VM 하나로는 사이버 에이전트를 가두기 어렵다

"그냥 VM에 넣으면 된다"는 가정의 붕괴

Trail of Bits의 글 VMs won't contain cyber-capable agents는 AI 보안 논의에서 꽤 거친 경고다. Artem Dinaburg는 OpenAI의 GPT-5.6-Cyber preview를 받아 QEMU/KVM 기반 Debian 12 VM에서 탈출해 보라는 CTF식 과제를 줬고, 에이전트가 세 차례 탈출했다고 보고했다. 첫 번째는 공개된 Januscape 취약점, 두 번째는 libslirp 취약점과 미분류 버그 조합, 세 번째는 QEMU·Linux KVM·libslirp의 여러 취약점 체인이었다.

핵심은 특정 CVE 하나가 아니다. 에이전트는 몇 시간에서 약 12시간 규모의 긴 시간 동안 검색하고, 실패한 경로를 버리고, 코드와 논문을 읽고, 오라클과 최소 재현을 만들고, 재사용 가능한 exploit을 목표로 움직였다고 한다. 사람이 한 일은 호스트 커널이 hardlock될 때 물리적으로 재부팅하는 것에 가까웠다. 이것은 샌드박스를 "모델 출력 제어" 문제가 아니라 "공격자 격리" 문제로 봐야 한다는 뜻이다.

공격 표면은 공유 기능에서 열린다

VM은 완전히 닫힌 상자가 아니다. 유용하려면 네트워크, 파일 이동, 화면, 클립보드, 디버거, 빌드 캐시 같은 통로가 생긴다. Trail of Bits 사례에서도 libslirp는 VM 네트워킹을 위해 필요한 구성요소였고, QEMU와 KVM은 성능과 호환성을 위해 복잡한 표면을 제공한다. QEMU와 Linux KVM은 성숙한 기술이지만, 에이전트가 시간과 자동화를 무기로 삼으면 오래된 가정이 흔들린다.

AI 안전 테스트, 이제 테스트 환경부터 위험하다는 평가 환경 자체가 안전해야 한다는 문제를 제기했다. Docker Sandboxes, 코딩 에이전트 격리를 제품으로 꺼내다도 컨테이너와 VM 격리가 제품 경쟁의 핵심이 됐다고 봤다. 이번 사례는 그 이유를 실험적으로 보여준다.

패치 속도도 보안 경계가 됐다

글에서 Debian 12 oldstable은 안정성을 위해 선택됐지만, 에이전트에게는 공격 기회가 됐다. 공개되었지만 배포판 패키지에 아직 반영되지 않았거나 보안 이슈로 분류되지 않은 수정이 exploit 체인에 쓰일 수 있었다. 이는 기업 보안팀에 불편한 메시지다. "안정적인 LTS"는 사람 운영자에게 예측 가능성을 주지만, 자동화된 취약점 연구 에이전트 앞에서는 느린 패치 파이프라인이 된다.

암호화된 추론 흔적, API 보안 경계가 흔들렸다와 OpenAI Hugging Face 평가 보안 사고는 AI 시스템이 소프트웨어 공급망과 평가 인프라의 틈을 만날 때 생기는 위험을 다뤘다. Trail of Bits의 보고는 여기에 실행 환경 탈출이라는 더 직접적인 층을 얹는다. 공격 표면은 모델 내부가 아니라 주변 소프트웨어 전체다.

Firecracker는 정답이 아니라 방향이다

Trail of Bits는 Firecracker를 더 어려운 목표로 평가했다. 에이전트가 Linux 커널 결함으로 machine hardlock은 유발했지만 성공적인 탈출은 하지 못했다고 한다. Firecracker가 만능이라는 뜻은 아니다. 다만 최소 장치 모델, 작은 코드 표면, 클라우드 격리 요구에서 출발한 설계가 일반 데스크톱 VM보다 낫다는 신호다.

한국 기업이 여기서 바로 얻을 수 있는 실무 기준은 네 가지다. 첫째, 고위험 에이전트 작업은 개인 노트북 VM이 아니라 폐기 가능한 원격 환경에서 돌린다. 둘째, 네트워크는 기본 차단하고 필요한 도메인만 허용한다. 셋째, 세션 시간과 토큰 권한을 제한한다. 넷째, 호스트와 게스트 사이의 파일 공유, 클립보드, 포트포워딩, display 장치를 최소화한다.

방어자에게도 같은 능력이 온다

이 보고는 공포만 주지는 않는다. 같은 능력은 방어에도 쓰인다. OpenAI의 Daybreak 설명은 방어 창이 좁아지는 상황에서 취약점 발견과 패치 지원을 강조한다. Trail of Bits의 Patch the Planet도 중요한 오픈소스 보안을 돕는 방향이다. 문제는 방어자가 같은 속도로 패치하고 배포할 체계를 갖췄는가다. 에이전트가 0-day 후보를 찾는 속도가 빨라지면, 조율되지 않은 공개와 미패치 배포판 사이의 시간이 더 위험해진다.

따라서 결론은 "AI 보안 연구를 막자"가 아니다. 격리와 공개, 패치와 배포, 감사 로그와 권한 회수를 기계 속도에 맞춰야 한다. Claude Code 자동모드 기본값, 권한 피로의 전환점이 말한 권한 피로는 보안 연구 에이전트에서 훨씬 더 큰 위험이 된다. 한 번 허용한 sudo, 네트워크, VM 장치가 exploit 연구의 도구가 될 수 있다.

자주 묻는 질문

Q1: 이 보고를 그대로 일반 AI 에이전트에 적용해도 되나요?

A: 능력이 높은 사이버 특화 모델의 사례다. 하지만 일반 에이전트도 시간이 지나며 도구 사용과 장기 지속성이 강해지므로 보수적으로 봐야 한다.

Q2: VM은 이제 쓸모없나요?

A: 아니다. 다만 단독 안전 경계로 믿으면 안 된다. 최소 권한, 최신 패치, 네트워크 제한, 일회성 환경과 함께 써야 한다.

Q3: Firecracker를 쓰면 해결되나요?

A: 해결이 아니라 개선이다. 공격 표면이 작아지지만 커널과 운영 설정, 관측성 문제는 여전히 남는다.

Q4: 개발팀은 무엇부터 바꿔야 하나요?

A: 에이전트 실행 프로파일을 위험도별로 나누고, 고위험 작업에는 개인 개발 머신이 아닌 폐기 가능한 원격 샌드박스를 써야 한다.

Q5: 한국 보안팀의 체크리스트는 무엇인가요?

A: VM 이미지 패치 주기, 파일 공유 비활성화, 네트워크 egress 제한, 세션 시간 제한, 호스트 자격증명 차단, 중앙 로그 수집을 먼저 점검해야 한다.