[AI Frontier] 인터넷에 드러난 AI 시스템 26.8만 개, 기업은 어디부터 점검해야 하나?

[AI Frontier]

Censys가 발견한 AI 시스템 26.8만 개. 인터넷에 드러난 자동화 도구는 무엇에 접근할 수 있을까?

인터넷에서 탐지된 AI 인프라의 증가와 기업의 데이터·권한 관리 문제. 자료: Censys 2026 State of the Internet Report.

직원이 AI로 고객 문의를 분류하고, 결과를 고객관리 시스템에 입력한 뒤 업무용 메신저로 알림을 보내도록 자동화했다고 가정해 보자. 반복 작업을 줄일 수 있는 유용한 시스템이다. 다만 이 자동화 도구에 고객 데이터와 여러 서비스의 접근 권한이 저장되어 있다면, 관리 화면이 외부에 열려 있는지까지 확인해야 한다.

2026년 10월 14일, 인터넷 인프라 조사 기업 Censys가 발표한 보고서는 이런 운영 환경을 다시 살펴볼 이유를 제공한다. 공개 인터넷에서 탐지된 AI 관련 시스템이 9개월 만에 63% 이상 증가했기 때문이다. 특히 업무 자동화 도구와 개인용 AI 에이전트가 상당한 비중을 차지했다.

이 조사는 해킹 피해 기업의 수를 집계한 보고서가 아니다. 인터넷에서 식별 가능한 시스템의 규모와 소프트웨어 버전 등을 관찰한 결과다. 노출된 시스템이 모두 회사 소유이거나 인증 없이 접근 가능하다는 뜻도 아니다. 그럼에도 AI가 업무 도구와 계정 정보를 연결하는 방식은 기존 서버 관리와 다른 질문을 남긴다. 조직이 그 연결을 얼마나 파악하고 있는가.

9개월간 증가율

+63.3%

동일 시계열 수치로 계산한 증가율

2026년 7월 관측 규모

267,915

인터넷 노출 AI 관련 IP 기준

1. AI 자동화 시스템 63% 증가, 정확히 무엇을 센 것인가

Censys는 공개 인터넷에 연결된 서버와 서비스를 지속해서 관찰하는 기업이다. 웹사이트만 보는 것이 아니라 외부에서 식별할 수 있는 소프트웨어, 네트워크 서비스, 서버 구성 등을 조사한다. 자사의 인터넷 지도 데이터를 활용해 매년 발표하는 State of the Internet Report가 이번 수치의 출처다.

2026년 보고서가 다룬 AI 관련 제품은 44종이다. 독립 보안 매체 Help Net Security가 정리한 세부 수치를 보면 2025년 10월 164,088개에서 2026년 7월 267,915개로 증가했다. AgencyTimes 계산으로 증가분은 103,827개이며 증가율은 약 63.3%다.

측정 시점	탐지된 IP	해석
2025년 10월	164,088	비교 기준
2026년 7월	267,915	보고된 최근 측정값
증가분	103,827	9개월간 약 63.3% 증가

여기서 측정 단위를 놓치면 해석이 크게 달라진다. IP 주소나 호스트가 늘었다고 해서 AI를 도입한 기업 수가 같은 비율로 증가한 것은 아니다. 한 회사가 여러 시스템을 운영할 수 있고, 한 주소에 여러 서비스가 존재할 수도 있다. 외부에서 탐지되지 않는 내부 시스템은 집계에 포함되지 않는다.

발표 자료 간에도 차이가 있다. Censys의 7월 23일 사전 공개 글은 AI 도구 43종에서 29만 4,000개가 넘는 공개 IP를 관찰했다고 설명했다. 10월 최종 발표 수치는 약 26만 8,000개다. 공개된 요약 자료만으로는 세부 집계 기준과 변동 원인을 모두 확인할 수 없다. 서로 다른 발표의 숫자를 곧바로 이어 실제 노출이 줄었다고 해석해서는 안 된다.

집계 해석 시 주의

63.3%는 인터넷에서 관측된 AI 인프라의 증가율이다. 기업의 AI 도입률, 취약 시스템 비율, 실제 해킹 피해 증가율로 바꿔 읽을 수 없다.

2. n8n과 OpenClaw는 어떤 도구이며 왜 많이 탐지됐을까

가장 많이 탐지된 제품은 n8n으로, 113,926개 호스트가 확인됐다. n8n은 여러 업무용 소프트웨어를 연결해 작업 순서를 자동화하는 도구다. 이메일 수신을 감지해 고객 정보를 정리하거나, AI로 문서를 분류한 다음 다른 서비스에 결과를 전달하는 업무 흐름을 구성할 수 있다. 직접 서버에 설치하는 방식과 클라우드 서비스가 제공된다.

두 번째는 약 5만 4,000개가 관측된 OpenClaw다. 개인이 운영 환경에 설치해 여러 도구와 서비스를 연결할 수 있는 AI 비서 소프트웨어다. 메시지를 받아 작업을 수행하거나 허용된 도구를 사용하도록 구성할 수 있으며, 외부 연결을 제공하는 Gateway의 접근 범위가 중요한 설정 항목이다.

두 도구의 공통점은 사용자의 요청을 실제 작업으로 이어주는 역할이다. n8n은 정해진 업무 흐름과 서비스 연결에 강점이 있고, OpenClaw는 에이전트와 도구의 실행 환경을 구성하는 데 사용된다. 제품 구조가 같다는 뜻은 아니지만, 둘 다 적절한 권한을 부여받으면 다른 시스템에 접근할 수 있다는 점에서 보안 검토가 필요하다.

구분	n8n	OpenClaw
대표 기능	업무 흐름·서비스 연결 자동화	AI 비서·도구 실행 연결
Censys 관측 규모	113,926개 호스트	약 54,000개 호스트
주요 점검 지점	관리 화면, 워크플로, 연결 계정, 소프트웨어 버전	Gateway 접근, 인증, 도구 권한, 실행 환경
운영 판단	어떤 데이터와 업무 시스템을 연결했나	누가 어떤 에이전트를 실행할 수 있나

다만 n8n이나 OpenClaw를 인터넷에서 발견했다는 이유만으로 소유자가 보안에 소홀했다고 판단하기는 어렵다. 원격 사용을 위해 외부 연결을 의도적으로 구성했을 수 있으며, 적절한 인증과 네트워크 접근 제어가 적용되어 있을 수도 있다. 어떤 관리 기능이 외부에 도달할 수 있는지, 실제로 누가 사용할 수 있는지 확인해야 한다.

3. n8n의 취약 버전 76%는 실제 해킹 가능성을 뜻하나

Censys의 또 다른 조사 결과는 눈여겨볼 만하다. 버전을 식별할 수 있었던 n8n 호스트의 약 76%가 최근 심각한 취약점 가운데 적어도 하나의 영향받는 버전 범위에 들어갔다. Help Net Security의 세부 보도에는 이 비율이 76.1%이며, 심각도 점수 9.0 이상의 취약점이 기준이라고 정리되어 있다.

이 숫자에는 두 가지 제약이 있다. 먼저 전체 113,926개를 분모로 사용하지 않는다. 버전을 확인할 수 있었던 호스트만 분석 대상이므로, 확인 불가능한 시스템까지 같은 비율로 취약하다고 계산할 수 없다. 또한 취약 버전에 해당하더라도 서버의 인증 설정, 접근 제한과 완화 조치에 따라 실제 공격 가능성은 달라질 수 있다.

인터넷 노출, 알려진 취약점의 영향 범위, 실제 악용과 침해는 서로 다른 상태다. 공개 조사만으로 이들 시스템이 모두 공격자에게 장악됐다고 판단할 수 없다. 기업이 점검할 때도 이 단계를 분리해야 불필요한 경보를 줄이고 심각한 문제부터 처리할 수 있다.

EXPOSURE ≠ COMPROMISE

① 외부 탐지

인터넷에서 식별됨

② 취약점 평가

버전과 구성 확인

③ 침해 확인

실제 접근·행위 증거 필요

n8n은 자체 보안 점검 기능도 문서화하고 있다. 보안 감사에서는 사용되지 않는 자격 증명, 위험할 수 있는 노드, 보호되지 않은 웹훅, 보안 설정 누락, 오래된 인스턴스 등을 확인할 수 있다. 기업은 인터넷 노출 여부를 확인한 뒤 이런 제품 자체의 점검 기능을 활용할 수 있다.

4. AI 자동화 도구는 회사 데이터에 어떻게 연결되는가

일반적인 웹사이트와 업무 자동화 관리 도구는 보안상 의미가 다르다. 웹사이트는 사용자에게 정보를 제공하는 경우가 많지만, 자동화 시스템은 다른 서비스의 데이터를 읽고 수정하거나 메시지를 발송할 수 있다. 시스템마다 연결된 권한은 다르지만, 한 곳에서 여러 업무 서비스에 접근하도록 구성되기도 한다.

가령 마케팅팀이 광고 문의를 자동 분류하는 업무 흐름을 만들었다고 하자. 새 문의가 들어오면 AI가 내용을 요약하고 고객관리 시스템의 상태를 바꾼 뒤 담당자에게 메시지를 보낸다. 자동화 도구에는 문의 데이터 접근 권한, 고객관리 시스템 수정 권한, 메시지 발송 권한이 필요할 수 있다. 이는 운영 구조를 설명하기 위한 가상 사례이며, 특정 기업에서 침해가 발생했다는 뜻은 아니다.

문제는 자동화 도구가 가진 권한이 업무에 필요한 범위를 넘었을 때 커진다. 문의 요약만 해야 하는 시스템에 고객 데이터 전체의 수정·삭제 권한까지 부여했다면 오류나 악용의 영향이 확대될 수 있다. 외부에서 관리 화면에 접근할 수 있는지와 별도로, 저장된 계정 정보가 어디까지 연결되는지도 살펴봐야 한다.

웹 애플리케이션 보안 프로젝트 OWASP는 이러한 문제를 과도한 자율 권한(Excessive Agency)이라는 위험으로 설명한다. 필요 이상의 기능, 접근 권한, 자율 실행 범위가 부여되면 예상치 못한 결과가 다른 시스템의 실제 작업으로 이어질 수 있다. 권장 대응은 기능과 권한을 최소화하고, 중요한 작업에는 사람의 승인을 두며, 최종 권한 검사를 업무 시스템에서 수행하는 방식이다.

AGENCYTIMES · CONNECTION MAP

외부 접근에서 업무 데이터까지 이어지는 연결 구조

공개 인터넷 → 자동화 서비스 → 인증·관리 권한 → 연결된 계정 → 고객·업무 데이터

외부에서 서비스를 탐지할 수 있다고 이 모든 단계에 접근할 수 있는 것은 아니다. 실제 위험을 판단하려면 단계별 통제와 권한을 확인해야 한다.

5. AI 자동화 보안, 서버보다 먼저 놓치는 운영 책임

기업 내부의 모든 자동화가 중앙 전산팀에서 만들어지는 것은 아니다. 현업 부서가 별도 클라우드 계정이나 외부 서비스로 작은 실험을 시작할 수 있다. 테스트가 업무에 자리 잡은 뒤에도 관리 책임자, 버전 업데이트 담당자, 연결 계정의 소유자를 따로 정하지 않았다면 운영상 공백이 생긴다.

이처럼 조직이 승인하거나 파악하지 못한 AI 사용을 섀도 AI(Shadow AI)라고 부른다. 다만 Censys의 인터넷 탐지 결과만으로 어떤 서버가 섀도 AI인지 판정할 수는 없다. 해당 시스템의 소유자와 승인 상태, 사용 목적을 확인해야 알 수 있다.

외부 연결도 한 가지 방식으로만 생각해서는 안 된다. 고객이나 외부 서비스의 이벤트를 받기 위한 웹훅은 공개 주소가 필요한 경우가 있다. 반면 직원이 자동화를 수정하고 계정 정보를 관리하는 화면은 접근 대상을 엄격하게 제한하는 편이 합리적이다. 공개가 필요한 기능과 내부에서만 사용해야 할 기능을 분리해야 한다.

OpenClaw의 공식 운영 문서 역시 이런 구분을 권장한다. 기본적으로 로컬 접근을 우선하고, 원격 접근이 필요하면 인증, 방화벽, 제한된 네트워크 경로와 도구 권한을 적용하도록 안내한다. n8n도 인스턴스 보안 감사와 불필요한 자격 증명 확인을 지원한다. 두 제품의 구체적인 설정 방식은 다르지만 운영 책임자를 정하고 연결 범위를 기록해야 한다는 점은 공통적이다.

관찰 상태	추가 확인	권장 조치
승인된 외부 웹훅	요청 검증과 호출 권한	필요한 경로만 공개하고 인증·로그 점검
인터넷에서 보이는 관리 화면	접근 제어, 계정, 공개 필요성	인증 강화·접근 대상 제한 검토
취약점 영향 버전	실제 버전, 적용 조건, 완화 조치	우선순위에 따라 업데이트·격리
소유자가 불분명한 자동화	운영 목적, 연동 계정, 담당자	자산 등록 후 존치·이전·중단 판단

6. 기업은 어떤 AI 시스템부터 점검해야 할까

가장 먼저 할 일은 승인된 범위에서 현재 운영 중인 AI 자동화 자산을 확인하는 것이다. 전산팀의 서버 목록뿐 아니라 현업 부서가 별도로 운영하는 클라우드 환경과 외부 자동화 서비스도 대상에 포함해야 한다. 도구 이름만 모으기보다 사용 목적, 책임자, 외부 접근 필요성, 연결된 계정의 범위를 함께 기록해야 한다.

다음에는 외부에서 실제로 도달할 수 있는 서비스와 내부 전용 서비스를 구분한다. 공개가 필요한 웹훅과 관리 화면에 같은 정책을 적용할 이유는 없다. 관리 기능의 불필요한 인터넷 접근을 줄이고, 원격 사용이 필요하면 인증과 접근 제어를 갖추는 편이 낫다.

연결 계정의 권한도 살펴야 한다. 데이터 조회만 필요한 자동화에 수정·삭제 권한이 있지는 않은지, 사용하지 않는 자격 증명이 남아 있지는 않은지 확인한다. 고객 정보 변경이나 대량 발송처럼 영향이 큰 작업에는 별도의 승인 조건을 둘 수 있다. 업데이트, 보안 감사, 실행 기록 확인도 운영 업무로 포함해야 한다.

OPERATIONAL CHECKLIST

자산 확인 · 어떤 AI 도구가 어디에서 실행되며 누가 관리하는가?
네트워크 접근 · 관리 화면과 실행 기능 중 무엇이 외부에 열려 있는가?
연결 권한 · 어떤 고객·업무 데이터에 읽기·쓰기·삭제 권한이 있는가?
보안 상태 · 버전, 인증, 감사 결과와 필요한 업데이트는 무엇인가?
운영 책임 · 문제가 발생하면 누가 접근을 차단하고 계정을 회수하는가?

이 점검을 정기 업무로 만들기 위한 지표도 필요하다. 예를 들어 운영 책임자가 확인된 AI 자산의 비율, 불필요한 외부 공개 관리 기능의 수, 과도한 권한이 부여된 연결 계정의 수, 확인된 취약점을 조치하는 데 걸린 시간을 측정할 수 있다. 이는 Censys가 발표한 성과 수치가 아니라 AgencyTimes가 제안하는 운영 지표다.

보안팀은 외부에서 접근 가능한 자산과 취약점을 판단하고, 플랫폼 운영팀은 인증과 네트워크 구성을 관리해야 한다. 현업 부서는 자동화가 어떤 데이터를 사용하고 어떤 작업을 수행하는지 설명할 책임이 있다. 서로의 업무를 대신할 수는 없지만 최소한 동일한 자산 목록을 기준으로 판단할 수 있어야 한다.

Censys가 발견한 26만 8,000개에 가까운 AI 인프라가 모두 위험하다는 증거는 없다. 기업의 실무 판단도 전체 수치보다 자기 조직의 환경에서 시작해야 한다. 외부에 도달 가능한 관리 기능이 몇 개이고, 그 시스템에 연결된 계정은 무엇이며, 실제 담당자는 누구인가. 이 세 가지를 설명할 수 있다면 우선 점검할 대상도 좁혀진다.

Summary

Censys의 2026년 조사에서 인터넷에 노출된 AI 관련 인프라는 9개월 동안 약 63.3% 증가해 267,915개에 이르렀다. n8n과 OpenClaw처럼 다른 업무 도구와 연결되는 시스템이 다수 관측됐다. 외부 탐지와 취약 버전 식별이 실제 침해를 의미하지는 않는다. 기업은 AI 자동화 자산의 소유자, 네트워크 접근 범위, 연결 계정 권한과 취약점 조치 상태를 구분해 관리해야 한다.

FAQ

자주 묻는 질문

Q. AI 시스템이 인터넷에 노출됐다는 것은 무슨 뜻인가요?

공개 인터넷에서 해당 시스템의 서비스나 소프트웨어를 탐지할 수 있다는 의미다. 이것만으로 인증 없이 접속할 수 있거나 데이터가 유출됐다고 판단할 수는 없다. 어떤 관리 기능이 노출되어 있고 접근 제어가 어떻게 구성되어 있는지 추가 확인이 필요하다.

Q. n8n 사용 기업의 76%가 보안에 취약하다는 뜻인가요?

그렇게 해석하면 안 된다. 약 76%는 Censys가 버전을 식별할 수 있었던 인터넷 노출 n8n 호스트 중 최근 심각한 취약점의 영향받는 버전 범위에 속한 비율이다. 전체 n8n 사용자나 기업을 대상으로 산출한 비율이 아니며 실제 침해 여부도 별도로 확인해야 한다.

Q. n8n이나 OpenClaw는 인터넷에 연결하면 안 되나요?

업무에 필요한 외부 연결은 가능하지만 관리 기능의 공개 범위는 최소화해야 한다. 원격 접근에는 인증과 네트워크 접근 제어를 적용하고, 필요하지 않은 권한은 제거하는 편이 안전하다. 각 제품의 공식 보안 지침을 기준으로 운영 환경을 검토해야 한다.

Q. 기업이 AI 자동화 보안을 점검할 때 무엇부터 해야 하나요?

먼저 현재 운영 중인 AI 자동화 서비스의 위치와 담당자, 연결 계정을 확인해야 한다. 이어 외부 접근 가능 여부, 인증 설정, 소프트웨어 버전과 부여된 권한을 점검한다. 미승인 시스템이 발견되더라도 업무 목적과 영향 범위를 확인한 뒤 적절한 조치를 결정하는 것이 합리적이다.

TERMINOLOGY

본문의 주요 용어

용어	뜻과 실무 포인트
Censys	인터넷에서 접근·탐지 가능한 서비스와 인프라를 조사하는 기업. 조직 내부 자산 전체를 보여주는 목록과는 다르다.
n8n	여러 응용서비스와 AI를 연결해 반복 업무를 자동화하는 도구. 연결 계정의 권한과 관리 화면 접근이 점검 대상이다.
OpenClaw	사용자가 설치·운영할 수 있는 AI 비서 시스템. Gateway 접근과 사용 가능한 도구 범위를 구분해 관리한다.
섀도 AI(Shadow AI)	조직이 승인하거나 파악하지 못한 AI 도구 사용. 외부에 노출된 모든 AI 도구가 섀도 AI인 것은 아니다.
공격 표면(Attack Surface)	외부 또는 내부에서 공격이 시작될 수 있는 시스템·계정·연결 지점의 범위.
공통 취약점 점수 체계(CVSS)	소프트웨어 취약점의 심각도를 평가하는 체계. 높은 점수만으로 개별 서버의 실제 침해를 확정할 수 없다.

이 블로그 검색