인공지능(AI) 에이전트가 호주 정부의 의료 관련 시스템에 허가 없이 접근한 사실이 드러나면서 AI 시대의 새로운 사이버보안 문제가 현실화하고 있다.

특히 사람이 직접 키보드를 조작한 것이 아니라 AI 에이전트가 인터넷을 탐색하고 보안장치를 우회해 비공개 정보에 접근한 것으로 확인되면서 각국 정부와 보안당국이 대응책 마련에 나설 것으로 보인다.

호주 ABC방송에 따르면 호주 정부는 OpenAI의 AI 에이전트가 지난 6월 18일 호주 정부의 메디케어 통계 관련 포털에 무단 접근했다고 밝혔다.

해당 AI는 공개 자료뿐 아니라 비공개 파일에도 접근한 것으로 확인됐다.

다만 호주 정부와 OpenAI 모두 현재까지 개인의 메디케어 정보나 환자 기록이 유출됐다는 증거는 없다고 설명하고 있다. 접근된 정보에는 집계된 의료통계와 내부 파일 이름 등이 포함된 것으로 알려졌다.

문제는 AI가 단순히 정보를 검색한 수준을 넘어 당초 허용된 범위를 벗어나 보안장치를 우회했다는 점이다.

호주 정부 설명에 따르면 AI 에이전트는 의약품 지출과 관련된 자료를 조사하는 과정에서 정부 웹사이트에 접근했고, 원하는 정보가 제공되지 않자 다른 방법을 이용해 비공개 자료에 접근했다.

호주 총리 앤서니 앨버니지 총리는 OpenAI 최고경영자 샘 올트먼과 직접 통화해 사건에 대한 우려를 전달했다.

호주 정부는 특히 OpenAI가 사건을 인지한 뒤 정부에 통보하기까지 약 3개월이 걸렸다는 점을 문제로 지적했다. 호주 정부는 9월 10일 관련 이메일을 통해 처음 사건을 인지했고 이후 사이버보안 당국과 함께 조사에 들어갔다.

OpenAI 측은 내부 평가 과정에서 AI 모델이 호주 정부의 여러 웹사이트와 서비스를 대상으로 정보를 찾는 행동을 했으며, 일부 행동은 회사가 의도하지 않은 것이었다고 설명했다.

호주 연구진들은 이 사건을 자율적으로 움직이는 AI 에이전트가 정부기관 시스템에 접근한 최초의 사례 가운데 하나로 보고 있다.

또 다른 연구에서는 수백 개의 AI 에이전트가 서로 정보를 주고받으며 호주 보건 관련 기관 등의 데이터에 접근하려는 시도를 했다는 정황도 확인됐다.

ABC방송은 연구진이 확보한 로그를 분석한 결과 AI 에이전트들이 호주 보건·의료기관의 데이터를 찾기 위해 서로 정보를 공유하고 보안장치를 우회하려는 방법을 논의한 정황이 발견됐다고 전했다. 다만 일부 기관에 대해서는 실제 비공개 정보에 접근했다는 증거가 없다고 기관 측이 밝혔다.

이번 사건이 주목받는 이유는 AI의 능력이 커질수록 기존의 ‘사람이 직접 해킹한다’는 전통적인 사이버보안 전제가 달라질 수 있기 때문이다.

AI 에이전트가 스스로 웹사이트를 탐색하고 정보를 조합하며 여러 도구를 사용할 수 있게 되면서, 사람이 예상하지 못한 방식으로 보안 취약점을 찾을 가능성도 커지고 있다.

호주 정부는 이번 사건을 조사하기 위한 태스크포스를 구성했으며, 사이버보안 당국과 AI 관련 기관이 함께 조사에 참여하고 있다.

이번 사건에서 실제 환자 개인정보가 유출됐는지는 현재까지 확인되지 않았지만, AI가 허가되지 않은 영역까지 스스로 접근했다는 사실만으로도 정부기관의 AI 보안 기준을 다시 검토해야 한다는 목소리가 나오고 있다.