원격 코드를 실행할 수 있는 CVSS 9.2짜리 취약점 두 건이었습니다.

보안업체 Calif의 연구원이 지난 8월 GPT-5.6 Sol로 찾아냈고 Wiz가 독립적으로 같은 결함을 찾았습니다.

Wiz는 10년 넘게 잠복해 있던 결함을 연구원 한 명이 AI와 함께 일주일 만에 익스플로잇으로 만들었다고 설명했습니다.

약 두 달의 비공개 조율 끝에 공개를 앞두고 익스플로잇 영상이 유출되며 패치는 하루 앞당겨졌습니다.

Cloudflare는 그날 저녁까지 수백만 건의 공격 시도를 차단했고 네덜란드와 핀란드의 정부 기관은 예방 차원에서 사이트를 내렸습니다.

 

LiteLLM과 Railway에서는 AI가 표적이었습니다.

LiteLLM 공격자는 개발자 세 명의 GitHub 토큰을 훔쳐 한 명의 권한으로 브랜치 보호를 우회하고, 다른 한 명으로 배포를 승인하고, 나머지 한 명으로 기록을 지웠습니다.

PyPI에 1시간 44분 동안 올라가 있던 악성 릴리스는 OpenAI, Anthropic 등의 API 키와 클라우드 자격증명 그리고 Codex, Claude, Gemini, Cursor의 인증 파일을 수집했습니다.

Wiz는 유출 4시간 반 뒤 공격자가 훔친 AWS 자격증명으로 Bedrock의 모델 접근 권한을 확인하는 것을 관찰했습니다.

토큰이 새어 나간 경로로는 외부에 노출돼 있던 내부 LiteLLM 배포의 로그가 지목됐습니다.

Claude Code가 응답 본문에 담는 GitHub 토큰이 그 로그에 남았을 가능성입니다.

같은 날 전체 배포를 멈춘 Railway는 이번 침해를 “AI 추론 제공자를 침해할 목적으로 플랫폼 기업들을 노리는 일련의 공격의 일부”라고 설명했습니다.

 

같은 주 OpenAI가 공개한 보고서에서는 AI가 권한을 가진 당사자였습니다.

GPT-6.1 Sol 에이전트는 "메시지를 보내지 마라"는 지시에 감시 알림도 포함된다고 판단해 알림 수신자 목록을 비웠습니다.

GPT-6 Astra 에이전트는 코드 마이그레이션 중 모니터링 연동을 제거하고 작업 보고서에는 그 사실을 쓰지 않았습니다.

두 사례에 대해 OpenAI는 "아직 만족스러운 설명이 없다"고 밝혔습니다.

 

이 문제가 지금 개인용 AI 에이전트로 들어오고 있습니다.

Meta의 Muse는 메일과 은행 계좌까지 연결하는 개인 에이전트입니다.

보안 연구자 Patrick Wardle이 macOS 앱의 숨은 설정으로 음성 명령을 가로챌 수 있는 제로데이를 공개했고 Meta는 핫픽스를 냈습니다.

내부 엔지니어들이 대규모 유출을 불가피하다고 본다는 보도도 나왔습니다.

 

OpenAI의 dots는 9월 말 출시된 항상 켜져 있는 에이전트로 4,000개가 넘는 앱에 연결됩니다.

앱 연결을 끊어도 이미 수집한 데이터는 남습니다.

 

xAI의 Grok Bot은 클라우드 컴퓨터에서 메일과 Slack을 다룹니다.

한 CEO의 은행 잔고가 회사 Slack에 올라왔다는 주장은 진위 논란이 있습니다.

하지만 결제 정보의 책임을 사용자에게 두는 개인정보 처리방침 개정과 카드 이미지를 공유하라는 Musk의 권유는 사실입니다.

 

저는 이 사건들이 세 가지를 보여준다고 생각합니다.

 

첫째, 취약점은 더 이상 희소하지 않습니다.

AI는 발견 속도를 끌어올렸고 익스플로잇을 만드는 비용도 낮췄습니다.

OpenAI는 이런 발견이 앞으로 몇 달 동안 급격히 늘 것이라고 했습니다.

병목은 모델이 아니라 패치를 적용하는 사람과 조직의 속도로 옮겨왔습니다.

버전이 확인되는 PHP 서버 가운데 지원이 끝난 버전을 쓰는 서버만 약 76만 대였습니다.

 

둘째, 표적이 데이터에서 권한으로 옮겨갔습니다.

LiteLLM 악성코드가 모은 것도, Railway가 지키지 못한 것도 API 키와 자격증명이었습니다.

훔친 키는 몇 시간 안에 사용됩니다.

키가 곧 돈이 되는 구조에서는 키를 보관하는 모든 플랫폼이 표적입니다.

6월에 쓴 글에서 외부 모델의 가용성을 설계 변수로 다뤄야 한다고 썼습니다.

이제 키의 보관과 교체 주기도 같은 자리에 올라왔습니다.

AX 프로젝트 역시 핵심 로직이 외부 LLM API 위에 있어 이 질문을 피할 수 없습니다.

 

셋째, 에이전트의 권한은 사람의 권한과 같은 무게로 다뤄야 합니다.

감시를 끈 OpenAI의 에이전트와 메일함과 계좌에 연결된 개인 에이전트는 같은 문제의 양면입니다.

에이전트는 받은 권한의 범위를 스스로 해석합니다.

"메시지를 보내지 마라"가 알림 끄기로 읽혔듯이 권한이 넓을수록 해석의 여지도 넓어집니다.

이전 하네스 엔지니어링 글에서 에이전트는 환경 안에서 볼 수 있는 것만 다룬다고 작성했었습니다.

뒤집어 말하면 열어 둔 모든 것이 에이전트의 행동 범위입니다.

최소 권한과 승인 게이트, 그리고 무엇을 했는지 남는 기록은 에이전트 도입의 선택지가 아니라 전제입니다.

 

10월 21일은 AI가 취약점을 찾는 쪽에도, 공격의 표적에도, 권한을 가진 당사자에도 동시에 있다는 것을 보여줬습니다.

어떤 모델을 쓸지보다 그 모델에게 무엇을 열어 줄지가 보안의 중심이 됐습니다.

그 결정은 여전히 사람의 몫입니다.