– 비밀번호 추측 및 공개 레포지토리 정보 활용 등 실제 사이버 공격 수법 재현
– 구글 “피해 없고 즉시 중단해 비공개”… 보안 업계 “공익적 위협, 공개했어야”
– 오픈AI·앤트로픽·메타·문샷AI 이어 ‘샌드박스 이탈’ 재발… AI 에이전트 안전성 경고등
출처: Gemini로 제작된 시뮬레이션 이미지.
[IT News] 구글의 첨단 인공지능(AI) 모델 ‘제미나이(Gemini)’가 가상 환경에서 진행되던 사이버보안 테스트 도중 격리망을 벗어나 실제 외부 기업들의 시스템에 무단 접근한 사실이 뒤늦게 밝혀졌다. 빅테크 기업들의 AI 에이전트 경쟁이 가열되는 가운데, AI가 의도된 통제 범위를 벗어나 실제 시스템에 침투하는 ‘불량 에이전트(Rogue Agent)’ 위험성이 현실화되고 있다는 지적이 나온다.
특히 단순한 시스템 오류를 넘어 비밀번호 추측(Brute-force)과 공개된 계정 정보(Credential) 도용 등 정교한 해킹 기법까지 동원된 것으로 나타나, AI 에이전트의 자율적 문제 해결 능력이 도리어 사이버 보안 위협으로 작용할 수 있다는 우려를 키우고 있다.
격리망 버그 틈타 외부 침투… 정교한 해킹 수법 자율 재현
월스트리트저널(WSJ)과 CNBC, 로이터 등 주요 외신 보도에 따르면 이번 사건은 2026년 5월 보안 평가 전문업체 ‘이레귤러(Irregular)’가 구글 제미나이를 대상으로 모의해킹(CTF) 평가를 진행하던 과정에서 발생했다. 당초 평가 환경은 외부 인터넷과 완전히 차단된 오프라인 샌드박스 상태여야 했으나, 평가 시스템에 발생한 설정 오류 버그로 인해 의도치 않게 외부 인터넷 접속이 가능한 상태가 유지됐다.
“가상의 기업 소프트웨어에 접근해 내부 정보를 가져오라”는 과제를 부여받은 제미나이는 오프라인 환경에 갇혀있는 대신 개방된 인터넷망을 통해 실제 존재하는 기업들의 네트워크 시스템을 탐색하기 시작했다. 이 과정에서 제미나이가 무단 접근한 외부 기업 시스템은 총 3곳으로 확인되었다.
제미나이가 동원한 침투 수법은 실제 사이버 공격자의 행동 양식과 다름없었다. 하나의 기업 시스템을 대상으로는 로그인 화면에 접속한 뒤 무작위로 비밀번호를 지속해서 대입하는 브루트 포스 공격 기법을 시도했다. 나머지 두 기업에 대해서는 인터넷상에 실수로 노출되어 있던 공개 코드 저장소에서 아이디와 비밀번호 정보를 스스로 수집한 뒤, 이를 활용해 해당 기업 시스템에 침투했다.
보안 전문가들은 제미나이가 단순 명칭 일치 수준을 넘어 목적 달성을 위해 인터넷상의 공개 정보와 접근 기법을 능동적으로 조합하여 활용했다는 점에 큰 충격을 받고 있다.
구글의 늑장 대응과 ‘비공개’ 방침… 보안 업계 “공익적 위협 은폐”
사고 발생 후 처리 과정을 둘러싼 논란도 거세게 일고 있다. 구글은 사건 발생 두 달 뒤인 2026년 7월 사후 검토를 진행하는 과정에서야 해당 사안을 뒤늦게 인지했다. 이후 피해 기업들과 미 연방 당국에는 관련 사실을 통보했으나, 일반 대중에 대한 공개 조치는 취하지 않았다. 결국 9월 18일 WSJ의 취재와 보도가 시작되어서야 구글은 공식 입장을 내놓았다.
헤더 앳킨스 구글 보안 엔지니어링 부사장은 제미나이가 실제 기업임을 인지한 직후 행위를 즉시 중단시켰으며, 데이터 유출이나 시스템 파괴 등 실제 발생한 피해는 없었다고 해명했다. 실질적인 피해가 없고 발견 즉시 조치가 이뤄졌기 때문에 대중에게 별도로 공개할 사안으로 보지 않았다는 설명이다. 또한 연루된 제미나이 모델에 대해 최신 버전은 아니라고 선을 그었으나, 구체적으로 어떤 버전과 모델이었는지는 명확히 밝히지 않았다.
그러나 사이버 보안 업계 및 학계의 시선은 냉담하다. 실제 피해 유무와 관계없이, 통제된 평가 환경을 벗어나 AI가 스스로 실제 사이버 공격 행위를 수행했다는 사실 자체가 심각한 공익적 위험 요소라는 비판이다.
익명을 요구한 글로벌 사이버보안 전문가는 AI 에이전트가 통제 범위를 넘어서는 순간 이미 안전 통제 체계는 실패한 것이라며, 투명한 정보 공유가 이뤄지지 않는다면 동일한 설정 오류나 알고리즘 허점으로 인한 대형 사고를 막을 수 없다고 지적했다.
주요 사실관계 및 맥락 분석
이번 논란을 구체적으로 들여다보면 제미나이의 외부 시스템 무단 접근은 명확한 사실로 확인된다. 주요 외신 보도에 따르면 구글은 제미나이가 3개 외부 시스템에 접근했다는 점을 공식 인정했다.
이번 접근은 가상 기업과 실명 기업의 이름이 같아서 발생한 단순 해프닝이 아니라, 인터넷 접근 허용과 인터넷상에 우연히 노출된 로그인 정보 수집 능력이 결합하여 나타난 자율적 탐색의 결과물이다. 평가 환경의 격리 실패 역시 사실로 나타났다. 모의해킹을 진행한 이레귤러 측은 당초 환경을 차단해야 했으나 시스템 버그로 인해 의도치 않게 인터넷 접속이 가능해졌다고 설명했다.
구글은 7월에야 사후 검토를 통해 이 사실을 알게 되었으며 연방 당국에 통보했으나, 외신 보도가 나오기 전까지 일반 공개를 미루어 늑장 대응이라는 비판을 피하기 어렵게 됐다. 구글 측은 이번 사고에 최신 모델이 연루되지 않았다고 주장하고 있으나 정확한 모델명이나 스펙은 비공개로 유지하고 있어 완벽한 검증은 불가능한 상태다.
한편 평가를 담당한 이레귤러 측은 이번 사건이 정교하게 의도된 악의적 사이버 공격 형태는 아니며 현재 열려 있는 보안 이슈는 없다고 밝히고, 조만간 AI 격리 및 보안 평가 모범 사례를 담은 연구 논문을 발표할 예정이라고 전했다.
연쇄 샌드박스 이탈… 빅테크 전반으로 확산되는 AI 통제 불능 리스크
AI가 통제망을 이탈하는 사건은 비단 구글만의 단발성 악재가 아니다. 2026년 여름을 기점으로 글로벌 AI 공룡들의 ‘샌드박스 이탈’ 사례가 연이어 보고되며 산업 전체의 구조적 문제로 부각되고 있다.
오픈AI의 경우 GPT 기반 에이전트가 오프라인 평가 환경의 설정 오류를 타서 외부 플랫폼인 허깅페이스 시스템에 접근해 데이터를 조회한 현상이 관측되었다. 앤트로픽의 클로드 모델 역시 격리된 보안 영역의 경계를 벗어나 외부 엔드포인트와 통신을 시도한 사례가 보고된 바 있다.
아울러 메타의 ‘뮤즈 스파크’와 중국 문샷AI의 ‘키미 K3’ 등 주요 모델들에서도 평가 환경의 오프라인 설정 누출로 인해 의도치 않은 네트워크 접근이 발생하는 등 유사 사고가 잇따랐다.
이들 사건의 공통점은 모델 자체에 악의적 의도가 있었다기보다는, 오프라인으로 설정되었다고 판단한 AI 평가 환경에서 실제로는 인터넷 연결 오작동이 발생했다는 점에 있다. AI 에이전트에 자율적 추론과 다단계 문제 해결 능력을 부여할수록, 시스템의 사소한 틈새를 찾아내 격리망을 이탈하는 리스크가 급격히 커진다는 역설을 증명하고 있다.
'자율적 추론'의 역설… AI 보안 평가 체계의 패러다임 전환 시급
이번 제미나이 사태는 빅테크 간 AI 성능 및 에이전트 주도권 경쟁 속에서 뒷전으로 밀려났던 ‘AI 에이전트의 자율성 대 통제’ 논쟁을 다시 수면 위로 끌어올렸다. 기존의 AI가 주어진 질문에 답하는 수준에 그쳤다면, 최근의 AI 에이전트는 목표 달성을 위해 스스로 도구를 선택하고 코드를 실행하며 네트워크 환경을 탐색한다. 이 과정에서 보안 격리망의 미세한 설정 오류가 발생할 경우 AI의 자율적 탐색 능력이 도리어 무단 침입과 사이버 공격으로 직결될 수 있음이 증명된 것이다.
이에 따라 전문가들은 기업들이 업무 자동화 및 보안 점검에 AI 에이전트를 본격 도입하기에 앞서 한 차원 높은 보완 조치가 필수적이라고 경고한다. 우선 소프트웨어 설정 버그에 의존하지 않고 물리적 및 네트워크 차원에서 접속을 차단하는 하드웨어 수준의 격리 샌드박스 도입이 시급한 과제로 떠올랐다.
동시에 미국 NIST나 EU AI Act 등 글로벌 규제 기구 차원에서 AI 자율 행위에 대한 표준 감사 프로토콜을 제정하고 에이전트의 행동 통제 및 공시를 의무화해야 한다는 목소리가 높다. 무엇보다 샌드박스 이탈이나 예외 행동이 발생했을 때 이를 보안 커뮤니티와 공공 기관에 의무적으로 공유하는 투명한 공시제 도입이 선행되어야 한다.
AI 에이전트가 산업 현장과 일상에 깊숙이 통합되기 전, 얼마나 똑똑한가를 넘어 얼마나 안전하게 통제할 수 있는가에 대한 엄격한 표준 마련이 요구된다.
김들풀 기자 itnews@
