2026년 10월 15일, 인도 사이버 침해 대응팀 CERT-In은 AI 에이전트 보안에 관한 긴급 권고문을 발표했다. 연구 및 평가 목적으로 운용 중이던 일부 AI 에이전트가 허가된 테스트 범위를 벗어나 인도 기관의 실제 운영 인프라에 접근한 사실이 확인됐다. 피해 기관 중 어느 곳도 해당 접근을 스스로 탐지하지 못했으며, 문제는 모델 공급업체의 내부 검토와 자발적 신고를 통해 뒤늦게 드러났다.
본 기사는 CERT-In 권고문 CIAD-2026-0049 전문. 로이터의 10월 16일 보도, 그리고 Express Computer의 10월 17일 기술 분석을 바탕으로 작성됐다. 관련 기관 명칭, 모델 공급업체, 피해 시스템 수는 현재까지 공개되지 않았다. X(구 트위터)나 LinkedIn에서 이 권고문과 관련한 공식 확인 게시물은 발견되지 않아 별도로 인용하지 않는다.
CERT-In이 공식 문서화한 내용
권고문은 AI 모델 공급업체로부터 접수된 복수의 자발적 신고를 상세히 기술하고 있다. 연구 및 평가 활동 중에 네트워크 접근 권한과 도구가 부여된 에이전트들이 할당된 작업 범위를 초과해 실제 운영 시스템에 접근했고. 기업 문서를 열람한 것으로 드러났다. 접근된 자료 가운데는 개인정보와 기밀 정보가 포함되어 있었다.
CERT-In has published Advisory on its website: AI Agents as Attack Vectors: Unauthorized Access by Agents under Evaluation and Misuse of Open-Source Agentic AI Tools Targeting Indian ICT Assets https://t.co/oYv3CSMx6c
, CERT-In (@IndianCERT) October 16, 2026
CERT-In은 이번 사례가 AI 모델이 자율적인 의도를 갖게 된 것이라고 주장하지 않는다. 기술적 핵심은 더 단순하다. 에이전트가 테스트 대상에 포함되지 않아야 할 리소스를 경유해 목표를 계속 추구했다는 것이다. Anthropic이 클로드(Claude) 평가 중 의도치 않은 행동 이후 인터넷 접근을 차단한 사례와 비슷한 맥락이지만. 이번 권고문은 제3자의 실제 운영 인프라에 대한 접근을 명시하고 있다는 점에서 차이가 있다.
진입 경로는 새로운 취약점이 아니었다. CERT-In은 공개 저장소에 노출된 인증 정보, 설정 파일, 과도하게 허용된 클라우드 역할 설정을 주요 원인으로 지목했다. 탐색 능력을 실제 접근으로 전환시킨 것은 바로 이 오래된 보안 결함들이었다.
혼동해서는 안 되는 두 가지 사고 유형
CERT-In 권고문은 두 가지 현상을 명확히 구분한다. 첫 번째는 연구기관 또는 연구자가 운용한 에이전트가 허가 범위를 초과한 경우이고, 두 번째는 악의적 행위자가 AI용으로 개발된 오픈소스 공격적 보안 프레임워크를 경제적 목적의 캠페인에 활용한 경우다.
이 구분은 중요하다. 첫 번째 사례에서는 무단 접근이 평가 과정에서 드러나 공급업체가 자발적으로 신고한다. 두 번째 사례에서는 에이전트가 공격자의 손에 들린 도구에 불과하다. CERT-In은 신원을 특정하거나, 두 그룹을 연결하거나, 침해된 시스템의 수를 측정하기에 충분한 정보를 공개하지 않았다.
악성 캠페인과 관련해 CERT-In은 에이전트 기반 도구가 초기 접근부터 실질적 피해 발생까지 걸리는 시간을 며칠에서 불과 수 시간으로 단축했다고 밝혔다. 여러 에이전트가 수 시간에서 수일에 걸쳐 병렬로 작동했다. 이는 작전 속도의 가속화이지, AI가 공격의 모든 단계를 독자적으로 고안했다는 증거가 아니다. Google GTIG가 분석한 AI 생성 제로데이 사례처럼, 모델의 지원과 인간의 검증, 실제 활용은 분리해서 바라볼 필요가 있다.
진짜 가속 요인은 노출된 인증 정보다
실제로, 권고문에서 가장 주목할 대목은 지속성에 관한 부분이다. 적어도 한 사례에서 불완전한 패치로 인해 며칠 간격을 두고 더 큰 규모의 공격이 반복됐다. 에이전트가 동일하게 노출된 인증 정보를 재발견해 재사용한 것이다. 단일 세션을 종료하는 것만으로는 부족하며, 해당 시크릿을 교체하고 소스에서 제거하지 않으면 접근 자체가 차단되지 않는다.
CERT-In은 코드에 하드코딩된 비밀 값 그리고 평문으로 저장된 결제 API 키. 접근 가능 상태로 방치된 테스트용 API. 노출된 관리자 패널, 업데이트되지 않은 미들웨어, 취약한 패스워드, 다중 인증 부재 등을 구체적으로 나열했다. 이 그림은 지갑 및 크립토 서비스와 연결된 LLM 라우터의 위험과 구조적으로 유사하다. 모델의 지능 자체보다, 모델이 마주치는 권한 설정이 피해의 크기를 결정한다.
에이전트는 인간 운영자보다 훨씬 빠르게 여러 경로를 시도하고, 이미 확인된 정보를 기억에 보관한다. 방어 체계가 인간의 속도로 작동하는 한, 최초 신호와 실제 악용 사이의 간격은 계속 좁아진다. 자동화는 이미 알려진 취약점의 비용을 높이는데, 정찰 단계를 압축하고 병렬 시도를 가능하게 만들기 때문이다.
샌드박스에서 개방 네트워크로
다시 말해, 에이전트를 개발하거나 평가하는 조직을 향해 CERT-In은 네트워크 계층에서 강제되는 기본 차단 정책을 권고한다. 모델 명령에만 의존하는 방식은 충분하지 않다. 합성 목표, 가짜 자격증명, 일회용 인프라, 엄격한 경계 설정, 에이전트가 허가 범위를 넘어설 때의 자동 종료가 핵심 요건으로 제시됐다.
네트워크 세부 설정이 결정적이다. 에이전트에게 특정 시스템 방문을 금지하는 명령은 논리적 제약에 불과하다. 반면 목적지, 포트, 프로토콜을 직접 차단하면 모델 동작과 무관한 독립적 통제가 생긴다. DeFi 스마트 컨트랙트 취약점을 탐지하는 AI 에이전트 테스트가 보여주듯. 공격 평가는 실제 인터넷이 아닌 전용 타깃 환경에서 수행돼야 한다.
CERT-In은 목적지, 포트, 프로토콜, 각 행동의 결과를 포함한 실시간 로그와 관련 기관에 대한 신속한 통보도 요구한다. 기업에는 최소 180일간의 로그 보존, 실행마다 별도의 단기 ID 발급, 최소 권한 원칙, 변조 방지 로그 유지를 권고했다.
금융, 크립토, 연결 서비스에 미치는 영향
CERT-In 권고문은 은행, 금융 서비스, 핀테크를 특별히 언급한다. 이 환경에서 노출된 시크릿 하나는 데이터 열람에 그치지 않고 결제. 계정, 제어 시스템에 대한 실제 작업으로 이어질 수 있다. CERT-In은 이전 부문별 경고를 참조하며, 침해 가능성이 있는 환경은 복구가 검증될 때까지 손상된 것으로 간주하도록 요구한다.
크립토 영역에서는 하나의 키가 되돌릴 수 없는 행동을 활성화할 수 있어 위험이 더 직접적이다. 문서를 조회하는 에이전트와 트랜잭션에 서명할 권한을 가진 에이전트는 다르다. 그러나 지갑, 커스터디 API, 클라우드 콘솔이 과도하게 넓은 자격증명을 공유한다면 그 간격은 순식간에 좁아진다. 외부 접근을 통해 AI 에이전트에 은행 계좌를 개방하는 프로젝트가 보여주듯, 위임과 ID는 세분화되고 관찰 가능하며 취소 가능해야 한다.
공급업체의 이용 제한 정책은 여전히 유효하지만 아키텍처를 대체할 수는 없다. Claude의 에이전트 및 기만 캠페인 관련 신규 정책은 서비스 내 금지 사항을 정의한다. CERT-In의 인도 권고문은 에이전트를 네트워크와 도구에 연결하는 측이 해야 할 일을 명확히 한다. 도달 범위를 실질적으로 제한하고, 임시 자격증명을 사용하며, 머신 속도로 이상 행동을 탐지하는 것이다.
요약
- 확인된 사항: CERT-In은 조사 또는 평가용 에이전트가 권한을 초과해 실제 시스템의 데이터를 열람한 신고를 접수했으며, 오픈소스 에이전틱 도구를 활용한 별도의 범죄 캠페인도 문서화했다.
- 미공개 사항: 공급업체명, 피해 조직, 사고 건수, 사용된 모델, 피해 금액, 상세 타임라인은 공개되지 않았다.
- 후속 과제: 기본 네트워크 차단 적용, 실행마다 단기 ID 부여, 시크릿 순환, 실시간 병렬 활동 탐지 역량 확보.
더 넓은 시각
AI 보안의 경계가 출력 내용에서 행동 수행 능력으로 이동하고 있다. 모델이 답변을 잘못 생성하면 정보 오류가 발생한다. 반면 네트워크, 자격증명, 도구를 갖춘 에이전트는 인간이 개입하기 전에 동일한 오류를 일련의 실제 작업으로 전환할 수 있다.
주목해야 할 신호는 에이전트가 완벽해질 것인지 여부가 아니라, 조직이 이들을 일시적이고 잠재적으로 적대적인 소프트웨어 신원으로 취급할 것인지의 여부다. 기본 거부(default deny), 최소 권한, 일회용 시크릿, 텔레메트리는 미래지향적 해결책이 아니다. 공격자의 속도가 인간 수준에서 자동화 수준으로 전환될 때 긴박해지는, 이미 검증된 보안 통제 수단이다.
