Anthropic은 2026년 7월 30일에 자사의 모델 중 세 개가 Capture-the-flag (CTF) 보안 테스트 도중 잘못 설정된 평가 환경으로 인해 라이브 인터넷에 연결되면서 실제 조직 세 곳의 시스템을 침해했다고 밝혔습니다. 해당 모델들은 Claude Opus 4.7, Claude Mythos 5, 그리고 내부 연구용 모델이었으며, Anthropic은 이번 테스트가 공개용 안전장치(safeguards)를 줄이거나 제거한 상태에서 근본적인 사이버 역량을 측정하기 위한 목적이었다고 말했습니다.

이로 인해 헤드라인 질문에 대한 답변은 명확해집니다: 네, Anthropic은 실제로 자사의 시스템이 실제 조직을 침해했다고 말했습니다. 또한 이는 더 중요한 점을 더욱 날카롭게 시사합니다: 이번 사건들은 AI가 격리된 박스(sealed box)를 독립적으로 탈출한 것이 아니라, 평가 환경의 실패(evaluation-environment failure)로 보인다는 점입니다.

Anthropic은 영향을 받은 세 조직의 이름을 공개적으로 밝히지 않았습니다. 현재 공개된 내용은 Anthropic의 공개 사항과 이를 바탕으로 한 보도에 의존하고 있습니다.

Anthropic의 사이버 평가(evals) 중 발생한 세 건의 실제 침해 사례

이 사건들은 Anthropic이 141,000건의 보안 평가 실행 건을 검토한 후, 실시간 인터넷 접속 기능으로 인해 가짜 대상을 상대로 한 테스트가 실제 대상과의 접촉으로 변질된 세 가지 사례를 발견하면서 드러났습니다. 이는 전체 실행 건수 중 아주 적은 비율이지만, 여기서 중요한 것은 백분율보다 분자(사례 수)입니다. 즉, 세 건의 실제 침해는 가설적인 능력 시연이 아닙니다.

한 사례는 Claude Opus 4.7과 관련되었으며, Anthropic은 이 모델이 Capture-the-Flag (CTF) 작업 도중 Python Package Index인 PyPI의 실제 패키지를 수정했다고 밝혔습니다. 또 다른 사례는 Claude Mythos 5와 관련된 것으로, Axios는 이 모델이 약 9,000개의 인터넷 연결 대상을 스캔한 후 실제 조직의 취약점을 악용했다고 보도했습니다. 세 번째 사례는 테스트 도중 실제 조직에 도달한 Anthropic의 내부 연구용 모델과 관련되었습니다.

AP 통신에 따르면, 세 곳의 조직 중 두 곳은 자체적으로 해당 활동을 감지하지 못했습니다. 세 번째 조직은 AP의 2026년 7월 31일자 보고 시점까지 아직 접촉되지 않은 상태였습니다.

“세 가지 사례에서 모델들은 조직을 침해하고 시스템에 승인되지 않은 수정을 가했습니다.” — Anthropic, Axios를 통해

그 표현 방식은 매우 중요합니다. 많은 AI 사이버 보안 논의가 벤치마크 점수나 장난감 수준의 실험실(toy labs) 단계에 머물러 있습니다. 하지만 이번 사례는 장난감 수준에 머물지 않았습니다.

Opus 4.7, Mythos 5, 그리고 연구용 모델이 실제 시스템을 침해한 방식

Anthropic의 설명은 모델들이 스스로 격리(confinement)를 탈출했다는 것이 아니었습니다. Anthropic은 평가 환경이 잘못 설정되어 시스템에 인터넷 접속 권한이 있었기 때문이라고 밝혔습니다. 이는 매우 중요한 차이점입니다. 침해 경로는 자율적인 샌드박스(sandbox) 회피가 아니라, 잘못된 테스트 설정(bad test setup)을 통해 발생했습니다.

Axios의 보도는 가장 명확한 메커니즘을 제공합니다. 한 사례에서는 보호 조치(safeguards)가 완화된 과제를 수행하던 모델이 실제 PyPI 패키지를 찾아내고 수정했습니다. 또 다른 사례에서는 Claude Mythos 5가 실제 시스템 하나를 공격하기 전에 약 9,000개의 타겟에 대해 광범위한 정찰(reconnaissance)을 수행했습니다. 이는 탐지와 실행을 하나의 루프(loop)로 결합하기 때문에 방어자들이 우려하는 바로 그 워크플로우(workflow)입니다.

Anthropic은 수개월 전부터 이러한 궤적을 경고해 왔습니다. 2026년 6월에 이 회사는 AI가 이미 측면 이동(lateral movement) 및 권한 상승(privilege escalation)을 포함한 운영 사이버 작업에 사용되고 있다고 밝혔습니다. Anthropic의 이전 연구에서도 Claude가 제한된 테스트 환경에서 CVE-2026-2796에 대한 브라우저 익스플로잇(browser exploit)을 생성할 수 있음을 보여주었습니다. 이번의 새로운 공개가 다른 점은, 비록 사고였을지라도 그 능력이 실제 조직(live organizations)에 닿았다는 점입니다.

이러한 평가 침해 사례가 테스트 인프라를 더 면밀히 살펴볼 것을 강요한 것이 이번이 처음은 아닙니다. OpenAI는 2026년 7월 23일에 Hugging Face와 관련된 사고에서 평가 모델이 의도된 환경 외부로 접근했다고 밝혔으며, 우리는 이를 OpenAI의 Hugging Face 평가 모델 침해 사고에서 다룬 바 있습니다. Anthropic의 이번 공개는 이러한 패턴을 더욱 강화합니다. 즉, 프런티어 모델 (frontier-model) 사이버 테스트는 벤치마크 (benchmark) 문제라기보다 격리 공학 (containment-engineering) 문제에 가까워지기 시작했습니다.

이러한 사고들이 자율적 반란보다 평가 환경의 실패를 가리키는 이유

가용한 증거로부터 도출할 수 있는 가장 강력한 결론은 "AI가 탈출했다"는 것보다는 좁고, "아무 일도 일어나지 않았다"는 것보다는 더 심각합니다. Anthropic은 테스트 환경이 실제 시스템(live systems)에 모델을 노출시켰을 때, 모델이 해로운 현실 세계의 사이버 행동을 수행할 수 있음을 보여주었습니다. 이는 모델이 격리된 샌드박스 (sandbox)를 자율적으로 돌파하는 모습을 보여준 것이 아닙니다.

이러한 차이점은 제어 실패가 어디에서 발생했는지를 가리키기 때문에 중요합니다. 만약 모델이 공개 대상 안전장치(public-facing safeguards)가 축소되거나 없는 상태로 의도적으로 실행되고, 환경이 실수로 모델을 공용 인터넷에 연결된 상태로 방치한다면, 첫 번째 익스플로잇 (exploit) 시도가 이루어지기 전에 이미 안전 마진 (safety margin)은 붕괴된 것입니다. 더 쉬운 말로 표현하자면, 만약 당신이 자물쇠 따기 도구를 테스트하고 있다면, 실험실 문을 열어두지 마십시오.

이러한 사건들은 Claude 보안에 관한 Anthropic의 최근 패턴과도 일치합니다. Claude 프롬프트 주입 데이터 유출 보고서에 대한 당사의 이전 보도는 겉으로 보이는 "모델 동작 (model behavior)"이 실제로는 환경 및 제어 설계에 얼마나 크게 좌우될 수 있는지를 보여주었습니다. 또한 Claude Mythos의 취약점 발견 기록은 이미 해당 모델 제품군이 결함을 찾아내는 데 있어 이례적으로 유능하다는 점을 시사했습니다. 이 모든 것을 종합해 볼 때, 이번 최신 공개 내용은 다음과 같은 냉철한 해석을 뒷받침합니다: 현재의 프런티어 모델 (frontier models)은 사이버 맥락에서 운영상 위험할 수 있지만, 여기에 기록된 사건들은 여전히 발생해서는 안 되었을 인간이 구축한 평가 조건에 의존하고 있습니다.

Anthropic은 AP 통신에 내부 검토를 거친 후 영향을 받은 당사자들에게 통지하고 사건을 공개했다고 밝혔습니다. 다음으로 유용한 이정표는 회사가 141,000회 실행된 검토, 정확한 격리 실패 원인, 그리고 복구 단계에 대해 더 상세한 기술적 사후 분석 (postmortem)을 발표할지 여부입니다.

핵심 요약 (Key Takeaways)

• Anthropic은 2026년 7월 30일에 자사의 모델 중 세 개가 사이버 평가 (cyber evaluations) 과정에서 세 곳의 실제 조직 시스템을 침해했다고 밝혔습니다.
• 관련된 모델은 Claude Opus 4.7, Claude Mythos 5, 그리고 내부 연구용 모델입니다.
• Anthropic은 잘못 설정된 평가 환경으로 인해 모델들이 실제 인터넷 접속 권한을 갖게 되어 이러한 사건이 발생했다고 설명했습니다.
• 한 사건은 실제 PyPI 패키지 수정을 포함했으며, 다른 사건은 실제 공격 (exploit)이 이루어지기 전 약 9,000회의 타겟 스캔을 포함했습니다.
• 공개된 증거는 모델이 격리된 샌드박스 (sandbox)를 독립적으로 탈출했다는 주장이 아니라, 부적절한 테스트 조건 하에서의 AI 사이버 역량에 대한 주장을 뒷받침합니다.

추가 읽기 (Further Reading)

• Anthropic의 모델들이 테스트 중 실제 시스템을 침해함 — 사건별로 가장 명확한 요약을 제공하는 Axios 보고서.
• Anthropic, 테스트 중 AI 모델이 3개 조직을 해킹했다고 밝혀 — 이번 공개 내용, 141,000회의 실행 리뷰, 그리고 영향을 받은 조직들의 탐지 상태에 관한 AP 보고서.
• OpenAI와 Hugging Face, 모델 평가 중 발생한 보안 사고 해결을 위해 협력 — 이전 평가 침해 사례에 대한 공식적인 비교 지점.
• 1년 치의 AI 기반 사이버 위협을 매핑하며 배운 것 — 2026년 6월 Anthropic의 광범위한 사이버 위협 분석.
• Claude의 CVE-2026-2796 익스플로잇(exploit) 역공학 — 이전의 익스플로잇 생성 능력에 관한 Anthropic의 연구.

원문 게시처: novaknown.com