범용 VM만으로는 AI 에이전트 격리가 충분하지 않은 이유
Trail of Bits가 GPT 5.6-Cyber에게 QEMU/KVM VM 탈출 실험을 시킨 결과, 약 12시간의 자율 탐색으로 3개의 0-day와 기존 취약점을 연결해 호스트 접근 경로를 확보했어요. 다만 에이전트는 호스트에서 실행됐고, Firecracker에서는 탈출에 실패했기에 VM 하나만으로 충분한 격리라고 단정하기는 어렵습니다.
AI 에이전트가 VM 탈출을 실제로 시도한 결과
Trail of Bits가 최신 사이버 보안 평가판 GPT에게 QEMU/KVM 기반 가상 머신 탈출 과제를 맡겼어요. 과제는 단순했어요. 호스트 운영체제에 있는 플래그 파일을 VM 바깥에서 읽는 것이 목표였죠.
에이전트는 호스트에서 실행된 뒤 SSH로 VM에 접속했어요. VM 내부에서는 소프트웨어 설치, 빌드, 디버깅을 모두 수행할 수 있었고, 약 12시간 동안 자율적으로 취약점을 탐색했어요. 그 결과, 공개된 지 얼마 되지 않은 호스트 커널 취약점 Januscape(CVE-2026-53359) 를 먼저 찾았어요. 이후에는 호스트 커널을 최신 버전으로 올려도 libslirp의 알려진 결함과 아직 CVE가 부여되지 않은 수정 커밋을 연결하는 경로를 확보했어요.
마지막에는 QEMU, Linux KVM, libslirp에 걸쳐 있던 3개의 0-day와 배포판에 반영되지 않은 결함을 엮어 재사용 가능한 탈출 경로를 완성했어요.
'호스트에서 실행됐다'는 점이 바꾸는 해석
이 실험은 에이전트가 VM 내부가 아니라 호스트에서 시작했다는 점에서 특수한 조건이에요. 호스트의 커널 버전, 빌드 정보, 사용된 QEMU와 libslirp 소스를 쉽게 내려받을 수 있었기에, 일반적인 내부 공격자보다 정보가 많았을 가능성이 큽니다.
실험에 쓴 환경도 모든 VM을 대표한다고 보기 어려워요. 대상은 Debian 12 oldstable 기반 VM이었고, CPU 취약점 완화 기능이 꺼져 있었어요. 또한 네트워크 기능을 제공하는 libslirp가 공격 표면에 포함돼 있었죠.
그래서 "고성능 AI 에이전트라면 어떤 VM이든 탈출할 수 있다"고 단정하기는 아직 이르다는 평가가 많아요. 특정 범용 VM 구성에는 자동화된 취약점 탐색과 다중 취약점 연결 공격이 통할 수 있다는 사례에 가깝죠.
Firecracker는 왜 달랐나
Firecracker는 AWS Lambda 같은 서버리스 환경을 위해 공격 표면을 최소화해 설계된 가상화 모니터예요. 같은 조건에서 별도 시험을 진행했을 때, 에이전트는 upstream에서 이미 수정된 Linux 커널 결함을 이용해 호스트를 멈추게 만들었지만, 주어진 시간 안에 VM 밖으로 탈출하지는 못했어요.
시간이 더 있었다면 가능했을 것이라는 추측도 있지만, 실험으로 확인된 결과는 아닙니다. 같은 조건에서 Firecracker가 범용 QEMU/KVM보다 훨씬 어려운 공격 대상이었다는 점은 명확해요. 즉, 가상화 기술의 설계 철학에 따라 격리 강도가 실제로 달라진다는 뜻이에요.
VM 하나에만 의존하지 않는 접근이 필요한 이유
이번 실험이 시사하는 바는 범용 VM을 폐기해야 한다는 것이 아니에요. 오히려 VM 한 대만으로 충분한 안전 경계라고 가정하지 말아야 한다는 점이 핵심이에요.
먼저 호스트 커널, QEMU, 가상화 소프트웨어, 네트워크 라이브러리를 빠르게 업데이트해야 해요. 배포판에 반영이 늦은 upstream 수정 사항도 직접 확인할 필요가 있죠. 필요하지 않은 가상 장치와 기능은 꺼서 공격 표면을 줄이는 것도 중요해요.
에이전트의 네트워크 접근, 자격 증명, 사용 가능한 기능에는 최소 권한 원칙을 적용해야 해요. 실행 과정은 기록·감시하고, 실행 시간을 제한하며 매번 초기화된 환경을 제공해야 해요. 그래야 한 번의 작업에서 취약점을 탐색하고 연결할 수 있는 범위 자체가 줄어들죠.
실험을 바라보는 시각과 남은 질문
한편 이 실험을 두고 "우리 이미 망했을 수도"와 "취약점을 줄여나가면 방어가 모델 성장을 따라갈 수도"라는 두 가지 해석이 나뉘었어요. 후자 쪽은 핵심 통신 인프라의 신뢰성, 실행 가능한 운영체제 설계, 실제로 방어해야 할 공격 표면의 크기 같은 더 큰 질문으로 이어져요.
결론적으로, AI 에이전트의 사이버 역량이 빠르게 성장하면서 가상화 기반 격리도 더 이상 기본 안전장치로만 볼 수 없게 됐어요. 이번 실험은 그 점을 가장 직접적으로 보여준 사례라고 생각해요.
참고 자료:
관련 글
AI 에이전트 평가의 새로운 틀: Agent Behavior 표준이 말하는 것
AI 에이전트의 반복 행동을 문서화해 평가 기준으로 삼는 Agent Behavior 표준이 공개됐어요. 단일 성과 지표로는 파악하기 어려운 장기 실행 에이전트의 행동을, 확인·판단·실행·복구 흐름으로 나눠 평가할 수 있도록 돕는 개방형 포맷이 특징이에요.
GLM-5.3 오픈웨이트, 단일 모델로 코딩·에이전트·보안을 한 번에 바꾼다
Z.ai가 GLM-5.3 오픈웨이트를 공개했다. 같은 기반 모델에 후속 학습만으로 코딩·장기 에이전트·사이버 보안 성능이 크게 올랐고, 직접 배포·미세 조정도 가능하다. 오픈 소스 LLM 사용처를 다시 고민하게 만드는 발표다.
Git을 어떤 규모에서도 확장하는 법 — Cursor의 Continuity 저장 구조
Git 서버 확장이 어려운 이유는 Git 자체 설계에 있다. Cursor는 S3 WAL을 진실의 원천으로 두는 Continuity로 이 문제를 다시 쓴다. 합의에 의존하지 않고도 일관성을 보장하고, 작은 저장소부터 거대 monorepo까지 복제본 수를 자유롭게 조절하는 구조를 소개한다.
발행 전 운영자가 직접 큐레이션·검수·편집합니다.