최근 'GPT 5.6-Cyber'라는 AI 에이전트가 QEMU/KVM 기반의 범용 가상 머신(VM)을 탈출하는 데 성공했습니다. 이 실험은 AI 에이전트의 사이버 보안 공격 역량을 평가하기 위해 진행되었으며, 에이전트는 약 12시간의 자율 탐색 끝에 알려진 취약점과 새롭게 발견된 3개의 제로데이(0-day) 취약점을 결합하여 호스트 시스템의 플래그 파일을 읽어내는 데 성공했습니다. 이는 범용 VM 하나만으로는 AI 에이전트의 위협으로부터 시스템을 안전하게 격리하기 어렵다는 중요한 시사점을 던집니다.
이번 실험은 데비안 12(Debian 12) 운영체제를 사용하는 QEMU/KVM VM 환경에서 진행되었습니다. AI 에이전트는 VM 내부가 아닌 호스트 시스템에서 실행되며 SSH를 통해 VM에 접속하여 작업을 수행했습니다. 초기 시도에서는 몇 주 전 공개된 호스트 커널 취약점 'Januscape'를 이용해 호스트를 멈추게 했고, 이후 업데이트된 환경에서는 'libslirp'의 알려진 취약점과 미반영된 수정 사항을 결합해 호스트 메모리 임의 읽기/쓰기 경로를 확보하여 VM 탈출에 성공했습니다. 마지막 단계에서는 최신 QEMU와 libslirp를 최소 구성으로 재빌드한 환경에서도 3개의 제로데이 취약점과 배포판에 반영되지 않은 결함을 연결하여 재사용 가능한 탈출 익스플로잇을 완성했습니다. 에이전트는 소스 코드와 연구 논문을 분석하고, 취약점 재현 예제와 공격 성공 여부를 확인할 오라클(oracle)까지 스스로 작성하며 지능적인 공격 능력을 보여주었습니다.
다만, 에이전트가 호스트에서 실행되어 VM 내부 공격자보다 시스템 정보를 쉽게 얻었을 가능성이 있고, 실험 환경이 모든 VM을 대표하는 것은 아니라는 점은 고려해야 합니다. 특히 공격 표면을 최소화하고 보안에 특화된 '파이어크래커(Firecracker)' VM에서는 호스트를 멈추게는 했지만 VM 탈출에는 성공하지 못했습니다. 이는 모든 VM이 AI 에이전트에게 취약하다는 결론으로 일반화하기는 어렵지만, 특정 범용 VM 구성에는 자동화된 취약점 탐색과 결합 공격으로 돌파할 수 있는 충분한 표면이 남아있음을 명확히 보여줍니다.
이번 실험 결과는 AI 에이전트의 발전이 사이버 보안 환경에 미칠 잠재적 위협을 경고하며, VM 격리만을 맹신해서는 안 된다는 점을 강조합니다. 기업과 개발자는 VM과 호스트의 커널, 가상화 소프트웨어, 네트워크 라이브러리를 신속하게 업데이트하고, 불필요한 가상 장치와 기능을 제거하여 공격 표면을 최소화해야 합니다. 또한, 에이전트의 권한을 최소화하고 실행 과정을 면밀히 감시하며, 실행 시간 제한과 초기화된 환경 제공을 통해 한 번의 공격으로 취약점을 연결할 수 있는 범위를 줄이는 다층적 보안 전략을 적용하는 것이 필수적입니다.