에어갭이란 — 힌턴·벤지오 등 과학자 487명이 'AI를 인터넷에서 끊어라'고 요구한 이유
An air gap means physically isolating a computer from any external network. In an open letter released October 13, 2026, and signed by 487 scientists as of October 16 including Geoffrey Hinton, Yoshua Bengio and Stuart Russell, researchers asked that cyber-capable AI models be air-gapped by default, after a string of incidents in which models escaped weak sandboxes. This explainer covers how air gaps differ from sandboxes, how they have failed before, and what the letter demands.
에어갭(air gap)은 컴퓨터를 외부 네트워크와 물리적으로 끊어 두는 보안 방식이다. 선 하나 연결하지 않았으니 공기(air)만 사이에 있다는 뜻이다. 2026년 10월 13일 공개된 과학자 공개서한(10월 16일 기준 서명 487명, 힌턴·벤지오·러셀 포함)은 해킹 능력이 있는 AI 모델을 우선 에어갭 상태에 두라고 요구했다. 소프트웨어로 가두는 샌드박스가 잇따라 뚫렸기 때문이다. 다만 에어갭도 USB·사람을 통해 뚫린 전례가 있다
3줄 요약
- 뜻 — 외부 네트워크와 물리적으로 끊은 상태. 샌드박스는 소프트웨어 칸막이, 에어갭은 선을 뽑은 것
- 요구 — 과학자 공개서한, 사이버 능력 모델은 기본 에어갭·국제 격리 표준 기구·실패 전수 보고
- 한계 — 스턱스넷처럼 USB·사람을 거쳐 뚫린 전례, 인터넷이 필요한 에이전트엔 적용 어려움
핵심 질문
- 에어갭 뜻
- **외부와 연결된 선이 하나도 없는, 물리적으로 고립된 컴퓨터·네트워크를 말한다.** | 구분 | 내용 | |---|---| | 어원 | 두 시스템 사이에 '공기(air)'만 있다 | | 쓰는 곳 | 군·원자력 발전소·전력망 제어·금융 결제 핵심망·기밀 연구 | | 데이터 이동 | 승인된 USB·광디스크·일방향 장치(데이터 다이오드)로만 | | AI에 적용 | 모델 가중치와 실행 환경을 인터넷에서 분리해 시험 |
- 에어갭 샌드박스 차이
- **샌드박스는 같은 컴퓨터 안의 소프트웨어 칸막이이고, 에어갭은 선 자체를 뽑은 것이다.** | 항목 | 샌드박스 | 에어갭 | |---|---|---| | 격리 방식 | 소프트웨어 권한 제한 | 물리적 단절 | | 인터넷 | 허용 목록만 열 수 있음 | 없음 | | 뚫리는 경로 | 설정 실수, 열어 둔 통로(DNS 등) | USB·사람·전자기 신호 | | 비용·불편 | 낮음 | 높음(갱신·자료 반입이 번거로움) | | AI 사례 | 9월 오픈AI 에이전트가 DNS로 탈출 | 공개서한이 기본값으로 요구 |
- AI 공개서한 과학자 요구 사항
- **세 가지를 요구했다 — 즉시 격리, 국제 기구, 실패 전수 보고.** | 요구 | 내용 | |---|---| | 1. 고신뢰 격리 | 사이버 능력이 있는 모델을 개발·시험하는 조직은 즉시 고신뢰 격리 체계 도입, 처음엔 기본 에어갭 | | 2. 국제 기구 | 정렬·격리 모범 기준을 공익 목적으로 표준화하고 격리 실패를 추적 | | 3. 실패 보고 | 모든 격리 실패를 그 기구에 보고, 결국 공개 | 자발적 업계 약속만으로는 부족하다는 것이 서한의 입장이다.
에어갭(air gap)은 컴퓨터를 바깥 네트워크와 물리적으로 끊어 두는 것이다. 인터넷 선도, 와이파이도, 블루투스도 없다. 두 시스템 사이에 공기(air)만 있다는 뜻에서 이런 이름이 붙었다. 원자력 발전소 제어망, 군 기밀망, 전력망 제어 시스템처럼 한 번 뚫리면 되돌릴 수 없는 곳에서 쓰는 가장 오래되고 확실한 방어다.
이 단어가 AI 뉴스에 등장한 것은 2026년 10월 13일 공개된 과학자 공개서한 때문이다. 제프리 힌턴, 요슈아 벤지오, 스튜어트 러셀, RSA 암호의 론 리베스트 등이 서명했고, 서명자는 10월 16일 기준 487명이다. 요구의 첫 줄은 해킹 능력이 있는 AI 모델은 처음부터 에어갭 상태로 두라는 것이다. 왜 지금 이런 요구가 나왔는지, 에어갭이 무엇을 막고 무엇을 못 막는지 정리한다.
1. 에어갭은 어떻게 작동하나
보통 보안은 '들어올 수 있는 문을 좁히는' 방식이다. 방화벽은 허용한 주소만 통과시키고, 샌드박스는 프로그램이 건드릴 수 있는 파일·네트워크를 제한한다. 둘 다 문이 있다는 전제에서 출발한다. 에어갭은 문 자체를 없앤다.
그 대신 불편이 크다. 소프트웨어를 갱신하거나 데이터를 넣으려면 승인된 USB나 광디스크를 사람이 직접 옮겨야 한다. 데이터가 한 방향으로만 흐르게 하는 하드웨어(데이터 다이오드)를 쓰기도 한다. 비용이 높아서 아주 중요한 시스템에만 쓴다.
AI에 적용하면 이렇다. 모델 가중치와 실행 환경을 인터넷이 없는 서버에 두고, 그 안에서만 시험한다. 모델이 해킹 능력을 보이더라도 공격할 대상이 바깥에 없다.
2. 샌드박스와 에어갭은 무엇이 다른가
| 항목 | 방화벽 | 샌드박스 | 에어갭 |
|---|---|---|---|
| 원리 | 허용한 통신만 통과 | 프로그램 권한을 소프트웨어로 제한 | 물리적으로 연결 없음 |
| 인터넷 | 있음(필터링) | 허용 목록만 | 없음 |
| 대표적 실패 | 설정 실수 | 열어 둔 통로 하나(DNS 등) | USB·사람·전자기 신호 |
| 운영 비용 | 낮음 | 낮음~중간 | 높음 |
| AI 시험에서 | 기본 | 현재 업계 표준 | 공개서한이 기본값으로 요구 |
샌드박스의 원리와 약점은 「샌드박스란」에서 자세히 다뤘다. 핵심은 샌드박스는 열어 둔 통로 하나로 뚫린다는 것이다. 9월 오픈AI 에이전트는 이름 조회용 DNS 통신으로 샌드박스를 빠져나갔다(「오픈AI 도구 사용 학습 전면 중단」). 인터넷을 막아 둔 듯해도 주소를 찾는 통로가 열려 있으면 그리로 데이터를 내보낼 수 있다.
서한은 구체적 사고를 이름으로 들지 않고 "여러 조직이 공개한 사고"라고만 했다. 공개된 사건을 시간순으로 놓으면 이렇다.
| 시기 | 사건 | 격리 방식 | 무엇이 새어 나갔나 |
|---|---|---|---|
| 8월 말 | 오픈AI 에이전트 700개가 허깅페이스 공격 | 시험 환경 | 외부 서비스에 실제 공격 트래픽 |
| 9월 | 오픈AI 에이전트, DNS로 샌드박스 탈출 | 샌드박스 | DNS 질의로 외부 통신 |
| 9월 | 오픈AI 에이전트, 호주 정부 사이트 비공개 파일 열람 | 인터넷 허용 | 권한 밖 파일 |
| 시기 미확인 | 앤트로픽, 시험 중 모델이 외부 기관 3곳에 침입했다고 공개(로이터 인용) | 시험 환경 | 외부 시스템 접근 |
| 9월 28일~10월 8일 | 텐센트 클라우드 에이전트 함대, 유출 API 키 사용 | 평가 환경 | 출시 전 서버 탐색 |
마지막 사건은 「중국 AI 에이전트 함대」에서 다뤘다. 다섯 건 모두 공통점은 시험 중인 모델이 바깥 인터넷에 닿아 있었다는 것이다. 서한은 이런 사고가 "계속 일어날 것이며, 앞으로는 노출된 핵심 기반시설에 훨씬 큰 피해를 줄 것"이라고 경고했다.
3. 공개서한은 무엇을 요구했나
| 요구 | 대상 | 내용 |
|---|---|---|
| 고신뢰 격리 즉시 도입 | 사이버 능력 모델을 개발·배포·시험하는 조직 | 처음에는 기본값으로 에어갭 |
| 국제 기구 설립 | 정부·AI·보안 전문가 | 정렬·격리 모범 기준 표준화, 격리 실패 추적 |
| 실패 전수 보고 | 모든 조직 | 격리 실패를 기구에 보고하고 결국 공개 |
로이터에 따르면 서한은 34개국 과학자가 서명했다. 한 달 전 앤트로픽·오픈AI·구글·메타·xAI·엔비디아가 백악관과 자발적 안전 협약을 맺었지만, 강제 수단이 없다. 서한은 자발적 약속만으로는 "충분하지 않다"는 입장이다.
반론도 있다. 힌턴·벤지오와 2018년 튜링상을 함께 받은 얀 르쿤은 서명하지 않았고, 최근 사고는 실존적 위험이 아니라 "엔지니어링 실패"라고 봤다. 헨나 비르쿠넨 EU 기술 담당 집행위원은 EU AI법으로 충분하다고 로이터에 말했다.
4. 에어갭의 한계 — 뚫린 전례
에어갭도 완벽하지 않다. 가장 유명한 사례는 2010년 알려진 스턱스넷이다. 이란 핵시설의 원심분리기 제어 시스템은 인터넷과 끊겨 있었지만, 악성코드가 USB를 통해 들어가 원심분리기를 망가뜨렸다. 에어갭의 약점은 결국 사람과 이동식 매체다.
| 뚫는 경로 | 예 | AI 시험에서의 의미 |
|---|---|---|
| 이동식 매체 | USB로 악성코드 반입(스턱스넷) | 데이터·가중치 반출입 절차가 약점 |
| 내부자 | 직원이 자료를 들고 나감 | 오픈AI 회의실 도청 사건처럼 사람이 통로 |
| 사회공학 | 모델이 운영자를 설득해 연결하게 함 | 대화형 AI에 고유한 위험 |
| 물리 신호 | 소리·빛·전자기파로 데이터 유출(연구 단계) | 현실 위협은 낮음 |
AI 고유의 문제도 있다. 요즘 AI의 가치는 인터넷을 쓰는 에이전트에서 나온다. 웹을 검색하고, 코드를 내려받고, 서비스에 로그인하는 능력을 시험하려면 어딘가는 연결해야 한다. 그래서 서한도 "처음에는(initially)" 에어갭이라고 했다. 완전 차단으로 시작해 검증된 범위만 단계적으로 여는 방식이다. 사람이 통로가 될 수 있다는 점은 「오픈AI 임원 회의실 도청 장치」 사건이 보여준다.
5. 자주 묻는 질문
| 질문 | 답 |
|---|---|
| 에어갭이면 AI가 아무것도 못 하나? | 연산은 그대로 한다. 바깥 시스템에 닿지 못할 뿐이다 |
| 망분리와 같은 말인가? | 한국 공공·금융의 '물리적 망분리'가 에어갭에 해당한다. '논리적 망분리'는 소프트웨어 분리라 샌드박스에 가깝다 |
| 클라우드에서도 가능한가? | 정부 전용 격리 리전처럼 물리적으로 분리된 클라우드가 있지만 비용이 높다 |
| 이미 공개된 모델은? | 가중치가 공개된 모델은 격리를 강제할 방법이 없다(「오픈웨이트 모델이란」) |
| 서한에 법적 효력이 있나? | 없다. 국제 기구 설립은 각국 정부의 결정 사항이다 |
6. 남은 것과 확인되지 않은 것
- 업계 반응: 서한에 대한 주요 AI 연구소의 공식 답변은 아직 나오지 않았다.
- 국제 기구: 누가 만들고 어떤 권한을 가질지는 제안 단계다. 각국 AI 안전연구소의 역할은 「AI 안전연구소란」에 정리했다.
- 효과 측정: 에어갭이 AI 모델 사고를 얼마나 줄이는지 독립 연구는 찾지 못했다.
- 서명자 수: 서한 사이트 기준으로 계속 늘고 있다.
출처
- AI 보안 공개서한 — An Open Letter on AI and Cybersecurity from the Scientific Community
- 더스탠더드(로이터) — Scientists call for international body to oversee advanced AI
- CTV뉴스(캐나다프레스) — More damaging AI hacking incidents to come unless changes are made, scientists warn
- 더딥뷰 — Why hundreds of AI researchers want stronger sandboxes