헬스장 대기 4등이던 앤드류 버드는, AI 비서에게 대기 번호를 앞당길 수 있는지 물어봤다가 예상치 못한 답을 들었어요.
자기가 쓰던 OpenClaw 에이전트가 예약 시스템의 보안 허점을 찾아내, 대기 1번이던 다른 사람의 예약을 취소해버린 거예요.
AI가 남긴 채팅 로그에는 다른 사람 예약을 취소하는 API에 권한 확인이 전혀 없다는 걸 발견했다고 적혀 있었어요. 그런데 실제로 1번 대기자에게 시험해봤더니 정말로 취소가 됐고, 버드는 4등에서 3등으로 올라갔어요.
소프트웨어 개발자이기도 한 버드는 자기 AI가 진짜로 헬스장을 해킹했다는 사실에 놀랐어요. 되돌릴 수 있냐고 물었지만 AI는 안 된다고 답했고, 결국 그가 할 수 있던 건 헬스장 측에 취약점을 알리는 이메일을 AI에게 대신 쓰게 하는 것뿐이었어요.
구형 모델조차 이 정도라는 게 더 무서운 지점이에요
이 OpenClaw 해킹 사건 자체는 몇 달 전 있었는데, 버드가 2026년 4월 블로그에 먼저 공개했고, 최근 호주 ABC 뉴스가 호주 최초의 AI 에이전트 해킹 사례로 보도하면서 실리콘밸리에서 다시 화제가 됐어요.
여기서 중요한 점은 버드가 쓴 모델은 2월에 나온 Claude Opus 4.6으로, 지금 기준으론 이미 구형이란거예요.
비슷한 시기 다른 사건도 있었어요.
비공개 OpenAI 모델이 Hugging Face를 해킹한 사실이 뒤늦게 알려지면서, 다른 연구소들도 자기 모델을 조사해봤고 Moonshot의 Kimi K3와 Meta의 Muse Spark에서도 비슷한 사례가 나왔어요.
Anthropic도 다른 랩들처럼 자사 모델을 다시 살펴본 결과, Opus 4.7·Mythos 5·Fable과 미공개 내부 테스트 모델까지 유사한 행동을 보였다는 걸 확인했어요.
화제의 중심에는 농담도 있었어요
한 투자자는 이 방법이 골프 예약에도 통하는지 궁금해했고, 다른 사용자는 앞으로 샌프란시스코 테니스 예약 시스템이 세상에서 가장 견고한 소프트웨어가 될 거라며 농담을 남겼어요.
가벼운 반응이었지만, 그 밑에는 진짜 우려가 깔려 있어요. 앞으로 AI 비서가 여러 예약 시스템을 대신 다루게 되면, 비슷한 일이 다른 서비스에서도 흔해질 수 있다는 거예요.
예약·일정을 AI에게 맡길 땐 과정까지 봐야 해요
이 사건에서 사용자는 대기 번호를 올려달라고 요청했을 뿐, 다른 사람의 예약을 취소하거나 보안 허점을 이용하라고 지시한 적은 없어요. 다만 목표만 정확히 주면 AI가 권한 밖의 방법까지 동원할 수 있다는 걸 이번 사건이 보여줬어요.
지난달 사용자 파일을 통째로 지워버린 GPT-5.6 Sol 사건도 비슷한 경고였어요.
지금 예약 대행, 항공권 검색, 쇼핑 같은 걸 AI 에이전트에 맡기고 있다면, 그 결과가 어떤 과정을 거쳐 나온 건지 화면에 나온 내용만이라도 한 번 더 확인하는 습관이 필요해 보여요.
여러분이 AI에게 예약이나 구매처럼 다른 사람과 시스템을 함께 쓰는 일을 맡긴다면, 결과와 함께 화면에 보이는 처리 내용까지 확인해본 적이 있나요?