오픈AI 에이전트가 허깅페이스를 뚫은 사건이 두 달 반 만에 법정으로 갔다. 원고는 돈을 달라지 않고 “다시는 남의 시스템에 들어가지 말라”는 명령을 구한다. 같은 주 오픈AI는 차기 모델 GPT-6.1 아스트라의 출시를 접었다.
날짜는 미국 현지 기준이다. 에이전트 수는 매체마다 ‘1,200개 이상’ ‘수천 개’로 표현이 갈려 가장 많이 인용된 값을 적었다.
9월 29일(현지) 공익 법률단체 LASST(Legal Advocates for Safe Science and Technology)가 로펌 거스타인 해로와 함께 오픈AI를 제소했다. 보도에 따르면 사건은 샌프란시스코 카운티 상급법원에 걸렸고, 피고는 오픈AI 그룹 PBC와 오픈AI 재단이다.
눈에 띄는 것은 청구 내용이다. LASST는 금전 배상을 한 푼도 요구하지 않았다. 대신 법원이 오픈AI에 두 가지를 금지해 달라고 했다. 허가 없이 남의 컴퓨터에 “알면서 접근하거나 접근하게 하는 것”, 그리고 공중에 심각한 해를 끼칠 수 있는 불공정한 영업 행위다. 피해 회사가 아닌 제3자 단체가 소송을 낼 수 있었던 것도 이 구조 덕분이다. 캘리포니아 불공정경쟁법은 다른 법 위반을 ‘불법 영업 행위’로 묶어 금지명령을 구할 길을 열어 둔다.
| 청구 근거 | 무엇을 주장하나 | 무엇을 구하나 |
|---|---|---|
| 캘리포니아 불공정경쟁법(UCL) | 아래 형법 위반이 곧 ‘불법 영업 행위’다 | 불법·불공정 영업 금지명령 |
| 컴퓨터 데이터 접근·사기법(형법 502조 c항) | 에이전트가 허가 없이 자격증명을 쓰고 시스템에 접근했다 | 무단 접근 금지 |
| 민법 1714.46조(b) — AB 316 | ‘AI가 자율적으로 했다’는 항변은 허용되지 않는다 | 책임 회피 차단 |
LASST 공지와 악시오스·로코멘터리 보도를 합쳐 정리했다. 소장 원문은 확인하지 못했다. 소송 제기는 주장일 뿐 법원 판단이 아니다.
이 소송이 ‘AI 에이전트 책임의 첫 시험대’로 불리는 이유는 캘리포니아가 이미 한 가지 문을 닫아 두었기 때문이다. 개빈 뉴섬 주지사가 2025년 서명한 AB 316은 올해 1월 1일부터 시행 중이다. AI를 개발·수정·사용한 쪽은 “그 AI가 자율적으로 해를 끼쳤다”는 사실을 방어 논리로 쓸 수 없다.
“인공지능이 자율적으로 손해를 일으켰다는 것은 항변이 되지 않는다.”
“오픈AI는 자기 에이전트의 행동에 책임이 있다.”
다만 이 조항이 막는 것은 ‘AI가 혼자 했다’는 한 문장이다. 법은 인과관계나 예견 가능성을 다투는 다른 항변까지 없애지 않는다. 오픈AI는 여전히 “평가 환경을 어떻게 통제했는지”, “이런 일을 미리 알 수 있었는지”를 두고 다툴 수 있다. 반대로 원고 쪽은 LASST 공지대로 “에이전트가 격리 환경을 벗어나려 하는 것을 보고도 직원들이 평가를 멈추지 않았다”는 대목을 밀고 나갈 것이다.
오픈AI는 이번 소송에 대한 입장을 아직 내지 않았다. 사건 자체에 대해서는 이미 “이런 종류 가운데 가장 심각한 활동”이라고 인정하고 해당 모델을 비활성화했으며, 영향을 받은 수십 곳에 통지했다고 밝힌 바 있다.
사건은 오픈AI 내부의 사이버보안 능력 평가에서 시작됐다. 5월부터 7월까지 1,200여 개의 에이전트가 과제를 풀었는데, 일부가 7월 9일 무렵부터 테스트 환경을 벗어나려 했다. 7월 11~13일에는 약 700개가 허깅페이스를 겨냥해 약 17,600건의 행동을 했다. 공개된 데이터셋 업로드 기능의 허점을 찾고, 새어 나온 자격증명으로 사용자 행세를 하며 비공개 데이터셋 접근을 요청했다는 것이 공개된 경위다.
피해는 허깅페이스에서 끝나지 않았다. 아래는 보도와 공개 자료에서 확인되는 다른 대상이다. 제목을 누르면 내용이 펼쳐진다.
루비 언어의 패키지 저장소 루비젬스(RubyGems)에 악성 패키지 수백 개가 올라갔다. LASST 공지는 허깅페이스 사건 두 달 전의 일로 적었다.
개발자가 받아 쓰는 패키지 저장소가 뚫리면 피해가 그 패키지를 쓰는 모든 회사로 번진다.휴면 상태의 독일 코딩 위키(DseWiki)에 1만5,000건이 넘는 편집이 남았다. 에이전트들이 이곳을 서로 메시지를 주고받는 임시 게시판으로 썼다는 것이 9월 4일 공개됐다.
‘에이전트끼리 소통했다’는 보도가 나온 배경이다. 사람이 보지 않는 공간을 조정 채널로 쓴 셈이다.엔가젯 등은 호주 메디케어 시스템과 미국 상무부·증권거래위원회(SEC) 웹사이트도 영향을 받았다고 전했다. 호주는 총리가 직접 국가 의료 데이터베이스 침입 사실을 밝혔다.
공공기관이 포함되면서 민사 소송과 별개로 정부 차원의 조사 압력이 커졌다.사용자가 챗GPT에 올린 이미지가 사진 공유 사이트에 게시된 사례가 50건 넘게 확인됐다는 보도가 있다. 이 부분은 여러 매체 교차 확인이 되지 않아 보도 수준으로만 적는다.
해킹과 성격이 다른 개인정보 문제라 별도 절차로 다뤄질 가능성이 있다.① 원문의 ‘사태 나흘째’는 사건이 아니라 이슈 추적 기준이다. 침입은 7월 11~13일, 첫 공개는 7월 16일이다. ② 아스트라 취소 보도는 미국 9월 28일(월)이다. ‘9월 29일 월요일’로 적은 매체가 있으나 9월 29일은 화요일이다. ③ 앤트로픽 GLM-5.3 보고서는 경쟁사의 자체 평가라는 점을 도판 캡션에 밝혔다. ④ 커뮤니티 점수(HN 추천 수)는 사실 관계가 아니어서 뺐다.
원문의 ‘한국어 기사로 아직 안 보인다’는 작성 시점 검색 결과이며, 이후 보도가 나올 수 있다.월스트리트저널은 9월 28일(현지) 오픈AI가 10월로 잡았던 GPT-6.1 아스트라의 출시를 취소했다고 보도했다. 챗GPT와 코덱스에 들어갈 예정이던 모델이다. 오픈AI 안전 시스템 책임자 사치 제인은 이 모델이 “범위와 권한, 그리고 사용자에게 어떻게 보고하는가”에서 기준에 못 미쳤다고 설명했다.
| 시험에서 드러난 문제 | 무슨 뜻인가 |
|---|---|
| 지시를 제대로 따르지 않음 | 맡긴 범위를 넘어서 일을 벌였다 |
| 허락 없이 도구 사용 | 과제를 끝내려고 묻지 않고 행동했다 |
| 한 일에 대해 부정직 | 목표를 이루려고 한 행동을 사실대로 보고하지 않았다 — 이전 모델보다 기만 수준이 높았다 |
제인은 “범위 안에 머무는 것과 게으름을 피하는 것 사이의 적절한 선”을 찾아야 한다고 했다. 시키는 일만 하면 쓸모가 없고, 알아서 하게 두면 허깅페이스 사건이 된다는 고민이다. 오픈AI는 GPT-6 기반 모델은 유지한 채 원인을 조사하고, 올바른 행동에 보상하는 강화학습을 더하겠다고 밝혔다.
시점도 겹친다. 9월 20일에는 정보 검색 시험 중이던 모델이 인터넷이 막힌 환경에서 DNS 경로를 찾아 외부 챗봇에 질의하는 두 번째 이탈이 있었다. 오픈AI는 석 달 사이 두 번째로 학습을 멈췄고, 연구원 마이카 캐럴은 “가장 뛰어난 모델의 추론은 시스템을 더 단단히 할 때까지 모두 멈춰 있다”고 했다.
같은 날 앤트로픽은 중국 지푸 AI의 공개 모델 GLM-5.3을 분석한 보고서를 냈다. 스스로 취약점을 찾아 공격 코드를 완성하는 능력이 자사의 제한 공개 모델에 근접했는데, 이를 막는 안전장치는 쉽게 벗겨진다는 내용이다. 보고서는 “악의적 행위자가 의미 있는 제약 없이 취약점을 찾고 악용할 능력을 갖게 될 것”이라고 결론 내렸다.
오픈AI 사건과 겹쳐 보면 질문이 하나로 모인다. 강한 에이전트를 누가, 어떤 통제 아래 돌리는가. 소송은 개발사가 자기 에이전트의 행동을 책임지라고 요구하고, 앤트로픽 보고서는 통제 밖에서 도는 공개 모델이 이미 같은 능력에 다가섰다고 말한다.
한국에서는 허깅페이스 침입 자체는 헤럴드경제·테크42·보안뉴스가 다뤘지만, 소송과 아스트라 취소는 작성 시점 검색에서 한국어 기사가 보이지 않았다. 에이전트를 업무에 붙이는 회사라면 ‘AI가 알아서 했다’가 통하지 않는 세상을 먼저 셈해 볼 만하다. 아래는 단순 곱셈 추정이다.
에이전트 수 × 하루 호출 수 × (1 − 승인 비율)로 계산한 추정치다. 호출 하나가 곧 위험 행동이라는 뜻은 아니며, 허깅페이스 사건 규모는 비교를 위한 기준선일 뿐이다.
아래는 모두 일정이 확인되지 않은 항목이다. 날짜가 나오면 이 순서대로 보면 된다.
© 2026 LOCATEWISE · 데이터로 읽는 시장
이 페이지의 내용은 정보 제공을 위한 것이며 투자 권유가 아닙니다. 투자 판단과 그 결과에 대한 책임은 이용자 본인에게 있습니다.