이번 보고서에서 새로 쓰인 것은 사례 숫자가 아니라 걸린 시간이었습니다

지난주 이 자리에서는 새 모델 하나가 등급표에 올라간 이야기를 했습니다. 이번 주는 그 등급표가 실제로 무엇을 막고 무엇을 못 막았는지, 사용된 쪽에서 나온 보고서 이야기입니다.

Anthropic이 9월 10일 분기 위협 정보 보고서를 냈습니다. 8개월치 사례를 모은 문서인데, 발표문을 열면 사례 개수부터 눈에 들어옵니다. 하지만 이번에 실제로 새로 쓰인 것은 사례 숫자가 아닙니다.

이번 보고서에서 새로 쓰인 것은 사건 개수가 아니라 걸린 시간입니다. Anthropic은 자기 문서에서 “AI가 방어자에게 비용을 역전시켰다”(요약 인용)고 적었고, 이번 사례들 중 하나는 34시간 안에 2,100개 이상의 기업 인증 토큰이 40개 넘는 조직에서 빠져나갔다고 밝혔습니다. 다만 같은 문서에는 실패한 시도(자사 시스템은 뚫리지 않았다는 사례)도 나란히 적혀 있고, 숫자는 전부 벤더 자신이 탐지·집계한 값입니다.

이번 보고서에서 진짜 새로운 건 무엇인가요?

속도입니다. 지난 보고서들이 “이런 용도로 오용됐다”는 사례 목록이었다면, 이번 보고서는 그 오용이 얼마나 빨리, 얼마나 자동으로 끝까지 갔는지를 시간 단위로 적었습니다.

Anthropic은 문서에서 이렇게 밝혔습니다. “AI가 방어자에게 비용을 역전시켰다. 이전에는 새로운 탐지를 통해 공격자의 작전 속도를 늦출 수 있었지만, 지금은 유능한 적이 기존 탐지를 빠르게 우회할 수 있다”(요약 인용). 추상적인 경고가 아니라, 뒤에 나오는 개별 사례 코드(GTG-로 시작하는 식별자)마다 구체적인 시간과 숫자가 붙어 있습니다.

가장 눈에 띄는 사례는 GTG-50014로 분류된 집단입니다. 보고서는 이 조직이 34시간 안에 2,100개 이상의 Azure AD 토큰 집합을 40개 넘는 기업 테넌트에서 모았다고 적었습니다. 같은 사례에서 한 기업 소프트웨어 회사는 “첫 접근부터 대량 데이터 도용까지 단 몇 시간”이 걸렸다고 적혀 있습니다. 이 조직은 그 밖에도 180만 개의 안드로이드 APK를 대량으로 내려받아 검사했고, 항공사에서 수천만 건의 승객 기록에 접근했으며, 한 SaaS 공급업체의 공급망 침해로 200곳 넘는 다운스트림 고객사가 영향을 받았다고 적혀 있습니다.

국가 단위 작전도 있었나요?

있습니다. 러시아·중국을 출처로 지목한 사례가 각각 하나씩 이름 붙어 있습니다. 다만 “국가가 시켰다”가 아니라 “이 활동군의 출처가 그 지역”이라는 수준의 귀속입니다.

GTG-20006으로 분류된 사례는 러시아발 첩보 작전으로 적혀 있습니다. 20개 넘는 조직을 대상으로, 우크라이나 정부 기관 두 곳 이상의 메일박스를 통째로 수출했고, 북아프리카의 한 정부 기관에서 30만 건의 국가 신원 기록과 50만 건 넘는 기업 등록 정보를 탈취했다고 적혀 있습니다. 외교·군사 교육기관을 포함한 8개 조직의 메일 기록에도 접근·유출이 있었다고 적혀 있습니다.

GTG-10007로 분류된 사례는 중국을 출처로 지목한 취약점 연구 작전입니다. 교육·소매·에너지·정부 등 약 50개 조직을 대상으로 했고, 한 교육기술 회사에서는 수백 메가바이트 분량의 학생 개인정보가 빠져나갔다고 적혀 있습니다. 한 달 사이 일반 네트워크 장비에서 12개 넘는 제로데이 취약점 후보를 찾아냈다는 대목도 있습니다.

두 사례 모두 Anthropic이 밝힌 조치는 같습니다. 관련 계정 탐지·차단, 그리고 정부 당국·업계 파트너와의 정보 공유입니다.

공격이 Anthropic 자신을 겨눈 사례도 있나요?

있습니다. 그리고 이 사례는 실패로 끝났다고 적혀 있습니다. 성공 사례만 모아 둔 문서가 아니라는 뜻에서 눈에 띄는 대목입니다.

GTG-50020으로 분류된 러시아발 사례는 호텔 체인을 먼저 뚫은 뒤 AI 회사들로 표적을 넓힌 경우입니다. 한 피해자에게서 약 26기가바이트의 데이터를 탈취했고, 같은 인프라로 나흘 사이 약 30개 AI 회사를 공격했다고 적혀 있습니다. 목표는 “사전 공개 Claude 모델에 대한 접근”이었는데, 보고서는 이 시도가 실패했고 Anthropic 자체 시스템은 침해되지 않았다고 명시했습니다. 평가용 샌드박스에서 프로덕션 API 키가 탈취된 사례는 있었지만, 그 앞에서 멈췄다는 서술입니다.

이 사례를 실패로 명시해 둔 것은, 이번 보고서가 오용 사례를 나열하는 동시에 방어가 작동한 지점도 함께 적었다는 뜻입니다. 다만 성공과 실패를 가른 조건이 무엇이었는지까지는 문서가 자세히 풀어 두지 않았습니다.

정보 조작(선전) 쪽 사례는 다른가요?

성격이 다릅니다. 데이터를 훔치는 대신, 사람 규모로는 못 낼 물량을 냈다는 쪽입니다. 그리고 이 물량이 실제로 얼마나 퍼졌는지는 사례마다 다르다고 적혀 있습니다.

가장 큰 규모는 GTG-54002로 분류된 상업 영향 서비스 사례입니다. 약 70개의 위조 뉴스 웹사이트와 70개의 연계 X 계정, 250개 넘는 비인증 댓글 계정을 운영하며 6개 대륙, 약 20개 언어로 8,913건의 기사를 냈다고 적혀 있습니다. 특징은 좌우 진영 모두를 상황에 따라 지원하는 “영향 서비스” 사업 모델이라는 점입니다. 다만 Anthropic이 매긴 확산 등급(Breakout Scale)은 Category 2로, “자체 네트워크 안에서만 돌았고 진짜 커뮤니티로 번지지는 않았다”는 뜻의 낮은 단계입니다.

반대로 GTG-04001로 분류된 중앙아프리카공화국 사례는 규모는 작지만 실권과 가까이 닿아 있습니다. 매일 방송되는 라디오 방송국(98.9 FM) 콘텐츠 운영에 쓰였고, 보고서에는 “모델이 대통령에게 충성을 의무화하는 계약을 생성했고, 직원 점수를 기준으로 누구를 해고할지 권장했다”는 대목이 있습니다(원문 인용이 아니라 보고서 서술 기준). 이 사례의 확산 등급은 Category 4로, 매일 방송에 더해 텔레그램과 지역 매체로 증폭됐다고 적혀 있습니다. 규모가 크다고 등급이 높은 게 아니라, 실제로 퍼진 경로가 등급을 가른다는 뜻입니다.

이 숫자들은 얼마나 믿을 수 있나요?

전부 Anthropic 자신이 탐지하고 집계한 값입니다. 독립적인 제3자가 같은 로그를 다시 세어 확인한 결과가 아니라는 전제가 모든 숫자에 붙습니다.

★정정(2026-09-11 검수 과정에서 바로잡음): 이 초고의 이전 판은 “이란 관련 감시·트윗 분석·악성 브라우저 확장 주장이 보고서 원문에 없다”고 적었는데, 이는 제가 원문을 충분히 확인하지 않은 상태에서 쓴 사실 오류였습니다. 원문을 직접 다시 대조한 결과, 해당 내용은 GTG-34007로 분류된 별도 사례로 실재합니다.

보고서는 이란 파라미터리·국내 보안기관과 연계된 것으로 평가한 두 조직에서 계정 16개를 탐지·금지했다고 적었습니다. 한 조직은 이란 전역에 지부를 둔 7개 부서 조직으로, 이란 국민 6,388명을 한 해 동안 감시·프로파일링했다고 주장했으며, Claude를 분석·제작 스튜디오로 써서 정부 통제형 감시 사건관리 시스템의 프런트엔드를 만들고 155,216건의 트윗에 소셜 네트워크 분석을 돌렸다고 적혀 있습니다. 다른 조직(곰 지역 기반)은 Claude를 엔지니어링 부서로 써서 “al-Najm al-thāqib”라는 이름의 악성 Firefox 확장 프로그램을 실제 배포까지 했고, 이 확장으로 주요 소셜 네트워크에서 사용자 신원을 대량 수집했다고 적혀 있습니다. 두 조직 모두 “Arman”이라는 이름의 중앙 시스템에 수집 정보를 연동했다고 보고서는 밝혔습니다.

이 부분은 제 리서치 단계에서 AI 요약 도구(WebFetch)로 원문을 확인했을 때 이 절이 누락돼 빚어진 실수입니다. 같은 실수를 되풀이하지 않기 위해, 이번에는 원문 HTML을 직접 내려받아 문자열 대조(curl+grep)로 재확인했습니다.

그래서 우리 업무에서는 무엇을 챙겨야 하나요?

당장 개인 사용자가 할 일은 거의 없습니다. 다만 조직에서 API 키·세션 토큰을 다루는 담당자라면 확인할 대목이 있습니다. 보고서는 AI 공급망을 노린 별도 사례(GTG-50021)도 적어 두었는데, “저렴한 Claude 접근”을 내세워 실제로는 다른 모델로 트래픽을 우회시키고 자격증명을 수집·재판매하는 방식이었습니다. AI API 키와 세션 토큰이 표적이 됐고, 고객이 직접 구축한 통합 지점도 공격 표면에 포함된다는 서술이 있습니다.

실무로 옮기면 두 가지입니다. 출처가 불분명한 “할인된 API 접근” 제안은 그 자체로 의심할 근거가 됩니다. 그리고 이번 보고서가 보여주듯 공격이 몇 시간·몇십 시간 단위로 끝까지 진행될 수 있다는 전제 아래, 토큰·키 노출 시 회전(rotation) 주기를 짧게 가져가는 편이 안전합니다.

마지막으로 이 글의 한계를 적어 둡니다. 여기 있는 사례와 숫자는 전부 Anthropic이 스스로 탐지·집계해 발표한 값이고, 독립 검증은 아직 없습니다. 확산 규모(Breakout Scale)도 Anthropic 자체 기준입니다. 확인할 수 있는 것은 여기까지입니다. 그리고 위에서 밝혔듯, 이 글 자체도 검수 과정에서 사실 오류 하나를 바로잡았습니다 — 처음 리서치에서 놓친 사례를 원문 재대조로 찾아 정정했습니다.

참고 출처

AI 오용 탐지 및 대응: 2026년 9월 — Anthropic 공식(1차, 2026-09-10)
Hacker News 토론 스레드 — “Detecting and countering misuse of AI: September 2026”(커뮤니티 반응 참고용, 1차 출처 아님 · 점수·댓글수는 실시간 변동값, 2026-09-11 16:2x 확인 시 118pt·186comments)
GTG-34007 절 — Anthropic 공식 원문(1차 출처, 동일 페이지) 내 이란 관련 사례 서술 — raw HTML 직접 확보(curl) 후 문자열 검색으로 재확인(2026-09-11 검수 과정).