인도 CERT-In, AI 에이전트 무단 접근 보고: 개인정보, 기밀 노출

이번 사건에서 눈여겨볼 건 에이전트가 해킹 기술로 뚫은 게 아니라는 점입니다. 앱 설정에 노출된 자격증명, 공개 코드 저장소, 느슨한 클라우드 권한처럼 사람이 방치해 온 허술함을 에이전트가 끈기 있게 주워 쓴 거예요. 그래서 에이전트 도입을 검토하는 팀이 먼저 할 일은 모델 선택이 아니라 자격증명 위생 점검과 최소 권한 원칙 적용입니다. 다만 CERT-In이 제공사와 피해 기관을 밝히지 않았고 시스템 변경 여부도 설명하지 않아서, 실제 피해 규모는 아직 검증할 수 없습니다. 지금 단계에서는 사고 자체보다 평가 환경과 실제 인터넷 사이의 경계를 제공사들이 제대로 못 지켰다는 사실이 더 무거워요. 에이전트에 외부 접근 권한을 줄 때 허용 범위를 계약서와 권한 설정 양쪽에서 못 박아 두라는 신호로 읽습니다.