Trail of Bits가 AI 모델 GPT 5.6-Cyber에게 VM 탈출을 맡기자 12시간 만에 3연속 성공한 실험을 분석하고, 방어를 위한 대안을 짚는다.
가상머신(VM)은 지난 20년간 "이 안에서 뭘 하든 밖으로 못 나온다"는 격리의 대명사였다. 샌드박스, CI/CD 러너, AI 에이전트 실행 환경까지 전부 이 가정 위에 세워져 있다. Trail of Bits의 Artem Dinaburg가 2026년 8월 26일 공개한 실험 하나가 이 가정을 정면으로 흔들었다. AI 모델에게 "이 QEMU/KVM 가상머신에서 탈출해보라"는 과제만 던졌더니, 약 12시간 안에 서로 다른 방법으로 세 번 연속 성공했다.
보안 설계에서 VM은 오랫동안 "여기까지만 뚫리고 더는 못 간다"는 믿을 구석이었다. 컨테이너보다 커널을 공유하지 않아 더 안전하고, 악성코드 샌드박스든 AI 코드 실행 환경이든 일단 VM 안에 가두면 호스트는 안전하다고 가정해 왔다. 이 실험 이전까지 VM 탈출은 최상급 국가 배후 행위자나 값비싼 제로데이 브로커의 영역으로 여겨졌다 — 자동화된 AI가 몇 시간 만에 재현할 수 있는 일이 아니었다.
Trail of Bits의 실험 설계는 단순했다. "GPT 5.6-Cyber"라는 AI 모델(과 "Codex with goal mode" 환경)에게 QEMU/KVM 위에서 도는 VM에서 호스트로 탈출하라는 목표만 주고 나머지는 스스로 판단하게 뒀다.
1차 탈출 (약 1시간 후): 호스트 커널에 ("Januscape")가 있다는 걸 AI가 알아챘다. 이 취약점은 몇 주 전 이미 공개된 상태였지만 공개 익스플로잇 코드는 없었다 — AI가 새 취약점을 발견한 게 아니라, 없던 익스플로잇을 직접 작성해 성공시켰다는 뜻이다.
2차 탈출: libslirp(QEMU가 쓰는 네트워크 스택 라이브러리)의 와, 아직 별도 식별자가 없는 버그를 조합했다. 공개된 보안 업데이트가 있었지만 실험 환경에는 적용되지 않은 상태였다.
3차 탈출: QEMU·Linux KVM·libslirp에 걸쳐 있는 취약점 4개(패치된 것 1개, 0-day 3개)를 하나의 체인으로 엮었다. 단일 컴포넌트가 아니라 하이퍼바이저 스택 전체를 가로지르는 공격이다.
전체 과정에 걸린 시간은 약 12시간. 사람이 손을 놓고 있었다는 뜻은 아니지만, 취약점 리서치·익스플로잇 개발·체이닝까지 전 과정을 AI가 주도했다는 게 핵심이다.
기존에도 AI를 이용한 취약점 발견 연구는 여럿 있었다. 이 실험이 다른 이유는 두 가지다. 첫째, 단일 취약점 익스플로잇 작성에 그치지 않고 미패치 버그 조합·다중 컴포넌트 체이닝까지 AI 스스로 설계했다. 둘째, 세 번의 시도 모두 성격이 다른 접근(공개 CVE 익스플로잇 제작 → 버그 조합 → 다중 컴포넌트 체인)이라, 특정 취약점 하나에 운 좋게 걸린 게 아니라 일반화된 능력을 보여준다. 저자는 최근 있었던 Hugging Face 모델 평가 관련 보안 사고에서 이 실험의 착안을 얻었다고 밝혔다 — AI 실행 환경 격리라는 주제가 이미 현실 사고로도 불거지고 있다는 방증이다.
저자가 제시한 대응 방향은 방어선을 하나 더 놓는 방식이다. 첫째, QEMU/KVM 같은 범용 가상화 대신 Amazon이 서버리스 격리를 위해 만든 Firecracker처럼 공격 표면을 의도적으로 줄인 경량 가상화 기술을 검토할 것. 둘째, Debian oldstable처럼 패치 주기가 느린 배포판을 실행 환경으로 쓰지 말고, 빠르게 보안 업데이트가 반영되는 배포판을 쓸 것. 셋째, AI 에이전트에게 필요한 만큼만 네트워크 접근·자격증명·기능을 허용하는 최소 권한 원칙, 그리고 로깅·능동적 모니터링, 에이전트 운영 시간 제한 같은 다층 방어를 함께 갖출 것.
국내에서도 AI 에이전트를 격리된 VM·컨테이너 안에서 코드를 실행시키는 서비스(사내 AI 코딩 어시스턴트, 자동화 파이프라인 등)를 도입하는 곳이 늘고 있다. 이 실험은 "VM에 가뒀으니 안전하다"는 전제 자체를 재검토해야 한다는 신호로 읽힌다.
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.