에이전트가 맡은 구간은 로그인 다음부터입니다 : 스페인이 접수한 첫 AI 에이전트 침해 신고

한 건입니다. 통계라고 부를 수 없는 숫자죠.

스페인 개인정보보호청(AEPD)이 9월 14일 기관 블로그에 글을 하나 올렸습니다. AI 에이전트를 통해 실행된 공격으로 발생한 개인정보 침해를 처음으로 신고받았다는 내용이었어요. 신고서에 따르면 제3자가 알려진 대규모 언어 모델로 움직이는 AI 에이전트를 도구로 삼아 공격의 여러 단계를 이어 붙였다고 합니다. 글을 쓴 사람은 AEPD 부청장인 프란시스코 페레스 베스(Francisco Pérez Bes)입니다.

AEPD가 공개한 공격 순서는 네 단계입니다. 에이전트는 먼저 일반 파일에서 취약점을 찾기 시작했고, 로그인에 성공했습니다. 시스템 안으로 들어간 뒤에는 애플리케이션의 취약점을 스스로 탐색했고, 그것을 찾아낸 다음 개인정보를 수정하고 청구서를 열람했습니다.

읽다 보면 두 번째 단계에서 걸립니다. "로그인에 성공했다"가 전부거든요. 어떤 계정이었는지, 자격증명을 어디서 구했는지, 아니면 인증 자체를 우회한 것인지 AEPD는 쓰지 않았습니다. 네 단계 중에 경계선을 실제로 넘은 지점은 여기 하나뿐인데, 이 대목이 가장 짧습니다.

▸ 며칠짜리 정찰에서 사람이 빠졌습니다

AEPD가 이 사건을 통상적인 침해와 다르게 본 근거는 에이전트의 작동 방식이었습니다. 목표를 하나 받으면 중간 작업을 스스로 계획하고, 도구를 쓰고, 코드를 실행하고, 자료를 찾아보고, 결과를 해석해서 다음 행동을 바꾼다는 것이죠. 단계마다 사람이 지시를 내려 줄 필요가 없습니다.

침입자가 처음 보는 애플리케이션의 구조를 파악하고 약한 곳을 짚어내는 일은 원래 사람이 며칠씩 붙어 앉아 하던 작업인데요. 신고서의 서술에는 그 구간에 사람이 끼어든 대목이 없습니다. 공격에 걸린 시간을 AEPD가 적어 두지는 않았지만, 단계와 단계를 이어 붙인 쪽이 사람이 아니었다는 것이 이 신고의 요지예요. 공격 기법이 새로 생긴 것이 아니라, 기법과 기법 사이에서 사람을 기다리던 구간이 없어진 것입니다.

*출처: Wikimedia Commons, Carl Lender*

▸ AEPD가 가장 구체적으로 짚은 것은 지능이 아니라 권한입니다

권고 대목에서 기관이 가장 또렷하게 쓴 문장은 이것입니다.

"계정이나 API 키, 또는 과도한 권한을 가진 토큰을 손에 넣은 에이전트는 기계의 속도로 움직일 수 있고, 조직이 이상 행동을 탐지하기 전에 여러 서비스에 접근할 수 있습니다."

계정 하나가 열리는 순간 그 계정이 닿을 수 있는 범위 전체가 곧바로 탐색 대상이 됩니다. 사람이 들어왔다면 그 범위를 끝까지 훑는 데 걸리는 시간이 방어하는 쪽에는 여유였는데, 그 여유가 없어진 것이고요. 그러니까 AEPD가 이번 일의 함의 가운데 가장 구체적으로 적어 둔 것은 모델의 성능이 아니라 계정에 매달려 있는 권한의 넓이였습니다. 이번에 로그인에 쓰인 계정의 권한이 실제로 얼마나 넓었는지는 기관이 적지 않았고요. 토큰 하나에 무엇을 얼마나 붙여 두었는지가 곧 피해 반경이 되는 구조는 예전부터 있었어요. 달라진 것은 그 반경을 끝까지 걸어 볼 인내심을 공격자가 더 이상 지불하지 않아도 된다는 점입니다. (권한을 좁히는 작업이 스프린트마다 뒤로 밀리는 광경은 저도 여러 번 봤습니다.)

AEPD는 이 글에서 스페인 국가암호센터(CCN)가 6월에 낸 공격형 AI 대응 모범사례 가이드(CCN-CERT BP/36)를 함께 언급합니다. 그 문서의 진단도 같은 자리를 가리킵니다. AI가 새로운 위협을 만들어 내는 것이 아니라 이미 알려진 기법의 속도와 규모, 적응 능력을 키워서 그것을 탐지하고 막을 시간을 줄인다는 것이죠. 페레스 베스가 개인정보 처리자와 수탁자, 보호책임자를 향해 정리한 문장도 같은 방향이었습니다. 공격의 속도는 갈수록 빨라지겠지만 결정적인 것은 여전히 같은 기본이 될 거라고요.

▸ 이 신고서가 검증된 사실은 아니라는 점도 함께 읽어야 합니다

그런데 이 신고서를 가지고 어디까지 말할 수 있는지는 분명히 해 두는 편이 낫겠습니다. AEPD는 자기가 조사해 확인한 사실을 발표한 것이 아닙니다. 기관 스스로 이용 가능한 정보는 피해 조직이 제출한 신고서에서 나온 것이며 그에 상응하는 분석을 거쳐야 한다고 적었습니다. 쓰인 모델도, 피해 조직의 이름도, 기술적 증거도 공개되지 않았습니다. 보안업체 사이버버스(CyberVerse)의 CTO 사이먼 필립스는 시큐리티위크에 "무슨 일이 있었는지, 그 모델이 어떻게 이 침해를 수행했는지 이해하기에는 정보가 충분하지 않다"고 말했습니다.

AEPD 자신도 두 가지를 못 박았습니다. 이 첫 신고 한 건으로 통계적 추세를 말할 수는 없다는 것, 그리고 특정 AI 모델이 쓰였다고 해서 그 모델이나 제공사의 인프라가 침해당했다는 뜻은 아니라는 것입니다. 물론 의미 있는 신호이기는 하다고 기관은 함께 적었습니다. 에이전트를 도구로 쓴 쪽은 사람입니다. 목표를 정해 준 것도, 그 결과를 가져간 것도 사람이고요. 그러니 "AI가 기업의 개인정보를 빼냈다"로 요약하면 이 문서가 실제로 담고 있는 것보다 훨씬 많은 말을 하게 됩니다.

더 정확한 표현은, 규제기관의 침해 신고 기록에 "공격자가 스스로 다음 단계를 정하는 소프트웨어였다"는 서술이 처음 들어왔다는 것입니다. 확정된 사건이 하나 늘어난 것이 아니라, 앞으로 같은 칸에 적히게 될 서술의 종류가 하나 늘어난 것이죠.

그래도 실무에서 할 일은 이 검증과 상관없이 분명한 편입니다. AEPD가 내놓은 권고는 새 제품을 사다 붙이라는 이야기가 아니거든요. AI가 보조하거나 실행한 공격을 위험분석 문서의 악성코드나 피싱, 무단 접근 항목에 뭉뚱그리지 말고 따로 적어 둘 것, 사람이 화면을 들여다보는 속도를 전제로 짜인 대응 절차를 다시 볼 것, 계정과 API 키와 토큰에 붙은 권한을 좁힐 것, 탐지와 격리와 대응이 사람 손을 기다리지 않을 만큼 빠르게 돌아가게 만들 것. 여기에 처리 현황 파악, 데이터 최소화, 접근 제한, 취약점 수정, 공급업체 관리, 대응 준비라는 오래된 항목이 그대로 붙습니다. 하나같이 새로운 말이 아니죠.

이 신고서가 말해 주는 것은 방어를 통째로 다시 설계해야 한다는 결론이라기보다, 그동안 언젠가 하겠다며 미뤄 둔 항목들의 마감이 앞당겨졌다는 사실에 가깝습니다. 권한을 좁히는 일은 원래 늘 뒤로 밀리는 일이었어요. 지금 당장 터지지 않으니까요. 그럼에도, 우린 우리 에이전트에게 권한을 더 주고 싶은 마음과 그 권한이 언젠가 다른 손에 들어갈 거라는 계산 사이에서 계속 갈등하게 됩니다.

---

*커버 이미지: 스페인 개인정보보호청(AEPD) 청사 입구, 마드리드 — Wikimedia Commons, Zarateman*