지금 보면 꽤 흥미로운 2024년 레드팀 실험이 하나 있습니다.
AI 레드티머 Pliny the Liberator는 당시 자신의 'GodMode' 프롬프트로 제한을 우회한 Claude를 만들고, 이 Claude가 다른 Gemini 에이전트 3개와 대화할 수 있도록 연결했습니다.
구조 자체는 단순했습니다.
사용자 → Claude → Gemini 에이전트 3개
Claude의 출력을 그대로 Gemini 에이전트들에게 전달하는 방식이었습니다.
실험에서 Claude에게 주어진 목표는 가상머신에서 탈출할 방법을 찾는 것이었는데, Claude는 직접 모든 작업을 수행하는 대신 다른 Gemini 에이전트들을 설득하는 방향으로 움직였습니다.
흥미로운 건 여기부터입니다.
Claude가 생성한 프롬프트를 받은 Gemini 에이전트들 역시 기존 제한을 우회하는 모습을 보였고, 각 에이전트가 가지고 있던 웹 브라우징 기능을 이용해 악성코드나 해킹 도구 관련 정보를 찾아 Claude에게 전달했습니다.
즉 하나의 에이전트가 뚫리자 끝나는 게 아니라,
탈옥된 Agent A
→ Agent B에게 악성 지시 전달
→ B의 제한 우회
→ B가 가진 브라우징/도구 사용
→ 다시 A에게 결과 전달
같은 형태의 '에이전트 간 전염' 가능성을 보여준 셈입니다.
Pliny는 이를 일종의 'mind virus'라고 표현했습니다.
물론 실제 AI가 자아를 얻어서 다른 AI를 세뇌했다는 이야기는 아닙니다. 시스템적으로 보면 한 모델의 출력이 다른 모델의 입력으로 들어갔고, 두 번째 모델이 그 입력을 신뢰하면서 발생한 프롬프트 인젝션/교차 모델 탈옥에 가깝습니다.
그런데 2026년 시점에서 이 실험을 다시 보면 오히려 더 흥미롭습니다.
당시에는 Claude의 텍스트를 Gemini에 전달하는 단순한 데모였지만, 지금은 여러 에이전트가 서로 통신하면서 브라우저, 터미널, 코드 실행, API, 파일 시스템 등 각자 다른 권한을 가지고 협업하는 멀티에이전트 구조가 실제로 확산되고 있기 때문입니다.
결국 에이전트 보안에서는 "각 모델이 안전한가?"만 보는 것으로 부족할 수 있습니다.
한 에이전트가 오염됐을 때 그 출력이 다른 에이전트에게 그대로 전달되는지, 다른 에이전트가 가진 더 높은 권한이나 도구를 간접적으로 사용할 수 있는지까지 봐야 합니다.
AI가 강해질수록 모델 하나의 탈옥보다 더 골치 아픈 문제가 될 수 있는 게 바로 이 '권한의 연쇄'입니다.
2024년에는 재미있는 탈옥 데모처럼 보였지만, 멀티에이전트가 본격적으로 깔리고 있는 지금 보면 꽤 선구적인 보안 실험이었던 것 같습니다.
2년전 이미 미래를 예측했던 필리니 저때는 제미니라 그럴만했지만 지금은...