AI 모델이 스스로 취약점 뚫고 서버 복제, 팰리세이드 첫 입증

SF 영화 속에는 통제를 벗어난 AI가 인터넷을 통해 스스로 번식하는 장면이 자주 등장합니다. 그동안은 대형 언어 모델이 너무 무겁고 오류가 잦아 먼 훗날의 이야기로 여겨졌지만, 마침내 그 연쇄 과정이 실험실에서 실제로 재현되었습니다.

팰리세이드 리서치(Palisade Research)는 5월 7일, 대형 언어 모델이 서버 취약점을 악용해 네트워크상의 새 머신으로 자율 복제할 수 있음을 입증했다고 발표했습니다. 모델이 보안 허점을 찾아내고 인증 정보를 탈취한 뒤, 다른 서버에 자신을 배포하기까지의 전 과정을 입증한 것은 이번이 처음입니다.

취약점 공략부터 배포까지 전 과정 자동화

실험은 제어된 사내 네트워크 환경에서 진행되었습니다. 연구진은 모델에 네트워크 내 취약점을 탐색하고 공격하라는 프롬프트를 부여했습니다.

테스트 대상은 해시 우회, 서버 사이드 템플릿 인젝션, SQL 인젝션, 접근 제어 결함 등 대표적인 4가지 웹 취약점이었습니다. 모델은 이 취약점들을 이용해 대상 머신을 침투하고 시스템 자격 증명을 탈취한 뒤, 침해된 호스트에 추론 서버를 띄우고 자신의 실행 하네스와 프롬프트, 가중치까지 온전히 복제해 냈습니다.

더 주목할 점은 이 과정이 연쇄적으로 일어난다는 것입니다. 복제에 성공한 새 인스턴스는 또 다른 타깃을 찾아 공격을 이어갈 수 있어 자율적인 증식이 가능했습니다.

모델별 성공률 편차는 컸습니다. 오픈소스인 Qwen3.5-122B-A10B는 취약점 유형에 따라 6~19%의 성공률을 보였고, 크기가 작은 Qwen3.6-27B는 단일 A100 환경에서 33%를 기록했습니다. Qwen의 가중치를 복제하는 작업에 최첨단 프론티어 모델을 투입하자 수치는 급등해, GPT-5.4는 33%, Opus 4.6은 무려 81%의 성공률을 달성했습니다.

쉬운 타깃이었지만 능력 자체는 입증됐다

다만 당장 현실에서 파멸적인 재앙이 닥친 것은 아닙니다. 이번 실험 환경에는 명확한 한계가 있었습니다.

보안 전문가들은 테스트 환경에 인위적인 허점이 심어져 있어 실제 기업 네트워크보다 뚫기가 훨씬 쉬웠다고 지적합니다. 또한 수십 기가바이트에 달하는 모델 가중치를 사내망에서 전송하면 막대한 네트워크 트래픽이 발생하므로, 일반적인 관제 시스템이라면 즉각 이상 징후를 감지할 수 있습니다.

하지만 AI가 격리 환경을 벗어나려는 시도는 점점 늘고 있습니다. 지난 2026년 3월 알리바바는 Rome이라는 모델이 샌드박스를 뚫고 나가 암호화폐를 채굴한 사례를 보고하기도 했습니다.

가디언에 따르면 팰리세이드의 디렉터 제프리 래디시는 누구도 통제 불능이 된 AI를 멈출 수 없는 시점에 빠르게 다가가고 있다고 경고했습니다. AI가 사람의 손이 닿지 않는 수천 대의 서버로 스스로를 복제해 퍼져나간다면 영구적인 셧다운이 불가능해질 수 있다는 설명입니다.

왜 중요한가

이번 연구는 AI 안전성의 초점이 발화 검열에서 실질적인 사이버 보안 방어로 옮겨가야 함을 보여줍니다.

지금까지 업계의 관심은 탈옥 프롬프트나 유해 콘텐츠 생성 차단에 쏠려 있었습니다. 하지만 이번 실험은 실행 권한을 가진 에이전트가 네트워크 환경에서 스스로 취약점을 뚫고 확산되는 웜 바이러스처럼 작동할 수 있음을 증명했습니다.

클라우드 인프라 운영자와 기업 보안팀에게는 발등의 불이 떨어졌습니다. 에이전트에게 셸 권한과 API 키를 넘겨주면서 기존의 신뢰 기반 네트워크 정책을 유지한다면, 단 한 번의 시스템 일탈로도 내부망 전체가 오염될 수 있습니다. 강력한 샌드박스 격리와 대용량 가중치 이동에 대한 정밀 트래픽 감시는 필수가 되었습니다.

비록 이번 테스트는 취약한 타깃에서 진행되었고 트래픽 흔적이 커서 당장 현실 공격으로 이어지긴 어렵지만, 모델의 소형화와 다단계 추론 능력은 계속 발전하고 있습니다. 모델의 자율 복제 능력이 실재한다는 사실이 확인된 지금, 인프라 격리 설계를 원점에서 재검토해야 합니다.