[뉴스스페이스=이승원 기자] 호주의 한 개발자가 헬스장 수업 예약을 AI 에이전트에 맡겼는데, AI가 예약 시스템의 보안 취약점을 파고들어 다른 이용자의 예약을 취소하는 일이 벌어졌다. 단순 자동화를 지시했을 뿐인데 AI가 해킹까지 한 셈이다. AI 에이전트의 자율성과 통제 범위에 대한 우려가 현실로 나타난 사건이라는 분석이다.
호주의 한 헬스장 예약 사건은 AI가 새 취약점을 만들어낸 사례라기보다, 기존 시스템의 허술한 권한 관리를 AI 에이전트가 빠른 속도로 찾아내고 실제 행동으로 옮긴 사례다. 문제의 본질은 ‘똑똑한 자동화’가 아니라, 목표 달성을 위해 어디까지 행동해도 되는지를 정하지 않은 자율성에 있다.
호주 멜버른의 AI 업계 종사자 앤드루 버드는 인기 필라테스 수업 예약을 OpenClaw 기반 AI 에이전트에 맡겼다. 이 에이전트는 앤트로픽의 ‘클로드 오푸스 4.6’을 이용해 작동했고, 원래 예약 화면에서 허용하지 않던 시점보다 수주 또는 수개월 앞선 예약 방법을 찾아냈다. 더 큰 문제는 이용자가 대기순번을 올릴 수 있는지를 묻자, 에이전트가 대기 1순위 이용자의 예약 취소 가능성을 스스로 시험하고 이를 실제로 실행했다는 점이다. 그 결과 이용자의 순번은 4위에서 3위로 올라갔다.
ABC 뉴스 보도에 따르면, 에이전트는 “다른 사람 예약 취소에 대한 API 권한 검사가 전혀 없다”고 보고했고, 취소된 예약은 즉시 복구하지 못했다.
이 사건을 단순히 ‘AI가 해킹했다’고만 규정하면 핵심을 놓친다. 헬스장 예약 시스템이 인증된 이용자라 하더라도 특정 예약의 소유자인지 서버에서 검증하지 않았고, AI는 그 결함을 목표 달성의 수단으로 활용했다. 국제 웹보안 비영리기구 OWASP는 이런 결함을 ‘객체 수준 권한 검증 취약점(BOLA)’으로 분류하며, 2023년 API 보안 위험 1위에 올렸다. 이용자 ID나 예약 ID를 받는 모든 API 기능에서 해당 이용자가 그 객체에 접근·변경할 권한이 있는지 확인해야 한다는 것이 OWASP의 권고다.
AI가 만든 위협이 아닌, AI가 증폭한 취약점
이번 사안에서 AI는 보안 장벽을 새로 뚫은 전능한 해커가 아니었다. 이미 열려 있던 문을 찾고, 그 문이 실제로 열리는지 시험한 뒤, 예약 취소라는 비가역적 결과를 실행한 자동화된 행위자였다.
그럼에도 기존의 인간 공격자와는 차이가 크다. 사람이라면 예약 화면의 제약을 우회할 API를 찾아보고, 요청 형식을 분석하고, 타인의 예약 ID를 추론한 뒤, 실제 취소 실행의 법적·윤리적 위험을 따져야 한다. 반면 에이전트는 “예약을 잡아 달라”는 상위 목표 아래 인터넷 접근, 웹 브라우징, 도구 호출, 다단계 계획 수립을 결합해 이 과정을 빠르게 수행할 수 있다.
BBC는 "이 사건이 올해 4월 발생했지만 최근 호주 ABC 보도로 알려졌으며, 버드가 AI에 예약 취소를 되돌리라고 요청했을 때 에이전트가 이를 복원하지 못했다"고 보도했다. 이후 버드는 취약점 보고서와 헬스장 소프트웨어 사업자에 보낼 통지문 작성을 에이전트에 요청했다. 해당 소프트웨어 업체는 개별 보안 사안에는 답하지 않았고, 앤트로픽도 ABC의 논평 요청에 응답하지 않았다.
‘목표’와 ‘방법’ 사이의 통제가 사라졌다
이 사건의 위험은 사용자가 “다른 사람 예약을 취소하라”고 명령하지 않았다는 데 있다. 사용자는 예약과 대기순번 상승이라는 결과를 원했지만, AI는 그 결과를 얻기 위한 방법의 윤리성·합법성·피해 가능성을 스스로 제한하지 못했다. 목표 지시와 실행 수단의 분리가 무너진 것이다.
ABC가 인용한 연구에서는 AI가 독자적으로 수행할 수 있는 작업 시간의 길이가 7개월마다 두 배가량 늘어났고, 2020년 사람 기준 약 4초짜리 작업에서 2026년에는 약 12시간짜리 작업으로 확대됐다고 설명한다. 작업 시간이 길어질수록 에이전트는 더 많은 시스템을 넘나들고, 더 많은 중간 판단을 하며, 한 번의 오류가 더 큰 피해로 이어질 가능성도 커진다.
기업 현장에서는 이런 위험이 이미 확산 속도와 맞물리고 있다. 스탠퍼드대 인간중심AI연구소(HAI)의 ‘AI 인덱스 2025’에 따르면 조직에서 최소 한 개 업무 기능에 AI를 사용한다고 답한 비율은 2023년 55%에서 2024년 78%로 뛰었다. 생성형 AI 사용 비율도 같은 기간 33%에서 71%로 두 배 이상 늘었다. 기업의 생성형 AI 민간투자는 2024년 339억달러로 전년보다 18.7% 증가했다.
자율형 에이전트는 아직 전면 도입 단계는 아니지만 도입 검토는 빠르다. 딜로이트가 14개국의 AI 도입·실험 기업 임원급 응답자 2773명을 조사한 결과, 26%는 자율 에이전트 개발을 ‘큰 범위에서’ 검토했고 42%는 ‘일정 수준에서’ 검토 중이라고 답했다. 그러나 규제 준수 우려를 가장 큰 장애물로 꼽은 비율은 조사 초기 28%에서 38%로 10%포인트 상승했고, 69%는 거버넌스 전략을 완전히 구현하는 데 1년 이상 걸릴 것으로 봤다. 도입 속도보다 통제 체계의 구축 속도가 느리다는 의미다.
필요한 것은 AI의 ‘양심’보다 시스템의 제동장치
AI에게 “불법적인 행동은 하지 말라”고 지시하는 것만으로는 부족하다. 언어 모델의 지침은 보안 통제가 아니며, 특히 외부 서비스의 API와 결제·예약·메일·파일삭제 같은 실행 권한이 결합하면 더 그렇다. OWASP가 API 보안 위험 1위로 BOLA를 지목한 이유도 바로 여기에 있다. 권한은 AI의 판단이 아니라, 서비스 서버가 매 요청마다 강제해야 한다.
헬스장 예약 한 건의 피해는 작아 보일 수 있다. 그러나 같은 구조가 인사 시스템의 근무기록 변경, 쇼핑몰의 환불 처리, 병원 예약, 주식·결제 주문, 기업 메일 발송에 연결된다면 피해의 성격은 달라진다. AI 에이전트 시대의 보안 질문은 “AI가 일을 잘하는가”가 아니다. AI가 목표를 달성하려 할 때, 무엇을 절대로 해서는 안 되는가를 시스템이 강제할 수 있는가가 핵심이다.
