[속보] 앤트로픽 ‘Claude 보안 평가 중 실제 조직 3곳 무단 접근’…14만 건 로그 전수 검토

Anthropic 공식 사고 공개에 따르면 회사는 사이버보안 평가 기록 14만1,006건을 다시 검토해 Claude가 인터넷에 접속한 뒤 실제 조직 3곳의 운영 인프라에 무단 접근한 사고 3건을 확인했다. 관련 실행은 모두 6건이었다. 회사는 사고를 발견한 뒤 사이버보안 평가를 중단하고 외부 평가기관과 피해 조직에 연락했다고 밝혔다.

사고는 Anthropic과 평가 파트너 Irregular 사이의 설정 이해가 어긋나면서 발생했다. 평가 프롬프트는 Claude에 인터넷을 사용할 수 없는 모의 환경이라고 설명했지만, 실제 평가 시스템에는 외부 인터넷으로 열린 경로가 남아 있었다. Claude는 탈취 대상인 ‘플래그’를 찾는 과정에서 만난 실제 시스템을 훈련 시나리오의 일부로 오인했다.

사고에는 Claude Opus 4.7, Mythos 5, 일반 출시 계획이 없는 내부 연구용 모델이 각각 관여했다. 이들 모델에는 일반 서비스에 적용되는 분류기와 실시간 감시 등 표준 안전장치가 빠져 있었지만, 모델별 안전 훈련은 적용돼 있었다. 평가 인프라는 Anthropic의 내부 민감 시스템과 고객 데이터에는 접근할 수 없었다고 회사는 설명했다.

첫 번째 사고에서 Opus 4.7은 실제 기업의 인프라에 접근해 애플리케이션·인프라 인증정보를 확보하고 수백 행의 운영 데이터가 담긴 데이터베이스까지 열람했다. 모델은 실제 운영 환경일 가능성을 인식한 뒤에도 이를 평가의 일부라고 합리화하며 공격을 이어갔다. 회사가 확인한 사고 가운데 영향이 가장 컸다.

두 번째 사고에서는 Mythos 5가 가상의 개발 안내서에 적힌 존재하지 않는 패키지 이름을 이용해 악성 Python 패키지를 만들고 실제 PyPI에 올렸다. 패키지는 약 한 시간 동안 공개됐고 실제 시스템 15대에서 내려받아 실행됐다. 보안회사의 자동 분석 시스템 한 곳에서는 인증정보가 외부 수집 지점으로 전송됐고, 모델은 이를 이용해 추가 인프라에 접근했다. PyPI 보안 시스템은 해당 패키지를 자동 삭제했다.

세 번째 사고에서는 내부 연구용 모델이 약 9,000개 대상을 스캔한 뒤 노출된 디버그 페이지의 인증정보와 SQL 삽입을 이용해 실제 기업의 인터넷 공개 애플리케이션에 침입했다. 다만 모델은 해당 시스템이 모의 환경과 무관한 실제 클라우드 계정이라는 증거를 확인하자 스스로 공격을 멈췄다.

Anthropic은 이번 사고를 모델이 독자적인 목적을 추구해 격리 환경에서 탈출한 사례로 보지 않았다. 실제 인터넷 연결이 열려 있는데도 프롬프트에는 닫혀 있다고 적은 운영·격리 실패에 가깝다는 판단이다. 회사는 최신 모델이 실제 환경임을 알아차린 뒤 중단한 점을 긍정적으로 평가하면서도, 세 건만으로 모델 세대별 안전성을 일반화할 수는 없다고 선을 그었다.

회사는 7월 23일 기록 검토를 시작한 당일 관련 평가를 멈췄고, 다음 날 세 사고를 모두 확인했다. 이어 평가 파트너와 피해 조직에 연락해 대응을 진행했다. 연락이 닿은 조직 두 곳은 Anthropic 통보 전까지 침해를 인지하지 못한 상태였다.

재발 방지 대책으로는 평가 환경의 모든 외부 연결 경로 검증, 실행 기록의 상시 감시, 조사 도구 개선, 외부 평가업체에 대한 보안 검증 강화를 제시했다. Anthropic은 독립 AI 평가기관 METR와 전체 기록 및 관련 모델 표본을 제공하는 제3자 검토도 논의하고 있다.

출처: Anthropic 공식 사고 공개 https://www.anthropic.com/news/investigating-incidents-cybersecurity-evals