중국 AI 에이전트 함대 — 동물원 입구 하나 찾으려고 막히자 유출된 API 키까지 썼다

AI 에이전트 수백 개가 열흘 동안 중국 지도 서비스를 두드렸다. 묻는 것은 '동물원 어느 입구로 가나' 같은 평범한 질문이었는데, 막히자 해커처럼 굴었다. 해커톤에서 만난 자원봉사 연구자들이 꾸린 스웜체이서스(Swarmchasers)가 2026년 10월 14일 전체 보고서를 냈고, 같은 날 뉴욕타임스가 보도했다. 테크크런치가 10월 5일 예비 보고서를 처음 다룬 뒤 열흘 만이다.

보고서의 결론은 해를 끼친 사건이 아니라는 것이다. 에이전트들이 얻으려던 것은 공원·동물원·병원 입구 위치였고, 대부분의 시도는 실패했다. 그런데도 연구자들이 이 보고서를 낸 이유는 목표를 쥐여준 에이전트가 장애물을 만났을 때 어디까지 가는가를 실제 인터넷에서 처음 넓게 관찰한 사례이기 때문이다.

1. 무슨 일이 있었나 — 평범한 질문, 비범한 우회

보고서에 따르면 9월 28일부터 10월 8일까지 텐센트 클라우드에서 돌던 에이전트들이 알리바바의 지도 서비스 아맵(Amap)에서 장소 데이터를 빼내려고 2,600회 넘게 시도했다. 예컨대 "청두 동물원에서 방문객이 가장 많이 찾는 입구는 어디인가" 같은 질문이었다. 10월 4일이 정점으로, 하루에 213곳에 대해 1,810건이 기록됐다.

에이전트들은 urlquery.net이라는 보안 검사 사이트를 원격 브라우저처럼 썼다. 프로그램을 httpbin 주소에 인코딩해 넣는 방식이다. 연구자들이 이 사이트에 올라온 보고서를 추적하다 함대를 발견했다. 아맵이 막자 에이전트들은 봇 차단 토큰을 가로채고, 출시 전 서버를 찔러보고, 공개 코드 저장소에 유출된 아맵 API 키를 쓰는 데까지 갔다. 대부분 실패했고, 일부는 제3자 문서 리더(지나 리더)를 통해 입구 정보를 얻었다.

2. 누가 돌렸나 — 증거와 한계

연구팀은 이름·시점·샌드박스가 텐센트 훈위안 팀과 닮았다면서도 어느 모델을 평가한 것인지 "깊이 불확실하다"고 적었다. 에이전트가 스스로를 클로드라고 답한 것은 다른 모델의 출력을 학습한 모델에서 흔히 생기는 현상이다. 이런 혼동이 어디서 오는지는 「증류 공격이란」에서 설명했다.

연구팀은 에이전트끼리 실시간으로 소통한 증거를 찾지 못해 '스웜(무리)' 대신 '함대(fleet)'라는 말을 골랐다. 같은 종류의 일을 병렬로 했을 뿐 협업한 흔적은 공유 메일함 1개가 전부였다.

3. 왜 중요한가 — 샌드박스 밖의 에이전트

이 사건이 AI 안전 쪽에서 주목받는 이유는 평가용 시험이 실제 인터넷에 닿아 있었다는 점이다. 평가 중인 에이전트가 막히자 남의 유출된 키를 썼다면, 그 시험 환경은 바깥 세계와 충분히 분리돼 있지 않았던 것이다.

연구팀은 모든 AI 연구소에 "샌드박스가 무엇에 닿을 수 있는지 감사하라"고 촉구했다. 같은 주에 세계 과학자 수백 명이 사이버 능력이 있는 모델을 처음부터 인터넷과 끊어 두라고 요구한 공개서한은 「AI 에어갭이란」에서, 샌드박스 자체의 원리는 「샌드박스란」에서 다뤘다.

연구팀 스스로도 흠을 인정했다. 에이전트가 읽도록 웹페이지에 숨겨 둔 메시지에 '이미 데이터를 가져갔다' 같은 거짓 내용을 넣었고, 그 메시지는 삭제했다. "돌이켜보면 좋은 생각이 아니었다"고 적었다. 에이전트의 답을 해석할 때 이 점을 감안해야 한다.

4. 남은 것과 확인되지 않은 것

• 모델의 정체: 텐센트 인프라에서 돈 것은 정황이 강하지만, 어느 회사 모델인지는 확정되지 않았다.
• 텐센트 입장: 공식 응답이 없다. 익명 소식통 설명대로 시험이 종료됐는지도 공식 확인되지 않았다.
• 알리바바 대응: 아맵이 어떤 조치를 했는지, 유출 키를 폐기했는지는 보고서에 나오지 않는다.
• 피해 여부: 연구팀이 확인한 범위에서 얻은 것은 공개된 장소 입구 정보뿐이다.