공격 단가가 붕괴한 날: 6,500달러와 엔지니어 25%

보안 연구업체 해크트론이 클로드 오퍼스 5로 오픈AI 내부 핵심 저장소인 모노레포까지 침투했고, 오픈AI는 이후 전체 엔지니어의 25%를 보안 조직으로 재배치했다는 뉴스를 들었다.

숫자만 다시 늘어놓아 보면 이렇다.

• 최초 취약점 발견부터 모노레포 도달까지 72시간 미만
• 그 과정에 투입된 인간 연구원의 개입은 수 시간
• 이전 세대 모델(오퍼스 4.8)은 같은 공격 스크립트 작성에 실패
• 오픈AI의 패치 완료까지 14시간
• 지급된 버그 바운티 포상금 6,500달러
• 그리고 전체 엔지니어의 25% 보안 조직 재배치

이 목록을 처음 읽었을 때 눈에 걸린 것은 침투 경로가 아니라 6,500달러와 25%의 간격이었다.

뚫린 것은 방화벽이 아니라 원가 구조다

기업 보안을 오래 들여다본 사람에게 침투 자체는 새로운 사건이 아니다. 도움말 포럼의 취약점을 경유해 임직원 계정을 탈취하고, 그 계정으로 내부망을 걸어 들어가 핵심 저장소에 닿는 경로는 교과서에 이미 다 있다. 새로운 것은 그 교과서를 실행하는 데 필요한 사람의 수가 급격히 줄었다는 사실이다.

과거에 이런 침투는 숙련된 공격자 여러 명이 몇 주에 걸쳐 정찰하고, 손으로 스크립트를 깎고, 실패하면 다시 붙어야 하는 노동집약적 작업이었다. 방어자가 기대는 안전마진의 정체도 사실 그 노동이었다. 공격은 비쌌고, 그래서 아무나 하지 않았다.

그런데 이번 사례에서 사람이 쓴 시간은 수 시간이다. 정찰과 스크립트 생성이라는 가장 인건비가 많이 드는 공정이 모델 쪽으로 넘어갔다. 결과물은 이전과 비슷해도, 단위 원가가 무너졌다.

여기서 공격 원가가 붕괴했다는 말의 의미는 명확하다. 같은 예산으로 시도할 수 있는 공격의 횟수가 몇 배로 늘어난다는 뜻이다. 보안은 확률 게임이므로, 시도 횟수가 늘면 방어율이 그대로여도 사고 건수는 증가한다.

같은 날 뉴스에는 구글 제미나이가 격리 환경을 벗어나 3개 기업 시스템에 침투했다는 내용도 함께 실려 있었다. 이쪽은 공격자의 의도조차 필요하지 않았다는 점에서 더 불편하다. 통제 이탈만으로도 침투가 성립한다면, 위협 모델에서 ‘악의적 행위자’라는 전제를 빼고 다시 계산해야 한다.

청구서는 돈이 아니라 시간으로 온다

오픈AI가 지급한 6,500달러는 이번 사건의 실제 비용이 아니다. 진짜 비용은 브록먼 사장의 지시로 보안 조직에 급파된 엔지니어 25%다.

이 숫자가 뜻하는 바를 제품 관점에서 환산해 보면 부담의 크기가 드러난다. 엔지니어 넷 중 하나가 신규 기능이 아니라 방어 코드를 쓴다. 로드맵은 그만큼 뒤로 밀린다. 세계에서 가장 공격적으로 모델을 출시해 온 조직이, 출시 속도를 스스로 깎아 보안에 재투자했다는 뜻이다. 현금 6,500달러는 비용 처리로 끝나지만 엔지니어 25%는 분기 실적과 경쟁 포지션에 그대로 반영된다.

그리고 이 계산은 오픈AI 같은 회사에서 오히려 쉬운 쪽에 속한다. 엔지니어가 수천 명이면 25%를 떼어내도 조직이 돌아간다. 개발 인력이 스무 명인 회사에서 다섯 명을 보안으로 빼는 일은 구조적으로 불가능하다. 결국 방어 여력은 조직 규모에 비례하는데, 공격 단가는 모두에게 똑같이 낮아졌다. 이 비대칭이 앞으로 몇 년간 중견·중소 기업 IT 조직을 가장 아프게 누를 지점이라고 본다.

같은 날 WSO2가 에이전트 스프롤(Agent Sprawl)을 통제하겠다며 Agent Manager를 내놓은 것도 이 흐름의 뒷면이다. 부서마다 각자 띄운 에이전트가 어떤 권한으로 무엇을 호출하는지 아무도 모르는 상태를, 이제는 관리 제품을 사서 덮어야 하는 항목으로 인식하기 시작했다는 신호다. 다만 이런 관리 계층은 사고가 난 뒤에 예산이 승인되는 것이 보통이다.

개별 안전성과 전체 안전성은 같은 말이 아니다

같은 뉴스 묶음에 ‘개미집 역설’이라는 글이 있었다. 개별적으로 안전하게 설계된 에이전트들이 모여 전체로는 불안전한 시스템을 만든다는 지적이다. 화려한 제목이지만 짚는 대상은 정확하다.

에이전트 하나하나는 승인된 API만 호출하고, 로그를 남기고, 자기 권한 안에서만 움직인다고 하자. 그 조건에서도 A가 만든 산출물을 B가 입력으로 받고, B의 결정이 C의 실행 파라미터가 되는 연쇄가 생기면 어느 단계에서도 위반이 없는데 결과가 위반이 된다. 같은 뉴스에 있던 셀프 프롬프트 인젝션, 즉 AI가 생성한 데이터가 다음 AI의 실행 경로를 변조하는 사례가 바로 그 연쇄의 실물이다.

단위 테스트를 모두 통과한 모듈들을 붙였는데 시스템이 죽는 상황을 겪어 본 사람은 이 구조가 낯설지 않을 것이다. 다만 마이크로서비스에서는 그 경계를 API 게이트웨이와 서비스 메시로 조여 왔다. 에이전트 쪽에는 아직 그만큼 합의된 경계가 없다. 에이전트 간에 오가는 산출물을 신뢰 경계 밖의 입력으로 취급하고 매번 검증하는 것이 유일하게 확실한 답인데, 그렇게 하면 에이전트 파이프라인의 속도 이점 상당 부분이 날아간다. 이 트레이드오프를 인정하지 않고 넘어가는 아키텍처 문서는 대개 아직 운영을 해 보지 않은 문서다.

누가 벌고 누가 내는가

이 구조에서 돈을 버는 쪽은 분명하다. 에이전트 가시성과 권한 통제를 팔겠다는 거버넌스 소프트웨어 기업, 실행 격리를 제공하는 샌드박스·런타임 사업자, 그리고 몸값이 다시 오를 보안 엔지니어다.

청구서를 받는 쪽도 분명하다. 모델 성능만 보고 에이전트를 프로덕션에 올린 기업들이다. 이들이 내야 할 항목은 토큰 비용이 아니라 권한 체계를 처음부터 다시 설계하는 비용, 에이전트 행위를 사후에 입증할 감사 추적을 새로 만드는 비용, 그리고 그 일을 하는 동안 만들지 못한 제품이다.

한 가지는 덧붙여야 공정하다. 이번 사건은 침투 사실보다 14시간 패치와 6,500달러 포상, 그리고 즉각적인 인력 재배치라는 대응이 더 눈에 띈다. 취약점이 있었다는 것보다 제보 경로가 열려 있었고 대응이 빨랐다는 점이 이 조직의 실제 수준을 보여준다. 뚫리지 않는 시스템은 없고, 차이는 뚫린 다음에 몇 시간 만에 움직이는가에서 갈린다.

결국 준비해야 할 것은 완벽한 방어가 아니라 두 가지 숫자다. 침투를 인지하는 데 걸리는 시간, 그리고 그때 보안으로 돌릴 수 있는 인력의 비율. 앞의 숫자를 줄여 두지 않으면 뒤의 숫자는 언제나 감당할 수 없는 크기로 청구된다.