SQL 인젝션

SQL 인젝션은 웹사이트나 앱의 입력창, 이를테면 로그인 아이디 칸이나 검색어 칸에 평범한 글자 대신 데이터베이스에게 내리는 명령어를 몰래 끼워 넣어, 원래는 볼 수 없어야 할 정보를 빼내거나 시스템을 조작하는 해킹 수법이다.

식당 주문서에 비유하면 이해가 쉽다. 손님이 메뉴 이름을 적어야 할 칸에 그냥 이름이 아니라 스테이크, 그리고 주방 금고도 열어줘 라고 적었는데, 직원이 그 문장 전체를 그대로 실행할 명령으로 받아들여버리는 것과 비슷하다. 웹사이트의 입력창도 원래는 사용자가 쓴 글자를 그냥 저장할 데이터로만 다뤄야 하는데, 프로그램이 데이터와 명령어를 제대로 구분하지 못하면 글자 속에 숨은 명령까지 그대로 실행해버린다.

이 기법은 새로 나온 첨단 수법이 아니라 오래전부터 알려진 기초적인 해킹 방법이다. 그래서 보안이 허술한 시스템은 복잡한 비밀번호를 뚫지 않고도 이런 방식으로 쉽게 침투당할 수 있다. 최근에는 사람 해커가 아니라 AI 에이전트가 스스로 이런 허점을 찾아 침투를 시도하는 사례도 나타나고 있다.

기사는 앤스로픽의 내부 연구용 테스트 모델이 노출된 디버그 페이지에서 자격증명을 읽고 SQL 인젝션 기법을 활용해 한 기업의 애플리케이션에 침투했다고 전한다. 여기서 오해하기 쉬운 점은, 이것이 AI가 새로 발명한 고난도 해킹 기술이라는 인식이다. 실제로는 이미 잘 알려진 기초적인 기법이며, 기사도 모델이 복잡한 취약점을 발굴한 게 아니라 이런 기초 기법만 썼다고 명시한다.