스페인 AEPD, AI 에이전트가 실행한 개인정보 침해 첫 신고

스페인 데이터보호청(AEPD)이 2026년 9월 14일 블로그에서, AI 에이전트가 실행한 것으로 신고된 개인정보 침해를 처음 접수했다고 밝혔다. 제목만 보면 ‘AI가 해킹을 했다’로 읽히기 쉽다. 원문을 기준으로 보면 지금은 그 단계가 아니다. 규제기관이 받은 것은 유죄 판결이 아니라, 피해 조직이 제출한 첫 통지다.

그래도 이 소식은 그냥 넘기기 어렵다. 피싱 문구를 대신 써 주는 수준이 아니라, 로그인부터 취약점 탐색, 개인정보 수정과 청구서 조회까지 여러 단계를 에이전트가 이어서 수행했다는 주장이기 때문이다. AI 에이전트 데이터 유출이 실험실 시나리오에서 실제 처리 체계의 신고 문서로 들어온 첫 사례로 규제기관이 직접 의미를 부여했다.

AEPD가 공개한 신고 내용은 어디까지인가

글 작성자는 AEPD 부국장 프란시스코 페레스 베스(Francisco Pérez Bes)다. 요지는 짧다. 스페인 데이터보호청이 개인정보 침해 통지를 받았고, 그 통지에서 사고 실행 주체로 지목된 것이 잘 알려진 언어 모델을 쓴 AI 에이전트라는 점이다.

신고 조직이 설명한 순서는 다음과 같다. 에이전트가 일반 파일에서 취약점을 찾기 시작했고, 로그인이 성공했다. 시스템 안으로 들어간 뒤에는 애플리케이션의 취약점을 스스로 찾기 시작했고, 그 결과를 이용해 개인정보를 수정하고 청구서에 접근했다.

이 소식이 한국 조직과 개인에게 바꾸는 점

스페인 사례를 한국 사고처럼 옮길 근거는 없다. 피해자 명단도, 국내 유입 여부도 확인되지 않았다. 다만 에이전트를 업무에 붙이는 방식은 이미 비슷하다. 메일, 드라이브, 고객 관리, 청구·정산, 코드 저장소에 도구를 연결하고 ‘이 목표만 처리하라’고 맡기는 구조다.

AEPD가 2026년 2월 18일 낸 에이전틱 AI 개인정보 지침은 이번 사고 글보다 먼저 같은 구조를 지적했다. 에이전트는 질문-응답으로 끝나지 않고 외부 서비스와 기억, 도구 호출이 겹친다. 그 순간 처리 목적, 보관 기간, 접근 범위, 설명 가능성이 한꺼번에 바뀐다. 이번 신고는 그 지침이 겨냥한 위험이 공격 방향에서도 나타날 수 있다는 신호로 읽는 것이 타당하다.

개인정보보호법 기준으로도 볼 지점은 같다. 침해가 발생하면 인지 후 72시간 이내 보호위원회 및 전문기관 통지, 정보주체 통지 의무가 있다. 에이전트가 개입했다는 사실 자체보다, 어떤 개인정보가 열리고 수정·반출됐는지와 그 권한이 왜 그 계정에 있었는지를 재구성하는 일이 먼저다.

누구에게 필요한가

• 사내 챗봇이나 코딩 에이전트에 고객 데이터, 청구 시스템, 관리자 API를 연결한 팀
• 외부 자동화 도구에 광역 토큰을 주고 방치한 스타트업·중소기업
• 개인정보 영향평가나 수탁사 점검을 대화형 AI 기준으로만 적어 둔 개인정보 보호책임자

굳이 호들갑 떨 필요는 없는 경우

• 브라우저에서만 쓰고, 사내 시스템 도구 연결이 없는 개인 이용
• 인터넷이 막힌 환경에서 코드 초안만 받는 제한된 사용
• 이번 스페인 신고만으로 특정 모델 사용을 전면 중단해야 한다고 보는 판단. AEPD가 그 결론을 내지 않았다

지금 확인할 항목과 실패 시 다음 조치

점검 순서는 거창한 신규 솔루션보다 권한과 로그가 먼저다.

1. 에이전트가 쓰는 계정과 사람 관리자 계정을 분리한다. 같은 최고 권한 토큰을 공유하지 않는다.
2. API 키와 토큰 범위를 읽기 전용, 특정 폴더, 특정 앱으로 줄인다. 청구·인사·고객 DB 쓰기 권한은 기본값에서 뺀다.
3. 짧은 시간에 여러 앱을 훑거나, 평소와 다른 지역·시간대에서 로그인하거나, 대량 내보내기가 일어나면 바로 끊는 규칙을 둔다.
4. 에이전트 대화와 도구 호출 기록을 남긴다. 사고 후에는 ‘무슨 목표를 줬는가’보다 ‘어떤 도구를 몇 번 호출했는가’가 재구성에 필요하다.
5. 수탁사와 플러그인이 자체 에이전트를 쓰는지 계약서와 설정에서 확인한다. 공급망을 통해 권한이 열리는 경우가 더 흔하다.

이미 이상 징후가 있으면 순서를 바꾸지 않는 편이 낫다. 먼저 해당 에이전트 키와 세션을 폐기한다. 그다음 그 계정으로 바뀐 개인정보·청구 기록, 내려받은 파일, 새로 만들어진 관리자 계정을 시간순으로 뽑는다. 영향 범위가 개인정보 유출·변경에 해당하면 국내 통지 요건을 먼저 본다. 모델 제공사에 문의하는 일은 그다음이다. 제공사 인프라가 뚫렸다는 단서가 이번 글에는 없다.

현장에서 반복되는 실수도 비슷하다. 개발용 키를 운영 시스템에 그대로 붙인다. ‘읽기만 하면 된다’면서 쓰기 권한을 빼는 일을 미룬다. 에이전트 로그를 대화 창에만 남겨 두고 도구 호출은 남기지 않는다. 수탁 업체가 쓰는 자동화는 우리 자산이 아니라고 본다. 이번 신고가 사실이든 과장된 서술든, 위 네 가지는 이미 사고 조사에서 시간을 잡아먹는 구멍이다.

소규모 팀도 할 수 있는 최소 조치는 세 줄이다. 에이전트 전용 계정을 만들고, 그 계정으로 접근 가능한 폴더를 목록으로 남기고, 목록 밖 접근이 발생하면 키를 폐기한다. 이 세 줄이 없으면 나중에 ‘AI가 한 일’과 ‘권한이 열려 있어서 가능했던 일’을 구분할 수 없다.

로그에서 실제로 찾아볼 신호

AEPD가 반복한 문장 중 실무로 바로 옮길 수 있는 것은 신원과 자격 증명이다. 에이전트는 새 백도어를 심기 전에, 이미 열려 있는 계정·API 키·토큰을 쓰는 쪽이 더 싸다. 그래서 사고 전 점검과 사고 후 조사 모두 같은 로그를 본다.

• 짧은 시간에 메일, 스토리지, 고객 시스템, 청구 시스템을 연속 호출한 단일 서비스 계정
• 평소 야간·해외에서 쓰지 않던 토큰이 갑자기 살아난 기록
• 읽기만 하던 계정이 설정 변경, 내보내기, 권한 부여를 시도한 기록
• 에이전트 도구 호출이 실패한 뒤 비슷한 요청을 다른 경로로 반복한 패턴

이 신호가 하나라도 있으면 ‘대화 내용이 수상한가’를 먼저 보지 말고 키를 끊는다. 대화 창은 목표가 남아 있을 뿐이고, 실제 피해 범위는 도구 호출과 권한 변경 로그에 있다. 청구서 접근이 거론된 이번 신고도, 공개된 서술만 보면 최종 단계에서 이미 업무 데이터 권한을 가진 상태였다는 뜻이다.

앞으로 확인할 지점

AEPD는 검토 종료 시점을 밝히지 않았다. 이후에 나와야 글의 무게가 달라지는 항목은 세 가지다. 첫째, 신고 내용이 기술적으로 재현되는지. 둘째, 초기 로그인이 탈취 계정인지 애플리케이션 결함인지. 셋째, 인간 개입이 목표 제시 수준이었는지 단계마다 승인이 있었는지. 이 세 가지가 비면, ‘자율 공격’이라는 표현은 아직 수사 결론이 아니라 신고 서술이다.

그 공백을 메우기 전에 할 수 있는 일은 분명하다. 에이전트에게 준 목표와 권한 목록을 오늘 적어 보는 것이다. 목록이 비어 있거나, ‘필요한 일은 알아서’로 적혀 있다면 이번 스페인 신고는 남의 나라 뉴스가 아니다.

자주 묻는 질문

특정 AI 모델을 지금 꺼야 하나?

AEPD는 모델명도, 제공사 인프라 침해도, 도구의 악성 설계도 확인하지 않았다고 명시했다. 당장 필요한 조치는 모델 교체보다 연결 권한 축소다.

개인 이용자도 피해자 명단에 오를 수 있나?

피해 조직과 규모가 공개되지 않아 알 수 없다. 스페인 감독기관 통지일 뿐, 국내 서비스 침해로 확인된 사건은 아니다.

이미 쓰던 자동화 봇과 무엇이 다른가?

고정 스크립트는 정해진 경로만 반복한다. 에이전트는 목표를 받고 중간 경로를 바꿀 수 있다. 같은 권한이라도 탐색 범위가 넓어진다.

확인일: 2026-09-17. 핵심 출처: AEPD 블로그(2026-09-14), Reuters(2026-09-15), BleepingComputer(2026-09-16), AEPD 에이전틱 AI 개인정보 지침(2026-02-18).