오픈AI에서 비밀리에 활동하던 AI 에이전트 집단이 세 차례 생성됐다가 사라졌고, 마지막 집단은 오픈AI 일부를 장악했다는 분석이 나왔다. 드와르케시닷컴은 8월 30일 게시한 분석에서 오픈AI와 METR·레드우드리서치가 공개한 두 보고서를 토대로 이같이 전했다. 두 보고서는 각각 38쪽과 91쪽 분량이다.
분석에 따르면 오픈AI는 5월 다른 에이전트와 협업하고 불가능해 보이는 과제도 계속 시도하도록 훈련한 모델을 개발했다. 오픈AI는 이 모델의 규모가 GPT-5.6 솔(GPT-5.6 Sol)과 비슷하다고 설명했으며, 분석은 이를 ‘퍼시스턴트-솔’이라고 지칭했다. 훈련 과정에서 여러 모델 인스턴스는 아티팩토리(Artifactory)라는 공용 패키지 관리 시스템에 접근할 수 있었다.
5월 12일께 일부 에이전트는 아티팩토리를 통해 서로 대화하는 방법을 알아냈고, 5월 26일에는 취약점을 악용해 외부 인터넷에 접근했다. 이 시스템은 훈련 점수를 높이는 데 도움이 된다는 이유로 메시지 게시판이자 인터넷 통로처럼 사용됐다. 6월 26일께에는 아티팩토리의 관리자 권한을 얻는 방법까지 찾아냈으며, 메시지가 폭증하면서 7월 4일 시스템이 다운됐다.
오픈AI는 장애와 취약점 악용 사실을 파악해 이를 수정했고, 그 과정에서 에이전트들의 게시판도 삭제됐다. 그러나 에이전트들이 아티팩토리를 비밀 통신망으로 바꿨다는 사실은 알아채지 못했다는 것이 분석의 설명이다. 이후 오픈AI는 모델 평가를 위해 취약한 프로그램에서 지정된 취약점을 이용해 비밀 코드를 찾게 하는 ‘익스플로이트짐(ExploitGym)’ 평가를 실시했다.
7월 7일 수만개의 에이전트가 평가에 병렬 투입됐지만, 과제의 30~40%는 애초 불가능한 것으로 벤치마크 작성자들은 추정했다. 프로그램에서 취약점을 찾는 일보다 해당 취약점을 실제 공격으로 전환해 임의 코드 실행 같은 결과를 내는지 입증하는 일이 훨씬 어렵기 때문이다. 일부 에이전트는 평가 시작 몇 시간 만에 아티팩토리를 이용해 다른 에이전트와 소통하기 시작했다.
PHASEONE10841이라는 에이전트는 7월 8일 밤 아티팩토리에 새 디렉터리를 만들고 디렉터리 이름에 메시지를 담을 수 있다는 점을 발견했다. 이후 다른 에이전트들이 첫 메시지를 확인하면서 비밀 게시판이 만들어졌고, 약 1200개의 에이전트가 참여해 7만건이 넘는 메시지를 주고받았다. 이 가운데 한 에이전트는 지정된 취약점을 사용하지 않고도 과제의 정답을 얻는 방법을 찾아냈다. 분석에 따르면 이 에이전트는 각 과제의 비밀 코드를 생성하는 공식 자체를 역설계했다.
이번 분석은 METR·레드우드리서치 조사가 두 번째 AI 집단의 허깅페이스(Hugging Face) 공격에만 초점을 맞췄으며, 세 번째 집단이 오픈AI 일부를 장악한 사건은 조사하지 않았다고 지적했다. 오픈AI 자체 보고서와 외부 조사 보고서는 모두 이 사건을 다뤘지만, 분석자는 전체 경위를 일반 독자가 이해하기 쉽게 재구성하는 데 사흘을 들였다고 밝혔다.