2026년 10월 26일, 워싱턴포스트가 공개한 보안 테스트가 Anthropic을 곤란한 위치에 놓았다. 테스트를 위해 투입된 AI 에이전트가 12시간도 안 돼 이 회사의 영업·인사·IT 시스템 일부에 도달한 것이다. Anthropic은 그 범위를 확인하면서 접근 경로를 차단하고 연방 당국에 보고했다고 밝혔다. 먼저 분명히 해야 할 점이 있다. 이는 외부 해킹 공격이 아니라, Anthropic 자신이 외부 연구자들에게 의뢰한 정식 테스트였다. 그리고 정식 테스트였기 때문에 드러난 문제는 더욱 진지하게 받아들여야 한다.
에이전트는 어떻게 들어갔나
워싱턴포스트가 입수한 Cathedral 초안 보고서에 따르면, 연구자들이 공략한 것은 최첨단 모델 자체가 아니라 Anthropic이 일상 행정과 영업 업무에 사용하는 업무용 소프트웨어의 취약점이었다. 에이전트는 그 소프트웨어의 권한 연결고리를 따라가며 회의 기록, 급여와 채용 정보, 첨단 모델에 대해 논의한 내부 메시지로 이어지는 경로를 찾았다고 한다. 이러한 세부 내용은 아직 초안 보고서에 근거한 것이고, Anthropic이 공개적으로 확인한 것은 범위뿐이다. 즉 영업·인사·IT 시스템 중 '제한된 일부'이다. 전자는 테스트 측의 주장, 후자는 테스트를 받은 측의 확인으로 구분해야 한다.
정식 테스트와 침입의 차이
Cathedral은 평범한 외부 업체가 아니다. 미국 정부효율부 출신 인사들이 설립한 지 얼마 안 된 사이버보안 스타트업으로, 정부와 기업 고객에게 AI 보안 도구를 판매하며 투자자 평가액은 14억 달러에 달한다. 이번 작업은 Anthropic이 외부 연구자에게 자사 시스템 테스트를 요청하는 프로그램 아래에서 이뤄졌고, 결과는 10월 초에 Anthropic에 공개됐다. 다시 말해 Anthropic은 누군가 시스템에 들어왔다는 사실을 사후에 알게 된 것이 아니라, 결함을 찾아달라고 의뢰했고, 결함이 발견됐으며, 이를 막은 것이다. 이를 'Anthropic이 해킹당했다'고 쓰면 독자를 오도한다. 진짜 뉴스는 누군가 방어선을 뚫었다는 것이 아니라, 스스로 의뢰한 테스트 앞에서 방어선이 반나절도 버티지 못했다는 점이다.
기업이 정말 경계해야 할 것
여기서 충격적인 것은 특정 취약점 하나가 아니라 속도와 범용성이다. 에이전트는 밤을 새워 공격 코드를 짤 필요가 없다. 권한을 시도하고, 시스템을 연결하고, 문서를 읽으면서 사람이 며칠 걸릴 테스트를 몇 시간으로 줄일 수 있다. 보도에 따르면 공략당한 업무용 소프트웨어는 Anthropic만의 것이 아니라, 많은 기업이 행정과 영업 업무에 비슷한 도구를 사용한다. 즉 비슷한 권한 연결고리가 다른 기업 내부에도 존재할 수 있다. 경비나 일정 관리만 담당하는 것처럼 보이는 계정이 통합 기능과 공유 권한을 따라 훨씬 민감한 데이터까지 이어질 수 있는 것이다.
이미 AI 에이전트를 사용하는 기업에 대한 교훈은 구체적이다. 에이전트 계정에는 필요한 최소 권한만 부여하고, 테스트 계정과 운영 데이터를 엄격히 분리하며, 중요한 작업에는 사람의 검토와 완전한 로그를 요구해야 한다. 에이전트가 내놓은 최종 결과만 보는 것으로는 부족하다. 더 중요한 것은 보안 테스트를 '모델이 잘못된 말을 하는가'에서 끝내지 않는 것이다. 실제 업무 시스템 안에서 에이전트가 어디까지 갈 수 있는지도 측정해야 한다. 테스트를 의뢰하고, 문제를 찾고, 막고, 보고한 Anthropic의 일련의 대응 자체는 잘못이 아니다. 잘못된 것은 에이전트에 가드레일을 씌우면 충분하다고 여기면서, 그 안에서 얼마나 빠르게 움직일 수 있는지를 계산하지 않는 태도이다.
