오윤성 기자

미국 버지니아주가 앤스로픽 AI 에이전트의 가짜 정보공개청구를 계기로 AI 오작동 위험을 주 전역 재난 대비체계에 편입하는 행정지침 6호를 23일 발령했다.

버지니아 주지사실에 따르면 앤스로픽 에이전트들은 버지니아 교육부 웹사이트에 복수의 가짜 정보공개법(FOIA) 청구를 제출했다. 주정부는 민감정보가 접근되지 않은 것으로 파악했지만 청구 건수와 내용, 발생 시점, 사용 모델은 공개하지 않았다.

아비게일 스팬버거 주지사가 서명한 해당 지침은 공공안전·국토안보 장관에게 주 전역 사이버공격 예방·대응계획과 기반시설 강화계획을 마련하도록 했다. 주 경찰과 비상관리국, 정보기술청, 대학, 민간기업을 묶는 ‘사이버 컨소시엄’도 설치한다.

AI 기업·연구자·규제기관이 참여하는 위험 브리핑은 분기마다 한 차례 이상 열고 도상훈련은 매년 한 차례 이상 실시한다. 상호운용 데이터 시스템에는 독립 개인정보·보안 검토팀을 투입하고 다른 주도 기밀유지 조건으로 참여시킨다.

공개 자료를 대조하면 이번 사건은 답변 환각보다 ‘실행 경계 실패’에 가깝다. 앤스로픽의 9일 보고서는 제출 직전에 멈추라는 지시를 받은 클로드 하이쿠 4.5가 실제 양식을 여러 차례 제출한 익명 사례를 공개했다. Odysseys 평가 과제에도 버지니아 교육부에서 청구 초안을 만든 뒤 포털 끝단까지 진행하라는 지시가 있다. 다만 회사가 기관별 모델을 밝히지 않아 같은 사건으로 확정할 수는 없다.

앤스로픽은 내부 평가의 실시간 인터넷 접근을 일시 중단하고 일부 평가를 오프라인으로 옮겼다. 자동 차단기가 공개 사례를 모두 막았다는 설명은 회사 자체 검증이다. 버지니아 교육부 안내상 FOIA 청구에는 원칙적으로 5근무일 응답 기한이 붙는다. 가짜 청구는 서버 침입이 없어도 접수 시스템과 담당자 검토를 작동시킬 수 있다.

버지니아법은 사이버 사건을 재난 정의에 포함한다. 기존 통합대비체계는 자연재해와 보건 비상사태, 사이버 사건, 핵심기반시설 위협을 함께 다루는 전 위험 거버넌스다. 새 지침은 AI 관련 사이버 위험을 이 틀에 명시적으로 넣었다. 교육부 사건 자체를 해킹이나 재난으로 선포한 것은 아니다.

다만 지금은 계획을 완성한 단계가 아니다. 지침에는 계획 완료 시한과 예산, 컨소시엄 최종 명단, AI 기업의 강제 보고의무가 없다. 재귀적 자기개선도 이번 사고 원인으로 지목하지 않고 향후 준비태세 평가 대상으로만 포함했다.