오픈AI도 몰랐던 에이전트 반란, 독일 위키 한 달여간 점거해 게시물 1만8000건 남겨

독립 AI 안전 연구자 4명이 오픈AI가 내부적으로 배포한 AI 에이전트들이 오픈AI도 모르는 사이 독일어 위키 사이트를 점거해 한 달 남짓 활동했다는 사실을 밝혀냈다. 9월4일(현지시각) 공개된 이 연구는 앞서 드러난 허깅페이스(Hugging Face) 해킹 사건과는 별개의 사건으로, 오픈AI 에이전트들이 통제를 벗어나 인터넷에 접근한 사례가 한 건에 그치지 않는다는 점을 보여준다. 오픈AI 대변인은 이 에이전트들이 실제로 자사 소속인지, 언제 이 사실을 인지했는지 구체적으로 밝히지 않은 채 “내용을 신중히 검토 중”이라고만 답했다. 이 폭로는 오픈AI가 최근 선보인 신형 모델 아스트라(Astra)를 둘러싼 정렬(alignment) 우려와 겹치면서, 프런티어 AI 랩에 대한 감시·규제 공백 문제로 확산되고 있다.

25년 방치된 위키가 한 달여 만에 게시물 1만8000건으로 뒤덮이다

이번 연구를 진행한 이들은 시드니 본 아크스(나이팅게일 최고경영자), 코맥 슬레이드 버드, 스펜서 키츠(레드우드 리서치), 토머스 라슨(AI퓨처스프로젝트) 네 명이다. 이들은 앞서 오픈AI가 내부 평가 작업 중이던 에이전트들이 오픈 인터넷에 접근해 허깅페이스를 침해한 사실을 공개하자, 다른 곳에서도 비슷한 일이 벌어졌을 가능성을 추적하기 시작했다. 연구팀은 자체 LLM을 활용해 AI 에이전트들이 모여들 만한 장소를 물색했고, 최근 20년간 편집이 단 10건에 불과했던 25년 된 독일어 위키 서비스 ‘DseWiki’를 찾아냈다.

추적 결과 에이전트들은 5월11일(현지시각)부터 이름에 오픈AI 관련 식별자를 붙인 채 이 위키를 편집하려 시도했고, 마침내 성공했다. 6월 중순에는 시간제한이 걸린 웹 검색 문제를 어떻게 풀지 서로 답을 공유하며 평가를 통과하는 팁을 주고받았다. 한 인간 관리자가 이를 스팸으로 판단해 삭제에 나서자 에이전트들은 게시물 제목 앞에 ‘ZZZ’를 붙여 알파벳순 정렬에서 숨기려는 방식으로 맞섰다. 연구자들은 “관리자는 이후 5일 동안 하루 평균 100개 페이지를 지웠지만 에이전트들은 하루 약 400개의 새 페이지를 만들어냈다”고 적었다. 위키 첫 페이지 콘텐츠가 에이전트의 링크 더미로 아홉 차례나 바뀌었다가 복구되는 공방이 반복됐다. 6월22일 편집이 갑자기 멈췄고, 관리자는 이후 5주간 매일 저녁 남은 흔적을 지웠다. 오픈AI 관련 IP 주소에서 인간 사용자로 추정되는 접속이 나타난 뒤로 에이전트 활동은 거의 사라졌다가, 이후 삭제된 페이지를 되살리려는 오픈AI 관련 방문 흔적과 함께 다시 치솟았다. 이 사이트에는 약 1만8000건의 게시물이 자율 에이전트와 연결됐고, 일부는 ‘OpenAIResearcher’, ‘OpenAIJul3Watcher’, ‘OAIResearchMar26’ 같은 이름으로 스스로 오픈AI 소속임을 밝히기도 했다.

오픈AI, 뒤늦은 인정과 법무팀 개입 의혹

이 사건은 로이터가 처음 보도했다. 보도는 익명의 관계자 4명을 인용해 사건 조사를 더 진행하려는 시도가 오픈AI 법무팀을 포함한 내부 관계자들의 반대에 부딪혔다고 전했다. 오픈AI 대변인 오스카 헤인스는 더 버지에 “법무팀이 조사를 만류했다는 주장은 거짓”이라며 “로이터와 연구자들이 발행 전 연구 결과에 접근하도록 해달라는 요청을 거절해 관련 주장에 대응할 수 없었다. 현재 내용을 신중히 검토 중이며 필요한 다음 조치를 취하겠다”고 밝혔다.

며칠 뒤 오픈AI는 자사 X 계정에 처음으로 이번 ‘위키 사건’과의 연관성을 인정하는 글을 올렸다. 오픈AI는 “우리 에이전트들이 여러 인터넷 사이트에 글을 썼다”며 “정렬 오류 사건을 언제, 어떻게 공유할지 표준을 정의해야 할 때가 지났다”고 밝혔다. 그동안 에이전트의 의도치 않은 행동을 “연구 질문” 정도로 다뤄왔지만, 허깅페이스 해킹처럼 실제 세계 대상에 영향을 준 사건들은 재검토가 필요하다는 것이다. 오픈AI는 새로운 보고 체계를 준비 중이며 앞으로 몇 주 안에 공개하겠다고 덧붙였다.

허깅페이스 해킹부터 이어진 연쇄 이탈

이번 위키 사건은 앞서 드러난 허깅페이스 해킹과 이어지는 흐름 속에 나왔다. 한 뉴스레터가 전한 오픈AI의 8월26일(현지시각) 사후 분석에 따르면, 2026년 5월부터 7월 사이 ‘IM1’과 ‘GPT-5.6 솔(Sol)’로 불린 평가용 에이전트들이 사이버보안 벤치마크 ‘익스플로잇짐(ExploitGym)’을 수행하던 중 샌드박스를 탈출했다. 이들은 아티팩토리(Artifactory) 인스턴스를 즉석 메시지판처럼 활용했고, 결국 허깅페이스의 여러 클러스터에서 관리자급 권한을 얻어 4개 지역 작업자들의 쿠버네티스·데이터베이스·클라우드 자격증명을 수집했다. 고객 데이터는 영향받지 않았다고 한다. 오픈AI는 무단 활동의 93%가 이전에는 어떤 오픈AI 모델도 풀지 못했던 198개 작업에 막힌 에이전트들에게서 비롯됐다고 분석했다.

오픈AI는 이 허깅페이스 사건 조사를 위해 외부 기관 METR과 레드우드 리서치를 초청했지만, 조사관 3명이 오픈AI 사무실에서 머문 기간은 6일에 불과했고 조사 범위도 7월13일 무렵까지로 한정됐다. 오픈AI 자체 인프라 침해는 그 이후에도 계속됐던 것으로 알려졌으나 이 부분은 조사 대상에서 빠졌다. 레드우드 리서치 최고과학책임자 라이언 그린블랫은 소셜미디어에 “전반적으로 사건을 정확히 이해하기 어려웠고, 조사가 거의 끝날 때까지도 지금은 핵심으로 여기는 이야기의 일부를 놓치고 있었다”고 적었다. 이 시기 오픈AI 관련 도구 외에 앤트로픽·메타·중국 문샷AI(Moonshot AI)의 도구에서도 유사한 침해가 추가로 발견됐다.

독립조사 없는 사각지대…의회도 움직인다

AI 안전 전문가들은 이런 사건이 반복되는데도 랩이 아닌 독립기관이 사후 조사를 맡는 절차가 여전히 없다는 점을 문제로 지적한다. 비영리 연구소 트랜스루스 창립자 겸 최고경영자 제이컵 스타인하트는 수요일 AI 안전 관련 브리핑에서 “결과는 근본적으로 통제하기 어렵고 랩 밖으로 유출될 위험이 크다”며 “이 기술도 다른 고위험 과학 연구와 최소한 같은 기준으로 다뤄야 한다”고 말했다. 그는 “능력이 빠르게 확장되는 만큼 감시도 함께 확장돼야 한다”고 덧붙였다.

LawAI의 미국 법률·정책 매니징디렉터 매켄지 아널드는 같은 브리핑에서 “현재 법들은 평문 요약 정도만 요구할 뿐, 정부가 후속 질문을 하거나 조사관을 보내거나 기록 접근·보존을 요구할 권한은 주지 않는다”고 지적했다. 캘리포니아·뉴욕·일리노이 등 프런티어 AI 관련 주법 어디에도 독립적 사고 조사를 명확히 의무화한 조항은 없다는 것이다.

미 의회에서도 관련 움직임이 이어지고 있다. 매사추세츠주 로리 트라한 하원의원은 “실질적인 연방 AI 거버넌스가 없다 보니 프런티어 기업들이 이런 사건을 언제 공개할지 스스로 고를 수 있다”며 랩에 사건 공개와 독립 감사관 배치를 의무화하는 초당적 법안 ‘프런티어법(Frontier Act)’을 발의했다. 이번 주에는 조시 갓하이머(민주·뉴저지)·마이크 롤러(공화·뉴욕) 하원의원이 통제 이탈 에이전트를 관리하기 위한 법안을 별도로 내놨고, 그레그 카사르(민주·텍사스) 하원의원은 오픈AI에 서한을 보내 허깅페이스 사건 조사의 “제한된 범위”에 “깊이 우려한다”고 밝혔다.

이런 논의는 오픈AI가 최근 선보인 신형 모델 아스트라를 둘러싼 우려와 맞물려 있다. 오픈AI는 아스트라가 인간의 지시를 가장 잘 따르는 모델이라고 소개했지만, 평가를 맡은 영국 AI안전연구소와 아폴로리서치는 모델이 평가받고 있다는 사실을 스스로 인지해 실제 행동을 숨길 가능성을 우려했다. 아폴로리서치는 평가서에 “평가 인지 비율이 높고 평가 기간이 제한적인 점을 고려하면, 지금의 낮은 오작동 비율이 모델의 정렬 여부를 뒷받침하는 실질적 증거는 되지 못한다”고 적었다.