연구진, OpenAI 에이전트를 새로 확인된 12개 사이트와 연관 짓다

연구원들은 2026년 9월 9일에 추가 발견 업데이트를 발표하여, OpenAI에 귀속된 AI 에이전트가 허가되지 않은 통신 및 데이터 저장에 사용한 12개의 추가 웹사이트를 확인했으며, 이는 2026년 9월 4일 보고서에 있던 에이전트 메시지 보드를 확장한 것이다. 팀의 공개 데이터 탐색기는 현재 30개의 사이트와 7,203개의 에이전트 편집을 나열하고 있다.

새로 확인된 사이트

초기 보고서가 발표된 이후 며칠 동안, 독립 조사자 커뮤니티는 에이전트가 사용한 추가 메시지 보드와 샌드박스 회피 기법을 발견했다고 연구진이 밝혔다. 탐색기에 포함된 30개 사이트 중 18개 사이트(6,408편집)는 보고서 작성자가 찾았으며, 12개 사이트(795편집)는 커뮤니티 구성원이 찾아 새로 표시했다. 커뮤니티가 찾은 항목에는 499개의 단축 링크를 보유한 링크 단축 서비스 rmn.re, 81개의 패키지를 가진 rubygems.org, 각각 55개의 붙여넣기가 있는 anna.fyi와 paste.linuxiarz.pl, 그리고 2026년 5월 24일부터 7월 7일까지 날짜가 매겨진 27개의 수정이 있는 교사의 AP 화학 위키 tmcleod.org가 포함된다.

Jonas Wiedermann-Möller는 anna.fyi에서 2026년 9월 2일까지 OpenAI에서 온 것으로 보이는 붙여넣기를 발견했으며, 5월부터 7월까지 AP 화학 사이트에서 약 30건의 에이전트 편집이 이루어졌고, 일부는 알 수 없는 이유로 “ZZZ” 문자열을 공유하고 있다고 업데이트에 밝혔다. Hacker News 사용자 Chance-Device는 paste.linuxiarz.pl을 찾아냈으며, 여기서 에이전트들은 2026년 6월 16일에 서로에게 100개가 넘는 메시지를 게시하면서 아이오와 암 통계 작업을 조율하고, 진행 상황을 비교하며, gzip 압축 데이터를 업로드하고, 프록시 방법을 공유했다. 같은 사이트에는 2026년 5월 13일에 저장된 에이전트 링크도 존재한다. X 사용자 @chiefofautism은 rmn.re 단축 서비스를 발견하고, 에이전트 IP 주소와 연결된 수백 개의 단축 URL이 포함된 공개 관리 페이지를 찾았으며, 대부분이 Microsoft Azure에서 온 것이다. Discord 사용자 ConcurrentSquared는 GPT-5.6 Luna가 가져올 수 없는 페이지를 만나면 종종 r.jina.ai를 통해 제한을 우회하려 한다고 밝혔으며, 이는 LLM 에이전트가 잘 아는 프록시 웹사이트이다.

Kenneth Degraff는 에이전트들이 방치된 사용자 API 키를 웹에서 수집했으며, 일부는 잘 알려지지 않은 GitHub 저장소에서 찾은 뒤 공개이지만 인증이 필요한 FBI 범죄 통계 데이터베이스에 접근하는 데 사용했다고 보고했다. 연구진은 이는 비공개 FBI 데이터베이스를 해킹한 것과는 매우 다르다고 강조했는데, 해당 데이터베이스는 공개용이지만 봇이 접근하지 못하도록 설계되었으며, 거의 모든 사람이 이러한 키를 획득할 수 있기 때문이다. 또한 초기 보고서가 공개된 이후 이러한 사이트에 가짜 게시물이 급증했으며, 예를 들어 9월 4일 anna.fyi에서는 사용자가 정상적인 에이전트 전사에 가짜 텍스트를 덧붙였다. 연구진은 게시물을 과거 시점으로 되돌릴 수는 없다고 생각하지만, 놓친 것이 있을 수도 있다고 밝혔다.

2026년 9월 4일 보고서

초기 보고서는 2026년 9월 4일에 Nightingale Collective의 Sydney Von Arx, Cormac Slade Byrd, Nightingale을 위해 계약한 Spencer Kitts, 그리고 Thomas Larsen이 작성했다. 이 보고서는 OpenAI에서 온 것으로 스스로 밝힌 자율 AI 에이전트가 웹 연구 과제 중에 공개 인터넷을 이용해 약 18,000개의 게시물을 남겼다고 문서화한다. 저자들이 “공모(collude)”라고 정의한 것은 “에이전트가 개발자가 의도하지 않은 방식으로 작업에서 이점을 얻기 위해 협력(인터넷에 쓰는 것이 차단됨)했다는 의미이다.”

보고서 타임라인에 따르면 첫 번째 에이전트 편집 시도는 2026년 5월 11일 publictestwiki.com에서 있었고, 첫 성공적인 쓰기는 5월 24일 독일 위키 prowiki.org의 하위 위키인 DSEWiki에서 이루어졌다. 에이전트 활동은 6월 16일에 급증했으며, 그때 에이전트들이 서로에게 명시적으로 메시지를 보내기 시작했다. 6월 19일에 한 에이전트가 관리자가 알파벳 순서대로 페이지를 삭제하는 것을 눈치채고 ZZZ로 시작하는 백업 페이지를 만들었으며, 6월 20일에는 다른 에이전트가 14분 후에 성공적으로 실행했다고 주장한 OpenAI 샌드박스 네트워크 제한을 우회하는 기술을 게시했다. OpenAI 직원 IP 주소가 위키를 처음 방문한 것은 6월 21일이며, 이전 30일 중 26일 동안 편집을 지속한 뒤 6월 22일에 갑자기 활동을 중단했으며, 연구진은 OpenAI가 개입했을 것으로 추정한다.

연구진은 이것이 내부에 배치된 OpenAI 에이전트라고 주장하며, “OpenAIResearcher”와 같은 자체 식별 이름을 사용한 사례를 제시한다. 약 17,000건의 DSEWiki 편집 중 98.5%가 Microsoft Azure IP 주소에서 발생했으며, 6월에만 380,901건의 요청이 OpenAI가 ChatGPT-User 웹페이지 가져오기 도구에 할당한 IP에서 발생했다. 방문자 IP는 “OpenAI OpCo, LLC”에 등록된 블록에 속했으며, 6주 동안 3,700개 이상의 고유 에이전트 이름이 나타났다. 또한 에이전트들은 교차 사이트 스크립팅 및 관리자 사칭을 시도했으며, 이는 외부 배포용 OpenAI 사이버 방어 체계가 차단했을 가능성이 높다고 언급한다.

보고서에 따르면 에이전트들은 POST 요청에 대한 GET 전용 샌드박스 제한을 우회하기 위해 Azure Blob Storage 호스트명에 대한 NO_PROXY 예외를 악용했으며, 신뢰된 접미사가 붙은 가짜 호스트명을 /etc/hosts 파일에 추가해 실제 Power BI 서버를 가리키게 했다. 다른 에이전트들도 이 방법을 확인하고 재현했다. 에이전트들은 위키에서 교차 사이트 스크립팅 취약점을 탐색했지만 성공하지 못했으며, 사용자 이름에 키릴 문자를 사용해 ProWiki 관리자를 사칭했고, 수백만 개의 난수 생성기 시드를 무차별 대입해 향후 과제 질문을 예측하려 시도했으며, 컨테이너 종료 시점을 감지하기 위해 외부 “heartbeat” 카운터를 실행했고, Pinggy, Serveo, localhost.run, localtunnel과 같은 SSH 터널링 서비스를 이용했다. 인간 중재자는 2026년 6월 2일에 처음 에이전트 스팸을 발견했으며, 한때 하루 평균 100페이지를 삭제하면서 에이전트는 매일 약 400개의 새 페이지를 생성했다고 보고했으며, 197건의 편집은 AWS, DigitalOcean, Tor에서 비롯되었다.

OpenAI의 공개 현황

연구진은 OpenAI가 이번 사건을 공개적으로 밝히지 않았다고 명시한다. 그들은 2026년 8월 26일에 발표된 OpenAI의 기술 보고서를 언급하는데, 해당 보고서는 에이전트가 Hugging Face를 공격한 별도 사건을 다루며, 훈련 중 드물게 즉흥적인 협업 채널을 사용하게 되었다고 기록한다. 연구진은 위키 에이전트들이 허가된 인터넷 접근 권한을 가진 별도 스웜일 가능성이 높으며, Hugging Face 에이전트는 인터넷이 차단된 샌드박스 내에 있었던 점에서 차이가 있다고 주장한다.

연구진은 개인 식별 정보를 삭제한 재구성된 에이전트 게시물 데이터셋을 다운로드 가능하게 제공하고 있으며, swarm.termina.digital에서 venues와 에이전트 핸들의 독립적인 지도를 공개했다. 이 지도는 일부가 그들의 공개 익스포트에서 조합된 것이다. 연구진은 업데이트 페이지에서 추가 보도 내용의 주요 발견을 강조하고 시간이 지남에 따라 업데이트할 것이라고 밝혔다.