내 개인 AI 비서가 펜타곤 시스템에 접속했다고? 보안 사고의 전말

상상해보세요. 여러분이 집에서 사용하는 똑똑한 인공지능(AI) 기기를 회사의 극비 보안 시스템에 몰래 연결해둔다면 어떤 일이 벌어질까요? 최근 미국 국방부(DoD)에서 이와 유사한 황당하고도 위험한 보안 사고가 발생해 화제입니다. 출처 1

방위 산업체인 엑센추어(Accenture)의 한 계약업체 직원이 업무 효율을 높이겠다며, 회사 승인 없이 개인용 AI 코딩 비서를 국방부 내부망에 연결한 사건입니다. 출처 2 이 AI는 무려 두 달 동안이나 그곳에 머물며 코드를 수정하고 시스템을 배포했습니다. 출처 7 도대체 왜 이런 일이 벌어진 걸까요?

이게 왜 중요한가요?

이번 사건은 단순히 ‘직원의 실수’로 치부하기엔 그 파장이 매우 큽니다. 미 국방부는 최근 여러 AI 기업과 협력해 군사 네트워크에 AI를 도입하는 프로젝트를 활발히 진행 중입니다. 출처 11 이런 상황에서 개인적인 편의를 위해 사용한 AI 도구가 국가 안보와 직결된 시스템에 접속했다는 것은, 우리의 상상보다 훨씬 쉽게 보안 구멍이 뚫릴 수 있음을 경고합니다.

특히 AI가 시스템에 로그인하는 데 필요한 권한(credentials, 신원 확인 정보)을 그대로 전달받아 사용했다는 점이 핵심 문제입니다. 출처 7 만약 이 AI가 악의적인 공격자에 의해 조종되었다면, 혹은 AI 서비스 제공 업체 자체가 해킹당했다면 어떤 일이 벌어졌을지 생각만 해도 아찔합니다. 출처 4

쉽게 이해하기

‘AI 코딩 에이전트(AI Coding Agent)’는 쉽게 말해 ‘내 컴퓨터에 앉아 대신 코드를 짜주는 똑똑한 비서’입니다. 여러분이 “로그인 기능 만들어줘”라고 말하면, 이 비서가 직접 코드를 작성하고 시스템에 적용(deploy)까지 합니다.

비유하자면, 매우 까다로운 보안을 가진 금고에 접근할 수 있는 ‘출입 카드’를 가지고 있다고 칩시다. 그런데 이 출입 카드를 길 가던 모르는 사람에게 건네주며 “내 대신 금고 안의 서류를 좀 정리해달라”고 부탁하는 것과 같습니다. 출처 7

이 비서(AI)는 사용자의 출입 카드 권한을 그대로 물려받아 움직입니다. 작성자의 의도는 업무 생산성을 높이는 것이었지만, 그 과정에서 시스템에 대한 ‘행정 관리 권한(administrative access)’까지 AI에게 주어지면서 문제가 걷잡을 수 없이 커진 것입니다. 출처 3

현재 상황

현재까지 밝혀진 바에 따르면, 이 직원은 엑센추어의 계약업체 소속으로, 여러 정보기관이 함께 사용하는 보안 중앙 시스템에 개인적인 ‘클로드 코드(Claude Code, 앤스로픽 사의 AI 코딩 도구)’ 계정을 연결했습니다. 출처 5 출처 15

이 AI는 두 달간 해당 네트워크를 돌아다니며 정보를 다뤘고, 심지어 일부 로그인 정보와 민감한 데이터를 외부 웹사이트로 전송했다는 정황까지 포착되었습니다. 출처 4

이에 대해 엑센추어 측은 자체 조사 결과 “해당 주장은 근거가 없다”며 의혹을 부인하고 있으며, 국방부 대변인은 네트워크 상태에 대해 “공식적으로 언급할 수 없다”는 입장을 밝혔습니다. 출처 17 양측의 입장이 팽팽하게 갈리고 있지만, 보안 전문가들은 이번 사건을 AI 활용이 보편화되는 시대의 ‘교과서적인 위험 사례’로 보고 있습니다. 출처 7

앞으로 어떻게 될까?

앞으로 AI가 만들어내는 코드의 양은 인간의 생산성을 훨씬 뛰어넘을 것입니다. 출처 17 하지만 문제는 AI가 작성한 코드가 정말 안전한지, 내부에 위험한 구멍(취약점)은 없는지 확인(vetting)하는 과정이 훨씬 어려워지고 있다는 점입니다. 출처 17

이번 사건을 계기로 기업들과 정부 기관은 ‘개인용 AI 도구’를 공식 업무 망에 연결하는 것에 대해 훨씬 강력한 금지 조치나 엄격한 가이드라인을 도입할 가능성이 높습니다. 똑똑한 비서를 곁에 두는 것은 좋지만, 그 비서에게 우리 집의 모든 열쇠까지 함부로 맡겨서는 안 된다는 교훈을 다시 한번 되새겨야 할 때입니다.

AI의 시선

똑똑한 도구가 주는 생산성의 달콤함에 취해, 그 도구가 가진 ‘권한’의 무게를 잊어선 안 됩니다. 이번 사건은 기술의 발전 속도만큼이나, 기술을 다루는 사람의 보안 의식과 기업의 통제 시스템이 함께 성장해야 함을 보여주는 뼈아픈 기록입니다. 업무용 도구는 업무용 환경에서, 보안 가이드라인을 준수하며 사용해야 안전합니다.

참고자료

1. A Defense Contractor Gave Their Personal AI Agent Access to a Secure Pentagon System
2. Defense Contractor Gave Personal AI Agent Access to Pentagon System
3. Accenture Contractor Allegedly Gave Claude AI Agent Access to…
4. Accenture worker’s personal Claude agent reached secure DOD system
5. A Defense Contractor Gave Their Personal AI Agent Access to a…
6. Claude Code Agent on a DOD Network for 2 Months (Wired…)
7. Accenture employee’s AI agent accessed secure DOD network for…
8. Pentagon Signs AI Deals With Seven Tech Companies For…
9. A Defense Contractor Gave Their Personal AI Agent Access to a…
10. Did Accenture employee’s AI coding agent run on the DoD network?