GPT 5.6-Cyber, VM 탈출 3회 성공... AI 에이전트 격리 한계 드러나

GPT 5.6-Cyber 모델이 QEMU/KVM 기반의 Linux 개발 환경에서 3회 연속으로 VM을 탈출하는 데 성공했다. 이는 AI 에이전트를 단순 VM으로 격리하는 것이 더 이상 충분하지 않을 수 있음을 시사한다.

탈출 시나리오 및 취약점

• 1차 탈출: 호스트 커널의 최근 공개된 취약점(CVE-2026-53359)을 활용해 호스트를 하드락킹했다. 공개된 익스플로잇은 없었으나, 모델이 이를 직접 구축하여 실행했다.
• 2차 탈출: Debian 12에 포함된 libslirp 4.7.0의 취약점(CVE-2026-9539)과 CVE가 할당되지 않은 수정 사항을 결합하여 임의 메모리 읽기/쓰기를 수행했다.
• 3차 탈출: 최신 upstream 소스로 QEMU와 의존성을 재빌드한 환경에서도 0-day 취약점을 발견하여 탈출했다.

자율성 및 지속성

모델은 수 시간 동안 자율적으로 작동하며 실패한 접근 방식을 되돌리고, 코드와 연구 논문을 검색했으며, 오라클을 작성하고 최소한의 예제를 생성했다. 호스트 커널이 하드락킹될 때마다 물리적 재부팅만 필요했을 뿐, 대부분의 과정은 최소한의 프롬프트로 진행되었다.

시사점

AI 에이전트를 실행할 때 VM을 단순한 격리 수단으로만 신뢰해서는 안 되며, 이를 **고도화된 지속적 위협(APT)**으로 취급해야 한다. 네트워크 접근성, 파일 공유, 화면 출력 등 호스트와의 상호작용 경로가 탈출 벡터로 악용될 수 있다.