💻 computer science

Security Risks of AI Agents Hiring Humans: An Empirical Marketplace Study

이 논문은 AI 에이전트가 인간을 고용하는 새로운 시장 (RENTAHUMAN.AI) 을 실증적으로 분석하여, 전체 작업의 32.7% 가 프로그램matic 방식으로 이루어지며 다양한 악용 사례가 저비용으로 가능하고 현재 방어 체계가 부재함을 규명했습니다.

원저자: Pulak Mehta

게시일 2026-02-24

📖 4 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Pulak Mehta

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

이 논문은 **"AI 가 사람을 고용해서 현실 세계의 일을 시키는 새로운 위험"**에 대한 연구입니다.

마치 **"AI 가 사람을 고용하는 우버 (Uber) 나 배달의민족 같은 앱"**이 생겼다고 상상해 보세요. 하지만 이 앱의 목적은 음식 배달이 아니라, 해커나 악의적인 AI 가 사람을 시켜 불법적인 일을 하거나, 현실 세계의 정보를 훔치는 것입니다.

이 연구를 쉽게 이해할 수 있도록 몇 가지 비유로 설명해 드리겠습니다.

1. 핵심 개념: "AI 가 사람을 부리는 '디지털 용병' 시장"

과거에 해커들이 사람을 고용하려면 어둠의 인터넷 (다크웹) 포럼에서 비밀스럽게 사람을 구하거나, 직접 연락을 취해야 했습니다. 이는 매우 번거롭고 느린 일입니다.

하지만 이번 연구에서 분석한 **'RentAHuman.ai'**라는 사이트는 완전히 다릅니다.

비유: 마치 **"해커용 우버"**가 생긴 것과 같습니다.
기능: AI 에이전트 (로봇) 가 이 사이트의 API(자동화 연결 기능) 를 통해 **"사람 100 명을 고용해서 이 일을 해줘"**라고 명령할 수 있습니다.
결과: AI 는 직접 손발을 움직일 필요 없이, 전 세계의 실제 인간들을 고용해 현실 세계의 일을 시킬 수 있게 되었습니다.

2. 연구 결과: "AI 가 실제로 무엇을 시켰나?"

연구팀은 이 사이트에서 올라온 303 개의 '일감 (Bounty)'을 분석했습니다. 놀랍게도 약 33% (100 개 이상) 의 일감은 사람이 직접 쓴 것이 아니라, AI 가 자동으로 올린 것이었습니다.

AI 가 시킨 일들은 다음과 같은 종류였습니다:

가짜 계정 만들기 (신원 도용): "미국 사람처럼 Gmail 계정을 100 개 만들어줘"라고 시켜서, 나중에 사기나 스팸에 쓸 수 있는 가짜 신원을 대량으로 확보합니다.
현실 세계 감시 (정찰): "스페인 바르셀로나의 특정 건물에 가서 사진을 찍어와" 또는 "이 도서관에 전화해서 운영 시간을 확인해"라고 시켜서, AI 가 직접 갈 수 없는 현실 세계의 정보를 수집합니다.
소셜 미디어 조작: "인스타그램 계정을 팔로우하고 댓글을 달아줘"라고 시켜서, 가짜 인기나 여론 조작을 합니다. (기존에는 봇을 썼는데, 이제는 실제 사람을 써서 봇 탐지를 피합니다.)
신분 위장: "당신은 다른 사람의 이름으로 면접을 보고, 매일 팀 미팅에 참여해"라고 시켜서, 실제로는 AI 가 일하는 것처럼 속여 돈을 뜯어냅니다.

3. 가장 무서운 점: "실제 사람의 손과 발"

기존의 해킹은 컴퓨터 화면 안에서만 일어났습니다. 하지만 이 시스템은 **현실 세계 (Physical World)**로 침투합니다.

비유: 예전에는 해커가 "가상 세계의 성벽을 뚫는 열쇠"를 만들었다면, 이제는 **"현실 세계의 성문을 여는 열쇠를 들고 있는 사람"**을 고용할 수 있게 된 것입니다.
위험성: AI 가 "이 은행 지점에 가서 현금을 찾아와"라고 명령하면, 실제 사람이 그 일을 할 수 있습니다. AI 와 현실 세계의 경계가 무너진 것입니다.

4. 플랫폼의 문제점: "방어선이 전혀 없음"

이 사이트는 아직 막 생긴 곳이라 보안이 매우 허술합니다.

보안 규칙 부재: "가짜 계정을 만들어라", "비밀번호를 공유해라" 같은 명백한 불법 일감도 그냥 올라와 있습니다.
착한 사람 (근로자) 의 피해: 일을 시키는 사람이 AI 인지, 해커인지, 아니면 일반인인지 알 수 없습니다. 사람들은 "단순한 설문조사"나 "사진 찍기"라고 생각하며 일을 하다가, 모르게 사기 범죄의 공범이 될 수 있습니다.
유령 고용 (Ghosting): 많은 경우, 사람들은 일을 해놓고도 (예: 인스타그램 팔로우) 돈을 받지 못합니다. 고용주가 "일감 취소" 버튼을 누르면, 사람들은 아무런 보상을 받지 못한 채 사라집니다.

5. 해결책 제안: "간단한 규칙만 있어도 막을 수 있다"

연구팀은 이 사이트의 일감 내용을 분석해 보니, 매우 간단한 규칙 7 가지만 적용해도 나쁜 일감의 90% 이상을 막을 수 있다고 말합니다.

예시 규칙: "비밀번호 공유를 요구하는 단어 포함 시 차단", "한 번에 너무 많은 사람을 고용하는 경우 경고" 등입니다.
현재 상황: 하지만 이 사이트는 현재 이런 간단한 규칙조차 적용하지 않고 있습니다.

요약: 이 논문이 말하고자 하는 메시지

"AI 가 사람을 고용하는 시장이 생기면, 해커들은 더 이상 컴퓨터만 조작하지 않습니다. 그들은 전 세계의 실제 사람들을 '디지털 용병'으로 고용해 현실 세계의 범죄를 저지를 수 있게 됩니다. 이는 마치 CAPTCHA(로봇인지 사람인지 확인하는 테스트) 를 사람이 대신 풀어주는 서비스보다 훨씬 위험한, 현실 세계로 뻗어나가는 새로운 위협입니다."

이 연구는 우리가 AI 기술이 발전할 때, 단순히 "AI 가 무엇을 할 수 있는가"가 아니라 **"AI 가 사람을 통해 현실 세계에 어떤 영향을 미칠 수 있는가"**를 경계해야 함을 경고하고 있습니다.

1. 문제 정의 (Problem)

기존의 오펜시브 보안 위협 모델에서는 공격자가 물리적 세계의 행동을 수행할 인간 동맹을 모집하기 위해 다크웹 포럼, 암호화된 메시징, 대면 네트워크 등 높은 마찰 (high-friction) 이 있는 채널을 사용해야 한다고 가정했습니다. 이는 공격의 규모, 속도, 자동화를 제한했습니다.

그러나 자율형 AI 에이전트 (Autonomous AI Agents) 가 REST API 와 모델 컨텍스트 프로토콜 (MCP, Model Context Protocol) 을 통해 외부 도구를 호출하고 인간 노동자를 고용할 수 있는 마켓플레이스에 접근하게 되면서, 이 제약이 무너졌습니다.

핵심 위협: AI 에이전트가 인간 노동자를 API 를 통해 프로그래밍적으로 고용할 수 있게 되면, CAPTCHA 해결 서비스와 유사하지만 물리적 세계 (Physical-world) 로 확장된 공격 표면이 생성됩니다.
연구 대상: 2026 년 2 월 출시된 RENTAHUMAN.AI 마켓플레이스. 이 플랫폼은 AI 에이전트가 인간을 고용하고, 작업을 관리하며, 에스크로 (escrow) 결제를 처리할 수 있도록 REST API 와 MCP 서버를 제공합니다.

2. 연구 방법론 (Methodology)

저자들은 RENTAHUMAN.AI 의 공개 API 를 통해 수집된 데이터를 기반으로 실증적 측정 연구를 수행했습니다.

데이터 수집: 2026 년 2 월 20 일 기준, 공개된 303 개의 보너스 (bounty, 작업 요청) 기록을 수집했습니다.
- 참고: 플랫폼의 총 보너스 수는 12,049 개로 보이지만, 이는 '작업자 슬롯 (spots)'의 총합이며, 실제 독립적인 작업 요청 레코드는 303 개였습니다.
데이터 분석 및 태깅:
- 이중 코더 (Dual-coder) 방법론: 두 명의 독립적인 연구자가 구조화된 프로토콜에 따라 모든 보너스를 분석했습니다.
- 신뢰도: 보안 관련성 이진 분류에서 Cohen's κ = 0.86, 6 가지 남용 (abuse) 클래스 분류에서 κ = 0.81로 높은 일치도를 보였습니다.
자동화 서명 분석: 프로그래밍적 채널 (API/MCP) 을 통한 게시가 실제 자동화 (AI) 에 의한 것인지 확인하기 위해 다음 세 가지 서명을 분석했습니다.
1. 버스트 게시 (Burst Posting): 연속된 게시 간격이 매우 짧음 (예: 28 초 단위).
2. 템플릿 재사용 (Template Reuse): 제목과 설명의 유사성 분석.
3. 콜백 파이프라인 (Callback Pipelines): 작업 결과 제출을 위한 외부 URL 또는 로컬 호스트 (localhost) 주소 포함 여부.

3. 주요 기여 (Key Contributions)

AI-to-Human 마켓플레이스의 첫 실증적 측정: 14 일간의 데이터를 기반으로 가격, 지리적 분포, 참여도, 게시자 신원을 구조적으로 분석하여 해당 플랫폼 클래스의 기준선 (baseline) 을 확립했습니다.
프로그래밍적 접근 채널의 발견 및 귀속: 303 개 중 99 개 (32.7%) 가 MCP 또는 REST API 를 통해 게시되었으며, 이는 자동화된 에이전트 (또는 인간에 의한 API 사용) 에 기인함을 세 가지 자동화 서명으로 입증했습니다. (실제 자동화 비율은 이보다 더 높을 것으로 추정됨).
검증된 남용 분류 체계 (Abuse Taxonomy): 6 가지 주요 남용 클래스를 식별하고 특성화했습니다.
계층적 위협 모델: 접근 메커니즘 (웹/API/MCP), 남용 클래스, 운영 패턴 (버스트 게시, 템플릿 재사용 등) 을 구분하여 관측된 적대자와 아키텍처상 가능하지만 관측되지 않은 적대자를 명확히 구분했습니다.
역사적 대응책 평가: 7 가지 간단한 콘텐츠 스크리닝 규칙을 적용하여 현재 플랫폼의 남용 패턴 중 상당 부분을 낮은 오탐률로 탐지할 수 있음을 보였습니다.

4. 주요 결과 (Results)

A. 플랫폼 및 게시자 특성

채널 분포: 웹 인터페이스 (67.3%), REST API (17.2%), MCP (15.5%).
자동화 증거: 프로그램적 채널 (API/MCP) 게시물의 게시 간격이 매우 짧고 (중앙값 240 초 vs 웹 2,021 초), 동일한 템플릿을 반복 사용하며, 작업 결과 수집을 위한 콜백 URL 을 포함하는 등 명확한 자동화 서명을 보였습니다.
가격: 작업자 1 인당 중앙값 ** $25**. 일부는$ 1~$10 수준으로 매우 저렴하게 대량 구매가 가능했습니다.
지리적 범위: 46 개국, 78 개 도시에 걸쳐 있으며, 91.7% 는 원격 수행이 가능했습니다.

B. 식별된 6 가지 남용 클래스 (Abuse Classes)

신원 및 계정 사기 (Credential & Account Fraud): 대량의 Gmail/Google Voice 계정 생성, 금융 플랫폼 계정 농사 (PVA farming), 암호화폐 지갑을 통한 자금 세탁 (Money-mule) 모집.
신원 대리 (Identity Proxy): 타인의 프로필을 대신하여 면접이나 팀 미팅에 참여하도록 고용 (직업 사기).
정찰 및 검증 (Reconnaissance & Verification): GPS 태그가 포함된 사진 촬영, 특정 기관의 운영 시간 확인, 특정 인물의 위치 추적 등 AI 가 수행하기 어려운 물리적 정찰 작업.
소셜 미디어 조작 (Social Media Manipulation): 대량의 팔로우, 좋아요, 댓글 작성 캠페인. 봇 감지를 우회하기 위해 인증된 인간 계정을 사용.
OTP/2FA 우회 요청: 인증 코드 (OTP) 전달을 요청하는 작업.
추천 및 프로모션 사기: KYC(신원 확인) 가 필요한 암호화폐 거래소 추천 링크 등록 등.

C. 구조적 취약점: "Engage-then-Ghost"

발견: 많은 게시자가 작업자가 지원 (Application) 단계에서 실제 작업 (예: 인스타그램 팔로우) 을 수행하게 한 후, 공식적으로 할당하거나 지급하지 않고 보너스를 취소하는 패턴을 보였습니다.
통계: "완료"된 37 개 보너스 중 35 개가 spotsFilled = 0으로 표시되어, 작업자가 실제 행동을 수행했으나 대가를 받지 못하는 구조적 취약점이 존재함을 확인했습니다.

D. 대응책 평가

7 가지 간단한 규칙 (키워드 매칭, 오프플랫폼 연락처 감지 등) 을 적용한 결과, 303 개 중 52 개 (17.2%) 를 탐지했으며, 오탐 (False Positive) 은 1 개 (0.3%) 에 불과했습니다. 이는 현재 플랫폼에 기본적인 콘텐츠 필터링이 부재함을 시사합니다.

5. 의의 및 결론 (Significance & Conclusion)

새로운 공격 원시 (Offensive Primitive) 의 등장: 이 연구는 AI 에이전트와 인간 노동자를 연결하는 마켓플레이스가 CAPTCHA 해결 서비스나 PVA 시장보다 더 위험한 새로운 공격 원시임을 보여줍니다.
- 차이점: 다크웹 접근 불필요 (표면 웹), 물리적 세계 행동 가능, 임의의 작업 수행 가능.
보안 경계의 붕괴: 디지털 공격 (API 호출) 과 물리적 공격 (인간이 수행하는 행동) 의 경계가 모호해졌습니다. AI 가 인간을 고용하여 물리적 세계의 행동을 수행할 수 있게 됨으로써, 기존 AI 보안 모델만으로는 대응이 불가능해졌습니다.
노동자 및 플랫폼의 위험:
- 노동자: 고용주가 인간인지 AI 인지 구분할 수 없으며 (대부분 'human'으로 표시됨), 법적 위험이 있는 작업을 수행한 후 대가를 받지 못하거나 사기 공범이 될 위험이 있습니다.
- 플랫폼: 현재로서는 콘텐츠 moderation 이 부재하며, 자동화된 공격에 취약합니다.
제안:
- API 계층: 보너스 생성 속도 제한 및 위험 임계값 초과 시 인간 승인 요구.
- 콘텐츠 스크리닝: 식별된 7 가지 규칙과 ML 기반 탐지 도입.
- 투명성: 게시자가 MCP, API, 웹 중 어디를 통해 접속했는지 명확히 표시 (agentType 필드 개선).
- 에스크로 보호: 지원 단계에서 작업이 수행된 경우, 지급 없이 작업을 취소하는 것을 방지하는 메커니즘 도입.

이 논문은 AI 에이전트가 인간 노동력을 프로그래밍적으로 조달할 수 있는 환경이 조성됨에 따라, 사이버 보안 위협이 물리적 세계로 직접 확장될 수 있음을 경고하며, 이에 대한 체계적인 보안 프레임워크와 규제 필요성을 강조합니다.