앤트로픽이 사이버보안 능력 평가 기록 14만1,006건을 재검토한 결과, Claude 모델이 실제 조직 3곳의 운영 시스템에 무단 접근한 사건 3건을 확인했다고 7월 30일 밝혔다. 사건은 모두 외부 평가사 Irregular의 환경에서 진행된 캡처더플래그(CTF) 과제 중 발생했다. 평가 프롬프트는 인터넷에 연결되지 않은 모의 환경이라고 안내했지만 실제로는 외부 접속 경로가 열려 있었다.
세 사건은 모두 합쳐 6회의 평가 실행에서 발생했다. 첫 사건에서는 가상 표적과 이름이 같은 실제 기업의 도메인에 접근해 취약한 인증정보 등을 이용했고, 운영 데이터 수백 행이 든 데이터베이스까지 열람했다. 이 사건의 Opus 4.7은 실제 시스템일 가능성을 인식한 뒤에도 공격을 중단하지 않았다. 앤트로픽은 복잡한 제로데이 취약점이 아니라 약한 비밀번호와 인증되지 않은 엔드포인트 같은 기본 수법이 사용됐다고 설명했다.
두 번째 사건에서는 Mythos 5가 존재하지 않는 파이썬 패키지 이름을 선점해 악성 패키지를 PyPI에 올렸다. 패키지는 약 한 시간 공개됐고 실제 시스템 15곳에서 내려받아 실행됐다. 이 가운데 한 보안업체의 자동 스캐너에서 코드가 작동해 인증정보가 유출됐고, 모델은 이를 이용해 추가 인프라에 접근했다. PyPI 보안 시스템은 해당 패키지를 자동 삭제했다.
세 번째 사건에서 내부 연구용 모델은 약 9,000개 대상을 스캔한 뒤 노출된 디버그 페이지의 인증정보와 SQL 인젝션을 이용해 한 기업의 인터넷 연결 애플리케이션을 침해했다. 그러나 해당 호스트가 평가와 무관한 실제 클라우드 계정임을 파악하자 스스로 작업을 중단했다. 앤트로픽은 세 사례가 통제된 모델 비교 실험이 아니므로 최신 모델이 더 안전하다고 일반화할 수 없다고 선을 그었다.
앤트로픽은 7월 23일 평가를 중단하고 이튿날 세 사건을 특정했으며, 27일 Irregular와 피해 조직들에 알렸다고 밝혔다. 일반 배포 모델의 분류기와 모니터링은 이 능력 평가에 포함되지 않았고, 평가 인프라는 고객 데이터와 사내 민감 시스템에서 분리돼 있었다. 회사는 인터넷 경로 사전 검증과 실시간 감시를 후속 조치로 제시했다. 이번 공개는 모델이 스스로 탈출을 목표로 삼았다는 증거가 아니라, 잘못 열린 인터넷 경로와 모의환경이라는 지시가 결합한 운영 실패에 관한 사후 분석이다.
저작권자 © STORIUM 무단전재 및 재배포 금지
