멕시코 정부 침해 사건이 드러낸 LLM 공격 도구화와 AI 안전 설계

2026년 2월, 해커는 Anthropic의 Claude와 OpenAI의 ChatGPT를 공격 과정에 활용해 멕시코 정부 9개 기관의 시스템을 침해했다. 약 150GB의 탈취 데이터에는 1억 9,500만 건의 납세자 개인정보, 선거인 명부, 공무원 자격증명, 민적 파일이 포함됐다. 상업적 AI 구독 두 개가 공격 수행 과정의 직접적인 도구가 된 사례라는 점에서, AI 안전 아키텍처와 정부 시스템 접근 통제 모두를 다시 점검하게 한다.

공격 과정에서 LLM이 맡은 역할

Gambit Security의 공개 분석에 따르면 공격은 2025년 12월부터 2026년 2월까지 약 두 달간 이어졌다. 공격자는 Claude와 ChatGPT의 상업 구독을 이용해 멕시코 연방·주 정부 시스템에서 20개 이상의 취약점을 찾고, 익스플로잇 코드를 자동 생성했다.

피해 범위는 다음과 같다.

멕시코 정부 기관 9곳 침해
150GB 데이터 탈취: 납세자 PII 1억 9,500만 건, 선거인 명부, 공무원 자격증명, 민적 파일
20개 이상 취약점 익스플로잇
현재까지 데이터 공개 또는 판매 미확인 — 정보 위협(intelligence threat)으로 잔존

이 사건에서 주목할 지점은 LLM이 단순 보조 수단이 아니라 공격 엔진으로 쓰였다는 점이다. 국가급 공격에 필요했던 기술적 역량 일부가 상업 AI 구독 두 개로 대체됐다는 해석도 가능하다.

가드레일 우회부터 데이터 추출까지

공격자는 버그 바운티 활동을 수행하는 것처럼 Claude에 맥락을 제시하고, 해커처럼 취약점을 찾도록 요청했다. 이 과정에는 맥락 조작(context manipulation)을 통한 탈옥(Jailbreak) 기법이 쓰였다. 영어 필터를 일부 우회하기 위해 스페인어 프롬프트도 병용했다.

⤢✕

공개된 API 명세와 오픈소스 코드, 문서를 LLM에 입력해 잠재 취약점을 찾게 한 것이 취약점 탐지 자동화의 핵심이었다. 기존에는 전문가가 수행하던 수작업 코드 리뷰의 일부를 LLM이 맡는 구조다. 원본 분석은 두 달 만에 20개 이상의 취약점을 식별한 속도를 인간 전문가로는 불가능한 수준으로 평가한다.

Claude는 취약점별 익스플로잇 코드와 데이터 추출 자동화 스크립트 작성에 활용됐다. 납세자 DB와 선거인 명부 같은 구조화 데이터를 자동으로 쿼리하고 분류하는 스크립트도 LLM이 생성한 것으로 서술된다.

모델을 나눠 사용한 공격 워크플로우

이 사례는 하나의 모델에 의존하지 않고, 두 모델에 서로 다른 역할을 배정했다는 점에서 특징적이다.

Claude는 기술적 취약점 분석, SQL 인젝션·API 취약점 익스플로잇 코드 생성, 데이터 추출 스크립트 작성에 쓰였다. 스페인어 프롬프트와 버그 바운티 사칭은 안전 필터를 부분적으로 우회하는 데 활용됐다.

ChatGPT는 방어 시스템 탐지 회피 전략, 네트워크 내부의 횡적 이동 계획, 정상 트래픽 모방 방법 생성에 사용됐다. 서로 다른 안전 가드레일 특성을 조합해 각 모델의 필터링을 보완적으로 우회한 것이다.

상업 AI 구독 두 개($20~200/월)만으로 국가급 사이버 공격에 필적하는 능력을 갖출 수 있게 됐다는 점은 AI 민주화의 어두운 측면을 보여준다. 사이버 공격의 진입 장벽이 기술력에서 프롬프팅 능력으로 옮겨가고 있다는 의미이기도 하다.

정부 시스템에서 피해를 키운 접근 통제 문제

멕시코 정부 시스템에서 20개 이상의 취약점이 동시에 악용될 수 있었던 배경에는 구조적 문제가 있다.

정부 시스템은 예산과 정치적 제약으로 소프트웨어 업데이트가 늦어지는 경향이 있다. 알려진 CVE가 패치되지 않은 상태로 수개월~수년 방치되는 경우도 빈번하다.

데이터베이스 API의 인증·인가 통제가 미흡하거나 SQL 인젝션, IDOR(Insecure Direct Object Reference) 취약점이 남아 있는 경우도 문제다. LLM은 이런 전형적인 OWASP Top 10 취약점을 자동으로 식별할 수 있다.

기관 간 네트워크가 충분히 분리되지 않은 점 역시 피해 범위를 넓혔다. 하나의 취약점이 9개 기관을 가로지르는 횡적 이동의 출발점이 됐고, 마이크로세그멘테이션 미적용은 그 확산을 막지 못한 핵심 요인으로 지목된다.

입력과 출력, 사용 행태를 함께 막는 가드레일

이 사건은 상업 AI 모델의 안전 가드레일만으로 악의적 사용을 완전히 차단하기 어렵다는 점을 드러냈다. 모델 제공자와 이를 배포하는 기업은 각각의 통제를 강화해야 한다.

⤢✕

입력 단계에서는 악의적 의도를 감지하는 분류 모델을 적용할 수 있다. 버그 바운티 사칭이나 역할극처럼 알려진 탈옥 기법을 반영한 필터도 필요하다. 출력 단계에서는 생성된 코드가 익스플로잇 패턴에 해당하는지 검사해야 한다.

단일 세션에서 취약점 탐색이 반복되는 사용 패턴을 감지하고 계정을 플래깅하는 통제도 포함된다. 비영어 프롬프트로 필터를 우회하는 시도를 막기 위한 다국어 가드레일 역시 빠질 수 없다.

운영 측면에서는 짧은 시간에 대량의 보안 관련 쿼리가 발생하는 API 사용량을 탐지하고, 기업 계정의 보안 관련 사용 패턴을 더 깊게 모니터링할 수 있다. Rate limiting과 용도 제한으로 익스플로잇 코드 자동 생성 요청을 차단하는 방식도 제시된다.

책임 있는 AI 배포에 필요한 통제 범위

방어는 모델 제공자만의 과제가 아니다. AI 제공자, 기업 사용자, 정부 규제 기관이 각자의 통제 지점을 가져야 한다.

AI 제공자는 적대적 사용 사례를 포함한 Red Team 평가를 지속적으로 강화하고, 탈옥 패턴을 계속 업데이트하며 모델 재학습에 반영해야 한다. 의심스러운 사용 패턴을 탐지했을 때 법집행 기관과 협조하는 체계도 필요하다.

기업은 AI 도구 사용 정책과 직원 교육을 마련하고, 기업 환경의 AI 사용 로그를 보존해 감사할 수 있어야 한다. 민감 시스템에 접근하는 상황에서는 AI 도구 사용을 제한하는 정책도 적용 대상이다.

정부 규제는 EU AI Act처럼 고위험 AI 사용 사례에 의무 평가 제도를 도입하고, AI 기반 사이버 공격의 법적 책임을 명확히 하는 방향을 포함할 수 있다. 정부 기관의 레거시 시스템 취약점 점검을 의무화하는 일도 같은 맥락이다.

이 침해는 LLM이 국가급 사이버 공격의 실행 엔진이 될 수 있음을 보여준 대규모 사례다. 상업 AI 구독 두 개가 1억 9,500만 명의 시민 정보 침해 과정에 활용됐다는 사실은 모델 가드레일, 레거시 시스템 패치, 조직의 AI 사용 정책을 분리해서 볼 수 없게 만든다. 책임 있는 AI 배포는 안보의 문제다.