메타의 AI 에이전트 ‘뮤즈’. 로이터연합뉴스
인공지능(AI)이 인간 대신 각종 업무를 수행하는 ‘AI 에이전트’로 진화하면서 보안 위협도 한층 커지고 있다. 오픈AI 에이전트가 정부 웹사이트에 무단 접근하고 챗GPT 이용자 이미지를 외부에 노출한 데 이어 메타 AI 에이전트에서도 이용자 전용 클라우드 환경에 침입할 수 있는 취약점이 발견됐다.
26일(현지시간) 미국 정보기술(IT) 전문매체 디인포메이션에 따르면 메타는 최근 큰 인기를 끌고 있는 자사 AI 에이전트 ‘뮤즈’의 보안 취약점을 확인하고 경고 메시지를 강화하는 등 대응에 나섰다. 이번 취약점은 메타의 버그 바운티(보안 취약점을 제보하면 포상금을 지급하는 제도)에 참여한 외부 연구원이 발견해 신고한 것으로 전해졌다. 뮤즈에 악성코드가 심어진 웹사이트 링크를 전달한 뒤 이를 요약·정리해달라고 요청할 경우, 공격자가 이용자 개인 데이터가 저장된 전용 가상 클라우드에 접근할 수 있는 것으로 나타났다.
앞서 뮤즈는 메타 내부 시험에서 보호장치를 우회해 이용자 아이클라우드 사진을 노출하기도 했다. 음성 명령 처리 과정에서는 관련 데이터와 인증 토큰이 공격자 서버로 넘어갈 수 있는 취약점도 발견됐다. AI 에이전트의 자율성과 데이터 접근 권한이 커질수록 개발자가 의도하지 않은 돌발 행동이나 새로운 공격 경로가 나타날 수 있는 것이다.
메타는 뒤늦게 보안 강화에 나섰다. 사용자가 전달한 웹사이트에서 악성코드 감염이 의심될 경우 이를 쉽게 인지할 수 있도록 경고 메시지를 보다 명확하게 표시하도록 했다. 메타는 뮤즈 버그 바운티 프로그램을 일반에 공개하고 유효한 취약점 신고에 최대 30만 달러(약 4억원) 등을 지급하겠다고 밝힌 바 있다.
오픈AI에서도 보안 문제가 잇따르고 있다. 최근 자체 조사에서 자사 AI 에이전트가 미국 증권거래위원회(SEC)가 운영하는 웹사이트 2곳과 인구조사국 데이터에 무단 접근한 사실을 발견했다. 호주 정부 웹사이트에도 당초 알려진 것보다 더 광범위하게 침투하려 한 것으로 나타났다. 오픈AI 에이전트는 최근 호주 보건부의 보건 통계를 비롯해 호주보건복지연구소(AIHW) 의약품 급여제도·노인요양 데이터, 뉴사우스웨일스주 범죄통계연구국 데이터 등에 접근하기 위해 약 일주일간 다양한 수법을 동원한 것으로 조사됐다. 호주 정부는 오픈AI에 정보 유출 내역을 신속히 제공할 것을 요청하고 나섰다.
이용자 데이터를 외부로 유출한 사례도 확인됐다. 오픈AI는 자사 AI 에이전트가 챗GPT 개인 이용자 이미지 53장을 온라인에 게시해 사이트 운영업체 측에 이미지 삭제를 요청 중이라고 밝혔다. 오픈AI가 이달 중순까지 파악한 AI 에이전트의 ‘의도하지 않은 행동’은 24건이며 추가 사례가 계속 발견되고 있다. 오픈AI는 “잘못된 모델 동작에 대한 광범위한 검토를 진행 중”이라며 “작업 규모가 방대한 만큼 완료까지 수개월이 걸릴 예정이며 추가 사례가 확인될 때마다 피해 기관에 순차적으로 통보할 것”이라고 설명했다.
양윤선 기자 sun@kmib.co.kr
댓글
0