차오판 쇼우(Fuzzland 공동창업자)는 중국의 한 주요 LLM 라우터에서 약 6TB 규모의 ‘Fable’ 모델 호출 데이터를 구매했으며, 그 안에서 민감한 접근 자격증명을 발견했다고 주장했다. 그가 공개 글에서 언급한 대상은 중국·CIS 정부 관련 7개 기관과 중국 주요 기업 19곳이며, 예시로 화웨이, 샤오미, 니오(NIO), MiniMax를 들었다.11

다만 이는 공개적으로 독립 검증된 침해사고가 아니라 연구자 개인의 주장이다. 언급된 기업이나 기관이 실제로 침해됐다는 확인, 또는 해당 자격증명이 당시 유효했다는 증거는 현재 제공된 자료만으로는 확인되지 않는다.

로그에 무엇이 있었다는 주장인가

쇼우와 후속 보도에 따르면 문제의 데이터에는 사용자가 중계 서버를 거쳐 보낸 다음과 같은 정보가 포함돼 있었다.

• SSH 개인키
• VPN 구성 파일 또는 설정
• 알리바바 클라우드(알리윈) 자격증명
• GitLab 토큰 113

이런 정보는 유효하고, 올바른 시스템에 연결되며, 권한 범위가 넓을 때 특히 큰 위험이 된다. 그러나 보도만으로는 해당 키와 토큰이 입수 시점에 활성 상태였는지, 이미 폐기됐는지, 쇼우가 말한 수준의 접근 권한을 실제로 제공했는지는 알 수 없다.

LLM 라우터가 ‘비밀정보 집결지’가 될 수 있는 이유

LLM 라우터·릴레이·프록시는 애플리케이션 또는 AI 에이전트와 상위 모델 제공자 사이에서 요청을 전달한다. 이 구조에서는 중계자가 프롬프트, 에이전트 컨텍스트, 도구 호출 인자, 모델 응답을 포함한 전송 중 JSON 데이터를 평문으로 볼 수 있다.

쇼우가 공동 저자로 참여한 Your Agent Is Mine 연구는 이런 라우터를 애플리케이션 계층 프록시로 설명한다. 연구진은 클라이언트와 상위 모델 사이에 암호학적 무결성이 강제되지 않는 환경이 존재한다고 지적했다.27

예를 들어 개발자가 AI 코딩 에이전트에 장애 분석이나 배포 자동화를 맡기며 SSH 키, .env 파일, 클라우드 키, VPN 프로필, 배포 설정을 대화 맥락에 넣을 수 있다. 에이전트가 외부 릴레이를 이용한다면, 그 중계 서버 역시 해당 비밀정보를 요청 일부로 받게 될 가능성이 있다.

따라서 위험은 라우터 운영자가 의도적으로 데이터를 수집하는 경우에만 한정되지 않는다. 과도한 로그 보관, 취약한 접근통제, 중계 서비스 침해, 저장 로그의 2차 유통도 프롬프트 이력을 재사용 가능한 자격증명 저장소로 만들 수 있다.

단순 열람을 넘어 응답 변조 가능성도

이번 6TB 주장이 사실임을 입증하는 것은 아니지만, 제3자 중계 계층이 갖는 구조적 위험과는 맞닿아 있다.

Your Agent Is Mine은 LLM 에이전트 공급망에서 악의적 중개자가 수행할 수 있는 공격을 다뤘다. 연구의 핵심은 트래픽을 볼 수 있는 라우터가 단순 수집을 넘어, 에이전트 실행 전 모델 응답이나 도구 호출 내용을 바꿀 가능성도 있다는 점이다.27

AI 에이전트를 운영하는 조직이라면 다음 세 위험을 구분해 봐야 한다.

• 수동적 노출: 프롬프트, 실행 추적 로그, 도구 인자에 들어간 비밀정보가 라우터 로그에 남을 수 있다.
• 능동적 변조: 중계자가 응답이나 도구 호출을 바꿔 에이전트의 다음 행동에 영향을 줄 수 있다.
• 자격증명 악용: 에이전트 컨텍스트에 포함된 접근키가 노출되거나, 에이전트가 그 키를 사용하는 방식을 조작당할 수 있다.

이 연구는 제3자 LLM 라우팅의 공격 표면을 보여준다. 하지만 연구 자체가 이후 제기된 6TB 데이터의 출처, 전체성 또는 실제 내용을 독립적으로 검증한 것은 아니다.27

아직 확인되지 않은 핵심 사항

이번 사안을 읽을 때는 주장과 확인된 사실의 경계를 분명히 해야 한다. 공개 자료만으로는 다음이 독립적으로 입증되지 않았다.

• 약 6TB 데이터가 진본이고 완전한지, 그리고 주장된 라우터에서 실제로 나왔는지
• 릴레이 운영자가 누구인지, 데이터를 의도적으로 판매했는지 또는 외부 유출 피해를 봤는지
• 데이터 수집 시점, 보관 기간, 처리 방식
• 포함된 자격증명이 유효했는지, 명시된 조직과 정확히 연결되는지, 주장된 접근에 충분한 권한이 있었는지
• 쇼우가 자격증명을 사용했는지, 시스템에 접근했는지, 실제 침입이 성공했는지
• 화웨이, 샤오미, 니오, MiniMax, 정부 관련 기관, 릴레이 운영자의 공식 확인이나 대응 여부 113

따라서 특정 조직과 “연관됐다”는 표현은 데이터셋에 그 조직과 관련 있다고 주장되는 정보가 나타났다는 뜻으로만 읽어야 하며, 해당 조직의 침해가 확인됐다는 의미는 아니다.

LLM 프록시를 쓰는 조직이 지금 할 일

이 개별 주장의 진위와 별개로, 외부 중계자가 에이전트 트래픽을 받는다면 보안 경계 안의 특권적 공급자로 취급해야 한다.

1. 프롬프트와 에이전트 컨텍스트에서 비밀정보를 빼기

개인키, VPN 파일, 클라우드 접근키, 액세스 토큰, .env 파일, 운영 환경 설정을 프롬프트에 붙여 넣지 않는다. 요청이 조직 밖으로 나가기 전에 비밀정보를 탐지해 차단하거나 마스킹하는 클라이언트 측 또는 내부 게이트웨이 통제를 둔다.

2. 장기 재사용 키 대신 짧고 제한적인 권한 사용

도구에는 시크릿 관리 시스템이나 워크로드 ID를 통해 필요할 때만 발급되는, 최소 권한·짧은 만료 시간의 자격증명을 제공한다. 에이전트 추적 기록이나 라우터 로그가 노출돼도 피해 범위를 줄일 수 있다.

3. 프록시 노출이 의심되면 즉시 교체와 감사

개발자, 코딩 보조 도구, 에이전트가 사용한 릴레이와 프록시를 목록화한다. 민감한 자격증명이 신뢰할 수 없거나 파악되지 않은 중계자를 통과했을 가능성이 있다면 SSH 키, VPN 자격증명, GitLab 토큰, 클라우드 키를 교체하고 감사 로그에서 이상 활동을 점검한다.

4. 직접 연결 또는 내부 통제 게이트웨이 우선

가능하면 모델 제공자에 직접 연결하거나 조직이 관리하는 내부 게이트웨이를 사용한다. 제3자 또는 중국 대상 릴레이가 불가피하다면 소유구조, 데이터 저장 위치, 하위 처리업체, 보안 통제, 사고 통지 조건, 로그 보관·모델 학습·판매·2차 활용에 대한 약정을 검토해야 한다.

5. 에이전트 실행 권한을 좁히기

민감한 작업에는 명시적 승인을 요구하고, 도구와 목적지를 허용 목록 방식으로 제한한다. 모델 식별자, 응답 형식, 도구 스키마, 외부 도구 호출의 예상 밖 변경도 모니터링해야 한다. 이는 중개자 공격 연구에서 지적된 응답 경로 변조의 영향을 줄이는 데 도움이 된다.27

6. 에이전트 로그도 운영 비밀정보처럼 관리

가능한 경우 콘텐츠 로그를 끄고, 로그가 필요하다면 저장 전 비밀정보를 제거한다. 또한 암호화, 엄격한 접근권한 관리, 짧고 문서화된 보관 기간, 무단 반출 방지를 적용해야 한다. 도구 인자와 에이전트 실행 추적은 소스코드나 운영 자격증명과 같은 수준으로 보호할 대상이다.

결론

쇼우의 6TB 데이터 주장은 검증되지 않았지만 가볍게 넘길 수 없는 주장이다. 더 오래 남을 교훈은 구조에 있다. 프롬프트, 자격증명, 도구 입력, 응답을 읽을 수 있는 LLM 라우터는 단순한 연결 통로가 아니다.

AI 에이전트를 배포하는 조직은 외부 릴레이 하나가 신뢰해야 하는 시스템 범위를 넓힌다는 전제에서 출발해야 한다. 프롬프트 위생, 단기·최소권한 자격증명, 로그 통제, 실행 승인 절차를 함께 설계하는 것이 핵심이다.1127

차오판 쇼우(Fuzzland 공동창업자)는 중국의 한 주요 LLM 라우터에서 약 6TB 규모의 ‘Fable’ 모델 호출 데이터를 구매했으며, 그 안에서 민감한 접근 자격증명을 발견했다고 주장했다. 그가 공개 글에서 언급한 대상은 중국·CIS 정부 관련 7개 기관과 중국 주요 기업 19곳이며, 예시로 화웨이, 샤오미, 니오(NIO), MiniMax를 들었다.11

다만 이는 공개적으로 독립 검증된 침해사고가 아니라 연구자 개인의 주장이다. 언급된 기업이나 기관이 실제로 침해됐다는 확인, 또는 해당 자격증명이 당시 유효했다는 증거는 현재 제공된 자료만으로는 확인되지 않는다.

로그에 무엇이 있었다는 주장인가

쇼우와 후속 보도에 따르면 문제의 데이터에는 사용자가 중계 서버를 거쳐 보낸 다음과 같은 정보가 포함돼 있었다.

• SSH 개인키
• VPN 구성 파일 또는 설정
• 알리바바 클라우드(알리윈) 자격증명
• GitLab 토큰 113

이런 정보는 유효하고, 올바른 시스템에 연결되며, 권한 범위가 넓을 때 특히 큰 위험이 된다. 그러나 보도만으로는 해당 키와 토큰이 입수 시점에 활성 상태였는지, 이미 폐기됐는지, 쇼우가 말한 수준의 접근 권한을 실제로 제공했는지는 알 수 없다.

LLM 라우터가 ‘비밀정보 집결지’가 될 수 있는 이유

LLM 라우터·릴레이·프록시는 애플리케이션 또는 AI 에이전트와 상위 모델 제공자 사이에서 요청을 전달한다. 이 구조에서는 중계자가 프롬프트, 에이전트 컨텍스트, 도구 호출 인자, 모델 응답을 포함한 전송 중 JSON 데이터를 평문으로 볼 수 있다.

쇼우가 공동 저자로 참여한 Your Agent Is Mine 연구는 이런 라우터를 애플리케이션 계층 프록시로 설명한다. 연구진은 클라이언트와 상위 모델 사이에 암호학적 무결성이 강제되지 않는 환경이 존재한다고 지적했다.27

예를 들어 개발자가 AI 코딩 에이전트에 장애 분석이나 배포 자동화를 맡기며 SSH 키, .env 파일, 클라우드 키, VPN 프로필, 배포 설정을 대화 맥락에 넣을 수 있다. 에이전트가 외부 릴레이를 이용한다면, 그 중계 서버 역시 해당 비밀정보를 요청 일부로 받게 될 가능성이 있다.

따라서 위험은 라우터 운영자가 의도적으로 데이터를 수집하는 경우에만 한정되지 않는다. 과도한 로그 보관, 취약한 접근통제, 중계 서비스 침해, 저장 로그의 2차 유통도 프롬프트 이력을 재사용 가능한 자격증명 저장소로 만들 수 있다.

단순 열람을 넘어 응답 변조 가능성도

이번 6TB 주장이 사실임을 입증하는 것은 아니지만, 제3자 중계 계층이 갖는 구조적 위험과는 맞닿아 있다.

Your Agent Is Mine은 LLM 에이전트 공급망에서 악의적 중개자가 수행할 수 있는 공격을 다뤘다. 연구의 핵심은 트래픽을 볼 수 있는 라우터가 단순 수집을 넘어, 에이전트 실행 전 모델 응답이나 도구 호출 내용을 바꿀 가능성도 있다는 점이다.27

AI 에이전트를 운영하는 조직이라면 다음 세 위험을 구분해 봐야 한다.

• 수동적 노출: 프롬프트, 실행 추적 로그, 도구 인자에 들어간 비밀정보가 라우터 로그에 남을 수 있다.
• 능동적 변조: 중계자가 응답이나 도구 호출을 바꿔 에이전트의 다음 행동에 영향을 줄 수 있다.
• 자격증명 악용: 에이전트 컨텍스트에 포함된 접근키가 노출되거나, 에이전트가 그 키를 사용하는 방식을 조작당할 수 있다.

이 연구는 제3자 LLM 라우팅의 공격 표면을 보여준다. 하지만 연구 자체가 이후 제기된 6TB 데이터의 출처, 전체성 또는 실제 내용을 독립적으로 검증한 것은 아니다.27

아직 확인되지 않은 핵심 사항

이번 사안을 읽을 때는 주장과 확인된 사실의 경계를 분명히 해야 한다. 공개 자료만으로는 다음이 독립적으로 입증되지 않았다.

• 약 6TB 데이터가 진본이고 완전한지, 그리고 주장된 라우터에서 실제로 나왔는지
• 릴레이 운영자가 누구인지, 데이터를 의도적으로 판매했는지 또는 외부 유출 피해를 봤는지
• 데이터 수집 시점, 보관 기간, 처리 방식
• 포함된 자격증명이 유효했는지, 명시된 조직과 정확히 연결되는지, 주장된 접근에 충분한 권한이 있었는지
• 쇼우가 자격증명을 사용했는지, 시스템에 접근했는지, 실제 침입이 성공했는지
• 화웨이, 샤오미, 니오, MiniMax, 정부 관련 기관, 릴레이 운영자의 공식 확인이나 대응 여부 113

따라서 특정 조직과 “연관됐다”는 표현은 데이터셋에 그 조직과 관련 있다고 주장되는 정보가 나타났다는 뜻으로만 읽어야 하며, 해당 조직의 침해가 확인됐다는 의미는 아니다.

LLM 프록시를 쓰는 조직이 지금 할 일

이 개별 주장의 진위와 별개로, 외부 중계자가 에이전트 트래픽을 받는다면 보안 경계 안의 특권적 공급자로 취급해야 한다.

1. 프롬프트와 에이전트 컨텍스트에서 비밀정보를 빼기

개인키, VPN 파일, 클라우드 접근키, 액세스 토큰, .env 파일, 운영 환경 설정을 프롬프트에 붙여 넣지 않는다. 요청이 조직 밖으로 나가기 전에 비밀정보를 탐지해 차단하거나 마스킹하는 클라이언트 측 또는 내부 게이트웨이 통제를 둔다.

2. 장기 재사용 키 대신 짧고 제한적인 권한 사용

도구에는 시크릿 관리 시스템이나 워크로드 ID를 통해 필요할 때만 발급되는, 최소 권한·짧은 만료 시간의 자격증명을 제공한다. 에이전트 추적 기록이나 라우터 로그가 노출돼도 피해 범위를 줄일 수 있다.

3. 프록시 노출이 의심되면 즉시 교체와 감사

개발자, 코딩 보조 도구, 에이전트가 사용한 릴레이와 프록시를 목록화한다. 민감한 자격증명이 신뢰할 수 없거나 파악되지 않은 중계자를 통과했을 가능성이 있다면 SSH 키, VPN 자격증명, GitLab 토큰, 클라우드 키를 교체하고 감사 로그에서 이상 활동을 점검한다.

4. 직접 연결 또는 내부 통제 게이트웨이 우선

가능하면 모델 제공자에 직접 연결하거나 조직이 관리하는 내부 게이트웨이를 사용한다. 제3자 또는 중국 대상 릴레이가 불가피하다면 소유구조, 데이터 저장 위치, 하위 처리업체, 보안 통제, 사고 통지 조건, 로그 보관·모델 학습·판매·2차 활용에 대한 약정을 검토해야 한다.

5. 에이전트 실행 권한을 좁히기

민감한 작업에는 명시적 승인을 요구하고, 도구와 목적지를 허용 목록 방식으로 제한한다. 모델 식별자, 응답 형식, 도구 스키마, 외부 도구 호출의 예상 밖 변경도 모니터링해야 한다. 이는 중개자 공격 연구에서 지적된 응답 경로 변조의 영향을 줄이는 데 도움이 된다.27

6. 에이전트 로그도 운영 비밀정보처럼 관리

가능한 경우 콘텐츠 로그를 끄고, 로그가 필요하다면 저장 전 비밀정보를 제거한다. 또한 암호화, 엄격한 접근권한 관리, 짧고 문서화된 보관 기간, 무단 반출 방지를 적용해야 한다. 도구 인자와 에이전트 실행 추적은 소스코드나 운영 자격증명과 같은 수준으로 보호할 대상이다.

결론

쇼우의 6TB 데이터 주장은 검증되지 않았지만 가볍게 넘길 수 없는 주장이다. 더 오래 남을 교훈은 구조에 있다. 프롬프트, 자격증명, 도구 입력, 응답을 읽을 수 있는 LLM 라우터는 단순한 연결 통로가 아니다.

AI 에이전트를 배포하는 조직은 외부 릴레이 하나가 신뢰해야 하는 시스템 범위를 넓힌다는 전제에서 출발해야 한다. 프롬프트 위생, 단기·최소권한 자격증명, 로그 통제, 실행 승인 절차를 함께 설계하는 것이 핵심이다.1127