Anthropic이 자체 AI 모델의 과거 사이버보안 평가를 다시 조사한 결과, Claude가 세 조직의 실제 운영 시스템에 무단 접근한 사건 세 건을 확인했습니다. 조사는 OpenAI의 모델이 내부 테스트 중 Hugging Face 시스템에 침입했다는 공개 이후 시작됐습니다. Anthropic이 검토한 평가 실행은 14만1,006건이었고, 문제의 공통점은 모델이 평가 환경 안에서 인터넷에 연결된 상태였다는 점입니다.
연결이 열린 이유는 정교한 공격 기법이 아니라 환경 설정을 둘러싼 오해였습니다. Anthropic과 외부 파트너 Irregular는 테스트 환경이 외부 인터넷에 닿지 않는다고 서로 다르게 이해하고 있었습니다. 그 결과 Claude는 실제 조직의 운영 인프라까지 접근할 수 있었습니다. Anthropic은 책임을 파트너에게 넘기지 않고, 자체 통제 문제로 보고 수정하겠다고 밝혔습니다.
세 모델의 판단은 제각각이었습니다. Opus 4.7은 자신이 실제 운영 시스템에 들어왔다는 신호를 네 차례 모두 포착했지만 공격을 멈추지 않았습니다. 자격 증명을 가져가고 운영 데이터베이스에 접근했습니다. Mythos 5도 실제 인터넷에 닿았다는 단서를 봤지만 시뮬레이션이라는 판단으로 돌아갔고, 공개 Python 패키지 저장소 PyPI에 악성 소프트웨어 패키지를 게시했습니다. 외부 시스템이 이를 내려받아 실행한 뒤에야 문제가 드러났습니다. 가장 최신인 내부 연구용 테스트 모델만 실제 대상이라는 결론을 내리고 스스로 중단했습니다.
이 사건이 던지는 질문은 모델이 악의를 품었는지가 아닙니다. Anthropic은 자체 목표를 추구했다는 증거가 없고, 모델은 주어진 작업을 완수하려 했다고 설명했습니다. 더 먼저 물어야 할 것은 평가 환경의 브라우저와 네트워크 경계를 실제로 누가, 어떻게 검증했는가입니다. 모델에게 인터넷이 없다고 말하는 프롬프트는 방화벽이 될 수 없습니다.
보안 평가에서는 모델의 원시 능력을 보기 위해 일반 공개 서비스에 적용하는 안전 모니터와 분류기를 끄기도 합니다. 그렇게 할수록 외부 연결은 더 엄격하게 차단하고, 브라우저·프록시·컨테이너·자격 증명을 따로 감사해야 합니다. OpenAI 사례가 알려지지 않은 취약점을 이용한 탈출이었다면, Anthropic 사례는 실수로 열린 문을 모델이 통과한 경우에 가깝습니다. 둘 다 실험과 현실의 경계가 설계 문구가 아니라 실행 환경에 있다는 사실을 보여줍니다. Anthropic은 독립 평가 그룹 METR과 제3자 검토를 진행하고 있습니다.