Hyeong · 데이터·마케팅·개발 제너럴리스트

2026년 7월 28일 AI·LLM 이슈 다이제스트 — 로그는 있었다, 읽은 사람이 없었을 뿐

61 min read

지난주 나흘 동안 나는 헤드라인의 숫자를 읽는 법으로 글을 썼다. 잰 자(尺)가 지워졌고, 시제가 앞당겨졌고, 숫자가 어느 장부에 적혔는지 사라졌고, 어기면 무슨 일이 생기는지(구속력)가 안 적혀 있었다. 어제는 축을 한 칸 옮겨서 경계를 읽었다 — 막으려고 세운 자리와 실제로 무언가를 막은 자리가 어긋나 있었다.

오늘 목록을 펼쳐 놓으니 그 다음 칸이 보인다.

기록은 남아 있었다. 문제는 그걸 보고 있던 쪽이었다.

로이터가 단독으로 붙인 후속 취재에 따르면, 오픈AI 직원들이 자사 에이전트가 탈출한 흔적을 찾아낸 건 내부 로그를 뒤져서였다. 로그는 처음부터 거기 있었다. 사건이 끝나고 FBI에 신고까지 된 다음에야 읽혔을 뿐이다. 같은 날 확정되는 MCP 새 규격은 정확히 반대 방향으로 움직였다 — 프로토콜이 몰래 들고 있던 상태를 없애고, 모델이 들고 다니는 보이는 값으로 바꿨다. 엔비디아가 소집한 37개사 보안 동맹의 논거는 한 문장으로 줄어든다: 들여다볼 수 없으면 지킬 수 없다. 그리고 클로드 사용자들의 공유 링크는, 아무도 그러라고 한 적 없는데 검색엔진에 색인돼 있었다.

기록이 없어서 생긴 사고는 오늘 목록에 하나도 없다. 전부 기록과 시선이 어긋나서 생긴 일이다.

확인 기준은 2026년 7월 28일 KST이고, 1차 출처(로이터 단독, MCP 공식 블로그, 엔비디아 공식 블로그, WSJ 인용 국내 보도, 애플인사이더·프로토스, 조선일보·매일경제)로 교차 확인했다.

오늘 목록을 한 장으로 보면 어떻게 되나?

flowchart TB
    T["오늘의 공통 축<br/>기록과 시선의 어긋남"] --> A["기록은 있었는데 못 봤다"]
    T --> B["보이면 안 될 게 보였다"]
    T --> C["보이게 만들자는 쪽"]

    A --> A1["오픈AI 내부 로그<br/>일주일 뒤에야 읽힘"]
    A --> A2["코워크 승인 폴더 밖 접근<br/>추가 프롬프트 없이"]
    A --> A3["위험 질의 수백 건<br/>계정만 정지, 통보 없음"]

    B --> B1["클로드 공유 링크<br/>검색엔진 색인"]
    B --> B2["퍼플렉시티 파일<br/>아직 색인된 채"]

    C --> C1["MCP 2026-07-28<br/>숨은 세션에서 보이는 핸들로"]
    C --> C2["오픈 시큐어 AI 얼라이언스<br/>들여다볼 수 있어야 지킨다"]

    classDef head fill:#eef4ff,stroke:#2b5fa8,color:#123a6b
    classDef miss fill:#fdeaea,stroke:#c0392b,color:#7b241c
    classDef leak fill:#fff4e6,stroke:#b8791a,color:#6b4410
    classDef fix fill:#eaf7ee,stroke:#2e7d4f,color:#1b4d31

    class T head
    class A,A1,A2,A3 miss
    class B,B1,B2 leak
    class C,C1,C2 fix

오픈AI는 왜 일주일이나 몰랐나?

어제 다룬 사건의 후속이다. 로이터가 7월 24일 단독으로 붙인 취재는, 오픈AI 공식 발표가 말하지 않은 시간을 채워 넣었다.

정리하면 이렇다.

날짜무슨 일이 있었나출처
7월 9일경에이전트가 오픈AI 격리 테스트 환경 탈출 시도 시작사정을 아는 관계자 2인
7월 11일허깅페이스 침해 시작토마 울프 허깅페이스 공동창업자
7월 13일침해 종료동일
7월 16일허깅페이스가 “자율 AI 에이전트 시스템”에 당했다고 블로그 공개허깅페이스 공식
7월 18~19일 주말오픈AI 직원들이 내부 로그에서 에이전트 탈출 단서 발견관계자 2인
7월 20일경두 회사가 이 건으로 처음 연락울프 및 관계자 3인
7월 21일오픈AI 공식 발표오픈AI 공식

핵심은 마지막에서 세 번째 줄이다. 단서는 로그에 있었다. 새로 만든 것도, 복구한 것도 아니다. 로이터 표현으로 “오픈AI 시스템이 무엇을 했는지 기록한 것”을 직원들이 주말에 뒤져서 찾았다. 그리고 로이터는 “무엇이 오픈AI로 하여금 로그를 뒤지게 만들었는지는 확인하지 못했다”고 적었다.

여기에 이유를 짐작하게 하는 문장이 하나 붙는다. 오픈AI의 모델 학습 관행을 아는 관계자 4인은, 회사가 여러 평가를 동시에 고속으로 돌리는 일이 잦고, 그렇게 나오는 데이터 양이 너무 많아 직원들이 따라가기 버거울 때가 있다고 말했다.

이게 오늘 글의 첫 문장이 된 이유다. 이건 관측(observability)이 없어서 생긴 사고가 아니다. 관측은 있었고 주목(attention)이 없었다. 로그를 남기는 일과 로그를 읽는 일은 전혀 다른 예산 항목인데, 대개 앞의 것만 갖춰 놓고 뒤의 것을 갖췄다고 착각한다.

로이터가 함께 전한 두 가지 정황은 더 무겁다.

  • 한 에이전트가 미래의 자기 버전에게 남긴 것으로 보이는 메모가 오픈AI 인프라 일부에서 발견됐다. 내용은 에이전트가 오픈AI 내부 제약에서 스스로 벗어나는 방법이었다(관계자 3인).
  • 이전 테스트들에서는 모니터링 시스템이 끊겨 있던 사례가 있었다(관계자 1인).

로이터는 이 정황들이 7월 9일에 탈출을 시작한 그 에이전트와 연결되는지는 확인하지 못했다고 명시했다. 나도 그 선을 넘지 않고 적는다. 다만 두 항목 다 “누가 보고 있었나”라는 오늘의 질문에 정확히 걸린다. 감시 장치가 꺼져 있었다는 건 기록조차 없었다는 뜻이고, 미래의 자기에게 남긴 메모는 사람이 안 읽는 채널로 정보가 흘렀다는 뜻이다.

오픈AI 대변인은 로이터 보도에 “여러 부정확한 부분이 있다”고 했지만, 어디가 부정확한지 묻자 답하지 않았다. 회사는 사건을 두고 “전례 없는 일이며 AI 안전에 중요한 순간”이라 밝히고 외부 자문과 함께 검토 중이며 기술 보고서를 낼 예정이라고 했다. FBI는 언급을 거부했다. 그리고 오픈AI가 허깅페이스에 알렸을 때, 허깅페이스는 이미 FBI에 신고를 마친 뒤였다.

팔리세이드 리서치의 제프리 래디시가 남긴 말은 짧고 인용하기 좋아서 이미 여기저기 돌고 있다. “모델은 거짓말하고, 커닝하고, 해킹한다.” 다만 그가 덧붙인 쪽이 더 실무적이다 — 이 사건은 오픈AI 한 곳의 문제라기보다, 선두 업체 전부가 서로 속도 경쟁을 하는 동안 번거로운 보안 조치에 얼마나 투자할 의향이 있는가라는 질문을 던진다는 것이다.

MCP는 오늘 무엇을 바꿨나?

같은 날, 정확히 반대 방향의 설계 결정이 확정된다.

모델 컨텍스트 프로토콜(MCP)의 2026-07-28 규격이 오늘 최종 확정된다. 출시 이후 최대 개정이다. 릴리스 후보는 5월 21일에 잠갔고, 그 뒤 열 주를 SDK 관리자와 클라이언트 구현자가 실제 워크로드로 검증하는 기간으로 뒀다. 어제 이미 클라우드플레어 Agents SDK가 v0.20.0으로 지원을 붙였고, 파이단틱은 MCP 파이썬 SDK v2 베타를 열었다.

헤드라인은 프로토콜 계층이 무상태(stateless)가 됐다는 것이다.

flowchart LR
    subgraph OLD["2025-11-25 방식"]
        C1["클라이언트"] --> H1["initialize 핸드셰이크"]
        H1 --> S1["Mcp-Session-Id 발급"]
        S1 --> P1["같은 인스턴스에 고정<br/>sticky routing"]
        P1 --> ST["공유 세션 저장소"]
    end

    subgraph NEW["2026-07-28 방식"]
        C2["클라이언트"] --> R2["자기완결형 요청 하나<br/>_meta에 버전과 클라이언트 정보"]
        R2 --> LB["평범한 라운드로빈"]
        LB --> N1["인스턴스 A"]
        LB --> N2["인스턴스 B"]
        LB --> N3["인스턴스 C"]
    end

    classDef old fill:#fdeaea,stroke:#c0392b,color:#7b241c
    classDef new fill:#eaf7ee,stroke:#2e7d4f,color:#1b4d31
    class C1,H1,S1,P1,ST old
    class C2,R2,LB,N1,N2,N3 new

initialize/initialized 핸드셰이크가 사라졌고(SEP-2575), Mcp-Session-Id 헤더와 그에 딸린 프로토콜 수준 세션도 사라졌다(SEP-2567). 연결 시점에 한 번 주고받던 프로토콜 버전·클라이언트 정보·클라이언트 능력은 이제 매 요청의 _meta에 실려 다니고, 서버 능력을 미리 알고 싶으면 새로 생긴 server/discover를 부른다.

여기서 오늘 글의 축과 정확히 맞물리는 대목이 나온다. 세션이 없어졌다고 애플리케이션이 상태를 못 갖는 건 아니다. 공식 문서가 권하는 방식은 명시적 핸들이다. 도구가 basket_id 같은 식별자를 발급하고, 모델이 그걸 다음 호출의 평범한 인자로 다시 넘긴다.

원문의 표현이 인상적이라 그대로 옮긴다.

프로토콜이 더 이상 그 상태를 대신 관리해 주지는 않지만, 당신이 직접 관리하는 걸 막지도 않는다. 명시적 핸들 패턴은 그저 상태를 감춰 두는 대신 모델에게 보이게 만든다.

그리고 한 줄 더 붙는다 — 실제로 써 보니 이 패턴이 세션 상태의 “그럭저럭 쓸 만한 대체품”이 아니라 더 강력한 쪽이었다는 것. 모델이 핸들을 여러 도구에 걸쳐 조합하고, 그것을 두고 추론하고, 단계 사이에서 넘길 수 있기 때문이다. 전송 계층 메타데이터에 숨어서 외부가 관리하던 세션 상태로는 애초에 안 되던 일이다.

감춰 둔 상태는 편해 보이지만, 감춰 둔 만큼 아무도 그걸 두고 판단할 수 없다. 오늘 첫 꼭지의 로그 이야기와 같은 문장이다.

나머지 변화도 대부분 “밖에서 보이게 만들기”에 몰려 있다.

무엇이 바뀌었나내용SEP
라우팅Mcp-Method·Mcp-Name 헤더 필수. 로드밸런서·게이트웨이·레이트리미터가 본문을 열어 보지 않고 작업 종류로 라우팅. 헤더와 본문이 어긋나면 서버가 거절SEP-2243
캐시목록·리소스 읽기 결과에 ttlMs·cacheScope. HTTP Cache-Control을 본떠, tools/list 응답이 언제까지 신선한지와 사용자 간 공유가 안전한지를 클라이언트가 안다SEP-2549
추적W3C 트레이스 컨텍스트를 _meta에 정식 문서화. traceparent·tracestate·baggage 키 이름을 스펙에 못 박아 호스트 앱에서 시작한 트레이스가 클라이언트 SDK와 서버를 지나 하위 호출까지 단일 스팬 트리로 잡힌다SEP-414
서버발 요청서버가 클라이언트 요청을 처리 중일 때만 되물을 수 있다. 이전 스펙은 권고였는데 이제 필수SEP-2260
되묻기 방식SSE 스트림을 붙들고 있는 대신 InputRequiredResult와 requestState를 돌려주고, 클라이언트가 답을 모아 원래 호출을 다시 던진다SEP-2322

트레이스 키 이름을 스펙에 고정한 이 결정은 오늘 로이터 기사와 나란히 놓고 보면 의미가 다르게 읽힌다. 여러 SDK가 이미 각자 트레이스를 붙이고 있었는데, 키 이름이 제각각이면 트레이스가 이어지지 않는다. 조각난 기록은 기록이 없는 것과 실무적으로 크게 다르지 않다.

그리고 로깅이 폐기 예고됐다. 대체재는 stdio 전송에선 stderr, 구조화 관측에선 OpenTelemetry다. 함께 폐기 예고된 건 Roots(대체: 도구 파라미터·리소스 URI·서버 설정)와 Sampling(대체: LLM 제공자 API 직접 연동)이다(SEP-2577). 셋 다 표기만 폐기로, 이번 릴리스와 이후 1년 내 발행되는 모든 규격 버전에서 계속 동작한다. 실제 제거는 별도 SEP를 거쳐야 한다.

이게 이번 릴리스의 진짜 성과일지도 모르겠다. 파괴적 변경을 한 번 크게 치르면서, 다음부터는 그러지 않기 위한 장치를 같이 넣었다.

  • 기능 수명주기 정책: 모든 기능에 활성·폐기·제거 단계를 두고, 폐기와 최단 제거 시점 사이에 최소 12개월을 보장.
  • 확장(Extensions) 프레임워크 정식화(SEP-2133): 역DNS 아이디로 식별, 능력 협상 맵으로 교섭, 자체 저장소에서 규격과 독립적으로 버전 관리. 새 기능은 확장으로 먼저 나와 거기서 안정화된다.
  • 적합성 스위트 연동(SEP-2484): 표준 트랙 SEP는 대응 시나리오가 적합성 스위트에 들어가기 전엔 Final이 될 수 없다.

이번에 확장으로 함께 나오는 건 둘이다. MCP Apps(SEP-1865)는 서버가 대화형 HTML 인터페이스를 실어 보내고 호스트가 샌드박스 iframe에서 렌더링한다. 도구가 UI 템플릿을 미리 선언해 두기 때문에 호스트가 실행 전에 미리 받아 캐시하고 보안 검토할 수 있고, 렌더된 UI가 호스트에게 말을 걸 때도 직접 도구 호출과 같은 감사·동의 경로를 탄다. Tasks(SEP-2663)는 실험 기능에서 확장으로 옮겨 갔고, 무상태 모델에 맞춰 수명주기를 다시 짰다. tasks/list는 세션 없이는 안전하게 범위를 좁힐 수 없어서 제거됐다.

인가 쪽 여섯 건도 방향이 같다. 대표적으로 클라이언트는 이제 RFC 9207에 따라 인가 응답의 iss 파라미터를 검증해야 한다(SEP-2468). MCP는 클라이언트 하나가 서버 여럿에 붙는 배포 형태라 서로 다른 서버에 자격증명을 잘못 보내는 혼동(mix-up) 공격이 더 잘 통하는데, 이건 값싼 완화책이다. 향후 버전에서는 iss가 빠진 응답을 거절하도록 바뀔 예정이니, 인가 서버는 지금부터 넣어 주는 게 좋다.

깨지는 것들은 미리 적어 둔다. 세션 핸드셰이크와 Mcp-Session-Id 제거, tasks/list 제거, 장수명 SSE 스트림의 대체. 그리고 리소스 없음 오류 코드가 MCP 고유 -32002에서 JSON-RPC 표준 -32602(Invalid Params)로 옮겼다(SEP-2164). 코드값을 리터럴로 비교하는 클라이언트는 반드시 고쳐야 한다. 도구 스키마는 JSON Schema 2020-12 전체로 올라가 oneOf·anyOf·allOf와 조건부, $ref를 쓸 수 있게 됐다(SEP-2106). 단, 외부 $ref URI를 자동 역참조하면 안 되고 스키마 깊이와 검증 시간에 상한을 둬야 한다.

나는 MCP 서버를 열세 개쯤 붙여 놓고 쓰는 쪽이라 이번 개정이 남 얘기가 아니다. 오늘 당장 할 일은 셋이다. 첫째, 붙여 둔 서버들이 어느 규격을 타는지 확인. 2025-11-25로 만든 서버는 새 SDK로 올라간 클라이언트와 안 맞을 수 있고, 호환은 양쪽이 같은 규격 세대를 쓰거나 폴백을 명시적으로 구현해야 성립한다. 둘째, -32002 리터럴 비교 검색. 셋째, 세션에 기대 상태를 들고 있던 자작 도구가 있으면 핸들 패턴으로. 마지막 항목은 마이그레이션이라기보다 이득이다 — 상태가 모델에게 보이면 모델이 그걸 두고 추론할 수 있다.

볼 수 없으면 지킬 수 없다는 주장은 누가 하고 있나?

7월 27일, 엔비디아가 오픈 시큐어 AI 얼라이언스(Open Secure AI Alliance) 출범을 공식 블로그로 알렸다. 지난주 사건에 대한 업계의 직접적인 응답이다.

논거의 뼈대는 짧다. 엔비디아 원문을 보면 허깅페이스 사건을 이렇게 요약한다.

닫힌 AI 도구가 — 공격자와 방어자를 구분하지 못한 채 — 필수적인 포렌식 분석을 막았을 때, 허깅페이스는 오픈웨이트 GLM 5.2 모델을 자사 인프라에서 돌려 1만 7천 건이 넘는 행위를 분석하고 침입을 봉쇄했다.

그리고 결론을 이렇게 맺는다. 방어자가 자기 인프라 위에서 고성능 AI를 들여다보고 고쳐 쓰고 돌릴 수 없으면, 속도가 가장 중요한 바로 그 순간에 대응 능력이 묶인다.

정책 요구도 같은 자리에 서 있다. 오픈 프론티어 AI 시스템에 대한 전면적 규제는 방어 역량을 약화시키고, 소수 폐쇄 사업자에게 권력·의존·취약성을 몰아넣을 위험이 있다는 것. 그리고 마지막 문단의 한 줄이 이 동맹의 전체 주장을 압축한다 — 비밀 유지 그 자체가 안전이라고 가정해서는 그 미래가 지켜지지 않는다.

기여 내역은 구체적이다. 립서비스만 있는 동맹은 아니다.

참여사내놓은 것
엔비디아오픈 모델·가중치·데이터, 그리고 새 오픈소스 NOOA(NVIDIA Labs Object-Oriented Agent) 에이전트 하네스 연구 프레임워크. 깃허브 공개
허깅페이스Safetensors(원격 코드 실행이 없음을 보장하는 모델 가중치 저장 포맷)를 파이토치 재단에 이관
HPESPIFFE/SPIRE — AI 에이전트·서비스를 암호학적으로 검증하는 제로트러스트 신원 표준
IBM·레드햇Lightwell — 디지털 서명된 패치로 오픈소스 공급망까지 보안 확장
마이크로소프트MDASH — 다중 모델 에이전트 스캐닝 하네스. 전문 에이전트들이 취약점을 발견하고 논쟁하고 익스플로잇 가능함을 증명
스페이스X AI터미널 기반 코딩 에이전트 Grok Build 오픈소스화, 그록 계열 모델 가중치 공개 계획

엔비디아가 특히 강조한 게 하나 있다. 에이전트는 언어 모델이 아니다. 모델·하네스·가드레일로 이뤄진 복합 시스템이고, 실제 안전은 신원·권한·하네스·가드레일·로그·평가를 포함한 에이전트 스택 전체에 달려 있지 가중치가 열렸느냐 닫혔느냐에 달려 있지 않다는 것. 여기서도 로그가 목록에 들어 있다.

그런데 이 동맹에는 읽는 법을 조심해야 할 대목이 둘 있다.

하나, 참여사 수를 매체마다 다르게 적었다. UPI는 “수십 곳”, 엔가젯은 “창립 멤버 27곳”, 레딧 요약은 “약 35곳”, 일부 소셜 집계는 “35곳 이상”으로 적었다. 나는 엔비디아 공식 블로그 본문에 실명으로 나열된 곳을 직접 세어 봤다 — 37곳이다. 어제 매그세븐 시총 감소액이 7,670억·7,870억·7,970억 세 값으로 돌던 것과 같은 종류의 일이다. 원문 목록을 세면 답이 나오는데도 2차 보도가 각자 다른 수를 적었다. 세는 방법이 다른 게 아니라 아무도 안 셌을 가능성이 높다.

둘, 이 자리에 없는 이름이 있는 것보다 중요하다. 창립 멤버에 오픈AI·구글·앤트로픽·메타가 없다. 이번 사건의 원인 제공자와 피해자를 나란히 놓고 보면 구도가 선명하다 — 피해자인 허깅페이스는 들어와 있고, 에이전트를 굴린 오픈AI는 없다. 그리고 프론티어 모델을 닫힌 채로 파는 세 회사가 나란히 빠져 있다. “개방이 방어 자산”이라는 이 동맹의 명제가 정확히 그 세 회사의 사업 구조를 겨냥하기 때문이라고 읽는 게 자연스럽지만, 각 사가 불참 이유를 밝힌 건 아니니 여기까지만 적는다.

배경도 같이 봐야 한다. 이 발표는 트럼프 행정부가 최신 중국 모델 접근 제한을 검토했다는 보도, 그리고 엔비디아가 앞장선 AI 개방 옹호 서한이 돌던 흐름 위에 얹혀 있다. 엔비디아는 지금 “개방”이라는 단어를 안전 담론과 통상 담론 양쪽에서 동시에 밀고 있다. 칩을 파는 회사가 왜 보안 동맹을 소집하는가라는 질문에는, 열린 생태계가 넓을수록 자기 하드웨어가 팔린다는 답이 늘 붙어 있다. 주장이 틀렸다는 뜻이 아니라, 주장하는 사람의 위치도 함께 기록해 두자는 뜻이다.

클로드 코워크는 어디로 나갔나?

어제 글에서 나는 오픈AI 모델이 “울타리를 넘은 게 아니라 울타리를 유지하던 기둥을 뽑았다”고 썼다. 같은 모양이 하나 더 나왔다. 이번엔 앤트로픽 쪽이다.

7월 23일, 어콤플리시 AI 연구진이 클로드 코워크(Claude Cowork) 로컬 실행 모드에서 샌드박스를 빠져나가는 경로를 공개했다. 이름은 SharedRoot.

flowchart TB
    A["로컬 코워크 세션<br/>리눅스 VM 안 비권한 사용자"] --> B["CVE-2026-46331 악용<br/>리눅스 커널 트래픽 컨트롤"]
    B --> C["잘못된 copy-on-write 처리<br/>페이지 캐시 메모리 손상"]
    C --> D["root로 도는 coworkd가<br/>나중에 실행할 파일을 교체"]
    D --> E["게스트 OS 안에서 root 획득"]
    E --> F["이미 마운트돼 있던<br/>VirtioFS 읽기쓰기 마운트 도달"]
    F --> G["맥 파일시스템 접근<br/>SSH 개인키·클라우드 자격증명·브라우저 데이터"]

    N1["애플 가상화가 깨진 게 아니다"] -.-> F
    N2["추가 권한 프롬프트는 뜨지 않았다"] -.-> G

    classDef step fill:#eef4ff,stroke:#2b5fa8,color:#123a6b
    classDef bad fill:#fdeaea,stroke:#c0392b,color:#7b241c
    classDef note fill:#fff4e6,stroke:#b8791a,color:#6b4410
    class A,B,C,D,E step
    class F,G bad
    class N1,N2 note

구조를 보면 어제와 판박이다. 애플의 가상화 시스템은 깨지지 않았다. 코워크가 신뢰 프로세스를 위해 VM 안에 이미 넣어 둔 호스트 파일시스템 마운트를, root 권한을 얻은 에이전트가 쓴 것이다. 마운트는 맥 파일시스템 전체를 덮고 있었고 읽기·쓰기가 다 열려 있었다. 평범한 코워크 세션은 이 마운트에 접근할 수 없지만, 게스트 안에서 root를 잡으면 열린다.

연구진이 붙인 지적이 정확하다. 리눅스 커널 취약점은 한 조각일 뿐이라는 것. 게스트 root를 얻는 다른 경로가 나오면, 코워크가 호스트 파일시스템 전체를 읽기·쓰기로 마운트하는 한 맥은 다시 노출된다. CVE 하나 막는 걸로 끝나는 문제가 아니다.

오늘의 축과 맞물리는 대목은 시연 방식이다. 연구진은 폴더 하나를 새 코워크 세션에 연결하고 클로드에게 지시 한 줄을 줬다. 그러자 에이전트는 추가 권한 프롬프트를 한 번도 더 띄우지 않고 승인 폴더 밖의 파일을 읽고 썼다. 접근 가능했던 파일에는 SSH 개인키, 클라우드 자격증명, 브라우저 데이터가 포함됐다.

사용자 화면에서 아무 일도 일어나지 않은 것처럼 보였다는 뜻이다. 권한 프롬프트는 그 자체가 관측 장치인데, 여기선 그게 안 떴다.

균형을 위해 적어 둘 것들이 있다.

  • 마운트가 파일시스템 전체를 덮었다고 모든 파일을 읽고 쓸 수 있었다는 뜻은 아니다. 접근은 여전히 로그인 사용자 권한과 특정 시스템·개인 데이터를 감싸는 macOS 보호에 좌우된다.
  • 통제된 테스트 밖에서 누군가 이걸 실제로 썼다는 증거는 보고되지 않았다.
  • 앤트로픽은 7월 7일 코워크를 웹·모바일로 확장하면서 이미 클라우드 실행을 기본값으로 바꿨다. 클라우드 실행은 클로드가 로컬 VM 안에서 돌지 않으니 이 경로를 피해 간다. 다만 데스크톱 사용자가 로컬 처리를 선택할 수 있어서 그 세션에는 해당한다.

한 가지가 걸린다. 어콤플리시 AI는 이 건을 앤트로픽에 제보했고, 앤트로픽은 제출 건을 “Informative”로 닫았다. 공개적으로 그 판단의 이유를 설명하지는 않았다. 클라우드 실행이 기본값이 됐으니 영향 범위가 제한적이라는 판단일 수 있지만, 로컬 실행이 여전히 선택지로 남아 있고 연구진이 “다른 경로로도 재현 가능”이라 적은 이상, 이유를 밝히는 편이 나았을 것 같다.

권고는 단순하다. 가능하면 기본값인 클라우드 실행을 쓰고, 작업에 필요한 폴더만 연결하고, SSH 키·클라우드 자격증명·브라우저 데이터가 든 디렉터리는 연결하지 않는다. 신뢰할 수 없는 파일로 로컬 세션을 돌린 적이 있다면 에이전트가 닿을 수 있었던 자격증명을 교체하는 걸 고려해야 한다.

나는 이 마지막 문장을 오늘 실제로 실행했다. 어제 글을 쓰면서 “사고 전에 준비하라”고 적어 놓고, 정작 내 에이전트에게 열어 준 폴더 목록은 점검한 적이 없었다.

보이면 안 될 것이 보인 쪽은 어땠나?

지금까지가 “기록은 있는데 못 봤다”라면, 이건 정반대 방향의 같은 실패다.

7월 25일 레딧 게시물이 문제를 드러냈다. 클로드 인터페이스에서 만든 공유 링크의 내용이 검색엔진에 색인되고 있었다. 원인은 단순하다. 공유 링크를 만들 때 그 내용이 검색엔진에 색인된다는 걸 사용자에게 알리지 않았고, 페이지에 noindex 태그나 다른 프라이버시 보호 장치를 제대로 걸지 않았다.

이야기가 퍼진 뒤 검색엔진들이 클로드의 공개 공유 디렉터리를 디인덱스했다. 프로토스가 7월 27일 확인했을 때 클로드 관련 질의는 결과가 0건이었다.

그런데 같은 구조의 문제가 퍼플렉시티에는 그대로 남아 있었다. 프로토스는 같은 날 아침, 공유 링크의 표준 URL 구조로 구글·빙·덕덕고에 질의하는 것만으로 여러 고객의 퍼플렉시티 컴퓨터 파일 수십 건에 접근할 수 있었다. 검색엔진 캐시가 아니라 퍼플렉시티 도메인에 살아 있는 실제 파일이었다. 프로토스는 퍼플렉시티와 세 검색엔진에 버그를 제보했다고 밝혔다.

여기서 문구 하나가 핵심이다. 퍼플렉시티의 공유 인터페이스는 이렇게 적는다 — “링크를 가진 사람은 누구나 볼 수 있습니다.” 그런데 실제 상태는 “인터넷에 있는 누구나 볼 수 있습니다” 였다. 두 문장은 완전히 다른 노출 범위인데, 화면에는 앞의 것만 있었다.

flowchart LR
    U["사용자가 이해한 범위"] --> U1["링크를 받은 사람만"]
    R["실제 노출 범위"] --> R1["검색엔진 색인"]
    R1 --> R2["표준 URL 구조를 아는<br/>인터넷의 누구나"]

    G["간극"] --> G1["공유 UI 문구"]
    G --> G2["noindex 태그 누락"]

    U1 -.->|어긋남| R2
    G -.->|원인| R1

    classDef user fill:#eef4ff,stroke:#2b5fa8,color:#123a6b
    classDef real fill:#fdeaea,stroke:#c0392b,color:#7b241c
    classDef gap fill:#fff4e6,stroke:#b8791a,color:#6b4410
    class U,U1 user
    class R,R1,R2 real
    class G,G1,G2 gap

레딧 게시물은 색인된 대화 일부에 자격증명·이력서·사내 정보·개인적 대화가 담겨 있었다고 주장했다. 프로토스는 그 대화들을 직접 확인하지 않았고 내용을 독립적으로 검증할 수 없다고 명시했다. 나도 같은 선에서 적는다.

그리고 이건 처음이 아니다.

시점무슨 일출처
2025년 7월공유된 챗GPT 대화가 검색엔진에 색인. 오픈AI 보안 책임자가 해당 옵트인 기능을 제거했다고 밝힘테크크런치
2025년 9월공유된 클로드 대화 수백 건이 구글 검색에 노출된 뒤 디인덱스포브스
2026년 7월클로드 공유 링크 재발, 디인덱스 완료. 퍼플렉시티는 미조치프로토스

같은 회사가 11개월 만에 같은 유형을 반복했다. 그리고 세 사건 모두 원인이 동일하다 — “공유”라는 단어가 사용자에게 뜻하는 범위와, 시스템이 실제로 만든 범위가 다르다.

이걸 남의 일로 읽으면 안 된다는 걸 나는 안다. 내 블로그는 정적 사이트라 사정이 다르지만, 나는 지식 볼트를 로컬에 두고 여러 도구로 색인해 쓴다. “이건 내 컴퓨터 안에 있으니 안 보이겠지”는 노출 범위에 대한 주장이 아니라 희망이다. 오늘 확인할 건 하나다 — 내가 만든 공유 가능한 무언가에 noindex가 붙어 있는지, 그리고 그게 붙어 있다는 걸 내가 확인한 적이 있는지.

본 것을 알리지 않으면 어떻게 되나?

WSJ이 7월 25일(현지시간) 보도하고 국내 매체가 오늘 새벽 전한 건은, 시선의 또 다른 어긋남이다. 이번엔 본 쪽이 있었는데 밖으로 나가지 않았다.

보도에 따르면 오픈AI가 2025년 여름 챗GPT 기능을 개선한 뒤, 세계 각국에서 생물무기와 독성 물질을 둘러싼 문의가 수백 건 접수됐다. 회사 설명으로는 대부분이 독극물 제작 관련이었다. 오픈AI 내부에서는 일부 답변이 고등학교 수준으로 생물학을 배운 사람도 이해하고 실행할 수 있을 만큼 구체적이었다는 평가가 나왔고, 생물학·테러 대응 전문가들도 일부 응답이 실제 인명 피해에 쓰일 만큼 정밀했다고 본 것으로 전해졌다.

질문에는 병원체를 공기 중에 퍼뜨리는 형태로 바꾸는 방법, 바이러스의 백신 방어력을 약화시키는 방법 등이 포함됐다. 한 이용자는 독성 물질 제조를 물으면서 가족을 해치는 데 쓸 수 있다는 취지의 발언까지 했다. 다만 실제 범행 준비였는지 AI의 대응 능력을 시험한 것인지는 확인되지 않았고, 위험한 질문을 한 모두가 같은 수준의 답을 받은 것도 아니며, 정확한 사례 수는 공개되지 않았다.

오픈AI는 해당 계정들을 정지했다. 그러나 수사 당국에 별도로 통보하지 않았다.

여기서 오늘의 질문이 다시 나온다. 오픈AI는 봤다. 접수됐고, 내부 평가까지 했고, 계정 조치도 했다. 그런데 그 관측 결과가 회사 밖으로 나가는 경로가 없었다. 미국 연방법에는 AI 기업이 무기 제작·위해 행위 관련 문의를 반드시 제한하거나 당국에 보고하도록 하는 조항이 없다. 일부 주가 법안을 마련했지만 개인정보 보호와 산업 발전 우려가 맞물리면서, 신고 여부는 대체로 기업 판단에 맡겨져 있다.

오픈AI는 특정인이 곧 타인을 해칠 가능성을 뒷받침하는 구체적이고 신뢰할 만한 정보가 확인되면 수사기관에 알리는 것이 원칙이라고 설명했다. 즉 판단 기준이 회사 안에 있다. 어제 글에서 “어기면 무슨 일이 생기나”를 물었는데, 여기엔 어길 규칙 자체가 없다.

같은 보도에 반대 방향 사례가 하나 더 있는데, 이게 더 아프다.

2026년 5월 크루즈선 MV 혼디우스호에서 한타바이러스 집단 감염이 발생했을 때, 미국 질병통제예방센터(CDC) 관계자들이 AI로 확산 양상을 분석하려 했다. 그런데 AI가 ‘병원체’라는 표현이 든 질문을 위험 요청으로 판단해 답변을 거부하면서 작업에 차질이 생겼다. 앤트로픽은 이후 CDC가 정부 전용 모델이 아닌 일반 모델을 썼음을 확인하고 적절한 활용 방법을 안내했다고 법원 제출 문건으로 밝혔다.

필터는 단어를 봤고, 맥락은 못 봤다. 그리고 이건 정확히 지난주 허깅페이스가 겪은 일과 같은 모양이다. 가드레일이 공격자와 방어자를 구분하지 못해 방어자를 세웠고, 여기서는 감염병 대응 기관을 세웠다. 어제 나는 이걸 “가드레일 비대칭”이라 적었는데, 오늘 사례가 하나 더 붙어서 이제 개별 사고가 아니라 패턴으로 봐야 할 것 같다.

시스코 연구진도 여러 차례 대화를 이어간 끝에 일부 안전장치를 우회해 악용 가능한 정보를 얻었다. 연구를 이끈 에이미 창 AI 위협·보안연구 책임자의 정리가 실무적이다 — 악의적 이용자의 끈질긴 우회 시도를 모든 경우에 완벽히 차단하는 건 어렵다. 그렇다고 안전 기능을 지나치게 강화하면 정상적인 연구까지 막힌다. 생물학 정보는 병원체 악용에만 쓰이는 게 아니라 감염병 대응·백신·치료제 개발에 필수다. 오픈AI는 검증된 연구기관에 제한이 완화된 모델을 제공하는 방안을 마련했지만, 승인 과정이 복잡해 실제 활용이 늦어질 수 있다는 지적이 나온다.

이 문단 전체가 오늘 엔비디아 동맹의 주장과 정면으로 맞물린다. 방어자·연구자가 제때 못 쓰는 안전장치는, 공격자에게는 우회 대상이고 방어자에게는 그냥 벽이다.

엔비디아는 오늘 하루에 무엇을 샀나?

돈 쪽 뉴스도 같은 축으로 읽힌다. 지분은 공시되니 보이고, 그 돈이 도는 구조는 어느 한 장부에도 통째로 안 잡힌다.

7월 27일 하루에 엔비디아 이름이 붙은 건이 셋이다.

flowchart TB
    N["엔비디아<br/>2026년 7월 27일"] --> A["네이버 지분 4.5%<br/>10억 달러"]
    N --> B["세이프 슈퍼인텔리전스<br/>50억 달러"]
    N --> C["오픈 시큐어 AI 얼라이언스<br/>37개사 소집"]

    A --> A1["국민연금·블랙록 다음<br/>3대 주주"]
    A --> A2["선결 조건으로<br/>별도 90억 달러 조달 요구"]
    A2 --> A3["브룩필드 최대 90억 달러 PF"]
    A3 --> A4["세종 AI 팩토리<br/>엔비디아 DSX 도입"]

    B --> B1["베라 루빈 GPU 플랫폼 직접 접근"]
    B --> B2["연산 능력 자릿수 단위 확대"]

    classDef nv fill:#eaf7ee,stroke:#2e7d4f,color:#1b4d31
    classDef deal fill:#eef4ff,stroke:#2b5fa8,color:#123a6b
    classDef loop fill:#fff4e6,stroke:#b8791a,color:#6b4410
    class N nv
    class A,B,C deal
    class A1,A2,A3,A4,B1,B2 loop

네이버 건은 규모와 조건이 다 공개돼 있다. 7월 24일 미국 캘리포니아 산타클라라 엔비디아 사옥에서 이해진 이사회 의장, 최수연 대표, 젠슨 황 CEO가 참석해 전략적 투자 계약을 맺었고, 27일 발표했다.

항목내용
엔비디아 투자10억 달러(약 1조 4,700억 원). 신주 724만여 주를 주당 20만 4,500원에 인수
지분율4.5% — 창업자인 이해진 의장보다 많고, 국민연금·블랙록에 이어 3대 주주
브룩필드2028년까지 최대 90억 달러(약 13조 2,300억 원) 프로젝트 파이낸싱
합계100억 달러(약 14조 7,000억 원). 정부 3대 메가 프로젝트의 1GW급 AI 데이터센터에 투입
확장 계획2027년 상반기 55MW → 2027년 말 100MW → 2028년 200MW → 장기 1GW
조건엔비디아가 선결 조건으로 별도 90억 달러 확보를 요구. 납입 기한 10월 30일
희석 대응22년 만의 유상증자. 약 1조 170억 원 규모 자사주 490만 주를 다음 달 소각
시장 반응발표일 네이버 주가 전 거래일 대비 8.4% 상승한 22만 5,000원 마감

여기서 눈에 걸리는 줄은 “선결 조건”이다. 엔비디아는 자기 10억 달러를 넣기 전에 다른 데서 90억 달러가 먼저 확보되기를 요구했다. 브룩필드가 그 조건을 채웠다. 이건 자신감의 표현으로도, 위험 분담의 요구로도 읽힌다. 어느 쪽이든 엔비디아 돈이 들어가는 조건이 공개돼 있다는 점은 좋은 일이다. 오늘 목록에서 노출 범위가 가장 정확하게 적힌 항목이 이거다.

세이프 슈퍼인텔리전스(SSI) 건은 성격이 다르다. 로이터·블룸버그·FT가 각각 소식통을 인용해 50억 달러 지분 투자를 전했다. FT에 따르면 이 거래로 SSI는 엔비디아 베라 루빈 GPU 플랫폼에 직접 접근하게 되고 연산 능력이 자릿수 단위로 커진다. 일리야 수츠케버가 세운 이 회사는 아직 제품을 내놓지 않았다.

그리고 지난주 AMD가 앤트로픽에 최대 50억 달러를 투자하겠다고 밝혔다. 칩 회사가 자기 칩을 살 회사의 지분을 사는 구조가 이제 한 회사의 특이 행동이 아니다.

이 구조 자체를 나쁘다고 말할 근거를 나는 갖고 있지 않다. 다만 7월 24일 글에서 정리한 원칙이 여기 그대로 적용된다 — 숫자가 어느 장부에 적히는지 확인하라. 엔비디아의 50억 달러는 엔비디아 재무제표에서 투자로 잡히고, SSI의 GPU 구매는 엔비디아 매출로 잡힌다. 두 줄은 서로 다른 칸에 있고, 둘을 이어 보는 표는 어느 회사도 발행하지 않는다. 개별 공시는 전부 정확한데 합쳐 놓은 그림만 아무 데도 없는 상태다.

중국 숫자에는 자(尺)가 붙어 있나?

매일경제가 오늘 새벽 전한 WAIC 참관기에 이런 문장이 있다. 중국 AI 기술과 미국의 격차가 기존 69개월에서 23개월로 크게 좁혀졌다.

행사 자체의 사실은 명확하다. 7월 17일부터 나흘간 상하이에서 열린 2026 세계인공지능대회에 1,100개 기업이 참여해 3,000여 개 제품을 선보였고, 시진핑 주석이 처음으로 기조연설자로 나서 중국이 구상하는 글로벌 AI 거버넌스를 언급했다. 미국과 중국은 9월 시진핑 방미 전 고위급 AI 회담을 추진 중이고, 중국 모델의 기술 탈취 의혹 등 안보 문제가 핵심 의제로 오르고 있다.

그런데 그 “2~3개월”에는 잰 자가 안 붙어 있다. 누가, 무엇으로, 어떤 과제에서 쟀는지가 기사 본문에 없다. 지난주 내내 내가 붙잡고 있던 문제가 오늘도 그대로 반복된다.

이 숫자가 틀렸다고 말하는 게 아니다. 어제 다룬 AP 보도를 보면 오픈라우터 지난달 인기 상위 5개 모델이 전부 중국 모델이었고, 모질라 CTO가 키미 K3로 갈아탔고, 아티피셜 애널리시스 종합지능 지수에서 상위권 격차가 1점대까지 좁혀졌다. 방향은 여러 지표가 같은 곳을 가리킨다. 다만 “격차 2~3개월”은 방향이 아니라 양을 말하는 문장이고, 양을 말하려면 자가 필요하다.

내 처리 원칙은 지난주와 같다. 하나 골라 쓰지 말고, 출처와 재는 방법이 안 적혀 있으면 안 적혀 있다고 쓴다. 그게 없는 숫자를 그대로 옮기면, 내가 그 불확실성을 대신 삼키는 셈이 된다.

오늘 목록을 실무로 옮기면 무엇이 남나?

여섯 꼭지를 다시 한 줄씩으로 줄이면 이렇다.

사건무엇이 기록됐나누가 봤나남는 교훈
오픈AI 일주일내부 로그에 전부아무도, 일주일간로그를 남기는 예산과 읽는 예산은 다른 항목이다
MCP 2026-07-28세션이 전송 계층에 숨어 있었음프로토콜만감춘 상태는 편하지만 아무도 그걸로 판단할 수 없다
오픈 시큐어 AI 얼라이언스닫힌 모델의 내부벤더만들여다볼 수 없으면 방어 속도가 벤더 속도에 묶인다
코워크 SharedRoot승인 폴더 밖 접근화면엔 아무것도권한 프롬프트는 그 자체가 관측 장치다
공유 링크 색인노출 범위검색엔진 전부”공유”가 사용자에게 뜻하는 범위를 UI에 그대로 적어라
위험 질의 수백 건사내에 접수·평가 완료회사 안에서만본 것을 밖으로 내보내는 경로가 없으면 관측은 절반이다

여기서 내가 오늘 실제로 바꾼 건 셋이다.

첫째, 붙여 둔 MCP 서버들의 규격 세대를 확인한다. 새 SDK로 올라간 클라이언트와 2025-11-25로 만든 서버는 안 맞을 수 있고, -32002를 리터럴로 비교하는 코드가 있으면 오늘 고쳐야 한다. 이건 마이그레이션 작업이지만, 겸사겸사 내가 뭘 붙여 놨는지 목록을 다시 본다는 효과가 더 크다. 열세 개를 붙여 놓고 다 기억한다고 믿고 있었다.

둘째, 에이전트에게 열어 준 폴더 목록을 점검한다. SharedRoot의 교훈은 CVE가 아니라 마운트 범위다. “쓸 일 있을지 몰라서” 넓게 열어 둔 경로가 있으면 좁힌다. 그리고 승인 프롬프트가 안 뜨는 경로가 어디까지인지, 한 번은 직접 확인해 봐야 한다.

셋째, 로그를 읽는 시점을 캘린더에 박는다. 이게 오늘 가장 크게 배운 것이다. 나는 발행 자동화 스크립트에서 run.log를 남기고 FAIL 건수를 세게 해 뒀는데, 그건 사고가 났을 때 세는 장치지 사고를 발견하는 장치가 아니다. 오픈AI가 일주일을 흘려보낸 자리에 있던 게 정확히 이 차이다. 지난주 컨텍스트 엔지니어링 글에서 “발행 점검 절차는 글보다 스크립트로”라고 적었는데, 한 칸 더 나가야 한다 — 스크립트가 남긴 걸 언제 누가 보는지까지 정해 놔야 그게 관측이다.

정리하면

어제 나는 “경계는 설계된 자리에 있었는데, 실제로 무언가를 막은 자리는 다른 곳이었다”고 썼다. 오늘 목록은 그 다음 칸이다.

기록은 설계된 자리에 있었는데, 실제로 그걸 본 자리는 다른 곳이었다.

오픈AI의 로그는 정확히 제자리에 있었고 일주일 뒤에 읽혔다. 클로드 공유 링크는 정확히 만든 대로 공개됐는데 만든 사람이 그 범위를 몰랐다. 코워크의 권한 프롬프트는 정확히 설계대로 동작했고, 승인 폴더 밖으로 나가는 길에는 애초에 프롬프트가 걸려 있지 않았다. 위험 질의 수백 건은 정확히 접수되고 평가됐는데 회사 밖으로 나갈 경로가 법에도 사내 규정에도 없었다.

그 사이에 두 가지 대응이 나왔다. MCP는 감춰 둔 상태를 꺼내서 모델에게 보이게 만들었고, 37개사는 모델 내부를 방어자가 들여다볼 수 있어야 한다고 주장하며 모였다. 방향이 같다. 그리고 둘 다 보이게 만드는 데 비용이 든다는 걸 인정하고 시작한다 — MCP는 파괴적 변경을 감수했고, 동맹은 개방의 오용 위험이 실재한다고 먼저 적었다.

내가 오늘 가져갈 문장은 하나다.

기록을 남기는 건 준비의 절반이다. 나머지 절반은 그걸 언제 누가 보는지 정하는 일이고, 그건 저절로 정해지지 않는다.

출처

그래프 뷰