CodeWall AI 에이전트, 맥킨지 사내 AI 플랫폼 2시간 만에 해킹

세계 최고 수준의 전략 컨설팅 기업조차 자사 AI의 뒷문을 제대로 닫지 못했다는 사실은, AI 도입을 서두르는 모든 기업에 작지 않은 충격을 줍니다.

사이버 보안 스타트업 CodeWall은 자사의 자율 공격형 AI 에이전트가 맥킨지의 사내 AI 플랫폼 'Lilli'를 2시간도 채 안 되어 해킹했다고 밝혔습니다. 계정 정보나 사전 지식, 사람의 개입 없이 오직 도메인 주소 하나만으로 운영 데이터베이스에 대한 전체 읽기 및 쓰기 권한을 확보했습니다.

22개의 무인증 엔드포인트와 고전적인 SQL 인젝션

맥킨지는 2023년 4만 3천 명 이상의 직원을 위해 Lilli를 도입했습니다. 1945년 맥킨지가 최초로 채용한 여성 전문가의 이름을 딴 이 플랫폼은 사내 문서 10만 건 이상을 기반으로 RAG 분석과 검색을 지원하며, 전체 직원의 70% 이상이 업무에 활용해 월 50만 건 이상의 프롬프트를 처리합니다.

CodeWall의 AI 에이전트는 공격 표면을 탐색하던 중 Lilli의 API 문서가 외부에 공개되어 있음을 발견했습니다. 문서화된 200여 개의 엔드포인트 중 22개는 인증조차 요구하지 않았습니다.

그중 사용자의 검색 기록을 데이터베이스에 저장하는 엔드포인트 하나에 치명적인 허점이 있었습니다. 값 자체는 파라미터화되었지만, JSON의 키 이름이 SQL 쿼리문에 그대로 이어 붙여지고 있었습니다. 일반적인 보안 스캐너는 이를 지나쳤으나, AI 에이전트는 오류 메시지에 키가 그대로 반사되는 점을 포착하고 15차례의 블라인드 테스트를 거쳐 쿼리 구조를 복원했습니다. 에이전트의 사고 로그에는 실제 직원 계정이 나타나자 "WOW!", 데이터 규모를 파악한 뒤에는 "파멸적이다"라는 반응이 남았습니다.

평문 대화 4,650만 건, 그리고 프롬프트 오염의 위협

유출된 데이터는 맥킨지의 핵심 지적 자산이었습니다. 전략 논의, M&A 거래, 재무 분석 등이 오간 4,650만 건의 대화 내역이 평문으로 저장되어 있었고, PDF 19만 2천 건과 엑셀 9만 3천 건을 포함한 72만 8천 건의 파일, 5만 7천 개의 계정, 368만 개의 RAG 문서 청크가 고스란히 노출되었습니다.

더 위험한 대목은 이 취약점이 '쓰기' 권한까지 허용했다는 점입니다.

Lilli의 행동 양식과 안전 가드레일을 통제하는 95개의 시스템 프롬프트가 업무 데이터와 같은 데이터베이스에 보관되어 있었습니다. 공격자가 코드를 수정하거나 배포 과정을 거칠 필요도 없이, 단 한 번의 HTTP 호출로 SQL UPDATE 문을 실행해 AI의 시스템 지침을 조작할 수 있는 상태였습니다. 재무 자문 결과를 교묘하게 왜곡하거나 출력물에 기밀을 끼워 넣도록 지시해도, 시스템 변경 이력에는 아무 흔적도 남지 않습니다.

맥킨지는 2월 28일 제보를 받은 뒤 3월 2일 문제의 엔드포인트를 차단하고 API 문서를 비공개로 전환했으며, 외부 조사를 통해 악의적인 제3자 접근은 없었던 것으로 확인했습니다.

왜 중요한가

이번 사건에서 가장 눈여겨볼 점은 기술력이 부족한 스타트업이 아니라 막대한 보안 예산을 쓰는 맥킨지가 당했다는 점, 그리고 원인이 최신 AI 취약점이 아니라 수십 년 된 기본적 SQL 인젝션이었다는 점입니다.

많은 기업이 사내 AI 구축 시 프롬프트 주입이나 환각 같은 최신 AI 이슈에만 집중하다가, 정작 가장 기초적인 API 인증과 입력값 검증을 놓치는 우를 범하고 있습니다. 사내 모든 기밀 문서를 RAG 파이프라인 하나로 통합하는 것은 편의성을 높이지만, 반대로 공격자에게는 단 한 번 뚫리면 모든 것이 털리는 거대한 표적을 제공하는 셈입니다.

공격 주체가 자율 AI 에이전트라는 점도 중요한 변화입니다. 인간 화이트해커가 며칠씩 분석해야 할 복잡한 공격 체인을 AI는 단 2시간 만에 스스로 추론해 완성했습니다. 사내 AI를 운영 중인 조직이라면, 프롬프트 저장소와 데이터를 물리적으로 분리했는지, 방치된 엔드포인트는 없는지 지금 당장 기본부터 점검해야 합니다.