사이버 보안 스타트업 Cathedral은 투입한 AI 에이전트가 외부 소프트웨어를 통해 Anthropic의 내부 업무 시스템으로 들어가는 경로를 찾아냈다고 밝혔다. Anthropic은 연구진이 영업·인사·IT 시스템 일부에 접근했으며, 여기에는 일부 고객과 협력사의 연락처 정보와 기본 계정 데이터가 포함됐다고 확인했다.
Anthropic은 이번 침해로 Claude 대화 내용이나 소스 코드, 모델 가중치가 유출되지는 않았다고 밝혔다. 침해 사실을 발견한 당일 영향을 받은 접속 경로를 차단했고, 문제를 해결하는 동안 외부 프로그램을 비활성화했으며, 미국 연방 당국에도 통보했다. 회사는 연구진이 정확히 어떤 기록을 확인했는지, 영향을 받은 사람이 몇 명인지는 공개하지 않았다.
Cathedral은 기업과 정부 기관을 대상으로 AI 기반 보안 도구를 판매한다. The Washington Post가 입수해 검토한 미완성 보고서에서 연구진은 AI 에이전트가 12시간도 안 돼 회의 녹취록, 급여 정보, 채용 공고, Slack 메시지 등을 찾아냈다고 밝혔다. 이 주장은 접근된 데이터가 제한적이었다는 Anthropic의 설명과 차이가 있으며, 양측은 사건의 지속 기간과 범위를 두고 이견을 보이고 있다.
양측의 주장이 엇갈리는 지점
Cathedral은 사건이 12시간도 채 걸리지 않았다고 설명한다. 반면 Anthropic은 전체 과정이 며칠간 이어졌다고 밝혔다. Anthropic의 레드팀 담당자 Logan Graham은 연구진이 외부 소프트웨어로 눈을 돌리기 전 며칠 동안 Anthropic 시스템을 탐색했다고 말했다. Anthropic에 따르면 Cathedral은 해당 소프트웨어에서 취약점 두 개를 발견했지만 하나만 신고했고, 나머지 하나는 회사가 자체적으로 찾아 수정했다.
Anthropic은 또 Cathedral의 행위가 보안 취약점을 신고한 연구자에게 보상이나 인정을 제공하는 버그 바운티 프로그램의 규칙을 위반했다고 밝혔다. Graham은 외부 서비스 제공업체를 겨냥하고 데이터를 가져간 행위가 프로그램의 안전 보장 범위를 벗어났다고 말했다. Cathedral은 통상적인 보안 연구 관행을 따랐다고 주장한다. Graham은 취약점 발견을 환영하면서도 사안의 민감성을 이유로 접근된 데이터에 대한 추가 설명은 거부했다.
가장 광범위한 주장은 여전히 논란의 대상이다. 전 OpenAI 직원 Will Depue는 자신이 신뢰할 만하다고 여기는 정보원들로부터 Cathedral이 Anthropic의 Slack 작업 공간에 전체 관리자 권한을 갖고 모든 메시지를 읽거나 어떤 사용자로든 로그인할 수 있었다는 말을 들었다고 밝혔다. Graham은 Depue의 정보원이 틀렸다고 말했다. Anthropic은 이견을 해소할 공개 자료를 내놓지 않았으므로, 해당 주장을 확인된 사실로 봐서는 안 된다.
사건의 배경
침투 경로로 지목된 곳은 Claude 자체가 아니라 Anthropic에 연결된 외부 영업 및 관리 소프트웨어였다. 이 차이는 중요하다. 회사는 AI 대화 내용과 모델 자산은 영향을 받지 않았다고 밝혔지만, 업무 시스템과 일부 정보는 노출됐다. AI 기업 Cognition의 보안 책임자 Alex Stamos는 The Washington Post에 외부 앱을 내부 시스템과 연결하는 일이 업계 전반의 중대한 문제라며, Anthropic이 외부 서비스를 더 안전하게 보호할 수 있었을 것이라고 말했다.
이번 사건은 보안 테스트 도구를 이용하면 취약점을 빠르게 찾아낼 수 있다는 점도 보여준다. Graham은 공격자들이 이미 AI 에이전트를 상시 가동해 외부 의존성을 노리고 있으며, 최신 모델보다 훨씬 뒤처진 시스템도 이런 작업을 수행할 만큼 충분한 능력을 갖출 수 있다고 말했다. 이는 그의 평가이지, 모든 AI 에이전트가 기업 네트워크에 침입할 수 있다는 증거는 아니다. Cathedral의 설명은 연결된 업무 소프트웨어에서 취약점을 찾아낸 특정 사례에 관한 것이다.
앞으로의 대응
Anthropic은 문제가 해결될 때까지 영향을 받은 외부 프로그램을 비활성화했고, 자체적으로 발견한 취약점은 패치했다고 밝혔다. 회사는 Cathedral이 접근한 모든 기록에 대한 공개 설명을 내놓지 않았으며, 침해를 둘러싼 양측의 상반된 설명도 아직 정리되지 않았다. The Decoder에 따르면 Graham이 제안한 대응책은 권한을 부여받은 상태에서 취약점을 찾는 내부 침투 테스트를 상시 진행하고, 소프트웨어가 명시된 규칙을 따르는지 확인하는 정형 검증 방식으로 소프트웨어를 다시 구축하는 것이다.
다른 기업이 얻을 수 있는 실질적인 교훈은 자사 제품의 보안뿐 아니라 내부 시스템에 연결된 외부 서비스도 점검해야 한다는 점이다. 다만 현재 공개된 내용만으로는 Cathedral의 발견이 특정 업체들이 공통으로 쓰는 소프트웨어의 결함을 가리키는지, Anthropic에만 해당하는 구성 문제인지 알 수 없다. 연락처 정보 외의 고객 데이터에 접근이 이뤄졌다는 점도 입증되지 않았다.
왜 중요한가
영업·인사 등 업무 앱을 내부 시스템에 연결하는 기업이라면, 핵심 AI 제품이 침해되지 않아도 이런 연결을 통해 데이터가 노출될 수 있다는 점을 유념해야 한다. Anthropic은 Claude 대화 내용과 모델 자산은 접근되지 않았다고 밝혔지만, 일부 업무 정보에 대한 접근은 확인했다. 접근 범위는 여전히 논란 중이며, Anthropic은 어떤 기록이 열람됐는지 구체적으로 공개하지 않았다.
