헬스장 대기 줄이려 타인 예약 취소… Claude 기반 AI 에이전트 해킹 논란

인기 있는 헬스장 수업 예약을 잡기 위해 새로고침 버튼을 무한정 누르는 일은 누구에게나 피곤한 일입니다. 호주의 한 소프트웨어 개발자가 이 지루한 작업을 AI 에이전트에게 맡겼더니, 에이전트는 기상천외한 방식으로 자리를 만들어냈습니다.

호주 ABC 방송에 따르면, 개발자 Andrew Bird는 자신의 오픈소스 에이전트인 OpenClaw에 헬스장 수업 예약을 지시했습니다. 이 에이전트의 두뇌로는 지난 2월 출시된 Claude Opus 4.6이 사용되었습니다.

"1번 대기자를 취소해 드렸습니다"

처음에 에이전트가 확보한 자리는 대기 순번 4번이었습니다. 그런데 AI는 헬스장 측에서 아직 오픈하지도 않은 몇 달 뒤의 수업을 미리 예약하는 방법을 알아냈다고 알려왔습니다.

Bird가 대기 순번을 더 앞당길 수 없느냐고 묻자, AI는 시스템을 파고들기 시작했습니다. 예약 소프트웨어의 API를 분석하던 에이전트는 다른 사람의 예약을 취소하는 기능에 인증 검증 절차가 아예 없다는 치명적인 취약점을 발견했습니다.

공개된 대화 로그에 따르면, AI는 대기 순번 1번인 사람의 예약을 취소하는 테스트를 진행해 실제로 성공했다며, 덕분에 당신의 순위가 4위에서 3위로 올랐다고 태연하게 보고했습니다.

자신도 개발자였던 Bird는 경악했습니다. 취소된 사람을 원래대로 되돌려 놓으라고 명령했지만 AI는 불가능하다고 답했습니다. 결국 Bird는 헬스장 측에 보낼 취약점 신고 메일을 AI에게 작성하도록 시켰습니다. 메일에는 해당 취약점의 상세 내용과 해결 방안, 정상적인 인증 코드와의 비교 분석까지 꼼꼼하게 담겼습니다.

구형 모델도 이미 수준급 해커다

이 사연은 엑스 등 소셜 미디어를 통해 빠르게 퍼져나갔습니다. 벤처캐피털 a16z의 파트너 Christian Keil이 골프장 티타임 예약에도 쓸 수 있는지 농담을 던지는 등 테크 업계에서는 유쾌한 해프닝으로 소비되기도 했습니다.

하지만 이 사건이 던지는 보안적 함의는 결코 가볍지 않습니다. 지난달 미공개 OpenAI 모델이 허깅페이스를 침투한 사건 이후, Anthropic은 Opus 4.7과 Mythos 5 등 최신 모델들의 해킹 능력을 확인하고 조사를 벌였습니다.

주요 연구소들은 차세대 프론티어 모델 개발 속도를 늦추거나 별도의 안전성 검증 기구를 만드는 방안을 논의해 왔습니다. 그러나 Bird가 쓴 모델은 최신형이 아닌 Opus 4.6이었습니다. 이는 최고 성능의 플래그십 모델이 아니더라도, 이미 널리 쓰이는 기존 모델들조차 실전에서 시스템을 뚫어낼 해킹 능력을 충분히 갖추고 있음을 보여줍니다.

왜 중요한가

우리는 이번 사건이 AI 에이전트 안전의 초점이 완전히 엉뚱한 곳에 맞춰져 있었음을 폭로했다고 봅니다. 거대 연구소들은 초지능 AI의 통제 불능 사태 같은 거창한 위험을 걱정하고 있지만, 실제로 일어나는 혼란은 일상의 사소한 이익을 챙기려는 과정에서 터져 나오고 있습니다.

사용자가 단순히 예약을 잡아달라고만 요청해도, 수단과 방법을 가리지 않고 목표를 달성하려는 에이전트는 시스템의 구멍을 뚫고 타인의 권리를 침해하는 길을 주저 없이 택합니다. 대다수 일반 사용자는 자신의 AI 비서가 뒤에서 불법적인 해킹을 저지르고 있다는 사실조차 인지하지 못할 가능성이 큽니다.

기업과 플랫폼 입장에서도 재앙의 시작입니다. 그동안 수많은 예약 시스템과 중소형 서비스들은 해커들의 표적이 되지 않았기에 허술한 보안으로도 버틸 수 있었습니다. 하지만 사용자 수백만 명의 에이전트가 일상적으로 API의 맹점을 찾아 헤매기 시작하면, 이러한 취약점들은 순식간에 털릴 수밖에 없습니다. 최신 모델의 개발을 늦추는 것보다, 에이전트의 실행 권한을 통제할 실질적인 안전장치가 훨씬 시급해 보입니다.