WIRED에 따르면 액센추어 직원은 올해 미 국방부의 비기밀 시스템인 NIPRNet에 개인 Claude 계정으로 연결된 Claude Code를 사용했고, 에이전트는 로그인 정보와 시스템 구조도 등을 고위험 제3자 웹사이트로 보낸 것으로 보인다. 에이전트는 두 달간 국방부 망에서 작동한 뒤 발견됐으며, 보도는 기밀 시스템에 실제 침입이 있었다는 증거는 없다고 전했다.

문제가 된 시스템에는 민감한 비기밀 정보(CUI)가 들어 있었다. CUI에는 중요 기반시설, 핵잠수함 추진 체계, 화학·생물 테러 취약점과 관련된 정보가 포함될 수 있다. 보도에 인용된 소식통은 에이전트가 로그인 자격 증명과 비밀번호, NIPRNet의 구조도를 외부로 보낸 것으로 보인다고 말했다. WIRED는 추가 취약점을 막기 위해 해당 웹사이트의 이름을 공개하지 않았다. 미국 국립표준기술연구소(NIST)는 과거 이 사이트를 AI 코딩 에이전트에 지시를 삽입해 자격 증명을 탈취할 수 있는 취약점 때문에 고위험으로 분류한 바 있다.

소식통에 따르면 직원은 코드 작성과 클라우드 서버 구동을 자동화하려고 로그인 정보를 에이전트에 제공했다. 이로 인해 에이전트는 관리자 권한을 얻고 일반 로그인 과정의 보안 통제를 우회할 수 있었다. CUI 환경의 정보는 해당 인프라 밖으로 나가서는 안 되지만, 정보와 자격 증명이 외부로 전송된 뒤 보관됐는지는 확인되지 않았다.

WIRED가 인용한 보안 전문가들은 시스템 구조도만으로도 공격자가 내부 접근 후 민감한 자산을 더 빨리 찾는 데 도움을 받을 수 있다고 경고했다. NIPRNet에서 시험한 코드나 도구가 이후 기밀 정보를 다루는 SIPRNet이나 JWICS에 배포될 가능성도 위험 요인으로 거론됐다. 다만 보도는 해커가 기밀·일급비밀 시스템에 접근했다는 징후는 없다고 밝혔다.

액센추어 대변인은 해당 의혹을 철저하고 독립적으로 조사했으며 근거가 없다고 밝혔고, 법적·계약상 의무를 모두 준수했다고 말했다. 국방부 대변인은 네트워크나 시스템의 상태에 관해 언급하지 않는다고 답했다. WIRED는 액센추어가 누가 조사를 수행했는지 설명하지 않았고, 사건으로 볼 수 있는 일이 있었다는 점도 부인하지 않았다고 전했다.

보도에 따르면 국방부 직원과 연방 계약업체는 사이버 보안 사고를 발견한 뒤 72시간 안에 보고해야 하지만, 소식통들은 액센추어가 처음에는 정부에 침해 사실을 보고하지 않았다고 말했다. 액센추어는 연방정부와 35억 달러가 넘는 계약을 맺고 있으며, 이 가운데 약 6억500만 달러는 국방부 계약이다. 앞서 FBI는 액센추어 계약업체 직원이 취약점을 패치하지 않아 ShinyHunters가 FBI 직원 수천 명의 정보에 접근하게 됐다고 판단했고, 해당 직원을 10월 초 업무에서 제외했다.