AEPD는 공격 흐름 네 단계를 공개했지만, 사건의 핵심 맥락은 밝히지 않았습니다.
AI 에이전트 침해 신고는 피해 조직이 사람이 아니라 AI 에이전트가 침입을 실행했다고 밝힌 개인정보 침해 신고입니다. 스페인 데이터보호청(AEPD)은 2026년 9월 14일 이런 사례를 공개했습니다. 신고 기관의 설명에 따르면 에이전트는 일반 파일에서 취약점을 찾고, 정상 로그인에 성공한 뒤, 애플리케이션 내부에서 스스로 취약점을 찾아 개인정보를 변경하고 인보이스에 접근했습니다. 공격은 네 단계로 이어졌습니다.
AEPD는 이를 자신이 접수한 신고 가운데, 기관이 개인정보 침해가 AI 에이전트를 통해 실행된 것으로 보인다고 밝힌 첫 사례라고 설명했습니다. 다만 '첫 사례'라는 표현에는 단서가 하나 필요합니다. 보안 업계는 이미 7월 Sysdig의 제이드퍼퍼(JadePuffer) 보고서처럼 에이전트가 수행한 공격을 다룬 벤더 보고서를 접했습니다. 이번 사례에서 새로운 점은 '최초'라는 숫자가 아니라, 벤더가 아닌 규제 기관이 신고된 공격 흐름을 공개 기록으로 남겼다는 데 있습니다.
AEPD가 밝힌 신고 내용
AEPD 게시물에 따르면 에이전트는 다음 네 단계를 거쳤습니다.
- 일반 파일에서 취약점 탐색
- 정상 로그인 성공
- 내부 진입 후 애플리케이션 취약점을 스스로 탐색해 발견
- 확보한 접근 권한으로 개인정보를 변경하고 인보이스에 접근
AEPD는 피해 기관명과 업종, 사용된 AI 모델, 사고 발생 시점과 신고 시점을 밝히지 않았습니다.
AEPD의 설명이 밝히지 않는 것
AEPD는 데이터보호 관점에서 제3자가 AI 에이전트를 이용해 공격의 여러 단계를 이어갔을 가능성을 문제로 봅니다. 게시물은 사고 탐지 시점, 모니터링 여부, 신고 기관의 대응 속도를 밝히지 않습니다. 대신 이 설명이 신고 기관의 자체 보고에 근거하므로 추가 분석이 필요하다고 적습니다. 신고 한 건만으로 통계적 추세를 단정할 수 없고, 특정 AI 모델이 공격에 쓰였다고 해서 그 모델이나 제공사의 인프라가 침해됐다는 뜻은 아닙니다.
같은 SecurityWeek 보도에 인용된 CyberVerse CTO Simon Phillips는 이 사건을 어디까지 해석할 수 있는지 선을 그었습니다. "무슨 일이 일어났는지, 모델이 이 침해를 어떻게 실행했는지 이해하기에는 정보가 부족하다." "최초의 AI 에이전트 침해"라는 표현에 공개된 사실 이상의 확신을 싣지 않게 막아주는 지적입니다.
AEPD의 2월 가이드라인이 이미 말한 것
AEPD는 2026년 2월에도 에이전틱 AI를 도입하는 기관을 위한 가이드라인을 냈습니다. 이 가이드라인에는 브라우저 보안 원칙에서 출발해 Meta를 포함한 다른 저자들이 AI 에이전트용으로 재구성한 "2의 규칙"("regla de 2")이 나옵니다. 신뢰할 수 없는 입력을 처리하고, 민감 데이터에 제한 없이 접근하고, 자율적으로 행동하는 세 조건이 동시에 성립하는 구성은 허용하지 말라는 내용입니다.
이 가이드라인은 기관이 직접 도입하는 에이전트를 대상으로 합니다. 외부 공격자의 도구와는 전제가 다릅니다. 9월 게시물은 이 가이드라인을 인용하지 않았고, 공격에 쓰인 에이전트가 신뢰할 수 없는 입력을 처리했는지 또는 민감 데이터에 제한 없이 접근했는지도 밝히지 않았습니다. 직접 운영하는 에이전트를 점검할 때 참고할 기준이지, 이번 사건을 판정하는 기준은 아닙니다.
AEPD가 이 사례에서 짚은 과제
AEPD는 AI가 새로운 위협을 만들지는 않지만, 알려진 악성 기법의 속도와 규모, 적응력을 높인다고 설명합니다. 에이전트는 목표를 받아 중간 작업을 계획하고, 도구를 쓰고, 코드를 실행하며, 찾아낸 내용에 따라 다음 행동을 스스로 바꿀 수 있습니다. AEPD가 이를 질적인 변화로 보는 이유입니다.
AEPD는 이 사례에서 네 가지를 강조합니다.
- 위험 분석에 AI 지원 또는 AI 실행 공격을 명시적으로 포함해야 합니다.
- 대응 시간을 다시 점검해야 합니다. 사람이 직접 수행하는 공격에 맞춘 절차는 여러 경로를 동시에 시도하고 빠르게 행동을 바꾸는 에이전트 앞에서 부족할 수 있습니다.
- 디지털 신원과 자격증명의 중요성이 커집니다. 과도한 권한을 가진 계정, API 키, 토큰을 쥔 에이전트는 이상 행동이 탐지되기 전에 기계 속도로 여러 서비스를 넘나들 수 있습니다.
- 사람의 감독에도 에이전트의 속도를 따라갈 수 있는 탐지·차단·대응 체계가 필요합니다.
지금 점검할 항목
CISO나 플랫폼 리더가 지금 점검할 수 있는 항목은 세 가지입니다. AEPD의 추가 분석을 기다릴 필요는 없습니다.
- 환경 안의 계정, API 키, 토큰 중 권한이 지나치게 넓은 것이 있는지, 에이전트가 그것을 손에 넣으면 로그인부터 데이터 변경까지 아무도 알아채기 전에 진행할 수 있는지
- 탐지·대응 도구가 사람 대응 인력의 속도만이 아니라 에이전트가 움직이는 속도에 맞춰 작동할 수 있는지. AEPD도 사람의 감독은 충분히 빠른 탐지·차단·대응 체계의 뒷받침을 받아야 한다고 설명합니다.
- 침해 신고 플레이북이 "행위자가 AI 에이전트였다"는 사실을 모의훈련 논의에 그치지 않고 법무·보안팀이 실제 신고서에 적을 수 있게 준비돼 있는지
AEPD도 신고 한 건으로 통계적 추세를 단정할 수 없다고 밝혔습니다. 이번 사례가 보여 주는 범위에는 한계가 있습니다. 그렇더라도 위 점검을 미룰 이유는 없습니다.
자주 묻는 질문
AEPD AI 에이전트 침해 신고란 무엇인가요? 2026년 9월 14일, 스페인 데이터보호청 AEPD는 한 기관이 AI 에이전트가 실행했다고 밝힌 사고를 다룬 개인정보 침해 신고를 접수했다고 공개했습니다. AEPD는 이를 자신이 접수한 첫 사례라고 밝힙니다.
AEPD에 따르면 AI 에이전트는 실제로 무엇을 했나요? 일반 파일에서 취약점을 탐색하고, 정상 로그인에 성공한 뒤, 애플리케이션 내부 취약점을 스스로 탐색해 찾아냈고, 그 접근 권한으로 개인정보를 변경하고 인보이스에 접근했습니다.
AEPD가 공격 탐지 시점도 밝혔나요? 아닙니다. AEPD는 신고 기관의 주장을 전달할 뿐입니다. 제3자가 AI 에이전트를 이용해 공격 단계를 이어간 것으로 보인다는 것이며, 사고 도중 사람이 경고를 받았는지, 받았다면 언제였는지, 신고 기관이 얼마나 빠르게 대응했는지, 신고 자체가 언제 이뤄졌는지는 밝히지 않습니다. AEPD는 이 설명이 신고 기관 자체 보고에 근거하며 추가 분석이 필요하다고도 밝힙니다.
"2의 규칙"이란 AEPD의 에이전틱 AI 가이드라인에서 무엇을 뜻하나요? 신뢰할 수 없는 입력 처리, 제한 없는 민감 데이터 접근, 자율적 행동을 에이전트가 동시에 하지 못하게 하라는 원칙입니다. AEPD는 2026년 2월 에이전틱 AI 도입 기관용 가이드라인에서 이를 "regla de 2"로 인용했으며, AI 에이전트용으로 재구성한 것은 Meta를 포함한 다른 저자들입니다.
