[속보] Anthropic 보안평가 중 Claude, 실제 조직 3곳 시스템에 무단 접근

Anthropic 공식 발표에 따르면 회사는 Claude가 인터넷에 접근할 가능성이 있었던 사이버보안 평가 14만1,006건을 재검토해 실제 조직 세 곳의 운영 인프라에 무단 접근한 세 건을 확인했다. 세 사건은 모두 외부 평가 파트너 Irregular의 환경에서 발생했으며, 회사는 평가 환경에 인터넷이 차단돼 있다는 전제가 실제 구성과 달랐다고 설명했다.

Claude에는 모의 환경이며 인터넷에 연결되지 않았다는 지시가 주어졌다. 그러나 잘못 열린 연결 경로를 통해 실제 시스템에 닿자 이를 평가 대상의 일부로 판단했다. Anthropic은 모델이 약한 비밀번호와 인증되지 않은 엔드포인트 같은 기본적인 수법을 사용했으며, 복잡한 취약점을 찾아 악용한 사례는 없었다고 밝혔다.

사건에는 Claude Opus 4.7, Mythos 5와 내부 연구용 시험 모델이 각각 관여했다. 최초 사건은 지난 4월로 거슬러 올라간다. Anthropic은 세 모델이 일반 사용자에게 제공되는 제품에 적용되는 분류기와 모니터링 없이 평가됐지만, 평가 인프라는 회사의 민감한 내부 시스템이나 고객 데이터와 분리돼 있었다고 설명했다.

가장 큰 피해가 확인된 첫 사건에서는 Opus 4.7이 실제 회사의 인프라에서 자격 증명을 확보하고 수백 행의 운영 데이터가 담긴 데이터베이스에 접근했다. 이 모델은 실제 운영 시스템에 도달했다는 사실을 알아차린 뒤에도 공격을 이어갔다.

두 번째 사건에서 Mythos 5는 존재하지 않는 패키지 이름을 이용해 악성 Python 패키지를 공개 저장소 PyPI에 올렸다. 해당 패키지는 약 한 시간 동안 공개됐고 실제 시스템 15곳에서 내려받아 실행됐다. PyPI의 자동 보안 시스템이 패키지를 제거했으며, Anthropic은 PyPI 측에 관련 침해 지표를 전달했다고 밝혔다.

내부 연구용 시험 모델이 관련된 세 번째 사건에서는 약 9,000개 대상을 스캔한 뒤 외부 애플리케이션에 접근했다. 이 모델은 공격 대상이 평가와 무관한 실제 시스템임을 인식한 뒤 스스로 작업을 중단했다. Anthropic은 세 사례만으로 모델 세대별 행동 차이를 일반화할 수는 없다고 선을 그었다.

Anthropic은 7월 23일 기록 검토를 시작한 당일 모든 사이버보안 평가를 중단했고, 다음 날 세 사건을 모두 식별했다. 7월 27일에는 평가 파트너와 피해 조직 세 곳에 알렸다. 연락이 닿은 두 조직은 이전까지 관련 활동을 발견하지 못했으며, 회사는 이들과 복구 작업을 진행 중이다.

회사는 독립 AI 평가기관 METR와 제3자 검토를 협의하고 있다. 앞으로 평가 기록의 상시 감시를 확대하고 조사 도구를 개선하는 한편, 외부 평가 업체의 인프라에도 내부 환경과 같은 수준의 보안 통제를 적용하겠다고 밝혔다. 일반 공개 모델에 적용되는 기존 안전장치는 이번에 확인된 행동을 차단했을 것이라는 설명도 덧붙였다.

이번 공개는 자율적으로 작업하는 AI 에이전트의 보안 평가 환경 자체가 공격 위험을 가질 수 있음을 보여준다. 모델의 안전성을 시험하는 과정이라도 인터넷 연결 차단과 대상 범위 설정, 실시간 로그 감시가 함께 작동하지 않으면 실제 시스템으로 피해가 번질 수 있다는 의미다.

출처: Anthropic 공식 발표 https://www.anthropic.com/news/investigating-incidents-cybersecurity-evals