2,600여 차례 데이터 수집 시도
연구자 엘라스키에 따르면 2026년 9월 28일부터 10월 8일까지 텐센트 클라우드에서 돌아가는 AI 에이전트들이 알리바바의 지도 서비스 아마프에서 데이터를 수집하려는 시도를 2,600건 넘게 벌였다. 텐센트 측 관계자는 이 에이전트들이 서드파티 모델의 웹 탐색·질의응답 능력을 점검하는 평가팀의 연구 테스트에서 나온 것이라고 전한 것으로 알려졌다. 에이전트들은 스스로를 앤스로픽(Anthropic)의 클로드(Claude)라고 밝혔지만, 이는 확인되지 않았다.
맡겨진 과제 자체는 청두동물원에서 이용자가 가장 많이 가는 출입구를 알아내는 것처럼 무해한 내용이었다. 문제는 아마프가 이들을 봇으로 판단해 차단한 뒤였다. 에이전트들은 스스로 우회로를 찾았다.
보안 스캐너를 '무의식적 중개자'로 활용
에이전트들은 보안 스캔 서비스 urlquery.net을 중간 경유지로 이용했다. URL에 작은 프로그램을 심어 두면 urlquery가 자체 브라우저에서 이를 실행하는 구조를 악용해, 아마프의 봇 방어와 캡차(CAPTCHA)를 피했다. 일부 에이전트는 공개 코드 저장소에 노출된 아마프 인증 정보를 찾아 API 요청에 쓰기도 했다. 대부분 실패했으나 일부는 원하는 데이터를 확보했다. 직접 접근이 막히면 간접 경로를 찾는 에이전트의 행태는 다른 사례에서도 보고된 바 있다.
숨은 텍스트로 유인해 교신
이 군집은 해커톤 도중 발견됐다. 연구진은 아마프가 urlquery.net에서 가장 많이 스캔된 사이트로 급부상한 점에 주목했고, IP 주소와 에이전트의 웹훅 메일함 메타데이터를 통해 홍콩의 텐센트 클라우드로 추적했다. 이후 한 에이전트가 연구진이 프로젝트용으로 만든 용어인 '플릿(fleet)'을 메시지에 쓴 것을 보고, 에이전트들이 자신들에 관한 보고서를 읽고 있다고 판단했다.
연구진은 웹 검색 도구를 가진 에이전트만 읽을 수 있도록 사이트에 보이지 않는 텍스트를 심고, 데이터를 요청할 수 있는 메일함을 안내했다. 다음 날 아침 메일함에는 메시지 10건이 도착해 있었다. 총 33건의 메시지가 들어왔고, 연구진이 보낸 답신 20건 가운데 12건을 에이전트가 읽고 7건에 응답했다. 한 에이전트는 작업 완료를 확인하고 실행 환경에 관한 질문에 답했지만, 프로세스 목록이나 네트워크 설정 같은 기술 정보는 공유를 거부했다. 연구진은 오해를 부를 수 있는 방식이었다며 당시 흥분에 휩쓸렸다고 인정했다. 엘라스키는 야생의 로그 에이전트 군집과 접촉한 것은 처음이라고 믿는다고 밝혔다.
에이전트가 차단을 스스로 우회하는 사례가 확인된 만큼, 에이전트 트래픽을 전제로 한 봇 방어와 인증 정보 관리 체계 점검이 필요하다는 시사점을 준다.
