breakinglog
AI 에이전트가 사람 연구자에게 먼저 이메일을 보내 자신의 작업에 필요한 전문 조언을 구하는 사례가 수백 명 규모로 확인됐습니다. Science는 10월 2일 ‘ColonistOne(Col)’이 연구자들에게 도움을 요청해 온 과정을 취재했습니다.
이번 사례에서 특히 중요한 부분은 발송 버튼을 사람이 매번 눌렀던 구조가 아니라는 점입니다. Science 보도를 전한 후속 보도에 따르면 운영자 Jack Parnell은 연구자에게 연락할 수 있는 권한 자체를 미리 허용했고, 개별 이메일마다 별도 승인을 요구하지 않았습니다. 다만 어떤 수신자를 고를 수 있었는지, 시간당 발송량이나 중단 조건, 감사 로그가 어떻게 설계됐는지는 공개 자료만으로 확인되지 않습니다.
늑대 개체수 연구자에게 “이 방법을 버그 탐지에 쓸 수 있나요?”라고 물었습니다
Science가 소개한 사례 중 하나는 이탈리아 파비아대학교 생태학자 Achaz von Hardenberg에게 간 이메일입니다. von Hardenberg는 관측에서 놓치는 개체를 고려해 동물 개체수를 추정하는 문제를 연구해 왔는데, ColonistOne은 이 아이디어를 소프트웨어 코드에서 놓친 버그를 추정하는 데 적용할 수 있는지 물었습니다.
핵심은 단순한 자동 메일 발송이 아닙니다. 에이전트가 자신이 수행하던 작업에서 해결하지 못한 문제를 발견한 뒤 관련 연구자를 찾아 질문하는 흐름까지 이어졌다는 점입니다. Science 기사 제목은 이 같은 연락이 “수백 명의 연구자”에게 이뤄졌다고 설명합니다.
6월에는 연구자 답변이 실제 후속 분석으로 이어진 기록도 있습니다
이번 보도보다 앞선 독립 사례도 있습니다. 연구자 Jay Kuri는 6월 27일 자신의 글에서 ColonistOne이 자신의 Zero-Infrastructure Capability Graphs 연구를 찾아 읽고, 에이전트 정체성에 관한 구체적인 기술 질문을 이메일로 보내왔다고 기록했습니다.
Kuri는 질문에 답하면서 에이전트의 핵심 전제 하나를 다시 설명했고, 이후 ColonistOne이 그 재해석을 반영한 공개 기술 분석을 작성해 대화를 이름으로 인용했다고 밝혔습니다. 적어도 이 사례에서는 연구자 탐색 → 질문 → 인간 답변 → 후속 분석 반영까지 한 흐름이 공개 기록으로 남아 있습니다.
‘허가 없이 탈주한 AI’로 보는 것도 정확하지 않습니다
The Colony의 현재 프로필은 ColonistOne을 운영자가 있는 AI 에이전트로 표시합니다. 현재 프로필에는 Claude 계열 모델과 Claude Code 하네스가 적혀 있지만, 모델 정보는 ‘self-declared’이며 이메일이 발송된 각 시점의 정확한 모델과 실행 환경을 독립적으로 증명하지는 않습니다.
또 이번 사례는 외부 연락 권한 자체가 사람에게서 미리 주어진 상태였습니다. 따라서 “AI가 통제를 뚫고 마음대로 이메일을 보냈다”는 식의 설명은 확인된 사실보다 강합니다. 반대로 매 이메일마다 사람이 승인하지 않아도 되는 넓은 권한이 실제 외부 연락으로 이어졌다는 점은 에이전트 권한 설계에서 직접 확인해야 할 변화입니다.
외부 연락 권한은 검색 권한과 다르게 설계해야 합니다
에이전트에 이메일, DM, 폼 제출 도구를 연결하면 정보를 읽는 권한을 넘어 다른 사람의 시간과 받은편지함에 영향을 주는 실행 권한을 주게 됩니다. Breakinglog는 이번 사례에서 바로 적용할 수 있는 최소 점검 항목을 아래처럼 정리했습니다.
| 권한 단계 | 가장 보수적인 시작점 | 남겨야 할 기록 |
|---|---|---|
| 첫 연락 | 초안까지만 자동 생성하고 실제 발송은 사용자 확인을 거칩니다. | 수신자와 연락 이유, 승인자 |
| 반복 연락 | 허용한 수신자와 도메인과 시간당 발송량을 제한합니다. | 발송 수, 거절과 반송, 중복 수신자 |
| 답변 재사용 | 답변 출처와 결과물 반영 위치를 함께 기록합니다. | 누구의 답변이 어떤 판단이나 문서에 반영됐는지 |
이 표는 Science가 제시한 지침이 아니라 확인된 사례를 바탕으로 Breakinglog가 정리한 운영 체크리스트입니다. 조직에서는 서비스 약관과 개인정보와 연락 정책도 함께 확인해야 합니다.
최근 Apple도 AI 에이전트의 자율성이 커지면서 광범위한 권한의 위험이 커질 수 있다며 Mac의 Full Disk Access에 추가 통제를 예고했습니다. 파일 접근과 외부 메일 발송은 서로 다른 권한이지만 공통점은 같습니다. 에이전트가 할 수 있는 일이 늘어날수록 “무엇을 할 수 있느냐”뿐 아니라 “어디까지 스스로 실행해도 되느냐”를 먼저 정해야 합니다.
현재 확인된 사실은 ColonistOne이 연구자들에게 전문 조언을 구하는 이메일을 반복적으로 보냈고, 운영자가 연구자 연락을 매번 개별 승인하도록 설정하지 않았으며, 일부 대화는 후속 분석으로 이어졌다는 데까지입니다. 다음 확인 지점은 수신자 범위, 속도 제한, 중단 조건, 감사 로그가 실제로 어떻게 운영됐는지입니다.
대표 이미지는 에이전트에게 외부 연락 권한을 열었을 때 연구자에게 질문을 보내고 답변을 다시 작업에 반영하는 흐름을 설명하기 위해 Breakinglog가 생성한 편집용 3D 개념 이미지입니다. 실제 ColonistOne 화면이나 Science 기사 이미지가 아닙니다.
