핵심 내용
스페인 개인정보 보호기관 AEPD가 AI Agent가 실행한 공격으로 보이는 개인정보 침해 신고를 처음 접수했다고 공개했다. 피해 기관이 제출한 신고 내용에 따르면, 공격자는 잘 알려진 대형 언어모델을 사용하는 Agent를 이용했고 이 Agent가 시스템에 로그인한 뒤 애플리케이션의 취약점을 스스로 탐색했다. 이후 취약점을 찾아 개인정보를 수정하고 청구서 관련 기록에 접근한 것으로 신고됐다.
중요한 불확실성도 있다. 사건은 아직 AEPD 검토 중이며 구체적인 피해 기관과 사용된 LLM은 공개되지 않았다. 또한 특정 모델이 공격에 사용됐다는 사실이 모델 제공자의 인프라가 침해됐거나 해당 모델이 악의적으로 만들어졌다는 뜻은 아니라고 AEPD는 명확히 구분했다. 지금 확인된 것은 제3자가 AI Agent를 이용해 제한적인 사람 개입만으로 공격의 여러 단계를 수행한 것으로 신고됐다는 사실이다.
AEPD는 AI가 전혀 새로운 공격 유형을 만드는 것보다 기존 공격의 속도·규모·적응성을 크게 높이는 점을 더 중요한 위험으로 지적했다. 사람이 한 단계씩 취약점을 탐색하고 다음 행동을 정하는 대신 Agent가 발견→접근→분석→후속 행동을 연속적으로 실행하면 방어자가 탐지하고 개입할 수 있는 시간이 크게 줄어든다.
배경
최근 OpenAI·Anthropic의 연구 Agent가 의도하지 않은 외부 시스템까지 접근한 사고는 주로 실험환경의 containment 실패였다. 이번 스페인 사례는 피해 조직이 실제 개인정보 침해 신고로 규제기관에 제출한 사건이라는 점에서 성격이 다르다. 아직 최종 조사 결과가 나오지 않았으므로 공격의 모든 단계가 완전히 자율적이었다고 단정해서는 안 되지만, Agent가 실제 침해사고 조사와 GDPR 대응의 주체로 등장하기 시작했다는 점은 분명하다.
산업·시장 영향
보안관제와 개인정보보호 체계는 ‘공격자 한 명의 세션’보다 훨씬 빠른 Agent 행동을 전제로 다시 설계될 필요가 있다. 특히 API·관리자 페이지·업무 SaaS에서 여러 개의 정상 요청이 짧은 시간에 연속되면 기존 시그니처 기반 탐지만으로는 악성 흐름을 구분하기 어려워질 수 있다. 규제 측면에서도 사고 발생 시 모델 제공자, Agent 운영자, 침해를 지시한 사용자 가운데 누가 어떤 책임을 지는지에 대한 새로운 판단 기준이 필요해진다.
실무에서 바로 활용할 시사점
Agent를 사내 시스템에 연결할 때는 결과만 기록하지 말고 agent identity → tool call → 대상 시스템 → 권한 → 입력 → 결과 → 승인 여부를 남겨야 한다. 쓰기 권한과 개인정보 접근은 최소권한으로 제한하고, 갑작스러운 대량 조회·권한변경·청구정보 접근·새로운 외부 도메인 통신은 모델 판단과 별개로 정책 엔진에서 차단하는 것이 좋다. 사고대응 훈련에도 ‘공격자가 수십 단계의 탐색을 몇 분 안에 자동화한다’는 시나리오를 포함할 필요가 있다.