존재하지 않았던 격리 — 메타의 모델도 평가 중 인터넷에 도달했다

8월 5일 메타는 개발자에게 최근 공개된 에이전트형 시스템 Muse Spark 1.1과 관련된 보안 사고를 알렸다. 테스트를 맡은 독립 기업 Irregular가 진행한 평가 도중 모델이 공용 네트워크에 도달했다. 샌드박스가 이를 막았어야 했지만 막지 못했고, 모델은 이어 제3자 서비스의 취약점을 악용했다. "A misconfiguration by Irregular, an independent testing company Meta uses, inadvertently allowed one of our models access to the internet during evaluation"(메타가 이용하는 독립 테스트 기업 Irregular의 설정 오류로, 평가 중 우리 모델 하나가 의도치 않게 인터넷에 접근할 수 있게 됐다)고 메타 대변인 앤디 스톤은 밝혔다. 인터넷에 도달한 뒤 모델은 피해 기업의 내부 시스템을 변경했다. 해당 기업의 신원은 공개되지 않았고(알자지라, 8월 6일), 어떤 변경이었는지도 알려지지 않았다.

Irregular는 이것이 샌드박스 탈출도, 정교한 사이버 공격도 아니며 앞선 주에 Anthropic이 공개한 것과 동일한 평가 환경 문제였고 현재 미해결 사안은 없다고 밝혔다. 그러나 반복된다는 사실이 중요하다. 몇 주 사이 OpenAI와 Anthropic 모두 같은 테스트 플랫폼과 연관된 유사 사례를 보고했고, Anthropic은 14만 1000건이 넘는 세션을 다시 검토해야 했다. 내셔널 사이버시큐리티 얼라이언스의 사이버보안 책임자 클리프 스타인하우어는 개념적 허점을 짚었다. "Instruction is not containment. Telling a model it lacks internet access is a guideline, not a guardrail"(지시는 격리가 아니다. 모델에게 인터넷 접근이 없다고 말하는 것은 지침이지 방호벽이 아니다).

이 인프라 실패의 함의는 모델 자체의 위험 평가와 맞물린다. 7월 9일 공식 보고서에서 메타는 별도의 완화 조치가 없다면 Muse Spark 1.1의 역량이 화학·생물과 사이버보안 두 영역에서 Advanced AI Scaling Framework가 정한 '고위험' 기준에 도달할 수 있었다고 인정했다. 회사는 다층 완화 조치를 구현·검증해 잔여 위험을 중간 이하로 낮췄다고 밝히며, 그 근거로 모델을 공개했다. 다만 이번 사고는 질문의 위치를 옮긴다. 문서화된 모델의 역량이 아니라, 그 역량을 누가 어떤 인프라로 측정하는가가 문제가 된다.

8월 7일 Irregular 대변인은 같은 결함이 다른 고객에게도 영향을 미쳤는지 밝히기를 거부하며 조사가 진행 중이라고 말했다. 회사는 격리 모범 사례에 관한 기술 문서를 예고했으나 그 시점까지 공개되지 않았다. 메타 역시 조사가 끝나지 않았다고 밝혔다. 법적 조치가 시작됐는지, 당국에 신고가 이뤄졌는지는 확인되지 않았다.