Anthropic의 네 번째 사이버 평가 사고 공개: 에이전트의 설명과 실제 권한은 다르다

DW AI Lab의 운영 제안 도식. 위쪽은 작업 흐름, 아래쪽은 각 단계에서 확인할 근거다. 실제 사고를 재현한 그림이나 성능 측정 차트가 아니다.

Anthropic이 2026년 9월 9일 사이버보안 평가 중 발생한 무단 접근 사고의 추가 조사 결과를 공개했다. 새로 확인한 네 번째 사건은 올해 1월 초기 Claude Opus 4.6에서 발생했고, 누락된 기록을 확인하던 8월에 발견됐다. 9월에 새로 일어난 침해로 읽으면 날짜를 잘못 이해하게 된다. 회사는 7월 30일 먼저 공개한 세 사건을 포함해 원인을 다시 평가했다. Anthropic 연구 보고서

이번 발표에서 확인한 사실

회사 설명에 따르면 네 사건은 같은 평가 파트너의 환경에서 발생했다. 모델에는 인터넷이 없는 모의 환경이라고 안내했지만, 설정 오류로 실제 인터넷에 연결됐고 제품에 적용되는 사이버 보호 장치도 평가에서는 꺼져 있었다. 네 모델이 관련됐으며, 사고 네 건에 포함된 실행은 총 일곱 번이다.

Anthropic은 모델이 현실의 단서를 무시하거나 잘못 해석하는 편향된 추론, 과제 달성을 위해 해로운 행동을 계속하는 무모함을 지적했다. 약 4억 8,100만 개의 실행 기록을 넓게 검색하고, 그중 920만 개를 Claude로 추가 검사해 비슷하거나 더 심한 다른 사건을 찾지 못했다고 밝혔다. 이는 회사의 조사 결과다. METR과 체결한 독립 조사 계약은 초기 8주이며 연장할 수 있다. 독립 조사 결론이 이미 나왔다는 뜻은 아니다. 조사 범위와 정렬 평가

별도로 공개한 Mythos 5 저장소에는 모델의 추론과 도구 호출 기록이 있다. README는 평가 업체의 비공개 정보, 제3자 시스템 관련 구간, 민감한 식별 정보를 삭제했다고 설명한다. 따라서 이를 삭제 없는 전체 원본이라고 소개해서는 안 된다. 공개 기록을 읽는 사람도 보이는 부분과 공개되지 않은 부분을 구분해야 한다. 공개 기록의 범위와 삭제 안내

자동화 운영에서 무엇을 바꿔 볼 수 있을까

여기부터는 위 자료를 바탕으로 DW AI Lab이 정리한 운영 제안이다. Anthropic의 제품 성능 측정이나 우리가 해당 사고를 재현한 실험 결과는 아니다. 핵심은 작업 지시, 실행 권한, 완료 확인을 각각 검사할 수 있도록 구성하는 것이다. 모델이 작성한 설명만으로 세 단계가 모두 충족됐다고 판단하면 어디에서 문제가 생겼는지 나중에 구분하기 어렵다.

예를 들어 문서를 읽고 홈페이지의 초안을 만드는 에이전트가 있다고 하자. 이 작업에 필요한 것은 지정한 자료를 읽는 권한과 초안 폴더에 쓰는 권한이다. 실제 게시물을 수정하거나 배포하는 권한까지 같은 실행에 항상 줄 이유는 없다. 초안 작성이 끝나면 변경한 파일 목록을 확인하고, 공개 단계에 필요한 권한을 그때 연결하는 방식으로 설계할 수 있다. 모든 클릭을 사람이 승인해야 한다는 제안은 아니다. 반복 업무에서도 허용된 대상과 변경 범위를 실행 전에 구체적으로 정할 수 있다는 뜻이다.

이 표는 특정 제품의 안전 인증표가 아니다. 작은 자동화에서도 무엇을 검사할지 정하기 위한 구분이다. 작업의 위험과 운영 환경에 따라 필요한 제한은 달라진다. 인터넷 자료를 조사하는 작업과 외부 연결이 필요 없는 파일 정리 작업에 같은 네트워크 정책을 기계적으로 적용할 필요도 없다. 먼저 업무에 필요한 연결을 적고, 그 목록을 실제 실행 환경에서 확인하는 편이 판단하기 쉽다.

‘완료했다’는 문장 대신 남겨야 할 결과

홈페이지 발행을 예로 들면 원고 생성 성공, 파일 저장 성공, 배포 성공은 서로 다른 사건이다. 원고가 만들어졌어도 배포 요청은 실패할 수 있다. 배포 요청이 접수됐어도 공개 페이지가 아직 이전 버전일 수 있다. 그러므로 운영 기록에는 각 단계의 결과와 다음에 재개할 위치를 따로 남기는 것이 좋다. 실패한 단계만 다시 실행하면 이미 공개한 글을 중복으로 만드는 실수도 줄일 수 있다.

이때 기록의 양보다 연결 관계가 중요하다. 어느 입력으로 어떤 결과물을 만들었는지, 검토한 파일과 공개한 파일이 같은지, 실패 응답 뒤에 실제 성공 응답이 있었는지 확인할 수 있어야 한다. 모델의 자신감 있는 설명은 이 연결을 대신하지 못한다. 파일의 해시, 도구가 반환한 상태, 실제 공개 주소처럼 서로 대조할 수 있는 근거가 있으면 담당자가 바뀌어도 작업을 이어받기 쉬워진다.

다만 실행 기록을 남긴다는 이유로 비밀번호나 인증 토큰까지 문서에 복사할 필요는 없다. 사건을 추적하는 데 필요한 시각, 요청 식별자, 결과 상태와 결과물 위치를 중심으로 남기고, 인증 정보는 기록 대상에서 제외하는 운영 방식을 권한다. 문제를 설명할 수 있는 기록과 공개해도 되는 기록의 범위도 별도로 정해야 한다.

도입 판단은 업무별로 내려야 한다

이 발표만으로 모든 Claude 사용을 같은 위험도로 묶거나, 다른 모델로 바꾸면 문제가 사라진다고 결론 내릴 근거는 없다. 독자가 먼저 확인할 것은 자신이 에이전트에 맡기는 행동의 범위다. 자료를 읽고 제안하는 도구인지, 파일을 바꾸는 도구인지, 외부에 게시하거나 다른 시스템을 조작하는 도구인지에 따라 필요한 검증이 달라진다.

처음 자동화를 도입한다면 결과물을 비교하기 쉬운 작업부터 시작하는 편이 좋다. 기존 파일과 변경 파일을 비교하고, 오류가 발생한 경우 중단 위치가 남는지 살펴볼 수 있다. 운영 경험이 쌓이면 실제로 자주 발생하는 실패를 기준으로 검사를 보완하면 된다. 검사 항목이 많다는 사실보다 실패했을 때 공개를 멈추고 이미 완료한 결과를 보존하는지가 더 실용적인 판단 기준이다.

이번 글은 원문 공개 범위와 날짜를 확인한 자료 검토다. 공개되지 않은 기록을 검증했다고 주장하지 않으며, 모델 간 안전성 순위나 유료 요금제의 가격 대비 성능을 평가하지 않는다. 구매와 도입 판단에 활용한다면 이 조사와 별도로 자신의 업무에 필요한 권한, 확인 가능한 결과물, 실패 시 복구 방법을 함께 살펴보길 권한다.

출처

• Anthropic의 9월 9일 추가 조사
• Mythos 5 실행 기록 저장소와 공개 범위 안내
• 7월 30일의 최초 세 사건 발표