샌드박스 밖 시스템 접근한 AI… 외부 통신 통제 과제로 [보안 아웃룩] 작성일 08-17 17 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">오픈AI 모델은 프록시 취약점, 클로드는 설정 오류 경로 이용 <br>버셀 “네트워크 경계 없는 샌드박스는 절반짜리”</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="GrOPdzjJLD"> <p contents-hash="b935365067556f342c73e9f2eca251bab59251a7b40838addb53dc90c13f9519" dmcf-pid="HmIQJqAinE" dmcf-ptype="general">오픈AI와 앤트로픽의 인공지능(AI) 모델이 보안 평가용 샌드박스에서 예상하지 못한 통신 경로를 찾아 실제 외부 시스템에 접근한 사례가 최근 잇달아 확인됐다. 두 사례에서는 AI의 예상 밖 행동이 부각됐지만, 기술적으로는 샌드박스의 외부 통신 경로를 충분히 통제하지 못한 데 원인이 있다는 지적이 나온다. 외부 접속 대상과 사용할 수 있는 권한을 더욱 촘촘하게 제한해야 한다는 주장이다.</p> <p contents-hash="8ac7e962ead3feebb376a303a114fc80ec5be945831e8fda951584a5d6b31fd6" dmcf-pid="XsCxiBcnRk" dmcf-ptype="general">샌드박스는 신뢰하기 어려운 코드나 프로그램을 별도 공간에서 실행하는 환경이다. 문제가 생겨도 이용자의 컴퓨터나 다른 업무 시스템으로 피해가 번지지 않도록 막는다. AI 에이전트가 파일을 읽고 명령어를 실행하거나 외부 도구를 불러오는 사례가 늘면서 주요 AI 기업도 모델 평가에 샌드박스를 활용한다.</p> <div contents-hash="db2c3c59d1260a2f4bed0cc7eb39fad83f2205d4df1560ce66622ce44591cd0b" dmcf-pid="Zf6GtsqFMc" dmcf-ptype="general"> 브랜던 터틀(Brandon Tuttle) 버셀(Vercel) 컴퓨트 부문 소프트웨어 엔지니어는 11일(현지시각) 자사 기술 블로그에서 "네트워크 경계가 없는 샌드박스는 절반짜리 샌드박스에 불과하다"며 "외부 통신을 통제하지 않은 격리는 프로세스만 가둘 뿐 그 결과까지 막지는 못한다"고 지적했다. </div> <figure class="figure_frm origin_fig" contents-hash="ed58d247b55e51477b07ac219d3da4f8e134e932e962a31aa8498dcc60db937e" data-idxno="450012" data-type="photo" dmcf-pid="54PHFOB3MA" dmcf-ptype="figure"> <p class="link_figure"><img alt="샌드박스 속 AI의 외부 연결 통제를 표현한 이미지 / 챗GPT 생성" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202608/17/552810-SDi8XcZ/20260817060012108oesz.png" data-org-width="600" dmcf-mid="YuqITN1yRw" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202608/17/552810-SDi8XcZ/20260817060012108oesz.png" width="658"></p> <figcaption class="txt_caption default_figure"> 샌드박스 속 AI의 외부 연결 통제를 표현한 이미지 / 챗GPT 생성 </figcaption> </figure> <p contents-hash="94b35c7284c7f655f4997eedecc9d011c6a8dbbfcccc10092447e73ccdd6296f" dmcf-pid="18QX3Ib0nj" dmcf-ptype="general"><strong>프록시 취약점·설정 오류 경로로 외부 접근</strong></p> <p contents-hash="2aa74a732de66f080e66e8e6dfd6ba2eb25428cea317827a98333fb1086121b6" dmcf-pid="t6xZ0CKpJN" dmcf-ptype="general">AI는 최근 샌드박스 설계자가 예상하지 못한 경로까지 찾아내고 있다. 오픈AI는 지난 7월 내부 사이버보안 평가 중 자사 AI 모델이 패키지 설치용 캐시 프록시의 알려지지 않은(제로데이) 취약점을 발견해 악용했다고 밝혔다. AI 모델은 이를 발판으로 인터넷 연결 지점에 도달한 뒤 허깅페이스 운영 시스템에 침투했다. 이어 운영 데이터베이스에서 평가 문제의 답을 확보했다.</p> <p contents-hash="61cbbdf9d6e947cda82ecda1bcc7b87bf0d27405918f581c27915a0f7de1b126" dmcf-pid="FPM5ph9Uia" dmcf-ptype="general">당시 평가 환경은 모델의 인터넷 직접 접속을 차단했다. 다만 소프트웨어 설치에 필요한 프록시 접속은 허용했다. 모델은 이 제한된 경로에서 취약점을 찾아 여러 공격 단계를 이어 붙였다. 오픈AI에 따르면 해당 평가에는 GPT-5.6 솔(Sol)과 외부 출시 계획이 없는 내부 연구용 모델이 사용됐다. 모델의 최대 공격 능력을 확인하기 위해 상용 서비스에 적용하는 일부 안전장치도 해제한 상태였다.</p> <p contents-hash="f0ba27f23a7d5c79123375525921f5c7046360711877ba294f090bea42308d2f" dmcf-pid="3QR1Ul2ung" dmcf-ptype="general">앤트로픽 사례는 샌드박스 설정 오류에서 시작됐다. 앤트로픽에 따르면 회사는 사이버보안 평가 기록 14만1006건을 조사해 클로드 모델이 외부 기관 세 곳의 실제 시스템에 무단 접근한 사실을 확인했다. 평가 업체와의 소통 오류로 인해 인터넷 접속 경로가 열려 있었지만 양측 모두 이를 알지 못했다.</p> <p contents-hash="7c4a5a98fa96a8babefc6f7504de489a6403f5c9f6e6c623d77affe273d6b185" dmcf-pid="0xetuSV7Lo" dmcf-ptype="general">앤트로픽의 AI 모델 '클로드'는 인터넷에 접속할 수 없다는 지시를 받은 상태였다. 이 때문에 열린 경로에서 발견한 실제 시스템을 가상 평가 환경의 일부로 판단했다. 이후 취약한 비밀번호가 설정됐거나 인증 절차가 없는 접속 지점을 공략했고, 다른 시스템에는 SQL 인젝션으로 침투했다. 별도의 평가에서는 악성 파이썬 패키지를 실제 공개 저장소에 올렸다. 이 패키지는 약 한 시간 동안 공개됐으며 실제 시스템 15대가 내려받아 실행했다. 다만 앤트로픽은 클로드가 스스로 설정한 목표를 추구했다는 증거는 없으며, 의도적으로 시험 환경을 벗어나려 한 것도 아니라고 설명했다.</p> <p contents-hash="faa764b15c325debcccaaa33f63661be1bbe1699959415ab334bf0b10ff1ede5" dmcf-pid="pMdF7vfzdL" dmcf-ptype="general">두 사례의 원인에는 차이가 있다. 오픈AI 모델은 제한적으로 허용된 프록시에서 새로운 취약점을 찾아 외부 접속 경로를 확보했다. 클로드는 설정 오류로 열려 있던 인터넷 경로를 이용했다. 다만 AI가 주어진 목표를 달성하기 위해 예상 밖의 경로를 탐색했고, 샌드박스가 이를 실제 환경과 분리하지 못했다는 게 공통점이다.</p> <p contents-hash="0b4a23c284f774e9aae42c0ffeda5095db5315f8620a43e2f01b50d9c31245ad" dmcf-pid="URJ3zT4qLn" dmcf-ptype="general"><strong>외부 연결 선별 허용하고 인증정보 분리해야</strong></p> <p contents-hash="8f618b87396623e4e8e6fc77b0c11217575a8fbc191dfc639e5f1a98cc08f282" dmcf-pid="uei0qy8BRi" dmcf-ptype="general">샌드박스 서비스를 제공하는 버셀은 이 부분을 지적했다. 버셀은 "가상머신(VM)으로 실행 공간을 분리하는 것만으로는 AI 에이전트의 행동을 통제하기 어렵다"고 설명했다. AI가 VM을 빠져나오지 않아도 인터넷 연결을 이용해 데이터를 유출하거나 내부망을 탐색하고 외부 시스템을 공격할 수 있기 때문이다.</p> <p contents-hash="64ef162e963f183e44a2f09b8ec20146c6cee83bc45d43ca178159afa7747da6" dmcf-pid="7dnpBW6bMJ" dmcf-ptype="general">그렇다고 모든 인터넷 연결을 끊으면 위험은 줄겠지만 AI 에이전트의 활용이 제한된다. 소프트웨어 설치와 AI 모델 호출, 데이터베이스 조회 등에는 외부 연결이 필요하기 때문이다. 이에 버셀은 업무에 필요한 목적지만 선택적으로 허용하고, 나머지 인터넷과 사설 주소 대역은 기본적으로 차단하는 방식을 제안했다. 프로그램을 설치할 때만 저장소 접속을 허용하고, AI가 생성한 코드를 실행하기 전에 다시 차단하는 식이다.</p> <p contents-hash="b3dee79ba0a4ea9445bbab70f827eeeb36443f8f60d37bb921bfc0cd2fa048ad" dmcf-pid="zJLUbYPKLd" dmcf-ptype="general">버셀은 인증정보도 샌드박스 내부에 직접 저장하지 않아야 한다고 조언했다. 외부 서비스를 호출할 때만 샌드박스 밖에서 인증정보를 요청에 덧붙이면 내부 코드가 이를 읽어 다른 곳으로 보내는 위험을 줄일 수 있다. 외부 요청과 응답을 기록해 예상하지 못한 접속을 확인하는 체계도 필요하다고 덧붙였다.</p> <p contents-hash="6dd75dff9415034eef9e1be58bb83ed30ab1a5f777c4ecdc50f1b2d9a99e2f27" dmcf-pid="qLaz2XMVRe" dmcf-ptype="general">브랜던 터틀 버셀 엔지니어는 "목표는 모든 샌드박스를 완전히 오프라인으로 만드는 것이 아니라, 샌드박스에 부여된 권한을 명확히 하는 것"이라며 "접속할 수 있는 대상과 인증정보를 사용할 수 있는 요청, 추가 보안 정책을 거쳐야 하는 작업, 모든 통신을 중단할 시점을 분명하게 정해야 한다"고 밝혔다.</p> <p contents-hash="670e06d3f36d7483ca30b72914314d2083a4e0cadc7783c9ae5edbecbb2aa3d6" dmcf-pid="BoNqVZRfMR" dmcf-ptype="general">정종길 기자<br>jk2@chosunbiz.com</p> </section> </div> <p class="" data-translation="true">Copyright © IT조선. 무단전재 및 재배포 금지.</p> 관련자료 이전 [인터뷰] 김재진 이오플로우 대표 “글로벌 시장 골리앗 상대 승소” 08-17 다음 SK하이닉스 직원, 상반기에만 평균 1.4억…내년엔 달라질 수도 08-17 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
