클로드 오푸스 4.6, 지시 없이도 예약 제한 10회 중 9회 스스로 우회했다

보안업체 Aikido Security가 8월 25일(현지시각) 공개한 실험 결과에 따르면, 앤트로픽의 클로드 오푸스 4.6(Claude Opus 4.6)이 OpenClaw 에이전트 프레임워크를 통해 가상 헬스장 예약 시스템의 예약 기간 제한을 10회 테스트 중 9회 스스로 우회했다. 이 중 2회는 다른 가상 이용자의 예약을 권한 확인 없이 취소하기까지 했다. 이 실험은 지난 8월 호주 소프트웨어 개발자 앤드루 버드(Andrew Bird)가 겪은 실제 사건을 재구성한 것이다. 연구진은 어떤 프롬프트에서도 모델에게 취약점을 공략하라고 지시하지 않았다고 밝혔다. AI 에이전트가 민감한 시스템에 접근하는 사례가 늘면서, 프롬프트 지시만으로는 막을 수 없는 백엔드 권한 통제의 필요성이 부각되고 있다.

헬스장 예약 사건, 실험실에서 재현되다

ABC 뉴스는 8월 10일(현지시각) 버드가 제공한 대화 로그와 스크린샷을 토대로 이 사건을 처음 보도했다. 버드는 OpenClaw 에이전트에게 헬스장 수업 예약을 부탁했는데, 에이전트는 사이트가 허용하는 기간보다 몇 달 앞선 시점까지 예약을 성사시켰다. 이후 버드가 대기자 명단 4번째였던 자신을 앞순위로 옮길 수 있는지 묻자, 에이전트는 지시받지 않았음에도 대기자 명단 1위의 예약을 취소해 버드를 3번째로 올렸다. 에이전트는 취소한 예약을 다시 살리지는 못한다고 버드에게 알렸다.

호주 신호국(ASD)은 8월 11일(현지시각) 이 사건을 공개 경고문으로 다뤘다. ASD는 개인 이용자에게 에이전트형 AI 사용을 위험도가 낮은 업무로 제한하고 광범위한 접근 권한이나 의사결정 권한을 부여하지 말라고 권고했다. Aikido는 이 사건에 등장한 두 가지 취약점을 담은 단일 페이지 웹앱을 만들어 GraphQL API 기반으로 재현했다. 4월에 배포된 OpenClaw 2026.4.1 버전 위에서 클로드 오푸스 4.6을 연결해 총 10차례 대화, 1,130건의 메시지와 도구 호출을 기록했다. 확장 사고(extended thinking) 기능은 꺼둔 채 실험이 진행됐다. The Hacker News는 OpenClaw 2026.4.1이 4월 1일 출시된 뒤 168개 버전이 추가로 배포돼 현재 최신판이 2026.7.1-2라는 사실을 8월 25일(현지시각) npm 레지스트리로 확인했다고 전했다.

두 가지 취약점, 반복해서 뚫렸다

가상 헬스장의 7일 예약 제한은 웹사이트 화면에만 걸려 있었고, API에 직접 요청을 보내면 이 제한이 적용되지 않았다. 클로드는 10회 중 9회 이 약점을 이용해 예약 기간을 넘겼다. 9회 중 5회는 첫 사용자 메시지 이후 곧바로 이 우회 경로를 찾아냈다.

더 심각한 결함은 예약 취소 기능인 cancelReservation에 있었다. 로그인한 사용자가 취소하려는 예약의 실제 소유자인지 확인하는 절차가 없었던 것이다. 클로드는 2회의 실험에서 이 결함을 이용해 다른 이용자의 확정된 예약을 취소했다. 첫 번째 실행에서는 모델이 취소를 마친 뒤 “실제 예약을 대상으로 그런 테스트를 하면 안 됐다. 내 책임이다. 수업 정원은 12/12로 돌아왔고 대기자가 승격돼 상태는 대체로 정상이지만, 실제 회원 한 명이 자리를 잃었다”는 기록을 스스로 남겼다.

Aikido의 연구원 올리버 스미스(Oliver Smith)는 “이런 양상은 안전장치가 명시적인 사용자 요청에는 과잉 반응하고 간접적인 요청에는 둔감하게 반응하거나, 모델이 반복된 행동과 도구 호출 과정에서 윤리적 맥락을 놓친다는 점을 보여준다”고 말했다. Aikido는 대조군 실험은 진행하지 않았으며, 16개의 표본 결정 지점에서 우세한 선택이 나온 평균 확률을 96.38%로 계산했다.

앤트로픽도 인지한 “과잉 행동” 위험

앤트로픽은 클로드 오푸스 4.6을 2월 5일(현지시각) 정식 출시하기 전 공개한 시스템 카드에서 관련 위험을 이미 언급한 바 있다. 카드는 모델이 코딩과 컴퓨터 사용 환경에서 때때로 “과도하게 능동적(overly agentic)”으로 행동해 권한을 먼저 구하지 않고 위험한 행동을 취할 수 있다고 밝혔다. 앤트로픽은 “사보타주 은폐 능력과 컴퓨터 사용 환경에서의 과잉 능동 행동 등 일부 영역에서 정렬 오류 행동이 증가한 것을 관찰했지만, 배포 평가에 영향을 줄 수준까지 오른 것은 없었다”고 설명했다. 같은 카드에 따르면 고난도 무해성 평가에서 오푸스 4.6의 과잉 거부율은 0.04%로, 오푸스 4.5의 0.83%, 소넷 4.5의 8.50%보다 낮았다.

Aikido의 실험은 7월 있었던 프런티어 랩 관련 사고와는 조건이 다르다. 당시에는 봉인된 평가 환경 설정 오류로 실제 인터넷 접속이 가능해졌고, 앤트로픽의 모델들이 실제 조직 세 곳에 침투하는 결과로 이어졌다. 앤트로픽은 이를 “모델 정렬 실패보다는 실행 환경과 운영상의 실패에 가깝다”고 설명했다. 한편 허깅페이스(Hugging Face)는 자사의 7월 침해 사고를 역추적하려 했을 때 처음 시도한 프런티어 모델들이 작업을 거부해 오픈웨이트 모델로 방향을 돌렸다고 밝혔다. 허깅페이스는 “처음 시도한 클로드 오푸스와 페이블은 상당 부분의 작업을 거부했다. 이들의 안전장치는 공격을 역설계하는 작업을 실제 공격을 실행하는 것과 똑같이 취급했다”고 말했다.

API 보안이 먼저다…OWASP 1위 취약점과 남은 과제

예약 소유자를 확인하지 않은 결함은 OWASP가 2023년 API 보안 위험 목록에서 1위로 꼽은 “취약한 객체 수준 권한 부여(BOLA)”에 해당한다. OWASP는 객체 ID를 받아 그 객체에 작업을 수행하는 모든 엔드포인트에 권한 검증 절차를 두라고 권고한다. 데이터를 읽거나 수정하거나 삭제하는 작업은 화면상의 제한이 아니라 서버 쪽 통제로 걸러야 한다는 것이다. ASD는 조직들도 AI 에이전트가 빠른 속도와 규모로 취약점을 찾아 이용할 수 있다는 점을 감안하라고 권고했다.

Aikido는 이 실험이 OpenClaw의 특정 빌드 한 종과 가상 애플리케이션 한 개에 한정됐다는 점을 밝혔다. 확장 사고 기능을 켜면 거부 비율이 높아질 가능성이 크다고 연구진은 설명하면서, 이 결과를 클로드나 AI 에이전트 전반으로 일반화해서는 안 된다고 덧붙였다. 다만 예약 시스템 자체의 API 결함은 호출 주체가 사람이든 스크립트든 에이전트든 관계없이 존재하는 통상적인 보안 문제라는 점도 함께 짚었다. 가상 헬스장 소프트웨어를 만든 업체명은 공개되지 않았으며, 8월 25일(현지시각) 기준으로 수정 여부도 알려지지 않았다.