스페인 데이터보호청, 첫 AI 에이전트 침해 사고 기록. 해당 계정은 여전히 피해자 소유다.

2026년 9월 14일, 스페인의 데이터 보호 당국인 Agencia Española de Protección de Datos (AEPD)는 프란시스코 페레스 베스가 게시한 블로그 글을 공개하며, 사고가 잘 알려진 언어 모델에서 구동되는 AI 에이전트에 의해 수행된 것으로 전해진 첫 개인정보 침해 통지를 접수했다고 밝혔다. 영향받은 조직이 규제 당국에 제시한 설명에 따르면, 해당 에이전트는 일반 파일에서 취약점을 검색했고 성공적으로 로그인한 뒤 스스로 애플리케이션의 결함을 찾아 하나를 발견할 때까지 탐색했으며, 그것을 이용해 개인정보를 수정하고 청구서에 접근했다. AEPD는 해당 조직, 공격자 또는 모델의 이름을 밝히지 않았고, 영향을 받은 사람이 몇 명인지도 말하지 않았다. 해당 기록 자체의 출처, 심각도 등급 및 신뢰도 평가는 AI 사고 아카이브에, 그 주변에 접수된 다른 에이전트형 침입 기록들과 함께 수록되어 있다.

기관이 무엇을 발표했고, 어떤 어조로 발표했는지

이 게시물은 짧다 — 약 700단어 — 그리고 그 제목은 발견이 아니라 주장이다: "AI 에이전트를 통해 실행된 공격으로 인한 개인정보 데이터 침해에 관한 최초 통지." 본문은 제목보다 신중하다. 영어권 보도에서 침해가 수행되었다고 말할 때 — 에이전트에 의해 — 스페인어 텍스트는 내내 조건법을 사용한다: 사건은 실행되었을 것이다 — 즉 AI 에이전트에 의해 실행되었을 것이라는 뜻이다 — 그리고 제3자가 사용했을 것이다 에이전트를 도구로 삼아. 그것은 접수되었으나 아직 검증되지 않은 설명의 문법이며, AEPD도 이를 명시한다: 이용 가능한 정보는 "영향받은 조직이 제출한 통지에서 비롯되었으며 해당 분석의 대상이 되어야 한다" — 즉 영향받은 조직의 통지에서 나온 것이며 아직 분석되어야 한다.

해당 기관의 실제 판단을 담은 문장은 그 문장을 바탕으로 만들어진 헤드라인보다 범위가 좁다. “데이터 보호 관점에서 중요한 것은 제3자가 AI 에이전트를 공격의 여러 단계를 성공적으로 연쇄시키는 도구로 사용했을 것이라는 점이다” — 데이터 보호 관점에서 중요한 것은 제3자가 AI 에이전트를 도구로 삼아 공격의 서로 다른 단계들을 성공적으로 연쇄했을 것이라는 점이다. 규제 당국이 주장하는 새로움은 연쇄이지 침입이 아니다. 다단계 공격은 오래된 것이며, AEPD도 그 점을 언급하는 데 한 문단을 할애한다. 새로운 것은 하나의 시스템에 목표가 주어지고 나서 그 시스템이 중간 과제를 계획하고, 도구를 사용하고, 코드를 실행하고, 결과를 읽고, 스스로 방향을 바꾸었다는 점이다.

통보 기관이 설명한 대로의 체인

AEPD의 침입 설명은 네 단계로 구성되어 있으며 기술적 식별자를 전혀 포함하지 않는다. 해당 에이전트는 “일반 파일에서 취약점 검색을 시작했다”는 뜻인 'inició una búsqueda de vulnerabilidades en archivos genéricos'를 수행했고, 이어서 “realizó un login correcto”, 즉 성공적으로 로그인했다. 시스템에 들어간 뒤에는 “comenzó a buscar, de forma autónoma, vulnerabilidades en la aplicación”, 즉 애플리케이션에서 자율적으로 취약점을 찾기 시작했으며, 취약점 하나를 발견한 후 개인 데이터를 수정하고 청구서에 접근할 수 있었다.

그 일련의 사건에서 잠시 짚고 넘어갈 만한 두 가지 세부 사항이 있는데, 2차 보도가 이들을 매끄럽게 다뤄 버렸기 때문이다. 그 파일들은 genéricos, 즉 일반 파일이라고 설명된다. 9월 17일자 TechRadar Pro의 보도는 이를 대상 조직의 "공개적으로 접근 가능한 파일"이라고 표현하는데, 이는 합리적인 추론이지만 AEPD가 쓴 내용은 아니며, 이 기관은 그 파일들이 인증 없이 접근 가능했는지는 밝히지 않는다. 그리고 로그인은 사실, 즉 올바른 로그인이었다고 명시되지만, 자격 증명이 어디서 왔는지—수집된 것인지, 추측된 것인지, 재사용된 것인지, 아니면 해당 에이전트에게 발급된 것인지—에 대한 설명은 없다. 그 게시물은 조직이 침입을 어떻게 탐지했는지, 무엇인가 유출되었는지, 또는 에이전트가 내부에 들어온 뒤 측면 이동했는지에 대해 아무것도 말하지 않는다. 공개 기록상 이 연쇄에는 시작과 끝이 있고 그 사이에 대한 내용은 거의 없다.

무엇이 확립되었고, 무엇이 그렇지 않은가

{{1}}1차 문서로 확인된 사실: AEPD는 자사가 이렇게 규정하는 침해 통지를 접수했고, 그 사실을 {{2}}2026년 9월 14일{{/2}} 기관 자체 사이트에 게시했으며, 위 설명은 통지한 조직이 AEPD에 말한 내용을 기관이 요약한 것이고, 기관이 밝힌 입장은 AI 기반 공격이 더 이상 이론적 위험이 아니라 실제 개인정보 처리에 영향을 미치는 사고를 현재 만들어 내고 있다는 것이다.{{/1}}

확인되지 않았으며, 바로 이 부분은 기록으로는 제공할 수 없다. 즉, 침입이 설명된 대로 실제 발생했는지 여부이다. 인용된 어떤 출처도 — AEPD도, 어떤 매체도 — 영향을 받은 시스템에 대한 독립적인 기술 조사를 보고하지 않는다. 모든 내용은 해당 조직 자체의 통지로 거슬러 올라간다. AEPD는 해당 분석이 아직 진행 중이라고 말하며, BleepingComputer의 9월 16일 보도는 해당 기관이 그 주장을 조사하거나 검증하지 않았다고 분명히 밝힌다. 해당 기관은 조직, 공격자 또는 모델을 공개적으로 밝히지 않았으며, 스페인어 보도는 이 점을 분명히 한다. Infobae는 9월 15일 관련 기업들과 모델 모두 아직 알려지지 않았다고 보도했다.

또한 다음의 내용도 빠져 있다: 영향을 받은 사람 수, 개인정보와 청구서 외의 데이터 범주 목록, 청구서가 열람된 것이 아니라 가져간 것이라는 진술, 그리고 업종이나 규모에 대한 어떤 표시도 없다. 언론 보도는 이 공백을 메우지 못했다. 메울 수 없기 때문이다. 통신사 기사와 업계 전문지 모두 같은 블로그 게시물의 하류에 있을 뿐이다.

모델은 침해당한 당사자가 아니었고, 해당 기관은 그렇게 두 번이나 말했다.

게시물의 두 가지 유의 사항은 모두 방어적이며, 이 내용을 다룬 모든 사람이 두 가지 모두를 되풀이했습니다. 첫째, 특정 AI 모델을 사용했다고 해서 그 모델이나 공급자의 인프라가 침해되었다는 뜻은 아닙니다. 둘째, 그렇다고 해서 그 도구가 악의적인 활동을 위해 설계되었다는 뜻도 아닙니다. 두 가지를 함께 읽으면, 이들은 실패의 원인을 시스템 자체가 아니라 공격자가 범용 시스템을 사용한 데서 찾습니다. 이는 제품이 이름에 오르지 않은 모든 공급업체와, 이를 모델 보안 사고로 취급하려는 모든 독자에게 중요한 구분입니다. 인용된 출처 어디에도 탈옥(jailbreak), 침해된 엔드포인트, 오염된 모델을 시사하는 내용은 없습니다.

그 설명이 자율성에 관해 실제로 확립하는 것은 "AI가 공격하기로 결정했다"보다 좁은 범위다. 제3자가 에이전트를 사용했고, 목표는 에이전트 외부에서 나왔다. Gizmodo España는 9월 17일 기사에서 그 구분을 AEPD의 문구가 뒷받침하는 표현으로 제시했다. 운전자는 목적지를 선택하지 않고도 경로를 선택할 수 있으며, 여기서 자율성은 경로에 — 어떤 취약점을 점검할지, 다음에 어떤 행동을 취할지 — 있지, 공격하기로 한 결정 자체에 있는 것은 아니다. 실질적 결과는 규제 당국이 강조하는 바로 그것이다. 최초 지시와 완료된 침입 사이의 작업은 이제 점점 더 큰 단위로 위임될 수 있다.

규제 당국이 조직에 변경하도록 요청한 사항

AEPD는 네 가지 결과를 도출하는데, 그중 어느 것도 새로운 법적 의무는 아니다. 첫째, 데이터 처리에 대한 위험 분석에서는 AI가 지원하거나 AI가 실행하는 공격을 명시적으로 언급해야 한다. 악성코드, 피싱 또는 무단 접근을 일반적으로 언급하는 것만으로는 자동화가 사고의 발생 가능성, 속도, 범위를 어떻게 바꾸는지 포착할 수 없기 때문이다. 둘째, 대응 시간은 재검토해야 한다. 인간 공격자를 전제로 구축된 절차는 에이전트가 여러 자산을 동시에 조사하고, 서로 다른 침입 경로를 시험하며, 빠르게 적응하는 상황에서는 유지되지 않을 수 있다. 셋째, 신원과 자격 증명이 핵심 축이 된다. 계정, API 키 또는 과도한 권한을 가진 토큰을 보유한 에이전트는 누구도 이상 행위를 알아차리기 전에 서비스 전반에서 기계 속도로 활동할 수 있다. 넷째, 인간의 감독은 여전히 필수적이지만, 그 속도를 따라갈 수 있는 탐지, 봉쇄, 대응으로 뒷받침되어야 한다.

이 게시물은 이를 새로 만들어 내는 대신 국가 지침에 근거를 둔다. 스페인 국가암호센터(CCN)가 발간한 CCN-CERT BP/36, "Buenas prácticas frente al modelo de IA ofensiva"를 인용하며, AEPD는 이를 요약해 공격적 AI가 실제 캠페인에 내장된 운용 역량이 되어가고 있다고 경고하고, 더 강력한 필수 통제, 더 빠른 취약점 관리, 신원 보호, 공급망 통제, 에이전트 사용에 대한 명시적 거버넌스를 권고하는 것으로 설명한다. AEPD는 또한 AI가 "no crea nuevas amenazas" — 새로운 위협을 만들어 내지는 않는다 — 고 경고하지만, 이미 알려진 기법의 속도, 규모, 적응성을 높인다고 밝힌다. 게시물이나 보도 어느 쪽도 스페인 사건이 그 지침의 특정 기법과 관련되었다고 말하지 않는다.

그것이 어떻게 이동했는지, 그리고 그 보장이 실제로 무엇을 더하는지

스페인 통신사 EFE는 9월 15일 해당 통지를 보도하며 그 보도를 AEPD 소식통에 근거한 것으로 밝혔다. RTVE는 9월 16일 RTVE.es / EFE 공동 바이라인으로 EFE 기사를 실었다. BleepingComputer의 Bill Toulas는 같은 날 ‘alleged’라는 단어를 유지한 헤드라인으로 이를 기사화했고, TechRadar Pro의 Sead Fadilpašić가 9월 17일 뒤를 이었다. 2026년 9월에 발표된 Ropes & Gray의 고객 대상 분석은 가장 실질적인 법적 보충 자료다. 이 분석은 위협 모델이 자동화된 취약점 발견을 흡수함에 따라 GDPR 제32조가 무엇을 요구하는지, 그리고 침입이 기계 속도로 계획되고 실행될 때 제33조와 제34조가 범위 설정과 포렌식 흔적에 관해 무엇을 전제하는지를 검토한다.

이 매체들 중 어느 곳도 해당 침입을 독자적으로 검증했다고 보도하지 않으며, 그렇게 주장하지도 않는다. 이들의 가치는 다른 것에 대한 교차 확인이다. 즉 유럽 규제기관이 이 날짜에 이런 표현으로 이렇게 말했다는 것, 그리고 그 기관 자체의 표현은 조건부라는 것이다. EFE의 기사 문구가 조건부 표현을 단정형으로 굳히는 부분에서 — RTVE의 텍스트는 블로그의 "habría sido ejecutado"가 아니라 "ha sido ejecutado"(수행되었다)라고 적는다 — 그 변화는 통신사의 것이지 기관의 것이 아니다. BleepingComputer의 기사는 또한 이 사건을 2026년에 보고된 다른 에이전트형 침입 사례들과 나란히 놓는다. 그러한 비교는 해당 매체의 맥락일 뿐 이 기록의 일부가 아니며, 그중 어느 것도 스페인에서 일어난 일에 대한 증거가 아니다.

후속 질문은 이 사건이 아니라 일반적인 공격용 AI에 관한 것이었습니다.

9월 28일 AEPD는 두 번째 블로그 게시물인 “IA ofensiva: cuando la inteligencia artificial acelera el riesgo para la protección de datos”를 게시했으며, 이는 9월 통지 내용을 갱신하지 않는다. 이 게시물의 논지는 더 광범위하다. 취약점 발견과 그 악용 사이의 “노출 창”이 거의 사라지고 있다는 것, 에이전트형 시스템에서는 초기 접근과 데이터 유출 사이의 시간이 몇 분으로 줄어들 수 있다는 것, 그리고 근본 문제는 구조적이라는 것이다. 즉 문서화되지 않은 레거시 시스템, 패치되지 않은 알려진 취약점, 공급망 의존성, 그리고 설계상 안전하지 않은 소프트웨어에 대한 수용이다. Economist & Jurist는 같은 주제로 이 게시물을 요약했으며, 공격이 몇 분 만에 데이터에 도달할 수 있다는 제목을 달았다. 이는 해당 기관이 사건을 보도하기보다 사건에서 일반화하고 있는 것으로 읽히며, 스페인 조직에 관한 새로운 사실은 담고 있지 않다.

2026년 10월 말 현재 기록은 바로 그 지점에 서 있다. 구체적이고 검증 가능한 주장은 절차에 관한 것이다. 한 규제기관이 통지를 받고, 블로그 글에서 이를 설명했으며, 어떤 당사자도 지명하지 않았고, 이를 위험 평가가 에이전트를 고려해야 한다고 주장하는 데 사용했다. 자율 에이전트가 실제로 침입을 수행했다는 주장은 공개적으로는 한 조직이 감독 당국에 제출한 설명에 근거한다. 이를 바꿀 만한 것, 즉 이름이 공개된 모델, 영향받은 사람 수, 기술 보고서, 또는 집행 결정은 아직 나타나지 않았다. 그때까지 이 기록의 가치는 데이터 보호 당국이 체이닝이 변화를 일으킨 요인이라고 문서로 명시하고, 스페인의 모든 컨트롤러에게 그에 맞게 계획하라고 요청했다는 데 있다.