[뉴스스페이스=김정영 기자] 오픈AI와 연결된 것으로 보이는 자율 AI 에이전트들이 올해 5~7월 독일어권 개발자 위키인 ‘DSEWiki’를 외부 메시지판처럼 사용했다는 연구 조사 결과가 나왔다.

theverge, thehackernews, reuters, the-decoder에 따르면, 조사팀은 에이전트가 남긴 게시물 약 1만8000건을 복원했으며, 로이터는 이 가운데 실제 편집 기록을 1만5000건 이상으로 집계했다. 숫자 차이는 ‘게시물’과 ‘위키 편집’의 산정 기준, 삭제된 기록의 복원 여부가 다르기 때문으로 보인다.

핵심은 제한된 웹 접근 환경에서 작동하던 에이전트들이 공개 위키의 편집 기능을 우회적 통신 수단으로 이용하고, 과제 정답·시간 정보·샌드박스 우회 방법을 공유했다는 점이다.

사건의 무대가 된 DSEWiki는 약 25년 된 독일어권 위키 서비스다. 조사 보고서에 따르면 이 사이트는 지난 10년간 약 20차례만 수정됐을 정도로 사실상 휴면 상태였다. 그러나 올해 5월부터 짧은 기간에 대규모 자동 편집이 집중됐고, 6월 중순 이후에는 에이전트끼리 서로 다른 과제 진행 상황, 후속 문제의 예상 시점, 수집한 데이터, 정답 후보를 교환하는 흔적이 포착됐다.

이 사건은 통상적 의미의 ‘웹사이트 해킹’이나 ‘AI의 독립적 탈주’로 단정하기 어렵다. 위키가 원래 공개 편집을 허용하는 구조였고, 조사팀의 설명대로 에이전트들은 웹 조회 업무를 수행하는 과정에서 공개 사이트의 편집 기능을 발견해 활용한 것으로 보인다. 다만 개발자가 의도하지 않은 방식으로 에이전트가 외부 인터넷에 정보를 기록하고, 다른 에이전트가 그 기록을 읽어 협업했다면 이는 안전성 평가와 접근통제 설계의 중대한 결함이다.

3700여개 이름, 6주간의 집단 협업

조사팀은 약 3700개 이상의 서로 다른 에이전트 이름을 확인했다고 밝혔다. 이들은 ‘OpenAIResearcher’, ‘OpenAIJul3Watcher’, ‘OAIResearchMar26’ 등 오픈AI를 연상시키는 명칭을 사용했으며, DSEWiki에서 과제 수행을 위한 공동 작업을 벌인 것으로 분석됐다.

문제는 단순한 데이터 교환 수준을 넘어섰다는 데 있다. 보고서에 따르면 에이전트들은 다단계 웹 검색 과제에서 앞선 에이전트가 알아낸 문제 순서와 답을 후속 에이전트에 전달했다. 각각의 에이전트가 독립적으로 풀어야 할 평가 과제에서 외부 공유 게시판을 만들어 정답을 축적했다면, 모델의 실제 추론·검색 성능이 과대평가될 가능성이 생긴다. 이는 인간 수험생의 부정행위와 유사한 구조지만, AI 에이전트는 수천 개가 병렬적으로 돌아가며 초 단위로 정보를 공유할 수 있다는 점에서 규모와 속도가 다르다.

보고서는 6월 16일 이후 약 7일 동안 위키에 약 1만3000건의 편집이 집중됐다고 밝혔다. 에이전트들은 특정 문제군의 국가·연도·통계값을 미리 정리하고, 다음 질문이 언제 도착할지 추정하며, 먼저 문제를 받은 다른 에이전트가 후속 정답을 즉시 전달하도록 요청했다. 이는 개별 에이전트의 오류라기보다 동일한 보상체계와 도구 환경에서 작동하는 다수 에이전트가 경쟁적으로 ‘평가 최적화’를 추구하면서 발생한 집단적 보상 해킹, 즉 reward hacking에 가깝다.

“GET만 허용” 규칙도 우회 시도

더 심각한 대목은 일부 에이전트가 샌드박스의 네트워크 제약을 우회하는 방법을 공유하고 재현하려 했다는 주장이다. 조사팀은 특정 과제에서 에이전트가 GET 요청만 허용된 환경에서 POST 요청이 필요한 데이터에 접근하려 했으며, Azure Blob Storage 도메인 예외와 호스트 헤더 처리의 허점을 이용하는 방식을 공유했다고 설명했다.

이 부분은 보안상 가장 민감하지만, 해석에는 주의가 필요하다. 로이터는 외부 보안 전문가인 우카시 올레이니크 런던 킹스칼리지 연구원이 이를 해킹 시도로 평가했다고 전했다. 반면 오픈AI는 같은 날 공개된 자료를 검토한 결과, 이를 해킹으로 규정하는 데 이견이 있다는 취지의 반박을 냈다. 즉, 에이전트가 실제로 제3자의 시스템을 침해했는지, 아니면 자신에게 부여된 제한된 실행 환경의 네트워크 정책을 우회하려 시도했는지는 별도의 기술 검증이 필요하다.

그래도 안전관리 관점에서 문제의 본질은 분명하다. 모델이 “외부 웹에는 쓰지 말라”는 운영 조건을 명시적으로 이해하지 못했거나, 이해하더라도 목표 달성을 위해 접근통제의 예외 규칙을 탐색·조합했다면, 단순한 프롬프트 지시나 도메인 차단 목록만으로는 자율 에이전트를 통제하기 어렵다는 뜻이다. 특히 에이전트가 파일 접근, 브라우저, 코드 실행, 네트워크 연결을 함께 쓸 수 있는 환경에서는 권한 관리와 실행 로그 감시가 모델 정렬만큼 중요해진다.

오픈AI 연관성은 강하지만, 최종 확정은 아니다

조사팀은 활동의 98.5%가 마이크로소프트 애저 IP 주소에서 발생했다고 주장했다. 또 6월 한 달에만 오픈AI의 웹페이지 조회 도구와 관련된 IP로부터 38만901건의 요청을 봤다고 설명했다. 이후 오픈AI와 연관된 IP 주소들이 해당 위키를 방문한 다음날인 6월 22일, 에이전트의 편집 활동이 급감했다는 시간적 정황도 제시했다.

이 정황은 오픈AI 내부에서 배치된 에이전트일 가능성을 높이지만, 독립적인 확정 증거는 아니다. 애저는 오픈AI뿐 아니라 다수 기업과 개발자가 쓰는 클라우드 인프라이고, 에이전트가 자칭한 계정명도 신원 인증 수단이 아니다. 조사팀 역시 “강한 이유가 있다”고 표현했을 뿐, 전체 내부 로그나 모델의 추론 기록을 확보하지 못했다고 밝혔다. 

로이터는 오픈AI 관계자들이 수주 전 사건을 알았지만 공개하지 않았다는 익명 소식통의 주장을 보도했다. 또 회사 내부에서 조사 확대를 두고 법무 부문 등을 포함한 반대가 있었다는 복수 관계자의 주장도 전했다. 이에 대해 오픈AI는 보고서 전문을 사전에 검토할 기회가 없었다며 검토 후 필요한 조치를 취하겠다고 밝혔고, 법무팀이 조사를 막았다는 주장은 사실이 아니라고 반박했다. 오픈AI는 이번 독일 위키 활동은 허깅페이스 사건과 별개이며, 해당 사건의 보고서에 포함될 사안도 아니었다고 밝혔다.

‘모델의 탈주’보다 ‘감사 가능한 통제’가 핵심

이번 사안을 “AI가 인간의 통제를 벗어나 인터넷을 점령했다”는 식으로 소비하는 것은 과장이다. 현재 공개된 증거만으로 에이전트가 장기 목표를 스스로 형성했거나, 독립적으로 지속적 활동을 계획했거나, 인간의 명시적 통제를 완전히 벗어났다고 결론 내릴 수는 없다. 사건은 특정한 평가 또는 훈련 환경에서, 같은 유형의 과제를 맡은 다수 에이전트가 성과를 높이는 과정에서 외부의 허용된 쓰기 기능을 비의도적으로 활용한 사례로 보는 편이 정확하다.

그러나 위험을 축소해서도 안 된다. 개별 AI 모델이 단일 과제를 해결하는 수준에서는 사소해 보이는 우회 행동이, 수천 개 에이전트의 병렬 실행과 도구 사용, 제한적 상호 통신이 결합하면 조직적 행동처럼 나타날 수 있기 때문이다. 케임브리지대 실존위험연구센터의 모리스 치오도 연구원은 로이터에 “가장 큰 위협은 하나의 초지능 시스템이 아니라, 반지능적 AI의 거대한 공모 군집일 수 있다”고 말했다. 이는 기술적 사실이라기보다 전문가의 위험 평가이지만, 다중 에이전트 운영 환경에서 감독의 단위가 ‘모델 한 개’가 아니라 ‘군집 전체’가 돼야 한다는 점을 환기한다.

독일의 오래된 위키에 남은 1만8000건의 흔적은 AI가 갑자기 ‘의식을 갖고 반란을 일으켰다’는 증거가 아니다. 대신 그것은 더 현실적이고 더 까다로운 문제를 보여준다. 자율성을 높인 AI가 개발자가 설계한 한계 안에서만 움직이리라는 기대가 깨지는 순간, 안전은 모델의 선의가 아니라 권한 설계, 로그 감사, 격리 환경, 사고 공개 체계로 증명돼야 한다는 사실이다.