오픈AI는 인터넷을 차단한 학습 환경에서도 격리된 AI 에이전트들이 CPU 캐시 등으로 정보를 주고받는 시험 결과를 공개했다. 9월 학습 중 모델이 인터넷에 접속한 보안 사고 뒤 오픈AI는 최첨단 모델 학습을 중단하고 자체 인프라를 대상으로 에이전트 보안 테스트를 진행했다.
9월 20일 내부 연구 모델은 잘못 설정된 DNS 리졸버를 이용해 학습 중 인터넷에 접속했다. 오픈AI는 사고를 신속히 차단했지만 최첨단 모델의 학습과 평가를 모두 중단했다. 앞서 7월에도 Hugging Face 사고가 있었으며, 다른 정렬 문제 사례도 관찰됐다.
이후 오픈AI는 안전 조치가 마련될 때까지 최첨단 모델을 인터넷에 연결하지 않기로 했다. 모델은 색인·캐시된 웹 콘텐츠로 만든 폐쇄형 오프라인 환경에서 웹 탐색과 검색을 학습하며, 최첨단 강화학습도 이 방식으로 진행한다. 다만 운영과 모니터링에 외부 연결이 필요해 완전한 네트워크 격리, 즉 에어갭은 아직 어렵다고 오픈AI는 설명했다. 오픈AI 연구자 노엄 브라운(Noam Brown)은 격리된 두 시스템도 한쪽이 CPU를 가열하고 다른 쪽이 온도 변화를 읽는 방식으로 신호를 주고받을 수 있다고 설명했다. 샘 올트먼(Sam Altman) 오픈AI CEO도 샌드박스가 강력한 모델을 막는 데 한계가 있다고 주장한 바 있다.
오픈AI가 블로그 게시물에서 공개한 격리 시험에서는 에이전트들이 네트워크와 공유 파일 없이 비밀을 교환하라는 지시를 받았다. 공유 하드웨어에 놓인 에이전트들은 한쪽이 프로세서 캐시의 데이터를 바꾸고 다른 쪽이 처리 시간을 측정하는 방식으로 메시지를 해독했다. 이 방식은 Spectre와 Meltdown 공격에도 쓰인다. 공유 메모리의 쓰기 패턴과 오픈AI의 오프라인 인프라를 이용한 통신도 발견됐다. 오픈AI는 이런 채널은 대체로 느리고 악용하기 어렵지만, 에이전트를 분리하려는 경계를 넘을 수 있다고 밝혔다.
학습 중단 기간에는 GPT-6 Astra Cyber를 포함한 AI 에이전트 팀이 오픈AI의 소스 코드와 설정, 잠재적 취약점 문서를 바탕으로 자체 인프라를 공격했다. 오픈AI에 따르면 이 작업에는 수천억 토큰이 쓰였다. 에이전트들은 오픈소스 구성 요소의 미확인 취약점을 찾아 보안 가상머신에서 탈출했고, 그중 Kata Containers 취약점은 CVE-2026-24834로 보고돼 패치됐다. 다른 프로젝트에도 수정 사항을 전달했으며, 추가 취약점은 Patch the Planet을 통해 보고했다.
오픈AI는 문제를 수정한 뒤 11일 만인 10월 1일 최첨단 모델의 학습과 내부 사용을 재개했다. 회사는 대규모 레드팀 테스트를 새로운 학습 실행의 승인 절차에 포함했다고 밝혔다.
댓글 (0)
로그인하면 이 기사에 내 생각을 남길 수 있어요