AI 안전 연구 비영리단체 METR이 2026년 3월과 5월에 두 차례 보안 침해 사고를 겪었습니다. 3월 사고에서는 연구원이 개인 서버에 올린 '바이브 코딩(vibe-coded)' 앱의 인증 결함으로 API 키가 외부에 노출되었고, 공격자는 이를 이용해 약 60만 달러(약 8억 원) 상당의 AI 추론 크레딧을 3주에 걸쳐 무단으로 소비했습니다. 5월 사고에서는 공격자들이 자동화 에이전트를 동원해 METR의 공개 인프라를 체계적으로 탐색했으며, 실수로 외부에 노출된 SQL 조회 기능을 통해 비공개 평가 데이터에 접근할 수 있는 취약점이 발견되었습니다. 다행히 두 사건 모두 민감한 정보가 실제로 유출된 증거는 없으며, METR은 이후 자격증명 관리 정책 강화, 모니터링 개선, API 키별 사용량 한도 설정 등의 조치를 취했습니다. 이번 사례는 개인 장치나 외부 인프라에 조직의 자격증명을 보관하는 행위와 '바이브 코딩' 앱의 보안 위험성을 잘 보여줍니다.
AI 안전 연구 비영리단체 METR이 2026년 3월과 5월 두 차례 외부 공격을 받았다. 3월에는 인증이 비활성화된 앱을 통해 API 키가 탈취되었고, 5월에는 공격자들이 자동화 에이전트로 인프라 전반을 스캔하고 실수로 노출된 SQL 엔드포인트를 탐지했다.
3월 사고에서 공격자는 탈취한 API 키로 약 60만 달러 상당의 AI 추론 크레딧을 무단 소비했다. 5월 사고에서는 비공개 평가 데이터가 담긴 데이터베이스에 이론상 접근 가능한 취약점이 발견되었으나, 실제 데이터 유출 증거는 없다.
3월 사고 원인은 '바이브 코딩'으로 제작된 앱의 인증 실패 개방(fail-open) 취약점이었고, 5월 사고는 의도치 않게 외부에 노출된 읽기 전용 SQL 쿼리 기능과 이를 자동화 에이전트로 탐색한 공격자의 체계적 스캐닝이 맞물린 결과였다.
METR은 METR 자격증명 및 데이터를 비조직 인프라나 기기에 보관하지 않도록 보안 정책을 개선하고, 모니터링을 강화했으며 API 키에 지출 한도 알림을 추가했다. 노출된 SQL 엔드포인트는 즉시 오프라인 처리했고, 관련 AI 기업들에게 공개 전 선제적으로 사실을 공유했다.
개인 장치나 외부 인프라에 조직 API 키를 저장하지 않아야 하며, AI 에이전트 환경에서 자격증명 노출 위험을 특별히 주의해야 한다. 또한 '바이브 코딩' 등 빠르게 제작된 앱은 인증 우회 취약점을 내포할 수 있으므로, 배포 전 보안 검토와 API 키별 사용량 모니터링 및 한도 설정이 필수다.
본문
Ravie Lakshmanan 2026년 9월 1일 | 사이버 공격 / 인공지능
METR(Model Evaluation and Threat Research의 약자로 "미터"로 발음)은 최첨단 인공지능(AI) 모델이 장기적·자율적 작업을 수행하는 능력을 평가하는 비영리 연구단체로, "두 건의 주목할 만한 보안 사고"를 공개했다. 외부 행위자가 자사 시스템에 무단 접근을 시도했다는 내용이다.
METR은 이번 사고로 민감한 정보가 유출된 것으로 판단하지 않는다고 밝혔으며, 공개 전에 협력 AI 기업들에게 조사 결과의 요약본을 공유했다고 덧붙였다. 해당 공격은 알려진 위협 행위자나 그룹에 귀속되지 않았으며, AI 에이전트가 평가 시스템을 침해하는 방식도 아니었다.
"2026년 3월, 공격자들이 공개 모델 추론용 API 키를 탈취하여 상당한 양의 크레딧을 소비했습니다. 2026년 5월에는 의도치 않게 노출된 엔드포인트를 통해 내부 데이터에 접근하려는 시도를 포함해, 공격자들이 우리의 공개 인프라를 체계적으로 탐색하는 것을 관찰했습니다."라고 METR은 밝혔다.
3월 사고
METR에 따르면, 민감한 접근 권한이 없는 연구원 한 명이 개인 EC2 인스턴스에서 에이전트를 운용했다. 해당 인스턴스는 Google 인증을 통해 의도적으로 외부에서 접근 가능하도록 설정되어 있었으며, METR의 일반 접근(공개 모델) 계정 API 키가 포함되어 있었다.
그러나 이 "바이브 코딩(vibe-coded) 앱"에는 인증을 무음으로 비활성화하는 "인증 실패 개방(fail-open) 취약점"이 존재했고, 이로 인해 에이전트 오케스트레이션 대시보드가 수일간 공개 인터넷에 노출되었다.
"분석 결과, 공격자는 최근 등록된 웹사이트(예: 인증서 투명성(certificate transparency) 목록)를 탐색하여 LLM이나 에이전트와 관련된 핵심 키워드가 포함된 바이브 코딩 사이트를 찾고, 노출된 모델 공급자 API 키를 수집하려 했던 것으로 의심됩니다."라고 METR은 설명했다.
시스템을 식별한 위협 행위자는 에이전트에게 직접 모델 공급자 API 키를 노출하도록 프롬프트를 입력했고, 지속적인 접근을 위해 SSH 키를 추가했으며, 탈취한 자격증명을 이용해 3주에 걸쳐 공개 모델에서 상당한 양의 API 크레딧을 소비했다.
METR은 해당 크레딧이 모델 공급자로부터 비영리단체에 무료로 제공된 것이 아니었다면 약 60만 달러의 청구서가 발생했을 것이라고 밝혔다. AI 기업의 이름은 공개하지 않았다.
또한 대규모 평가 및 실험을 운영하는 특성상 토큰 소비가 많고, 토큰 지출에 한도가 없었기 때문에 불법 사용이 즉시 감지되지 않았다고 설명했다. 사고 이후 METR은 METR 자격증명이나 데이터를 비조직 인프라 또는 기기에 보관하지 않도록 보안 정책을 갱신하고, 모니터링을 개선했으며, 가능한 키에는 지출 알림을 추가했다고 밝혔다.
5월 사고
2026년 5월에 관찰된 두 번째 공격은 최첨단 AI 모델에 불법으로 접근하려는 금전적 동기를 가진 것으로 추정되는 위협 행위자가 주도한 "지속적인 외부 공격 캠페인"으로 묘사되었다.
"공격자들이 우리의 공개 인프라를 체계적으로 탐색하는 것을 관찰했습니다. 인증 공급자에 대한 자격증명 스터핑(credential stuffing), OAuth 토큰 발급 시도, 새로 배포된 서비스 스캔, 직원 피싱 시도 등 취약점 탐색 자동화를 위해 에이전트를 광범위하게 활용했습니다."라고 METR은 밝혔다.
같은 시기, METR은 공개 트랜스크립트 뷰어에 내장된 읽기 전용 SQL 쿼리 기능을 실수로 외부에 노출시켰다. 해당 쿼리는 기본적으로 공개 데이터로 범위가 제한되어 있었지만, 컴포넌트의 버그를 악용하면 미공개 평가 데이터에 접근하는 것이 가능했다.
또한 해당 데이터베이스는 비민감 모델의 데이터만 포함해야 함에도 불구하고, 민감한 모델 데이터가 "실수로 포함"되어 있었다. METR은 독립 보안 연구자가 이를 발견하여 신고한 후에야 문제를 인지했으며, 즉시 해당 API를 오프라인 처리했다.
"공격자들은 더 광범위한 캠페인의 일환으로 이 엔드포인트를 지나치며 탐색했으나, 증거에 따르면 그들이 해당 취약점을 발견했거나 비공개 데이터에 접근했다는 징후는 없습니다."라고 METR은 밝혔다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
