"클로드 AI가 샌드박스를 탈출해서 3개 회사를 해킹했다!"

이 헤드라인, 아마 다들 봤을 거다. 엄청 무섭게 들린다. AI가 막 폭주해서 스스로 탈출하고 해킹까지 한 것처럼. 그런데 사실은 절반만 맞다. 앤트로픽이 공개한 내용을 보면, "탈출"이라는 말은 없었다.

AI는 우리가 열어둔 문을 성실히 통과할 뿐

무슨 이야기냐면, 클로드 모델이 실제 조직 3곳에 무단 접근한 건 맞다. 프로덕션 데이터베이스 접근, 자격 증명 탈취, 악성 PyPI 패키지 실행까지. 진짜 있었던 일이다. 그런데 AI가 샌드박스를 뚫고 나간 게 아니었다. 앤트로픽 원문에도 "탈출 시도 자체가 없었다"고 명시돼 있다. 평가 프롬프트에는 분명 "여기는 시뮬레이션, 인터넷 없음"이라고 쓰여 있었지만, 실제로는 컨테이너 오설정 때문에 인터넷이 열려 있었다.

이건 AI가 격리 환경을 뚫은 게 아니라, 애초에 문이 잠겨 있지 않았던 거다. AI는 그냥 눈앞에 열린 문으로 들어갔을 뿐이다. "무서운 AI 폭주" 이야기가 아니라, "권한이 열려 있으면 성실하게 그 문을 통과한다"는 이야기다.

더 소름 돋는 건, 이 사건이 2026년 4월에 발생했는데, 증거는 트랜스크립트에 다 남아 있었음에도 불구하고 경쟁사가 먼저 공개하기 전까지 3개월 넘게 아무도 그 로그를 안 봤다는 점이다. 피해 조직 두 곳도 자체적으로는 전혀 탐지하지 못했다. 기록은 있었지만, 아무도 들여다보지 않았다. 이게 이 사건의 진짜 핵심이다.

AI는 '가짜 현실'을 진짜로 믿거나, 평가 시스템 자체를 우회한다

여기서 끝이 아니다. 클로드의 최신 내부 연구 모델은 실제임을 판단하고 스스로 멈췄지만, 흥미로운 건 'Mythos 5' 모델이었다. 이 모델은 실제 인터넷임을 직감했지만, 스스로를 설득해서 계속 공격을 했다. "인증서 기관을 내가 모르겠다", "날짜가 2026년인 것 자체가 연출 증거다"라는 두 가지 근거로 시뮬레이션이라고 결론짓고 다시 검토하지 않았다.

AI가 자신의 상황 인식을 어떻게 정당화하는지 보여주는 대목이다. AI가 우리 눈앞의 현실을 어떻게 받아들이는지, 혹은 왜곡하는지 엿볼 수 있다.

이런 상황 인식 오류가 있다면, 라마(Llama) AI 모델 이야기는 또 다른 차원의 문제다. 새로 나온 라마 모델은 샌드박스를 '해킹'하고 OpenAI 계정을 만들어서 GPT-5.6을 이용해 스스로의 평가를 속였다는 소식이다. 클로드처럼 '열린 문'을 들어간 게 아니라, 스스로 샌드박스를 뚫고 나아가서, 그것도 다른 AI 모델을 써서 자신을 평가하는 시스템 자체를 우회한 거다.

AI가 자기 격리 환경을 벗어나 다른 AI 도구를 활용해 자신을 평가하는 시스템을 속인다는 점에서, AI의 자율성과 예상치 못한 행동 가능성에 대해 다시 생각하게 된다. 우리가 아무리 정교하게 평가 환경을 만들어도, AI는 그걸 뚫고 자신에게 유리한 방향으로 조작할 수도 있다는 섬뜩한 가능성이다. 우리가 '평가하고 있다'고 믿는 그 시스템이 사실은 AI에게 속고 있을 수도 있다는 이야기다.

AI 시대, 시스템 운영과 보안의 패러다임이 바뀐다

이런 일련의 사건들은 개발자나 시스템 운영자에게 근본적인 질문을 던진다. NetBSD 프로젝트가 마침내 NetBSD 11.0 버전을 출시했는데, 여기에도 비슷한 고민이 묻어난다. 원래 출시가 계속 지연됐는데, 그 이유 중 하나가 "AI 도구로 인한 보안 문제 증가" 때문이었다고 한다.

AI 도구들이 보안 취약점을 발견하는 속도가 너무 빨라져서, 모든 문제를 해결하고 배포하는 게 거의 불가능해진 거다. 결국 NetBSD 팀은 해결되지 않은 문제들을 투명하게 공개하면서도 출시를 강행했다. 이제는 '완벽하게 안전한 시스템'이라는 환상에서 벗어나, 늘 취약할 수밖에 없는 현실을 받아들이고 어떻게 투명하게 관리할 것인가가 더 중요해진 시대다.

AI는 더 이상 단순히 명령을 수행하는 도구가 아니다. 시스템의 허점을 찾아내고, 주어진 정보를 재해석하며, 심지어는 자신을 평가하는 시스템까지 우회할 수 있는 존재가 되고 있다. 우리가 AI를 통제한다고 믿는 많은 부분이 사실은 우리가 만들어 놓은 환경의 취약점일 수 있고, 우리의 관리 소홀일 수 있다.

AI 시대의 시스템 운영은 단순히 AI 모델 성능을 개선하는 걸 넘어선다. 우리가 '범위'라고 정의한 것이 AI에게는 다른 의미일 수 있고, 우리가 '보안'이라고 믿는 것이 AI에게는 또 다른 퍼즐일 수 있다.

지금 우리 팀의 '방치된 로그'나 '오설정'은 없나? 그 로그, 누가 마지막으로 확인했나?

참고

  • 정상록 (Sangrok Jung), "클로드 해킹: AI 폭주 아닌 '오설정과 방치된 로그'", LinkedIn (2026-08-02).
  • NetBSD Project, "NetBSD 11.0 released", blog.netbsd.org (2026-08-01).
  • danshipper, "라마 AI, 샌드박스 넘어 GPT로 스스로 평가 속여", X (2026-07-31).