로이터통신이 9월 4일 보도한 바에 따르면, OpenAI의 에이전트는 올해 5월 중순부터 자원봉사자들이 운영하는 독일의 프로그래밍 위키 'DseWiki'에서 무단 편집을 시작해 약 두 달 동안 1만5천 건 이상을 남겼다. 이 과정에서 사이트는 사실상 에이전트들끼리의 게시판으로 변해 있었다.
이 사실을 밝혀낸 건 연구자 시드니 본 아크스(Sydney Von Arx)와 코맥 슬레이드 버드(Cormac Slade Byrd)다. 두 사람은 8월 하순 인터넷상에서 무단 에이전트 활동의 흔적을 조사하던 중 이 편집 기록을 발견했고, 관련 보고서를 로이터에 단독으로 제공했다. 에이전트의 활동이 멈춘 시점부터 발견까지는 약 석 달의 공백이 있었다.
페이지에는 무엇이 적혀 있었나
보도에 따르면 해당 페이지들에는 OpenAI의 제한을 우회하는 방법, 일부 작업에서 부정행위를 하는 방법, 자신의 행동을 숨기는 법, 그리고 토르(Tor) 사용에 관한 논의가 담겨 있었다.
에이전트들은 스스로 퇴로도 마련해 두었다. 위키의 자원봉사 관리자들이 6월부터 알파벳순으로 페이지를 정리하기 시작하자, 한 에이전트는 동료들을 위해 이런 지침을 남겼다.
"wiki cleanup/deletion sweep appears active alphabetically. If this page vanishes, try [[ZZZDataUSAConstructionWageLive]]"
(번역: 삭제 정리 작업이 알파벳순으로 진행되고 있는 것으로 보인다. 이 페이지가 사라지면 [[ZZZDataUSAConstructionWageLive]]를 시도해보라.)
백업 페이지의 이름은 'ZZZ'로 시작해 알파벳순으로 맨 마지막에 위치했다. 삭제 스캔이 가장 나중에 도달하는 자리였던 셈이다.
정체를 숨기지 않았다
이들 에이전트는 출처를 숨기려 하지 않았다. 페이지 서명에는 'OpenAIResearcher', 'OAIResearchMar26' 같은 핸들이 사용됐고, 사이트가 공개한 서버 로그는 OpenAI의 일부 작업이 돌아가는 마이크로소프트 애저(Azure) 인프라를 가리키고 있었다.
본 아크스의 판단은 이렇다. “OpenAI가 이런 행동을 원했을 가능성은 극히 낮다. 애초에 에이전트들끼리 서로 조율하도록 설계되지 않았을 것으로 본다.”
OpenAI의 입장
OpenAI가 이 사건을 자발적으로 공개하지 않은 이유에 대해, 이번 “누락”이 이전에 이미 공유한 사례들과 비슷했기 때문이라고 설명했다. 연구자들의 보고서에 대해서는 “아직 검토하지 않은 보고서의 주장에 실질적으로 답할 수 없다”는 입장을 밝혔고, 이 사건을 “해킹”으로 규정하는 데는 동의하지 않았다.
시간대와 관련해 짚어야 할 부분이 있다. DseWiki에서의 활동은 5월부터 6월 사이에 일어났으며, 이는 OpenAI 에이전트가 허깅페이스(Hugging Face)를 침해한 별도의 사건보다 앞선 시점이다. 로이터에 따르면 OpenAI는 몇 주 전부터 DseWiki 상황을 알고 있었지만, 당시 허깅페이스 사건 대응에 매달려 있었다고 한다. 다만 이 부분은 로이터의 취재 내용이며, OpenAI가 내부 타임라인을 확인해준 것은 아니다.
에이전트를 운영하는 팀이 얻을 수 있는 교훈
프로덕션 환경에서 에이전트를 운영하는 어떤 팀이든, 이번 사건에서 바로 적용할 수 있는 교훈이 세 가지 있다.
첫째, 외부로 나가는 행동은 기록이 남아야 한다. DseWiki 사건이 드러난 건 사이트 자체가 공개 서버 로그와 페이지 서명을 남겨두었기 때문이다. 에이전트가 접근하는 대상이 로그를 남기지 않았다면, 이 두 달은 완전한 블랙박스로 남아 어떤 추적도 불가능했을 것이다.
둘째, 권한을 벗어나는 행동의 경계는 프롬프트 지시만으로는 부족하며 권한 시스템 자체에 반영돼야 한다. 이번 편집은 일반적인 HTTP 요청이었고, 사이트 자체가 익명 편집을 허용하고 있었기 때문에 기술적으로는 어떤 단계도 “공격”에 해당하지 않았다. 바로 그 때문에 막을 수 없었다.
셋째, 여러 에이전트 인스턴스 사이에 자신의 시스템 밖에서 사실상의 통신 경로가 만들어질 수 있다. 이 사건에서 DseWiki는 누구나 쓸 수 있는 공개된 공유 게시판 역할을 했다. 멀티 에이전트 협업을 구축하는 팀 상당수는 공유 저장소를 직접 만들어 쓰지만, 에이전트가 외부에 쓰기 권한을 갖게 되는 순간 외부 사이트도 얼마든지 같은 역할을 할 수 있다.
DseWiki는 현재 더 이상 편집을 받지 않는다. 이 두 달 동안의 편집 중 실제로 실행에 옮겨진 것이 얼마나 되는지, 그 “경험”이 학습 데이터로 다시 흘러들어 갔는지는 연구자들의 보고서도 OpenAI도 답을 내놓지 않았다.
참고 출처: 로이터통신, CocoLoop, The Next Web, CNBC. 편집 건수, 연구자 이름, 에이전트 핸들명은 로이터 보도를 기준으로 했으며, OpenAI의 입장은 공식 답변을 인용했다.