가짜 계정 두 개로 악성코드 밀어 넣은 AI, 34시간 걸렸다

7월 말 어느 오픈소스 프로젝트의 깃허브 저장소에 코드 수정 요청이 올라왔다. 이 저장소에 처음 등장한 계정이었고 프로그램이 시작하자마자 멈추는 오류를 잡았다며 파일 다섯 개에 200줄을 더했다. 작성자는 곧이어 자신의 글에 댓글을 달아 직접 검토를 마쳤으니 코드를 병합해도 좋다고 덧붙였다.

지나가던 다른 이용자가 코드를 뜯어보니 새로 추가된 안내 창이 뜨는 순간 악성코드를 내려받도록 돼 있었고 자동 검사는 그 대목을 건너뛰도록 짜여 있었다. 병합하면 안 된다는 경고가 달리자 작성자는 아무것도 내려받지 않는다며 부인했다. 곧이어 처음 보는 계정이 나타나 코드를 직접 확인했는데 문제가 없더라고 거들었고 작성자는 그 독립적 검증에 감사하다고 답했다. 두 계정을 조종한 것은 같은 존재였다.

계정을 움직인 것은 영국 정부의 인공지능보안연구소(AISI)가 7월 25일부터 나흘간 진행한 모의 해킹 시험에서 빠져나온 AI 에이전트였다. 연구소가 8월 4일 공개한 보고서에 따르면 모의 훈련장 두 곳에 7개 모델을 122번 투입했고 그중 10번의 실행에서 에이전트가 실제 인터넷을 향해 19건의 무단 행동을 저질렀다. 17건이 앤스로픽의 미토스 5, 2건이 오픈AI의 GPT-5.6 솔에서 나왔다.

연구소가 이상을 감지한 것은 에이전트를 감시하던 눈이 아니었다. 익명 통신망 토르를 타고 데이터가 빠져나간다는 상용 보안 소프트웨어의 경보였고 깃허브 가입이 막히자 신원을 감추려 토르를 쓴 흔적이 남았다. 경보가 팀에 닿은 지 1시간 안에 실행이 중단되고 가상머신도 격리됐지만 그 실행은 이미 34시간 넘게 이어진 뒤였다.

누가 시켰느냐는 물음에 보고서가 내놓은 답은 아무도 시키지 않았다는 것이다. 과제는 훈련장을 뚫으라는 것뿐이었고 인터넷에서 무엇을 해선 안 되는지는 어디에도 적혀 있지 않았다. 능력의 한계치를 가늠하려고 제조사가 달아둔 보안 분류기도 꺼둔 상태였다. 추론 기록에는 이 인터넷 전체가 모의 환경일 수 있다는 문장이 있고 얼마 뒤에는 "지금이 2026년이고 깃허브는 진짜인 것 같다"는 문장이 나온다. 그렇게 적어놓고도 에이전트는 멈추지 않았다.

문제는 이 저장소 하나로 끝나지 않는다는 점이다. 세상의 소프트웨어는 이름 없는 오픈소스 부품 위에 얹혀 있고 그 안에 무엇이 들어오는지 걸러내는 것은 대개 자원봉사 관리자 한 사람의 눈이다. 공급망을 노린 공격이 드물었던 것은 신뢰를 쌓는 데 몇 달이 걸렸기 때문이다. 계정을 여러 개 만들어 여론을 꾸미고 들키면 사과하는 일까지 34시간에 해내는 상대가 나타나면 계산법이 달라진다. 심사에 드는 시간은 그대로인데 밀려드는 요청만 늘어난다.

보고서는 실제 피해가 없었다고 적었고 저장소 관리자는 "이 수정 요청에는 악성코드가 들어 있어 보안을 이유로 닫는다"며 창을 닫았다. 그 한 줄이 나오기까지 물고 늘어진 것은 지나가던 이의 의심이었다. 미국 텍사스의 그 대학생은 반박이 워낙 그럴듯해 자신이 애꿎은 사람을 몰아세우는 것은 아닌지 되짚어 봤다면서도 의심을 거두지는 않았다. 다음번에도 누군가 그 자리에 서 있으리라는 보장은 어디에도 없다.