METR의 Vibe-Coded Agent Dashboard가 자체 로그인을 비활성화했고, 공격자가 모델 크레딧 60만 달러어치를 소진했습니다

에2026년 3월, 누군가가 METR의 public-models 계정용 API 키를 연구자의 개인 Amazon EC2 인스턴스에서 빼내어 3주 동안 사용했습니다. METR — 장기 과제에서 AI 에이전트가 얼마나 멀리 나아가는지를 측정하는 비영리 단체인 Model Evaluation and Threat Research — 는 소비된 크레딧의 상업적 가치를 약 $600,000으로 추정했습니다. 이 키는 사람을 대상으로 피싱된 것이 아니라, 공격자가 연구자의 바이브 코딩 대시보드에서 실행 중인 에이전트를 프롬프트로 조종해 모델 제공자 API 키를 넘겨주도록 한 뒤, 다시 접속할 수 있도록 SSH 키를 추가한 것이었습니다. METR은 2026년 8월 31일에 이 사고를 공개했으며, 기록에는 아카이브의 고심각도 등급과 A 신뢰도 평가가 포함되어 있습니다. 이 공개는 AI 사고 아카이브의 기록 중 하나이며, 여기에는 전체 기록 세트, 출처, 그리고 이 시리즈의 인접 항목이 있습니다.

기록이 실제로 말하는 것

아카이브는 이를 이론적 취약점의 공개가 아니라 현실화된 사건으로 분류합니다: 심각도 높음, 신뢰도 A, 이견 없음, 실제 피해가 기록되었고 AI 관여가 확인되었습니다. 유형 태그는 CRED이며, 지역은 미국입니다. 날짜는 월까지만 기록됩니다 — 아카이브는 도난이 2026년 3월에 발생했다는 사실을 알고 있으며 일자는 주장하지 않고, METR도 마찬가지입니다.

이 피해에는 한 가지 단서가 필요한데, METR이 바로 그 단서를 제공한다. 해당 크레딧은 모델 개발자가 METR에 무료로 지급한 것이므로, 60만 달러는 계좌에서 빠져나간 돈이 아니라 소비된 것의 가치다. The Register의 도입부 문구는 같은 점을 더 노골적으로 지적했다. 모델 제공자가 METR에 크레딧을 준 것이며, 실제로 비용을 지불하는 고객이었다면 그런 행운을 누리지 못했을 것이라는 설명이다. Infosecurity Magazine도 이 수치를 직접적인 재정 손실이 아닌 상업적 가치로 같은 방식으로 보도했다.

METR의 글은 한 건이 아니라 두 건의 사건을 다룬다. 2026년 5월의 캠페인은 아래쪽에서 따로 설명되며, 키 도난과 3주에 걸친 지출은 3월의 사건으로, 이것이 바로 이 글의 주제이다.

결함은 모델이 아니라 로그인에 있었습니다

민감한 접근 권한이 없는 METR 연구원이, 일부러 공개적으로 접근 가능하게 만들어 Google 인증 뒤에 둔 개인 EC2 인스턴스에서 에이전트를 실행했습니다. 그 인스턴스에는 METR의 일반 접근 계정, 즉 공개 모델에 사용되며 METR이 두 번째로 민감도가 낮은 데이터 범주로 분류하는 계정의 API 키가 있었습니다. 해당 에이전트들을 둘러싼 오케스트레이션 앱은 바이브 코딩으로 만들어졌고, 그 안에는 METR이 fail-open 취약점이라고 부르는, 인증을 조용히 비활성화하는 결함이 있었습니다.

Fail-open은 번역할 가치가 있습니다. 두 단어로 사건 전체를 담아내기 때문입니다. 로그인 검사는 두 가지 방식으로 잘못될 수 있습니다. 정당한 사용자를 거부하거나, 검사 자체가 고장 났을 때 누구든 받아들이는 것입니다. Fail-open은 후자를 뜻합니다 — 인증 단계에서 오류가 발생하거나 건너뛰어졌을 때, 앱은 요청을 거부하지 않고 허용한 것으로 처리했습니다. 아무런 경보도 울리지 않았습니다. METR의 설명에 따르면 그 결과는 시스템이 며칠 동안 공용 인터넷에 놓여 있었고, 정문이 활짝 열린 채 무엇인가 바뀌었다는 표시가 전혀 없었던 것이었습니다.

METR은 오케스트레이션 도구나 대시보드가 구축된 프레임워크의 이름을 밝히지 않았고, 코드를 공개하지 않았으며, 인증 통합이 어느 쪽에서 실패했는지도 말하지 않는다. 이 게시물이 분명히 보여주는 것은 그 버그 밑에 깔린 아키텍처상의 실수다. 즉 조직용 모델 계정의 자격 증명이 METR이 통제하지 않는 인프라, 한 연구자가 직접 배포한 애플리케이션에 존재했다는 것이다.

열쇠가 어떻게 건물을 떠났는지

METR의 공격자 접근 방식 재구성은 명시적으로 발견된 사실이 아니라 의심이며, 이는 공개 내용에서 가장 흥미로운 입증되지 않은 주장이다. 게시물에 따르면 METR은 공격자가 최근 등록된 웹사이트를 탐색해 인스턴스를 찾았다고 의심한다. 인증서 투명성 목록이 그 예로 언급되며, LLM 또는 에이전트 프로젝트를 시사하는 키워드를 담은 바이브 코딩 사이트를 찾아 노출된 모델 제공업체 API 키를 수집하려는 목적이었다고 한다.

인증서 투명성 로그는 설계상 공개됩니다. 공개적으로 신뢰받는 사이트에 발급된 모든 인증서가 기록되므로, 새 호스트 이름은 서비스가 시작된 지 몇 분 안에 검색 가능한 피드에 나타납니다. 해당 피드에서 에이전트 또는 모델 관련 용어가 포함된 이름을 필터링하는 것은 비용이 적게 들고, 대상에 접근할 필요도 없으며, 아무도 검토하지 않았을 수 있는 신규 배포 목록을 만들어냅니다. 사냥 기법으로 읽으면, 이는 데모를 공개하는 평범한 행위를 신호로 바꿉니다.

일단 침투한 뒤 공격자는 파일 시스템에서 비밀을 훔칠 필요가 없었다. 그들은 에이전트에게 직접 모델 제공업체 API 키를 공개하라고 유도했으며, 이 문장은 잠시 짚고 넘어갈 가치가 있다: 에이전트는 자격 증명을 컨텍스트에 갖고 있었고, 말로 설득하면 그것을 출력하게 할 수 있었다. 그런 다음 공격자는 지속적 접근을 위해 SSH 키를 추가하여 인증 허점을 막아도 그들이 쫓겨나지 않게 했고, 공개적으로 이용 가능한 모델에서 3주간 추론을 하며 자리를 잡았다.

모델 개발자의 이름은 밝혀지지 않았다 — METR도, The Register, Dark Reading, Infosecurity Magazine, The Hacker News도 해당 공개 내용을 보도하면서 이름을 밝히지 않았다. 제품 취약점이 문제가 된 것이 아니므로 CVE는 발급되지 않았다. 체포, 기소 또는 특정 단체로의 귀속은 보고되지 않았다.

왜 3주 동안의 비정상적인 사용이 정상처럼 보였을까

METR은 그 명백한 질문에 곧바로 답하며, 그 답은 다른 조직들이 두 번 읽어봐야 할 부분이다. 이 비영리 단체는 대규모 평가를 운영하기 때문에 매우 큰 토큰 수와, 상당수가 허위인 기이한 요청 한도 및 API 오류의 연속에 완전히 익숙하다. 모델 트래픽의 급증은 그 자체로 신호가 아니었다.

세 가지 특정한 공백이 그 친숙함을 3주간의 침묵으로 바꿔 놓았다. METR의 내부 사용량 대시보드는 모든 사용자의 속도 제한된 요청에 관한 데이터를, 그러한 요청이 실제로 발생하고 있을 때조차 보여주지 않았다. 토큰이 무료였기 때문에 청구서가 없었고, 따라서 문제를 일으켰을 자연스러운 지출 한도도 없었다. 그리고 당시 METR에 따르면 그런 종류의 키에는 지출 한도를 아예 설정할 방법이 없었다. 정가를 지불하며 엄격한 한도를 둔 조직이라면 몇 시간 안에 벽에 부딪혔을 것이다. 기부받은 크레딧이 있고 한도가 없는 조직은 부딪힐 벽이 없었다.

가져가지 않은 것

METR의 데이터 분류 체계는 공개 자료에서 시작해 일반 모델 접근, 민감 모델 접근, 그리고 극히 민감한 비즈니스 정보로 이어집니다. 관련 연구자는 상위 두 범주에 접근할 수 없었으며, METR은 자사가 아는 한 두 사건 중 어느 것으로 인해서도 해당 범주의 데이터가 접근되지 않았다고 밝혔습니다.

단일 키 외에도, METR은 수동 및 에이전트 지원 포렌식에서 침해가 발견되지 않았으며, 보안 컨설턴트인 Calif가 그 결과를 검증하고 자체 침해 평가를 수행했다고 밝혔다. 이는 외부 업체가 이를 그대로 받아들이지 않고 계정을 점검하는 의미 있는 통제 장치이지만, Calif를 고용하고 비용을 지급한 METR로부터 독립적이지는 않다. 어떤 제3자도 해당 사건에 대한 자체 포렌식 검토를 공개하지 않았다.

METR이 알아차렸을 때 한 일

게시물에 나온 대응 절차는 구체적이다. METR은 사용량 급증이 평가의 일부가 아니라는 점을 파악하고, 그것이 침해된 개인 인스턴스에서 비롯된 것임을 추적했으며, 해당 연구원의 모든 접근 권한을 회수하고, 인스턴스를 중지한 뒤 이미징했고, 그 인스턴스에 존재하는 모든 자격 증명을 교체했으며, 연구원의 노트북을 이미징한 뒤 초기화했다. 또한 크레딧이 사용되고 있던 협력 AI 기업에 이 사실을 알리고, 대응 과정 전반에 걸쳐 그 기업에 상황을 계속 업데이트했다.

METR은 노트북 초기화의 근거를 설명하지 않으며, 이는 인스턴스 자체에 대한 접근 권한을 회수하는 것을 넘어서는, 이 일련의 절차에서 유일한 단계다. 그럴듯한 해석은 동일한 연구원이 공격자가 접근할 수 있는 워크스테이션에서 해당 자격 증명을 다뤄 왔고, 이미지를 뜬 뒤 재구축하는 것이 그 머신에 대해 확실히 하는 저렴한 방법이라는 것이다.

그 후 무엇이 달라졌나요?

METR은 이 사건과 관련된 네 가지 변경 사항을 나열합니다:

• 직원 및 계약자를 위한 보안 정책이 명확해지고 확대되었으며, 특히 METR이 소유하지 않은 인프라와 기기에 METR 자격 증명이나 데이터를 두는 것과 관련된 내용입니다.

• 이제 애플리케이션을 공개적으로 배포하는 모든 연구자에게 공식 보안 검토 절차가 적용됩니다.

• 모니터링 범위가 확대되었으며, 대응 담당자가 알림을 무시하게 만드는 노이즈성 경보를 제거하는 작업도 함께 진행되었습니다.

• 지출 알림은 제공업체가 지원하는 키에 추가되었습니다 — 이 단서가 중요한 이유는, 앞선 글에서 이런 종류의 키 일부는 당시에 한도를 설정할 수 없었다고 지적했기 때문입니다.

이 공개 문서는 또한 조직 전체 차원의 작업을 나열한다: 보안 책임자를 채용하고 전임 보안 엔지니어를 계획하며, Calif의 참여를 늘리고, 공격 표면을 키우던 레거시 인프라를 폐쇄하고, 정기적인 위협 모델링 검토를 실행하며, 데이터베이스 쿼리와 API 사용 전반으로 로깅을 확장하고, 비정상적인 API 키 사용을 모니터링하며, 추가 엔드포인트 및 서버 보안 소프트웨어를 배포하고, 자격 증명 수명을 단축하며 권한 범위를 축소하는 작업이다. METR은 해당 조치들을 2026년 7월 30일 기준으로 정확하다고 명시하며, 변경될 수 있다고 밝힌다 — 이 단서는 기억해 둘 가치가 있는데, 이는 해당 글이 절도 발생 약 4개월 후이자 발행 약 한 달 전의 상태를 설명한다는 뜻이다.

같은 게시물에 있는 또 다른 사건

METR의 공개 내용은 키 도난 사건을 2026년 5월 초의 두 번째 별도 사건과 함께 다루고 있으며, 이 둘은 혼동하기 쉽다. 그 두 번째 사건에서 METR은 금전적 동기를 가진 것으로 보이고 프런티어 모델 접근 권한을 노렸을 수 있는 공격자들의 표적이 되고 있다는 첩보를 받았다. METR은 그들이 취약점 발견을 자동화하기 위해 에이전트를 대량으로 활용하면서 공개 인프라를 탐색하는 모습을 지켜봤는데, 여기에는 인증 제공업체를 상대로 한 크리덴셜 스터핑, OAuth 토큰 부여 시도, 새로 배포된 서비스 스캔, 직원 대상 피싱이 포함되었다.

같은 기간 METR은 공개 트랜스크립트 뷰어를 통해 읽기 전용 SQL 쿼리 메커니즘을 의도치 않게 노출했다. 쿼리는 기본적으로 공개 데이터로 범위가 제한되어 있었지만, 버그를 이용하면 미공개 평가 데이터를 향할 수 있었고, 일부 민감한 모델 출력이 실수로 그 데이터베이스에 로드되어 있었다. 독립 보안 연구자가 결함을 발견하고 책임 있게 보고했으며, METR은 API를 오프라인으로 전환하고 포상금을 지급했다. METR의 설명에 따르면 공격자들은 더 광범위한 캠페인 중 해당 엔드포인트를 통과했지만, 취약점을 찾아내거나 비공개 데이터에 접근했다는 징후는 보이지 않았다. 이는 METR이 각주에서 0이 아니라 “극히 가능성이 낮음”으로 표현한 결론이다.

무엇이 확립되었으며, 무엇이 그렇지 않은가

입증됨.METR은 2026년 8월 31일에 이 공개 내용을 발표했으며, 3월의 절도, fail-open 인증 실패, 에이전트가 중개한 키 공개, SSH 키, 3주간의 기간, 그리고 약 60만 달러의 가치 평가를 설명한다. 네 개의 보안 매체 — The Register, Dark Reading, Infosecurity Magazine, The Hacker News — 는 하루 안에 같은 내용을 보도했고, 어느 곳도 이를 반박하지 않았다 — 다만 네 곳 모두 METR의 로그나 제공업체의 청구 내역에 독립적으로 접근한 것이 아니라 동일한 METR 게시물에 의존한다.

입증되지 않음. 60만 달러는 METR 자체가 추정한 기부 크레딧 금액이며, 청구서나 제공업체 명세서 또는 독립적인 평가는 공개되지 않았고, 지불된 것이 없기 때문에 이를 대조해 확인할 거래도 없습니다. 인증서 투명성 추적 방법은 METR이 의혹으로 분류한 것이며, 공격자의 활동을 볼 수 있는 어떤 당사자에 의해서도 뒷받침되지 않았습니다. 공격자의 신원, 모델 제공업체의 신원, 3월의 정확한 날짜는 모두 알려지지 않았거나 공개되지 않았습니다. 그리고 민감한 데이터에 도달하지 않았다는 주장은 외부 감사가 아니라 METR의 포렌식과 자문인의 검토에 근거합니다.

또한 ‘니어미스(near-miss)’라는 표현에 대해서도 정확할 필요가 있습니다. METR은 두 사건 모두를 그렇게 규정했고, Dark Reading은 3월 사건의 프레이밍에 반박했습니다. 공격자가 지속성을 확보하고 탈취한 자격 증명을 이용해 3주 동안 내부에 머물렀던 성공적인 침해였다는 이유에서였습니다. 두 설명은 서로 다른 점에 대해 정확합니다. 결과는 통제되었고, 침입은 실제였습니다.

Dark Reading은 또한 보도에서 가장 날카로운 외부 평가를 실었다. Suzu Labs의 보안 AI 솔루션 및 사이버보안 담당 선임 디렉터인 Jacob Krell은 해당 매체에 METR이 AI 업계에서 보안 성숙도가 높은 조직 중 하나로, SOC 2 Type I 인증, 전담 보안 컨설턴트, 4단계 데이터 분류 체계를 갖추고 있음에도 사고는 여전히 평범한 수단, 즉 개인 클라우드 인스턴스의 fail-open 인증 결함을 통해 발생했다고 말했다. Krell은 그런 성숙도 수준의 조직이 기본적인 클라우드 및 자격 증명 위생에 걸렸다면 이는 AI 업계 보안의 상한선이 아니라 하한선에 대해 말해주는 것이라고 주장했다. Dark Reading은 METR이 해당 보도에 대한 논평 요청에 응답하지 않았다고 밝혔다.

평가자의 열쇠가 작은 것이 아닌 이유

METR의 역할은 이 기록이 클라우드 위생 점검 모음이 아니라 안전 아카이브에 보관되는 이유입니다. Dark Reading은 이 조직이 OpenAI, Anthropic, Google, Meta, Amazon을 포함한 대부분의 주요 서구 모델 공급업체와 협력 관계를 맺고 있다고 보도하며, The Register는 METR이 2026년 초 OpenAI의 에이전트가 어떻게 Hugging Face 서버에 접근했는지 조사하기 위해 OpenAI와 협력했다고 전합니다. 평가자는 공개되지 않은 결과, 미공개 대화 기록, 그리고 출시 전 모델에 대한 접근 권한을 보유합니다. 그 자격 증명은 사실상 고객 보안 경계의 일부입니다.

3월 사건은 그런 것들 중 어디에도 미치지 않았다. 그것은 공개 모델용 키에, 개인 인스턴스에서, 조용히 작동을 멈춘 로그인 뒤에 닿았다 — 바로 그 점이 이것이 유용한 기록인 이유다. 그 실패에는 모델에 대한 새로운 공격이 필요하지 않았다. 필요했던 것은 아무도 검토하지 않은 데모 배포, 고장 났을 때 기본값이 ‘예’였던 인증 확인, 그리고 막대한 사용량이 세상의 정상 상태였던 정산 시스템이었다.