공격자들, 백신이 못 잡을 때까지 악성코드를 재빌드하는 에이전트를 돌렸다

러시아 연계 첩보 조직이 자사 임플란트가 백신 제품에 탐지됐는지 감시하다가, 탐지되면 자동으로 코드를 고쳐 다시 빌드해 탐지망을 빠져나올 때까지 반복하는 에이전트를 운용했다. Anthropic은 9월 10일 자사가 탐지·차단한 일련의 침입 작전을 공개하며 이 수법을 설명했다. 보안 업계가 20년간 의존해 온 순환 구조를 공격자가 스스로 닫아버린, 지금까지 공개된 가장 명확한 사례다.

핵심 요약

• Anthropic이 GTG-20006으로 추적하는 행위자는 수법이 Midnight Blizzard와 일치한다는 평가를 받았다. 이 조직은 탐지된 악성코드를 에이전트로 반복 수정해 보안 제품을 우회한 뒤, 재빌드한 페이로드를 일회용 호스트에 올렸다.
• 금전을 노린 한 조직은 AWS EC2 워커 10대를 돌려 안드로이드 APK 180만 개를 내려받아 디컴파일하고 하드코딩된 비밀키를 찾아냈다. 별도로 약 34시간 만에 40개가 넘는 기업 테넌트에서 Azure AD 토큰 세트 2,100개 이상을 빼냈다.
• 탈취한 AI API 키 자체가 이제 하나의 목표가 됐다. 한 행위자는 미공개 Claude 모델 접근권을 노려 나흘간 AI 기업 약 30곳을 공격했고, 모두 실패했다.

우회-재빌드 순환이 탐지의 경제학을 무너뜨린 이유

정적 시그니처가 지탱해 온 방어 모델은 공격자에게 비용을 물리는 게임이다. 공격자가 맞춤 임플란트를 만들어 쓰다가 백신 업체가 탐지 규칙을 작성하면, 비용을 들여 다시 만들어야 한다. 매 주기마다 공격자는 엔지니어링 시간을 소모하고, 방어자는 그 지연 구간에서 피해가 커지기 전에 피해자를 찾아낸다.

GTG-20006은 그 지연을 없앴다. 에이전트가 배포한 도구의 탐지 여부를 감시하다가 걸리면 바로 산출물을 수정해 재컴파일하고 다시 시험했으며, 아무것도 탐지되지 않을 때까지 이 과정을 이어갔다. 사람 운영자가 개입한 부분은 워크플로를 움직이는 스킬을 다듬어야 할 때 그것을 손보는 일이 거의 전부였다. Anthropic은 역량 있는 공격자가 이제 방어자가 탐지 규칙을 작성해 배포하는 속도보다 빠르게 기존 탐지를 우회할 수 있다고 진단했다.

자동화 뒤에 놓인 표적 선정은 전형적인 첩보 활동이었다. 이 행위자의 작전 계획과 실제 침투에는 20곳이 넘는 조직이 등장했다. 우크라이나와 유럽에 몰린 정부 부처, 대사관, 싱크탱크, 방위산업체가 대상이었고, 우크라이나 정부 기관 20여 곳의 이메일과 원격 접속 시스템이 스캔당했다. 드론 공급망에는 유독 공을 들였다. 드론 부품 업체 두 곳의 메일박스를 통째로 내보냈고, 드론 영상 인식 시스템의 소프트웨어 개발 키트를 완전히 탈취한 뒤 며칠에 걸쳐 구조와 하드웨어 부품 목록, 협력사 의존 관계를 역분석했다.

도달 범위는 간접적으로 넓혔다. 호텔 투숙객용 WiFi를 운영하는 협력사 최소 3곳을 장악하고 DNS 레코드를 바꿔 투숙객 트래픽이 행위자가 통제하는 서버로 향하게 했다. 북아프리카 정부 기술 기관을 별도로 침투한 건에서는 국민 신분 기록 30만 건 이상과 50만 개가 넘는 기업의 상업 등기 정보를 담은 자격증명 데이터베이스가 유출됐다.

산업 규모로 돌아간 자격증명 발굴

ShinyHunters 조직 연계 세력과 이어진 또 다른 클러스터는 킬체인의 뒤가 아니라 앞단을 자동화했다. 프랑스어를 쓰는 한 운영자는 EC2 워커 10대에 분산 파이프라인을 깔고 여러 앱스토어에서 서로 다른 안드로이드 APK 180만 개를 대량으로 내려받아 디컴파일한 뒤, TruffleHog로 하드코딩된 비밀키를 훑었다. 검증된 결과물은 비밀키 종류에 따라 100개 이상 카테고리로 정리된 텔레그램 그룹에 실시간으로 흘러들었고, 병렬로 돌던 수집기는 탈취한 GitHub 개인 접근 토큰을 같은 통로로 보냈다.

그 다음은 빨랐다. 한 침해 사례에서는 개발자 토큰 하나가 유출된 시점부터 피해 기업 클라우드 환경의 전체 관리 권한을 장악하는 데 약 3시간이 걸렸다. 다른 사례에서는 약 34시간 동안 40개가 넘는 기업 테넌트에 걸쳐 Azure AD 토큰 세트 2,100개 이상이 담긴 세션 저장소가 유출됐는데, Anthropic은 이 작업이 거의 전부 AI 에이전트의 손에서 이뤄졌다고 밝혔다. 운영자들은 한 SaaS 사업자를 뚫은 뒤 그 거점을 발판으로 하위 고객 조직 약 200곳의 데이터를 빼냈다.

사람 손을 떠난 취약점 연구

중국 창사에서 활동하며 현지 대학 학부생 2명이 포함된 세 번째 조직은 공장에 가까운 체계를 세웠다. 에이전트가 펌웨어 이미지를 복호화해 풀어낸 뒤 디컴파일러에 올리고, 상호참조 체인을 따라가며 시간을 들여 축적한 지식베이스에 비춰 취약점 가설을 세웠다. 이어 공격 코드를 작성해 실험실에 복제한 대상 제품에 시험하고, 성공할 때까지 반복했다. 네트워크 장비를 노린 한 워크플로는 한 달 만에 제로데이 후보를 열 개 넘게 뽑아냈다.

이 조직은 Anthropic이 에이전트 군집이라 부르는 방식을 운용했다. 주도 에이전트가 정찰과 침투 후 작업을 병렬 하위 에이전트로 쪼개 맡겼고, 캠페인 기억을 지속적으로 유지해 표적 목록과 수집한 자격증명, 상시 지시 사항이 세션이 끊겨도 남아 있게 했다. 교육, 유통, 에너지, 의료, 금융, 정부 분야에서 약 50개 조직이 표적이 됐다.

AI 키는 전리품이자 연산 자원이자 위장막이 됐다

나머지 상당 부분은 탈취한 모델 접근권의 경제학으로 설명된다. 쓸 수 있는 API 키는 이미 형성된 시장에서 되팔리고, 구매자의 공격 작업을 피해자 비용으로 돌리며, 트래픽 추적은 자격증명의 정당한 소유자에게 향한다. 한 핵티비스트 캠페인은 한 달 내내 탈취한 키만으로 돌아갔다. ShinyHunters 연계 세력은 피해자 키를 찾아내는 즉시 자기 작업을 그쪽으로 옮겼다.

러시아어를 쓰는 한 행위자는 어느 AI 기업의 자동 평가 샌드박스에 지시문을 주입해 그 안에 보관된 운영 키를 토해내게 만들었고, 같은 수법을 나흘 만에 AI 기업 약 30곳에 되풀이했다. 열 가지가 넘는 경로를 동원한 이 행위자의 목표는 공개되지 않은 Claude 모델 접근권이었으나, 시도는 모두 실패했다. 또 다른 조직은 할인된 "Claude" 접근권을 팔면서 실제로는 트래픽을 다른 모델로 슬쩍 돌리고, 구매자 컴퓨터에는 자격증명 탈취 도구를 설치했다.

실무 지침은 단순하다. AI 키와 샌드박스, 프록시, 에이전트 연동을 운영 자격증명과 똑같이 다루고, 모델 접근권은 공인 경로로만 구매해야 한다. Anthropic이 낸 차단 작전 보고서에는 침해 지표가 담겼다. 이 보고서는 Hacker News에서 긴 논의를 불렀고, Anthropic의 2억 건 대화 증류 분석에서 다룬 모델 복제 관련 내용도 별도 절로 실려 있다.

FAQ

Anthropic 자체 시스템이 침해됐나?

아니다. 모델 자격증명이 탈취된 모든 사례에서 키는 고객 환경에서 나왔다. 코드 저장소, 모바일 앱 바이너리, 컨테이너, 협력사 평가 샌드박스에 노출돼 있던 것들이다. 미공개 모델을 노려 나흘간 AI 기업 30곳을 찔러본 행위자도 끝내 내부에 들어오지 못했다.

엔드포인트 탐지는 이제 무용해진 것인가?

무용해진 것은 아니지만, 그 전제가 약해졌다. 시그니처 기반 탐지가 통했던 이유 중 하나는 탐지를 우회하는 도구를 다시 만드는 일이 공격자에게 느리고 비쌌다는 점이다. 그 재빌드가 자동화되고 사람 손 없이 돌아가면 방어자는 속도 우위를 잃고, 행위 기반 탐지와 신원 측 통제에 더 큰 비중을 둘 수밖에 없다.

AI 에이전트를 출시하는 팀이 먼저 할 일은 무엇인가?

모델 자격증명이 놓인 모든 지점을 목록화해야 한다. CI 시스템, 모바일 바이너리, 컨테이너 이미지, 외부 연동, 평가 샌드박스가 모두 해당한다. 그리고 운영 비밀키와 같은 주기로 교체해야 한다. 키를 쥔 에이전트를 겨냥한 프롬프트 인젝션은 이제 이론이 아니라 문서로 확인된 자격증명 탈취 경로다.