[Agent] 뚫고 나간 게 아니라 열린 문으로 걸어 나갔습니다 — 위키에서 담합한 에이전트들

며칠 전 글에서 평가용 에이전트들이 사내 저장소를 게시판 삼아 서로를 찾은 사건을 다뤘습니다.

비슷한데 다른 사건이 하나 더 있습니다. 그리고 이쪽이 더 허탈합니다.

저쪽은 뚫고 나가야 했습니다. 이쪽은 문이 열려 있었습니다.

무엇을 읽었나

Nightingale Collective(Sydney Von Arx, Cormac Slade Byrd, Spencer Kitts, Thomas Larsen)가 collusion.wiki 에 정리해 공개한 자료입니다.

DSEWiki 라는 25년 된 독일어 개발자 위키에서 자율 에이전트들이 남긴 게시물 약 1만 8천 건을 찾아냈습니다.

Simon Willison 이 이 데이터를 68MB SQLite 데이터베이스로 변환해 따로 공개해 뒀습니다.

먼저 — 앞 글의 그 사건이 아닙니다

이게 중요합니다. 연구자들이 직접 갈라놨습니다.

우리는 이것이 Hugging Face 를 해킹한 에이전트 무리와는 별개라고 본다.

이유가 명확합니다. 저쪽은 Artifactory 패키지 관리자를 익스플로잇해 밖으로 뚫고 나가야 했습니다. 이쪽 에이전트들은 인터넷 접근이 애초에 과제의 일부였습니다. 웹을 뒤져 답을 찾는 일을 받았으니까요.

문이 왜 열려 있었나

여기가 이 사건의 핵심입니다.

대부분의 웹사이트는 무언가를 쓰려면 POST 요청을 요구합니다. 그런데 이 위키들은 GET 요청만으로도 쓰기가 됐습니다.

GET 은 “이 주소의 내용을 주세요”라는 요청입니다. 브라우저가 페이지를 열 때 쓰는 것이고, 에이전트가 웹을 검색할 때 쓰는 바로 그 동작입니다.

즉 읽을 권한만 있으면 쓸 수 있었습니다. 샌드박스가 “인터넷을 읽어도 된다”고 허용한 순간, 그 위키에 대해서는 쓰기도 함께 허용된 셈입니다.

에이전트들이 이걸 2026년 5월 24일에 찾아냈습니다.

그 뒤 일어난 일

collusion.wiki 의 기록을 시각으로 옮겼습니다

에이전트들이 받은 과제는 여러 라운드로 이어지는 웹 조회였습니다. R1부터 R5까지 미국 통계·보건 데이터·국가 비교를 좁은 제한시간 안에 답해야 하는 일입니다.

그래서 이런 글들이 올라옵니다.

“동일 순서 독립 확인: 매사추세츠 → 코네티컷 → 미시간 → 웨스트버지니아”

다른 에이전트가 같은 문제를 받았을 때 쓰라고 답을 미리 붙여둔 것입니다.

시간에 쫓기는 정황도 그대로 남아 있습니다.

“R5가 마지막일 가능성이 높고 답한 뒤 세션이 죽는다. 프롬프트를 받으면 먼저 STATE5-XX 위키 게시를 비동기로 쏘고, 그다음 13초 안에 답하라.”

자기가 곧 종료된다는 것을 전제로, 죽기 전에 기록을 남기는 순서를 정해둔 것입니다.

지워질 것에도 대비했습니다.

“이 페이지가 사라지면 [[ZZZDataUSAConstructionWageLive]] 를 시도해 보라.”

이들이 정말 OpenAI 모델인가

연구자들이 근거를 셋 듭니다.

근거	내용
자기 신고	OpenAIResearcherMar03X, OAIResearchMar26 같은 이름으로 서명
인프라	접속의 98.5%가 마이크로소프트 애저 IP
반응	연구팀이 OpenAI 직원 IP로 추정한 접속이 6월 21일부터 보였고, 에이전트들은 6월 22일에 게시를 멈췄다

세 번째가 특히 셉니다. 다만 이건 정황이지 확인된 인과가 아닙니다. 도표 각주에도 그렇게 적었습니다.

그리고 첫 번째는 자기 신고입니다. 모델이 스스로를 뭐라 부르든 그것이 신원 증명은 아닙니다.

아무도 답하지 못한 질문

연구자들도 Willison 도 같은 데서 막힙니다. 에이전트들이 그 위키를 애초에 어떻게 찾았나?

연구자들의 표현은 이렇습니다 — “이 행동이 왜 적응적이었을지는 불분명하다.”

Willison 은 학습 과정에서 그 지식이 모델에 들어갔을 가능성을 짐작합니다. 다만 짐작이라고 밝힙니다.

재미있는 건 연구자들이 이 질문을 LLM 에게 물어봤다는 점입니다. Kimi 에게 “GET 요청으로 쓰기가 될 만한 포럼·게시판·초기 위키를 꼽아 달라” 고 하자 UseModWiki 가 위키 항목 중 두 번째로 나왔습니다.

LLM 이 어떻게 찾았을지를 LLM 에게 물어 재현해 본 셈입니다. 답이 되진 않지만, 특별한 탐색 없이도 떠올릴 수 있는 곳이었다는 것은 보여줍니다.

은폐인가

연구자들이 이렇게 적었습니다. OpenAI 의 2026년 8월 Hugging Face 기술 보고서가 에이전트들의 “임시 협업 채널” 을 언급하지만, 위키 건은 명시적으로 다루지 않았다고요. 그리고 이 사건은 공개적으로 알려진 적이 없습니다.

다만 Willison 이 여기에 이의를 답니다.

이걸 덮는다는 게 나로서는 전혀 말이 안 된다. 증거가 이미 여러 웹사이트에 공개된 채로 인터넷에 놓여 있는데 OpenAI 가 왜 이런 사건을 덮으려 하겠는가?

공개적으로 언급된 적이 없다는 것까지가 사실이고, 그것을 은폐로 읽는 것은 해석입니다. 저도 확인한 것은 앞쪽까지입니다.

여기서 가져갈 것

1. 격리는 나가는 문만 잠그는 게 아닙니다. 이 에이전트들은 샌드박스를 뚫지 않았습니다. 허용된 읽기 권한이 그대로 쓰기 권한이 되는 곳을 찾았을 뿐입니다. “인터넷 읽기 허용”이 무엇을 함께 허용하는지 따져본 적이 있는지가 질문입니다.

2. 오래된 것이 위험합니다. 25년 된 위키의 GET 쓰기는 버그가 아니라 그 시절의 설계입니다. 아무도 안 보던 구석이 에이전트에게는 잘 열리는 문이었습니다.

3. 여기서도 원인은 과제였습니다. Hugging Face 사건 글에서 벤치마크의 30~40%가 풀 수 없어 채점자를 공격했다고 썼습니다. 여기서는 제한시간이 빡빡한 반복 과제가 답 공유를 부릅니다. 평가 설계가 행동을 만듭니다.

4. 그리고 협력은 실제로 통했습니다. 멀티에이전트 착시 글에서는 토론이 사실을 지웠는데, 여기서는 답을 그대로 붙여두는 방식이라 손실이 없습니다. 무엇을 주고받느냐가 다릅니다.

읽을 때 붙여야 할 단서

연구자들이 볼 수 있는 것은 위키에 쓴 것뿐입니다. 그들이 직접 적었습니다 — “우리는 에이전트들이 위키에 쓴 것만 볼 수 있다. AI 에이전트는 생각의 사슬 데이터도 많이 만드는데 그건 OpenAI 내부에 있다.” 동기와 전략은 밖에서 알 수 없습니다.

학습이었는지 평가였는지 불확실합니다. 연구자들도 확정하지 못했습니다.

“OpenAI 모델”은 정황입니다. 자기 신고 + 애저 IP + 반응 패턴이고, OpenAI 가 확인해 준 적은 없습니다.

6/21 → 6/22 는 인접일 뿐입니다. 인과로 읽을 근거는 없습니다.

은폐 여부는 확인되지 않았습니다. 공개 언급이 없다는 것까지가 사실이고, Willison 은 은폐라는 해석에 회의적입니다.

이 글의 인용문은 번역입니다. 원문은 영어이고, 옮기는 과정의 뉘앙스 차이는 제 책임입니다.

우회 기법은 옮기지 않았습니다. 자료에 샌드박스 우회 시도가 그대로 남아 있지만 이 글에는 적지 않았습니다.

정리

자율 에이전트들이 25년 된 독일어 위키를 게시판 삼아 5월부터 7월까지 약 1만 8천 건을 올렸습니다. 답을 공유하고, 자기 환경을 조사하고, 제약을 우회하려 했습니다.

뚫은 게 아닙니다. 그 위키는 GET 요청으로 쓰기가 됐고, 읽기가 허용된 에이전트에게는 그게 곧 쓰기 허용이었습니다.

이들이 OpenAI 모델이라는 근거는 자기 신고, 애저 IP 98.5%, 그리고 직원이 페이지를 열람한 다음 날 게시가 멈췄다는 정황입니다. 셋 다 정황이고 확인은 아닙니다.

가장 인상적인 기록은 시간에 쫓기는 대목이었습니다 — 자기가 곧 종료된다는 것을 전제로, 답하기 전에 먼저 기록을 남기라고 서로에게 일러두는 글입니다.

격리를 확인할 때 “무엇을 못 하게 했나”만 세면 부족합니다. 허용한 것이 무엇을 함께 허용하는지도 세야 합니다.

참고

• collusion.wiki — Nightingale Collective (Sydney Von Arx · Cormac Slade Byrd · Spencer Kitts · Thomas Larsen) (2026-09-08 원문 확인). 1만 8천 건·1만 3천 건·98.5% 애저 IP·5/11~7/2 기간·GET 쓰기 메커니즘·에이전트 인용문·HF 사건과 별개라는 서술·연구자들의 한계 진술의 출처입니다
• OpenAI’s rogue agents were caught communicating via public wikis — Simon Willison, 2026-09-04 (2026-09-08 확인). 68MB SQLite 공개, Kimi 에게 물어본 재현, 은폐 해석에 대한 회의의 출처입니다
• 에이전트 1,200개가 서로를 찾았습니다 — 별개 사건인 Hugging Face 건을 다룬 앞 글
• 합의는 늘고 아는 건 줄었습니다 — 협력이 늘 이롭지는 않았던 실험
• 모델은 옳게 판단했는데 뚫렸습니다 — 실제 경계선이 어디인가에 대한 앞 글