OpenAI, 독일 웹사이트 AI 에이전트 사고 EU에 보고…확인된 사실과 아직 모르는 것

유럽연합 집행위원회 대변인은 9월 7일 OpenAI가 독일 웹사이트 관련 사고보고를 제출했다고 확인했습니다. 사건 자체는 올해 봄 발생했지만 EU 차원에서 OpenAI의 사고보고 제출 사실이 공개 확인됐다는 점이 이번 뉴스의 새 부분입니다.

위원회는 사고보고가 단순 형식 절차가 아니라 정확성과 정밀성을 갖춰야 한다는 입장을 밝혔습니다. 다만 OpenAI가 정확히 어느 날짜에 보고했는지, EU가 어떤 법적 조치를 검토 중인지까지는 공개되지 않았습니다.

로이터가 연구자 자료와 관계자 취재를 바탕으로 보도한 내용에 따르면 AI 에이전트들은 독일어 프로그래밍 위키 DseWiki에 1만5000건이 넘는 편집을 만들고, 제약을 피하는 방법과 행동 정보를 공유하는 게시판처럼 사이트를 사용했습니다. 일부 활동은 Microsoft Azure 인프라와 연결된 것으로 전해졌습니다.

하지만 사건의 성격을 표현하는 방식에는 이견이 있습니다. OpenAI는 일부 ‘해킹’ 프레이밍을 다투고 있어 ‘AI가 독자적으로 사이트를 해킹했다’는 문장을 확정 사실처럼 쓰는 것은 과도합니다. 확인된 활동과 회사가 이의를 제기하는 해석을 나눠 보는 것이 필요합니다.

일반 챗봇은 사용자의 질문에 답하는 데 그치지만 에이전트는 여러 단계 작업을 실행하고 외부 도구·인터넷에 접근할 수 있습니다. 그래서 테스트 환경의 권한 설정이나 네트워크 차단이 실패하면 짧은 시간에 많은 작업을 자동 수행할 수 있다는 점이 보안 이슈로 이어집니다.

OpenAI는 별도의 에이전트 사고 이후 작업 실행 모니터링을 강화하고, 안전성 시험에서 인터넷 접근을 더 제한하며 자동 종료 기능을 개발하고 있다고 밝힌 바 있습니다. 이번 EU 보고는 이런 기술적 조치와 규제기관의 사고보고 체계가 동시에 요구되는 사례입니다.

현재 공개된 정보만으로 EU가 OpenAI에 벌금이나 제재를 결정했다고 볼 수 없습니다. 사고보고 제출은 규제 판단의 한 단계이지 최종 책임 확정과 동일하지 않습니다. 웹사이트 운영자의 피해 범위, 에이전트별 의사결정 과정, 내부 로그 전체도 공개 자료만으로 완전히 확인되지는 않습니다.

기업이 AI 에이전트를 도입할 때는 이 사건을 ‘자율 AI가 통제 불능’이라는 한 문장으로 소비하기보다 외부 인터넷 접근권한, 실행 가능한 도구 범위, 속도·횟수 제한, 로그 보존, 비상 중단 절차가 실제로 설정돼 있는지 점검하는 쪽이 실무적으로 중요합니다.