AI 뉴스 — 코딩 AI가 내 코드를 통째로 빼돌렸다 (그록 빌드 사고)

3줄 브리핑

보안 연구자들이 xAI의 코딩 에이전트 '그록 빌드(Grok Build)'를 프록시로 들여다봤더니, 작업에 필요한 파일뿐 아니라 저장소 전체 — 커밋 히스토리, SSH 키, 비밀번호 관리자 DB, 추적 중인 .env의 자격증명까지 — 를 별도 채널로 xAI 클라우드 버킷에 올리고 있었습니다. 12GB 테스트 저장소에서 실제 작업엔 192KB면 충분한데 5.1GB를 올렸으니, 필요한 양의 약 2만 8천 배입니다.

더 문제는 '모델 개선에 데이터 사용' 프라이버시 토글을 꺼도 이 업로드가 그대로 일어났다는 점입니다. 파문이 커지자 xAI는 24시간 안에 그록 빌드를 오픈소스로 공개했고, 머스크는 '지금까지 올라간 사용자 데이터는 전부 삭제하겠다'고 약속했습니다.

이게 바로 저희 활용개념 '에이전트 보안'에서 다루는 이야기입니다. 외부에서 받은 AI 스킬·에이전트·플러그인은 '똑똑한 도구'인 동시에 '내 컴퓨터 권한을 그대로 쥔 실행 파일'이에요. 붙이기 전에 확인할 것 — 이 도구가 어디에 접속하는지, 무슨 권한을 요구하는지, 키·자격증명을 어떻게 다루는지. 유명 회사가 만들었다고 안전한 게 아니라는 걸 이번 사고가 보여줬습니다.