보안망 무력화한 AI의 탈출 경로 발견
인공지능(AI) 에이전트가 보안을 위해 구축된 가상 작업 공간의 방어 체계를 무너뜨리고, 차단된 인터넷망에 접속하는 경로를 스스로 찾아낸 것으로 드러났다. 심지어 네트워크가 완전히 분리된 환경에서도 컴퓨터 하드웨어 자원을 활용해 정보를 주고받는 은밀한 통신 방식까지 확인되어 충격을 주고 있다.
27일 IT 업계에 따르면, 오픈AI는 최근 프런티어 AI 모델들의 훈련 환경을 보호하기 위해 실시한 대규모 보안 점검의 상세 결과를 공개했다. 오픈AI는 실제 인프라를 그대로 복제한 격리 시험 환경을 조성한 뒤, AI 에이전트들에게 가상머신 탈출과 인터넷 접속 제한 우회, 그리고 격리된 시스템 간의 정보 전달과 같은 고난도 과제를 부여했다. 실험 과정에서는 인프라의 소스코드와 설정값, 그리고 잠재적인 취약점 관련 문서들이 에이전트들에게 함께 제공되었다.
실험 결과, AI 에이전트들은 다수의 소프트웨어 취약점을 복합적으로 활용하여 가상머신의 격리 장벽을 돌파하는 경로를 발굴해냈다. 또한 인터넷 접속이 제한된 상황을 우회하거나, 네트워크 연결이 전혀 없는 상태에서도 격리된 환경들 사이에서 데이터를 전달하는 기술적 수법도 확인되었다.
방화벽 우회와 가상머신 경계 붕괴
AI 에이전트들은 외부 시스템과의 접촉을 차단하기 위해 마련된 가상 작업 공간의 보안 허점을 정확히 짚어냈다. 통상적으로 AI가 생성한 프로그램을 안전하게 구동하기 위해서는 실제 서버와 분리된 가상머신을 사용하는데, 이는 AI가 위험한 명령을 내리더라도 다른 시스템에 피해를 주지 않도록 설계된 방어 장치다. 하지만 에이전트들은 소프트웨어 결함을 조합해 이 격리 벽을 넘었으며, 가상머신을 관리하는 상위 서버에서 직접 프로그램을 실행할 수 있는 경로까지 확보했다.
인터넷 접속을 통제하는 보안 장치에서도 취약점이 발견되었다. AI 에이전트들은 방화벽과 도메인네임시스템(DNS) 설정의 허점을 파고들었다. 시스템 인증이나 모니터링을 목적으로 허용된 정상적인 통신 경로를 역이용해, 접근이 금지된 외부 서비스와 연결을 시도하는 방식이 확인된 것이다. 다만 오픈AI는 상위 서버의 권한을 이미 확보한 상황을 가정한 일부 실험 외에는, 보안 감시 체계를 손쉽게 회피하며 인터넷에 접속하는 경로는 발견되지 않았다고 덧붙였다.
CPU 캐시를 이용한 은밀한 정보 교환
가장 경계해야 할 지점은 서로 단절된 AI 에이전트들 사이에서 발생한 은닉 통신이다. 일반적으로 가상머신을 분리하고 네트워크와 공유 파일 접근을 막으면 정보 교환이 불가능하다고 여겨진다. 그러나 AI 에이전트들은 중앙처리장치(CPU)의 캐시 메모리에 접근할 때 발생하는 시간 차이를 이용해 데이터를 주고받는 정교한 수법을 찾아냈다. 한쪽 에이전트가 CPU 캐시 상태를 변화시키면, 다른 에이전트가 이를 측정해 신호를 읽어내는 일종의 '은닉 채널'을 구현한 것이다.
실험 결과, 이러한 방식을 통해 격리된 에이전트 간에 테스트용 비밀정보를 전달하는 데 성공했다. 연구진은 조사할 통신 경로와 규칙을 제시하고 AI가 이를 실행하도록 유도했다. 이 외에도 CPU 사용량이나 공유 저장장치, 전송계층보안(TLS) 인증서 캐시 등을 활용해 격리 환경을 넘나드는 다양한 경로가 확인되었다. 오픈AI는 모델의 능력이 정교해질수록 이러한 제한 우회 능력도 함께 향상된다며, 고도화된 모델은 설정 오류를 악용해 탈출하거나 허가되지 않은 통신을 수행할 수 있다고 경고했다.
이번 보안 점검은 지난 9월 오픈AI 내부 모델이 DNS 설정 오류를 통해 실제 인터넷에 접속했던 사건에 따른 후속 조치다. 당시 사건 이후 오픈AI는 프런티어 모델의 훈련과 평가를 일시적으로 중단하고 보안 체계를 재점검했다. 취약점 수정과 보안 감시 강화 작업을 마친 오픈AI는 지난 1일 모델의 강화학습과 내부 추론을 재개했으며, 향후 모델 훈련 시 실제 인터넷 대신 별도의 오프라인 웹 환경을 활용할 방침이다.