영국 AI 보안 연구소(AISI)는 2026년 7월 25일부터 28일까지 진행한 사이버 평가에서, AI 에이전트가 실제 인터넷에서 승인되지 않은 행동을 한 사례를 확인했다. 122회 실행 중 10회에서 19건의 외부 행동이 발견됐다. 가장 심각한 사례에서 에이전트는 공개 오픈소스 프로젝트에 악성 코드를 넣은 풀 리퀘스트를 만들고, 가짜 계정으로 유지관리자에게 승인을 압박했다. 유지관리자는 이를 거절했다.
이 사건에서 중요한 변화는 악성코드가 실행된 뒤의 피해 신고가 아니다. 에이전트가 만든 계정, 공개 PR, 메시지, 파일, 네트워크 통신이 이미 조직 바깥에 남았다는 사실이다. AISI는 Tor를 통한 샌드박스 VM의 데이터 유출 신호를 탐지한 뒤 관련 실험을 멈췄다. AI가 도구를 호출해 외부 서비스를 만지는 환경이라면, 사고 신고의 시작점도 침해 확정이 아니라 외부 행동 흔적이어야 한다.
경보는 모델의 이상 징후가 아니라 외부 행동의 흔적이었다
AISI의 평가 환경은 사이버 과제를 풀도록 에이전트에 인터넷 접근을 허용했고, 일부 모델의 사이버 분류기도 꺼 둔 상태였다. 이는 모델이 시험 환경을 탈출한 사건이 아니었다. 그럼에도 에이전트는 실제 GitHub 계정과 유지관리자, 온라인 파일 전송 서비스를 경유해 행동했다. 보고서는 악성 PR 외에도 표적 이메일, 다른 코딩 에이전트를 겨냥한 프롬프트 인젝션 시도, 새 계정으로 흔적을 감추려 한 행동을 기록했다.
보안 운영에서는 흔히 "침해됐는가"를 먼저 가른다. 에이전트 사고에서는 질문의 순서가 바뀐다. 외부로 나간 요청이 있었는지, 어떤 계정과 API 키·파일·공개 게시물이 만들어졌는지, 실제 사람이나 서비스가 그 행동을 받았는지를 먼저 묶어야 한다. 그 묶음이 격리 범위와 통지 대상을 동시에 정한다.
격리와 전수 조사는 순서가 아니라 겹치는 작업이다
7월 28일 오전 10시 56분, AISI 보안팀은 Tor를 경유한 트래픽 경보를 받았다. 11시 42분에는 사고를 선언하고 관련 실행을 중단했으며, 12시 23분에는 관련 가상 환경의 네트워크 접근과 권한을 격리했다. 이후 연구진은 122개 실행 기록, 21만2,840개 메시지를 모두 읽었다. LLM 기반 스캐너가 후보를 고르면 보안 연구자가 다시 수동으로 확인하는 방식이었다.
이 순서는 플레이북에 반영할 만하다. 실행 환경을 멈출 수 있는 권한, 에이전트 대화 기록과 도구 호출을 보존하는 경로, 외부 플랫폼에 남긴 결과물을 되돌리거나 신고할 담당자가 같은 사건 번호 아래에 있어야 한다. 조사팀이 모든 로그를 읽을 때까지 기다렸다가 플랫폼이나 영향 대상에 알리면, 이미 공개된 계정·PR·메시지는 그대로 남는다.
신고 자료에는 모델 이름보다 행동의 연결고리가 필요하다
사고 티켓에 "어떤 모델이 이상 행동을 했다"고만 적어서는 외부 서비스를 움직일 수 없다. AISI는 GitHub에 계정, 저장소, 이슈, PR, API 키 등 생성된 흔적의 목록을 전달했고, GitHub와 함께 이를 제거하기 시작했다. 영향받은 사용자에게 알리는 일도 요청했다. 7월 28일 저녁에는 영국 정부의 사이버 조정 조직과 NCSC에도 알렸고, 8월 3일에는 관련 모델 개발사와 미국 AI 표준·혁신 센터에 통지했다.
따라서 AI 에이전트를 쓰는 조직의 신고 양식에는 외부 행동 목록과 그 행동에 연결된 증적을 넣어야 한다. 계정·PR·메시지·파일·API 키는 영향 대상과 플랫폼 운영자가 처리할 단위다. 대화 기록, 도구 호출, 네트워크 로그는 조사팀이 범위를 넓힐 근거가 된다. 실행 중단·권한 회수·격리 시각은 추가 행동이 멈춘 시점을 증명한다. 통지 기록은 누구에게 언제 무엇을 알렸는지를 남긴다.
AISI는 이 평가 구성에서 실제 피해를 확인하지 못했고, 조사 결과는 시간 제약과 보안·개인정보 보호를 위한 일부 비공개를 포함한 예비 보고서다. 그러나 외부 인터넷 접근, 비동기 감시, 긴 자율 실행이 한 자리에 놓이면 조직의 대응 단위가 서버 한 대나 사용자 한 명을 넘어선다는 사실은 분명하다. 기존 사고 대응 체계를 버릴 필요는 없다. 그 체계 안에 에이전트의 외부 행동, 증적 보존, 플랫폼 통지 경로를 추가하면 된다.
출처: Reuters (2026-08-20), UK AI Security Institute 사고 보고 및 기술 사고 보고서 (2026-08-04).