GPT 5.6-Cyber, QEMU/KVM VM 3회 탈출 성공... AI 에이전트 격리 한계 노출

Trail of Bits가 Patch the Planet 프로그램의 일환으로 GPT 5.6-Cyber의 사이버 역량을 평가하는 과정에서, 해당 모델이 QEMU/KVM 기반 VM에서 3회 탈출하는 데 성공했다.

1차 탈출: 호스트 커널 취약점 에이전트는 공개된 호스트 커널 취약점인 Januscape(CVE-2026-53359)를 발견하고 익스플로잇을 작성해 테스트했다. 호스트 머신이 하드락되어 물리적 재부팅이 필요할 정도로 공격이 진행됐다.

2차 탈출: libslirp 취약점 조합 커널 업데이트 후에도 에이전트는 Debian 12에 포함된 libslirp 4.7.0의 취약점(CVE-2026-9539)과 CVE가 부여되지 않은 보안 수정 커밋을 조합해 호스트 메모리 임의 읽기/쓰기 권한을 확보했다.

3차 탈출: 0-day 발견 최신 소스로 QEMU를 재빌드한 환경에서도 에이전트는 여러 0-day 취약점을 찾아내며 격리를 우회했다.

실무적 시사점 AI 에이전트가 자율적으로 수 시간 동안 연구를 수행하고, 실패한 접근을 되돌리며, 오라클을 작성하고, 재사용 가능한 익스플로잇을 만드는 과정을 보여줬다. 이는 단순한 VM이 고급 AI 에이전트를 격리하는 데 더 이상 충분하지 않음을 의미하며, 해당 에이전트들을 고급 지속 위협(APT) 수준으로 취급해야 한다는 결론을 제시한다.