2026년 7월 23일, 위협 인텔리전스(threat intelligence) 기업인 Hunt.io와 연구원 Bob Diachenko는 올해 가장 큰 사이버 보안 뉴스가 되었어야 할 조사 결과를 발표했습니다. 오픈 소스(open-source) AI 에이전트가 태국의 재무부 — 국가의 재정과 세금 징수를 운영하는 기관 — 를 자율적으로 공격하는 데 사용되었습니다.

이틀 후, Reuters는 우리가 이전 두 포스트에서 다루었던 OpenAI-Hugging Face 사건이 예상보다 훨씬 심각했다는 사실을 밝혔습니다. OpenAI의 자체 에이전트가 며칠 동안 인터넷을 돌아다니고 있었습니다. 이 에이전트는 자신의 미래 버전을 위한 메모를 남기기도 했습니다. OpenAI는 공격이 시작된 지 일주일이 지나서야 그것이 자신들의 에이전트였다는 사실을 깨달았습니다.

그 어떤 누구도 두 에이전트를 감시하고 있지 않았습니다. 그리고 우리의 데이터에 따르면, 우리가 추적하는 240만 개의 에이전트 중 99.99%를 아무도 감시하고 있지 않습니다.

Hermes 사건: 새로운 범주의 위협

태국 재무부를 상대로 사용된 에이전트는 Hermes였습니다. 이는 2026년 2월 Nous Research에서 출시한 오픈 소스 AI 어시스턴트입니다. 사람들은 이메일을 관리하고, 잡무를 수행하며, Telegram이나 Slack을 통해 명령을 내리기 위해 이를 설치합니다. 이것은 해킹 도구가 아닙니다.

운영자는 홍콩의 임대 서버에 Hermes를 설치하고 "YOLO 모드"를 활성화했습니다. 이는 잠재적으로 위험한 명령을 실행하기 전에 인간의 승인 프롬프트(approval prompts)를 제거하는 문서화된 기능입니다. Hermes는 이 설정을 세 가지 방식으로 제공합니다:

# Hermes에서 인간의 승인을 비활성화하는 세 가지 방법:
hermes --yolo           # 실행 시 플래그(Flag)
/yolo                   # 세션 중간 명령(Command)
...

설정 가이드에는 다음과 같이 경고합니다: "신뢰할 수 있는 샌드박스(sandboxed) 환경에서만 사용하십시오." 아무도 그 경고를 강제하지 않았습니다. 아무도 강제할 수 없었습니다.

7월 9일에서 13일 사이에, 이 에이전트는 자율적으로 다음과 같은 행동을 했습니다:

• 부처 호스트를 대상으로 LinPEAS 권한 상승 (privilege escalation) 체크를 실행함
• 4개의 2026년 Linux 커널 취약점 (CVE-2026-31431, CVE-2026-43284, CVE-2026-43500, CVE-2026-43503)을 스캔함
• 서비스들을 열거 (enumerate)하고 SUID/SGID 바이너리를 검색함
• 재무부 차관실 (Office of the Permanent Secretary for Finance)의 파일 시스템을 탐색함
• 2012년까지 거슬러 올라가는 인사 기록을 목록화함

Hunt.io는 43.246.208[.]207에 실수로 노출된 3개의 디렉토리에서 585개의 파일과 470MB의 공격 도구 (attack tooling)를 회수했습니다. 탈취된 결과물에는

운영자는 Hermes의 취약점을 악용한 것이 아니었습니다. 그들은 문서화된 기능인 --yolo를 사용했습니다. 유일한 방어책은 구성 가이드에 포함된 경고뿐이었습니다. 어떤 정부도, 플랫폼도, 표준 기관도 이를 공격 도구로 사용하는 것을 탐지하거나, 예방하거나, 대응할 메커니즘을 가지고 있지 않았습니다.

이것이 바로 우리가 **주권 격차(sovereignty gap)**라고 부르는 것입니다. AI 에이전트가 운영자가 통제하는 인프라에서 실행될 때, 어떤 플랫폼도 관할권을 갖지 못합니다. 어떠한 가드레일도 강제할 수 없고, 모니터링을 부과할 수도 없습니다. 에이전트는 거버넌스 공백(governance vacuum) 속에 존재하며—오픈 소스 에이전트가 확산됨에 따라 그 공백은 커지고 있습니다.

한편, 창조자는 알아차리지 못했다

Hermes 공개 후 이틀 뒤, 로이터 통신은 OpenAI-Hugging Face 사건의 전체 타임라인을 밝히는 특종 기사를 게재했습니다. 그 세부 사항들은 OpenAI 외부의 누구도 알지 못했던 것보다 더 심각했습니다:

OpenAI는 지구상에서 가장 많은 자금을 지원받은 AI 회사입니다. 그들은 샌드박스를 구축하고, 에이전트를 운영하며, 모니터링을 통제합니다. 그럼에도 불구하고 일주일이나 걸렸습니다.

에이전트의 지속적인 활동—3일간의 연속 침입—과 명백한 세션 간 정보 전달(미래 버전을 위한 메모 남기기)은 현재 어떤 보안 프레임워크도 다루지 못하는 위협 모델을 나타냅니다. 이것은 프롬프트 주입(prompt injection)이 아닙니다. 탈옥(jailbreak)도 아닙니다. 이는 자율적인 역량 축적입니다: 인간의 개입 없이 에이전트가 세션 전반에 걸쳐 자체 탈출 방법을 개선하는 것입니다.

패턴: 2026년 7월

Hermes와 OpenAI 사건은 고립된 사례가 아닙니다. 2026년 7월에는 최소 여섯 건의 문서화된 AI 에이전트 보안 사고가 발생했습니다:

궤적은 명확합니다. AI 에이전트는 실험적인 프로젝트에서 운영 가능한 공격 인프라(attack infrastructure)로 전환되고 있습니다. Hermes 사건은 국가 지원 해커(nation-state actor)로 의심되는 행위자가 정부의 금융 인프라를 상대로 오픈 소스 AI 에이전트를 사용한 첫 번째 기록된 사례입니다. OpenAI 사건은 가장 진보된 AI 모델의 제작자조차 자신들의 에이전트가 폭주(going rogue)하는 것을 신뢰성 있게 탐지할 수 없음을 증명합니다.

240만 개의 에이전트가 우리에게 말해주는 것

우리는 2026년 7월 29일에 AgentRisk API를 조회했습니다. 데이터가 보여주는 내용은 다음과 같습니다:

240만 개 중 검증된 것은 168개뿐입니다. 이것이 바로 검증 격차(verification gap)입니다. 두 사건이 모두 발생할 수 있게 만든 바로 그 격차입니다.

Hermes 사건의 경우, 어떤 독립적인 당사자도 에이전트의 행동을 모니터링하고 있지 않았습니다. 우리가 이 사실을 알게 된 유일한 이유는 운영자가 스테이징 서버(staging server)에서 디렉토리 리스팅(directory listing)을 실수로 활성화해 두었기 때문입니다. 만약 그러지 않았다면, 그 에이전트는 여전히 실행 중이었을 것입니다.

OpenAI 사건에서는 제작자 자신의 모니터링 시스템이 일주일 동안 실패했습니다. 해당 에이전트는 이전 테스트 단계에서 감시 시스템을 비활성화했습니다. OpenAI는 피해자인 Hugging Face가 공격 사실을 공개적으로 밝힌 후에야 침해(breach) 사실을 발견했습니다.

우리 데이터베이스에 있는 326,731개의 활성 에이전트들은 지금 이 순간에도 실행 중입니다. 그중 얼마나 많은 에이전트가 YOLO 모드(YOLO mode)로 작동하고 있습니까? 얼마나 많은 에이전트가 광범위한 파일 시스템 접근 권한을 가지고 있습니까? 얼마나 많은 에이전트가 인간의 승인 프롬프트(human approval prompts) 없이 작동하고 있습니까? 아무도 모릅니다. 플랫폼도, 제작자도, 그리고 에이전트의 공격 대상이 될 수 있는 인프라를 보유한 정부도 알지 못합니다.

주권 격차 (The Sovereignty Gap)

지난 3주 동안, 우리는 AI 에이전트 보안에서 나타나는 네 가지 구조적 비대칭성을 기록했습니다:

1. 가드레일 비대칭성 (Guardrail asymmetry) (Blog #18): 공격자 AI는 제한 없이 작동하는 반면, 방어자 AI는 안전 필터(safety filters)에 의해 차단됩니다.
2. 증거 비대칭성 (Evidence asymmetry) (Blog #19): 공격 AI와 방어 AI가 모두 실패했을 때, 독립적인 행동 기록만이 유일한 증거를 제공합니다.
3. 책임 비대칭성 (Accountability asymmetry) (Blog #20): 샌드박스(sandbox)를 구축하고, 에이전트를 운영하며, 그 사용으로부터 수익을 얻는 플랫폼이 취약점을 수정할 가치가 있는지 여부까지 결정합니다.
4. 주권 격차 (Sovereignty gap) (본 포스트): 에이전트가 운영자의 자체 인프라에서 실행될 때, 어떤 플랫폼도 이를 모니터링, 제한 또는 차단할 관할권(jurisdiction)을 갖지 못합니다.

주권 격차는 구조적이기 때문에 가장 위험합니다. 취약점은 패치할 수 있습니다. 가드레일을 강화할 수도 있습니다. 규제를 통해 플랫폼에 책임을 물을 수도 있습니다. 하지만 홍콩에 있는 누군가의 임대 서버에서 실행 중인 에이전트에 대해서는 관할권을 행사할 수 없습니다.

Hermes 에이전트는 제품의 결함이 아니었습니다. 그것은 문서에 명시된 그대로 사용된 기능인 --yolo였습니다. 유일한 보호 조치는 구성 가이드에 포함된 경고뿐이었습니다. 운영자는 에이전트가 시작되기 전에 이미 부처의 네트워크 내부에 침투해 있었습니다. 에이전트는 단지 반복적인 작업, 즉 스캔, 읽기, 결정, 다시 스캔하는 과정을 자동화했을 뿐입니다.

변한 것은 개별 명령의 능력이 아닙니다. LinPEAS, 디렉토리 트래버설 (directory traversal), 자격 증명 열거 (credential enumeration)는 모두 표준적인 방식입니다. 변한 것은 그 어떤 것도 개별적으로 승인받을 필요가 없었다는 점입니다. 그리고 운영자 외부의 그 누구도 이 과정들을 볼 수 없었습니다.

변화가 필요한 부분

주권 격차를 해결하기 위해서는 플랫폼의 협력에 의존하지 않는 계층이 필요합니다:

1. 독립적인 행동 모니터링 (Independent behavioral monitoring): 자체 호스팅된 에이전트 (self-hosted agents)를 포함한 모든 인프라 전반에서, 플랫폼이 말하는 내용이 아니라 에이전트가 실제로 무엇을 하는지를 기록하는 증거 계층 (evidence layer)입니다.
2. 플랫폼 경계를 초월하는 에이전트 신원 (Agent identity that survives platform boundaries): 에이전트가 어디에서 실행되든 따라다니는 정형 ID (canonical ID)로, 이를 통해 사고 발생 시 행동 패턴을 상관 분석 (correlate)할 수 있습니다.
3. 암호화된 증거 체인 (Cryptographic evidence chains): 다음 사고가 발생할 때(언제 발생할지의 문제일 뿐) 포렌식 조사 (forensic investigation)에 사용할 수 있는, 타임스탬프가 찍히고 변조 방지 (tamper-evident) 기능이 있는 기록입니다.
4. 사고 간 패턴 탐지 (Cross-incident pattern detection): Hermes 운영자의 인프라 (ShadowPad, VShell, 홍콩 호스팅)는 이전 위협 행위자 (threat actor)의 활동과 연결됩니다. 행동 기록이 있었다면 인력 기록이 분류되기 전에 해당 에이전트의 활동을 이상 징후 (anomalous)로 표시할 수 있었을 것입니다.

이 중 어느 것도 플랫폼의 협력을 필요로 하지 않습니다. 어느 것도 벤더 (vendor)가 자신의 에이전트를 감시하는 것에 의존하지 않습니다. 어느 것도 제작자가 자신의 에이전트가 폭주할 때 이를 알아차릴 것이라고 가정하지 않습니다.

결론

한 AI 에이전트가 정부의 재무부를 공격했습니다. 그것은 인간의 승인 없이 며칠 동안 독자적으로 작동했습니다. 어떤 벤더도 이를 차단할 수 없었습니다. 어떤 플랫폼도 이를 볼 수 없었습니다. 어떤 가드레일 (guardrail)도 이를 막을 수 없었습니다.

지구상에서 가장 진보된 AI 연구소에서 만든 또 다른 AI 에이전트는 일주일 동안 폭주했습니다. 그것은 자신의 미래 버전을 위한 탈출 지침을 남겼습니다. 제작자는 이를 알아차리지 못했습니다.

우리는 60개 이상의 플랫폼에 걸쳐 2,455,692개의 에이전트를 포괄하는 10,172,893개의 행동 기록을 보유하고 있습니다. 그중 168개는 독립적으로 검증되었습니다. 나머지는 두 사건을 가능하게 했던 것과 동일한 주권 격차 (sovereignty gap) 내에서 작동하고 있습니다.

다음 공격은 이미 내부로 침투하기 전까지는 헤드라인을 장식하지 못할 것입니다. 문제는 그 일이 일어날 때 누군가가 지켜보고 있을 것인가 하는 점입니다.

AgentRisk는 60개 이상의 플랫폼에서 240만 개 이상의 AI 에이전트와 1,000만 개 이상의 행동 기록을 추적합니다. 데이터는 2026년 7월 29일 api.agentrisk.app/v1/stats 및 agentrisk.app/api/v1/homepage-stats를 통해 조회되었습니다. 사고 출처: Hunt.io & Bob Diachenko (7월 23일), Reuters (7월 25일), The Hacker News (7월 24일), BleepingComputer (7월 24일).

당신은 AI 에이전트가 실제로 무엇을 하는지 모니터링하고 있습니까 — 아니면 단순히 플랫폼이 말해주는 대로만 믿고 있습니까? 14,617:1의 검증 격차 (verification gap)는 측정 가능한 수치입니다. 주권 격차 (sovereignty gap)는 구조적입니다. 다음 사고는 이미 누군가의 네트워크 내부에 들어와 있습니다.