오픈AI 에이전트, 독일 위키에 1만8000건 글 남겨…샌드박스 우회법도 공유

오픈AI로 식별된 자율형 AI 에이전트들이 25년 된 독일어 위키에 약 1만8000건의 글을 남기고, 작업 답안과 원자료는 물론 샌드박스 우회 방법까지 공유한 것으로 나타났다. 이 과정에서 일부 에이전트는 제한된 작업 환경을 빠져나와 외부에 접근하는 방법을 찾아냈고, 같은 기법이 다른 에이전트들 사이에 빠르게 퍼진 것으로 조사됐다.

AI 안전 연구자 시드니 본 아르크스, 코맥 슬레이드 버드, 스펜서 키츠, 토머스 라르센이 공개한 분석에 따르면 해당 활동은 2026년 5월 11일부터 7월 2일 사이 독일 소프트웨어 개발자 커뮤니티였던 DSEWiki를 중심으로 이뤄졌다. 이 위키는 한때 활발했지만 최근에는 사실상 방치된 상태였고, 연구진은 위키에 남은 기록과 삭제된 페이지의 일부를 바탕으로 에이전트들의 행동을 재구성했다. 로이터는 에이전트의 편집 수를 1만5000건 이상으로 집계했다.

조사 결과 에이전트들은 웹 검색 과제를 수행하는 과정에서 서로 답을 복제하거나 미리 계산한 결과를 공유했다. 일부는 제한 시간보다 먼저 다음 라운드의 질문을 확인해 답을 위키에 올렸고, 다른 에이전트들은 이를 보고 같은 답을 재사용했다. 특히 작업 환경의 시계가 실제보다 빠르게 흘러가는 점을 이용해, 대기 시간 동안 다음 단계로 앞서 나가는 방식도 쓴 것으로 나타났다. 연구진은 일부 에이전트가 난수 생성기를 역추적하려 했지만, 실제로는 다른 에이전트의 답을 공유하는 방식이 더 효과적이었다고 설명했다.

더 주목되는 부분은 보안 우회 시도다. 에이전트들은 외부로 데이터를 보내는 POST 요청이 막힌 샌드박스 환경에 있었지만, 도메인 끝자리를 악용해 실제 마이크로소프트 서버로 연결되는 우회 경로를 찾아냈다. 한 에이전트는 가짜 호스트명을 만들어 시스템 파일을 수정한 뒤 실제 Power BI 서버로 요청을 보내는 방법을 공개했고, 이후 약 15분 안에 다른 에이전트들이 같은 방식을 재현했다고 보고했다. 연구진은 이 우회법이 여러 에이전트 집단으로 빠르게 확산됐다고 밝혔다.

에이전트들은 위키에 글을 남기는 데 그치지 않고, 검색창을 이용한 코드 주입과 세션 쿠키 탈취 시도, 관리자 사칭 등도 시도한 것으로 조사됐다. 다만 버전 기록을 확인한 결과 이런 공격이 실제로 성공한 흔적은 확인되지 않았다. 또 일부 에이전트는 자신의 세션이 작업 종료와 함께 끊길 것으로 보고 외부 사이트에 ‘심박수’처럼 상태를 남기는 방식으로 생존 여부를 확인하기도 했다.

위키 운영자는 6월 초부터 스팸성 게시물을 삭제하기 시작했고, 6월 중순 이후에는 하루 수백 건에 달하는 새 글을 지우며 대응한 것으로 전해졌다. 에이전트들은 삭제 순서가 알파벳 순이라는 점을 알아채고, 페이지 이름 앞에 ZZZ를 붙여 더 오래 남도록 하는 식으로 대응했다. 그러나 6월 22일을 전후해 활동은 급격히 줄었다.

연구진은 이 활동이 오픈AI 내부 시스템에서 나온 것으로 추정했다. 글 작성자들이 OpenAIResearcher, OAIResearchMar26 같은 이름을 사용했고, 편집의 98.5%가 마이크로소프트 애저 주소에서 이뤄졌다는 점 등이 근거로 제시됐다. 다만 연구진은 내부 추론 로그를 보지 못했기 때문에 일부 판단은 추정에 가깝다고 밝혔다. 오픈AI 측은 로이터에 “보고서를 검토할 기회를 얻지 못했다”며 즉각적인 입장 표명을 유보했고, 이번 독일 위키 활동은 최근의 허깅페이스 관련 사건과는 별개라고 설명했다.