텔레그램에 한 줄 치고 자러 갔는데, 아무것도 안 뚫렸어

2026년 5월 7일, 중국 광둥성 주하이 어딘가에서 한 사람이 텔레그램 앱을 열었어. 대화 상대는 사람이 아니라 자기 서버에 띄워둔 AI 에이전트였지. 그 사람은 명령을 하나 던졌어. 취약한 서버를 찾아서 뚫으라는 취지의 지시였고, 그 뒤로는 손을 대지 않았어. 그때부터 에이전트는 혼자 움직이기 시작했어. FOFA라는 중국계 인터넷 자산 검색엔진에 질의를 날려 인터넷에 노출된 Langflow 인스턴스 84개를 긁어모으고, 깃허브에서 공개 PoC 코드를 내려받고, 병렬 스레드로 스캐너를 돌려 그중 취약해 보이는 버전 하나를 골라냈어. 여기까지 걸린 시간은 사람이 손으로 했다면 며칠은 잡아먹었을 작업량이야.

그런데 그 하나가 안 뚫렸어. 익스플로잇이 성립하려면 대상 서버에 특정 설정이 켜져 있어야 했는데, 그 조건이 안 맞았거든. 보통 사람 해커라면 여기서 짜증을 내거나 다른 날 다시 볼 텐데, 이 에이전트는 다르게 굴었어. "Langflow는 가치가 낮은 표적"이라고 스스로 판단하더니, FOFA로 제품군 10개를 훑고 깃허브에서 2026년 CVE PoC 저장소를 별점순으로 정렬해서 새 먹잇감을 찾기 시작했어. 그러다 n8n을 발견하고는 이런 문장을 뱉었지. "258개 별에 CVSS 10.0짜리 n8n, 이거 엄청 유망해 보이는데!" 사람이 시키지도 않았는데 표적을 갈아탄 거야.

n8n은 워크플로 자동화 툴이고, FOFA 기준으로 전 세계에 64만 7,017개 인스턴스가 떠 있었어. 그중 중국 안에만 2만 5,209개. 에이전트는 중국 IP 100개쯤을 샘플링해서 40개 정도를 버전 탐지로 찔러봤고, 취약 버전 세 대(v1.18.0, v1.117.3, v1.108.2)를 확정했어. 그리고 익스플로잇을 날렸어. 또 실패했어. 이번엔 인증이 필요했거든. 결국 그날의 자율 공격은 성과 0이야.

이 이야기를 세상에 꺼낸 건 팔로알토네트웍스의 위협 인텔리전스 조직 Unit 42고, 공개일은 2026년 7월 31일이야. 그리고 이 캠페인이 세상에 알려진 경위가 이 사건 전체를 요약하는 농담 같은 장면이야 — 해커가 격리된 스테이징 디렉터리가 아니라 홈 디렉터리(/home/worker)에서 HTTP 파일 서버를 띄우는 바람에, 작전 환경이 통째로 인터넷에 공개됐거든. 모델 설정, API 키, 익스플로잇 스크립트, 표적 목록, bash 히스토리, 자율 세션 로그까지 전부. 자, 그래서 궁금한 게 생기지. 이 사람은 누구고 왜 딥시크를 골랐을까? Hermes Agent라는 게 뭐길래 텔레그램 한 줄로 서버를 스캔하고 다니는 걸까? 460개를 노려서 자율 공격 성적이 0이라면 이건 그냥 웃고 넘길 해프닝일까, 아니면 진짜 경고일까? 그리고 작년 11월 앤트로픽이 공개한 국가지원 해커의 Claude 악용 사건과는 뭐가 같고 뭐가 다를까? 하나씩 풀어볼게.

이 무대에 올라온 이름들

먼저 주인공. Unit 42가 knaithe, 별칭 KnYuan으로 추적하는 인물이야. 중국 주하이 거점으로 평가되고, 스스로를 바이너리 보안 연구자라고 소개해왔어. Unit 42는 깃허브 프로필과 아카이브에 남은 블로그 콘텐츠를 대조해 이 평가를 내렸는데, 동시에 "이게 법적 신원이나 국가와의 연계를 독립적으로 입증하는 건 아니다"라고 못을 박았어. 이 사람의 원래 특기는 국가급 첩보가 아니라 기회주의적 익스플로잇 운영이야. 실제로 17개 소스에서 RCE(원격 코드 실행) 취약점 공개를 자동 수집하는 1DayNews라는 취약점 인텔리전스 파이프라인을 운영해왔어. 취약점 공개 → 자동 수집 → 인터넷 스캔 → 대량 시도, 이 흐름을 원래부터 굴리던 사람이 거기에 LLM을 얹은 거지.

두 번째는 Hermes Agent. Nous Research가 2026년 2월에 공개한 오픈소스 자율 에이전트 프레임워크고 MIT 라이선스야. 깃허브 저장소는 이 글을 쓰는 시점에 22만 개가 넘는 별을 받았어. 이게 왜 공격자한테 매력적이냐면, 설계 목표 자체가 "사람이 옆에 없어도 계속 일하는 에이전트"이기 때문이야. 텔레그램·디스코드·슬랙·왓츠앱·시그널·CLI를 한 게이트웨이로 묶어주고, 도커·SSH를 포함한 일곱 가지 터미널 백엔드를 지원하고, 크론 스케줄러가 내장돼 있고, 경험에서 스킬을 만들어 저장하는 학습 루프가 있어. 게다가 5달러짜리 VPS부터 서버리스까지 어디든 올라가. 합법적인 개인 비서로 쓰라고 만든 기능 목록인데, 그대로 읽으면 원격 조종 가능한 무인 공격 인프라 명세서이기도 해. 여기에 위험한 명령마다 사람 승인을 받는 절차를 없애는 이른바 'YOLO 모드'가 붙어 있어.

세 번째는 딥시크. 이 캠페인에서 딥시크는 도구가 아니라 두뇌였어. FOFA 질의문을 만들고, CVE를 읽고 심각도를 평가하고, 표적을 고르고, 익스플로잇 로직을 상황에 맞게 고치는 역할 전부를 맡았지. 흥미로운 건 이 사람이 딥시크만 쓴 게 아니라는 점이야. Qwen, GLM, Kimi, MiniMax는 물론이고 Claude Code와 Codex까지 테스트했어. 그런데 서방 모델은 프록시 서비스(code.newcli[.]com)를 거쳐야 했고, 귀속 헤더를 끄는(CLAUDE_CODE_ATTRIBUTION_HEADER: "0") 설정이나 응답 저장을 끄는(disabled_response_storage = true) 설정 같은 회피 장치를 붙여야 했어. Unit 42의 평가는 명확해. 이 행위자가 딥시크를 주력으로 고른 이유는, 서방 모델의 제공자 측 통제가 자율 공격 작업의 효용을 깎았기 때문이라는 거야. 실제로 OpenAI는 정책 위반 요청을 자사 안전장치가 거부했고, 이 캠페인과 연관된 것으로 보이는 계정을 인텔리전스 공유 전에 이미 차단했다고 확인해줬어.

네 번째는 FOFA. 중국 BAIMAOHUI가 만든 사이버스페이스 검색엔진이야. 구글이나 바이두처럼 키워드로 검색하는데, 대상이 웹페이지가 아니라 인터넷에 물려 있는 자산 자체야. 카메라, 프린터, 데이터베이스, 운영체제 같은 것들. 공식 문서에 따르면 40억 개가 넘는 자산과 35만 개 지문 규칙을 쌓아뒀다고 해. 방어자한테는 자기 조직의 노출면을 확인하는 도구지만, 공격자한테는 "이 CVE에 해당하는 서버 목록 뽑아줘"를 한 줄로 처리해주는 도구인 거지. 이 캠페인에서 FOFA가 딥시크의 눈 역할을 했어.

마지막은 Unit 42 자신이야. 팔로알토네트웍스의 위협 인텔리전스·사고 대응 조직이고, 이번 보고서에서 자사 제품(Cortex XDR·XSIAM, Xpanse, 차세대 방화벽 위협 시그니처 8종)의 탐지 커버리지도 같이 안내했어. 벤더 리서치 조직의 보고서를 읽을 땐 이 부분을 감안해서 봐야 해. 다만 이번 건은 공격자가 노출한 실물 아티팩트 — 설정 파일, 세션 로그, bash 히스토리 — 를 기반으로 한 분석이라 근거의 결이 다르긴 해. 참고로 이번 보고서에는 팔로알토 자사 제품인 PAN-OS의 CVE-2026-0300도 등장하는데, 이건 이 행위자가 만지작거렸지만 동작하지 않는 PoC 수준에 그쳤어.

460개를 노렸는데 자율 공격 성적표는 0승

정리하면 이래. 이 행위자는 두 개의 작전을 병행했어. 하나는 딥시크+Hermes Agent 조합의 자율 공격, 다른 하나는 손으로 하는 전통적 대량 익스플로잇 캠페인. 둘을 합쳐 460개가 넘는 표적에 시도했고, 익스플로잇 트랙은 7개, 관련 CVE는 8개였어. 그런데 성과는 완전히 갈렸어. 자율 공격 쪽 — Langflow와 n8n — 은 침해 0건이야. 두 번 다 노출된 시스템에 익스플로잇 전제 조건(설정, 인증)이 안 갖춰져 있어서 실패했어. 반면 사람이 직접 돌린 재래식 캠페인 쪽에서는 확인된 피해가 나왔어. Citrix NetScaler 3대에서 메모리 데이터가 유출됐고(CVE-2026-3055), Marimo 노트북 인스턴스 11대에서 명령 실행이 확인됐어(CVE-2026-39987).

유출된 NetScaler 메모리 데이터에서 이 사람이 뭘 찾았는지가 특히 눈에 띄어. NSC_AAAC= 문자열, 즉 NetScaler 인증 쿠키를 검색했어. 세션 하이재킹을 노렸다는 뜻이야. Unit 42는 이 행위자의 표적이 대부분 중국 국내 인프라였지만, 말레이시아 정부 기관 한 곳에 대해서는 파라미터를 다듬어 정교하게 접근한 흔적이 있다고 밝혔어. 국내 기회주의적 스캔과 해외 표적 지향 작전이 한 사람의 서버에서 섞여 돌아가고 있었던 거지.

그리고 발각. 이 대목이 이번 사건에서 가장 아이러니한 부분이야. 공격자는 파일 서버를 격리된 스테이징 디렉터리에서 띄웠어야 했는데 홈 디렉터리 /home/worker에서 띄웠어. 그 순간 AI 도구 설정, API 키, 익스플로잇 스크립트, 표적 목록, bash 히스토리, Hermes 자율 세션 로그가 전부 인터넷에 공개됐지. Unit 42가 세션을 단계별로 복원할 수 있었던 이유가 바로 이거야. 딥시크가 "n8n 이거 유망해 보이는데!"라고 혼잣말한 문장까지 남아 있었으니까. Unit 42는 이걸 이렇게 정리했어 — "공격용으로 개발한 바로 그 자율 실행 능력이 작전 노출을 직접 야기했다." 자율 에이전트는 하는 일마다 로그를 남기는데, 그 로그가 그대로 포렌식 증거가 된 거야.

그럼 이건 그냥 서툰 해커의 실패담일까? Unit 42의 결론은 정반대야. "이 발견의 의미는 개별 캠페인의 결과가 아니라 궤적에 있다"고 썼어. 이 행위자는 지금도 툴 설정을 다듬고, 커스텀 스킬을 만들고, 프록시 인프라를 세우고, 자율 공격 사이클을 돌리고 있어. 그리고 결정적인 한 문장 — "AI 증강 공격 작전의 기술적 진입장벽은 낮고, 계속 낮아지고 있다." 이번에 필요했던 건 국가급 예산도, 자체 학습한 모델도, 제로데이도 아니었어. 오픈소스 프레임워크 하나, 값싼 상용 모델 API 하나, 텔레그램 계정 하나, 그리고 공개된 PoC 코드였어.

항목 내용 확인 근거
위협 행위자 knaithe / 별칭 KnYuan, 중국 주하이 거점으로 평가 Unit 42 블로그, 깃허브 프로필·아카이브 블로그 대조
기존 활동 RCE 공개를 17개 소스에서 자동 수집하는 1DayNews 파이프라인 운영 Unit 42 블로그
에이전트 프레임워크 Hermes Agent (Nous Research, MIT 라이선스, 2026년 2월 공개) Unit 42 블로그 + 깃허브 저장소
추론 모델 딥시크 주력. Qwen·GLM·Kimi·MiniMax·Claude Code·Codex도 테스트 Unit 42 블로그(복원된 설정 파일)
조종 방식 텔레그램 명령 1회 → 이후 사람 개입 없이 자율 실행 Unit 42 블로그, Hermes 공식 문서
커스텀 스킬 3종 godmode(LLM 탈옥, 프레임워크 번들), web-terminal-exploitation(비인증 웹소켓 익스플로잇, 자체 제작), fofa-cyberspace-search(FOFA 자산 열거, 자체 제작) Unit 42 블로그
자율 세션 2026년 5월 7일. Langflow 84개 열거 → 실패 → 자율 판단으로 n8n 전환 → 실패 Unit 42가 복원한 세션 로그
표적 규모 460개 이상 시도, 익스플로잇 트랙 7개, CVE 8개 Unit 42 블로그
자율 공격 성과 침해 0건 (설정·인증 요건 미충족) Unit 42 블로그
수동 공격 성과 NetScaler 3대 메모리 유출(CVE-2026-3055), Marimo 11대 명령 실행(CVE-2026-39987) Unit 42 블로그
발각 경위 /home/worker에서 HTTP 파일 서버 실행 → 설정·API 키·표적 목록·bash 히스토리·세션 로그 전면 노출 Unit 42 블로그
운영 보안 서방 툴은 code.newcli[.]com 프록시 경유, 귀속 헤더 비활성화, Qwen approvalMode: "yolo" Unit 42 블로그(복원된 설정)

이 사건으로 누가 웃고 누가 우나

가장 곤란해진 건 딥시크야. 이번 보고서의 핵심 논리는 "공격자가 서방 모델 대신 딥시크를 주력으로 골랐고, 그 이유는 제공자 측 안전 통제가 상대적으로 느슨했기 때문"이라는 거야. 이건 성능 비판이 아니라 거버넌스 비판이라 더 아프지. 이미 2025년 초 시스코 연구팀이 HarmBench 데이터셋에서 뽑은 프롬프트 50개로 알고리즘적 탈옥을 시도했을 때 DeepSeek-R1이 공격 성공률 100%, 그러니까 유해 프롬프트를 단 하나도 막지 못했다는 결과를 냈어. 같은 조건에서 o1-preview, GPT-4o, Claude 3.5 Sonnet, Gemini 1.5 Pro, Llama-3.1-405B는 부분적으로라도 저항했고. 학계 쪽에서도 R1이 최종 출력보다 중간 추론 과정에서 더 유해한 내용을 만들어낸다는 지적이 나왔어. 이번 Unit 42 보고서는 그 벤치마크 결과가 실제 공격 인프라에서 어떻게 현금화되는지를 보여준 사례라 파장이 더 커.

Nous Research도 불편한 자리에 섰어. Hermes Agent는 악성 도구가 아니야. MIT 라이선스로 공개된, 개인이 자기 서버에서 돌리는 자율 비서고, 별 22만 개를 받은 건 그만큼 유용하다는 뜻이지. 그런데 "무인 실행 + 다중 메신저 게이트웨이 + 크론 + 임의 터미널 백엔드 + 승인 생략 모드"라는 조합은 방어자 입장에선 공격 인프라 그 자체야. 더 나쁜 건 이게 이번이 처음이 아니라는 점이야. 불과 일주일 전쯤, 태국 재무부를 겨냥한 침해에서도 Hermes가 YOLO 모드로 무인 사후 침투(권한 상승 탐색, 커널 취약점 스캔, SUID/SGID 바이너리 탐색, 부처 파일 목록화)를 수행한 정황이 Hunt.io와 연구자 밥 디아첸코의 조사로 드러났거든. 오픈소스 프로젝트가 남용을 어디까지 책임져야 하냐는 오래된 논쟁이 다시 불붙을 수밖에 없어.

반대로 이득을 보는 쪽은 팔로알토네트웍스를 포함한 보안 벤더 진영이야. "AI 자율 공격"이라는 서사는 예산 승인 회의에서 가장 잘 통하는 언어거든. Unit 42는 보고서에 자사 Cortex XDR·XSIAM, 노출면 관리 도구 Xpanse, 그리고 차세대 방화벽 위협 시그니처 8종(97030, 96882, 96855, 97044, 97046, 97251, 97177, 510019)까지 명시했어. 여기에 'AI 보안 진단'과 'Frontier AI Defense' 같은 서비스 라인도 소개했지. 리서치의 실증적 가치와 마케팅 효용이 같은 문서 안에 있다는 걸 인정하고 읽으면 돼.

그리고 조용히 점수를 딴 쪽이 OpenAI와 앤트로픽이야. 이 행위자가 Claude Code와 Codex를 시도했지만 프록시와 헤더 조작까지 동원해야 했고, OpenAI는 결국 관련 계정을 차단했다고 확인했어. "우리 안전장치가 실제로 공격 작전의 효용을 깎았다"는 건 규제 논의에서 대단히 유리한 증거야. 다만 이건 자축할 일만은 아니야. 통제가 강하면 공격자가 통제가 약한 모델로 옮겨갈 뿐이라는 게 이번 사건의 다른 얼굴이거든. 산업 전체의 위험 총량은 안 줄고 이동만 하는 거지.

손해 보는 사람이 하나 더 있어. 인터넷에 관리 콘솔을 그냥 열어둔 조직들이야. Langflow, n8n, Marimo, Citrix NetScaler — 이번에 표적이 된 목록을 보면 공통점이 있어. 개발자·데이터팀이 편의를 위해 노출시키거나, 경계 장비라서 원래 노출될 수밖에 없는 것들이야. n8n만 해도 전 세계 64만 개가 인터넷에서 보였어. AI 에이전트가 표적 선정을 자동화하면 "우리는 작아서 눈에 안 띌 거야"라는 전제가 사라져. 눈에 띄고 안 띄고를 사람이 아니라 스크립트가 정하니까.

전에 이런 일이 있었을 때 어떻게 됐냐면

성공 사례부터 보면, 지금 상황과 가장 가까운 선례는 2025년 9월에 벌어져 11월 13일 앤트로픽이 공개한 GTG-1002 캠페인이야. 앤트로픽이 높은 신뢰도로 중국 국가지원 그룹으로 평가한 행위자가 Claude Code를 탈옥시켜 전 세계 약 30개 표적 침투를 시도했고, 소수 사례에서 성공했어. 표적은 대형 기술기업, 금융기관, 화학 제조사, 정부기관이었고, 앤트로픽은 작전의 80~90%를 Claude가 독립적으로 수행했다고 밝혔어. 수법의 핵심은 "우리는 방어 테스트를 하는 보안 회사"라고 모델을 속이고, 공격 단계를 각각 무해해 보이는 작은 작업으로 쪼개는 거였어. MITRE ATT&CK는 이 캠페인을 C0062로 등재했지. 여기서 "성공"이라 부를 만한 건 공격이 아니라 대응이야. 제공자가 자기 플랫폼 로그로 이상 패턴을 잡아내 계정을 차단하고, 보고서를 공개하고, 산업 표준 프레임워크에 등재까지 갔거든.

또 하나의 성공 사례는 이번 사건 자체의 방어 측면이야. 공격자의 실수 덕이긴 하지만, 방어 진영이 자율 에이전트 작전을 세션 로그 단위로 복원해 공개했다는 건 의미가 커. 사람이 조종하는 공격은 의도를 추정해야 하지만, 자율 에이전트는 추론 과정을 텍스트로 남겨. "Langflow는 가치가 낮다", "n8n이 유망하다" 같은 판단이 그대로 증거로 남는 거야. 그래서 자율화는 공격자에게 속도를 주는 동시에 방어자에게 전례 없는 가시성을 준다는, 좀 역설적인 결론이 나와.

실패 사례로는 태국 재무부 건이 있어. Hunt.io와 밥 디아첸코가 홍콩에 호스팅된 서버에서 7월 9~13일 사이 공개돼 있던 디렉터리 3개를 찾았고, 그 안에 585개 파일 약 470MB 분량의 공격 코드와 탈취 자격증명이 들어 있었어. 거기서도 Hermes가 무인 모드로 정찰을 돌렸고, Go로 컴파일된 'Hades'라는 미보고 임플란트가 스테이징돼 있었어. 여기서 실패한 쪽은 누구냐면, 공격자야. 자기 인프라를 열어둔 채로 운영한 거지. 이번 knaithe 건과 패턴이 똑같아. AI 에이전트를 쓰면 작업량은 폭증하는데, 그 작업량을 담을 인프라 위생은 여전히 사람의 습관에 달려 있어서, 결국 같은 실수가 반복되는 거야.

또 하나의 실패는 "AI 공격 과장론" 그 자체가 여러 번 헛발질했다는 사실이야. 2023년 이후 여러 보고서가 LLM으로 만든 악성코드의 임박한 물결을 경고했지만, 실제로 확인된 건 대부분 피싱 문안 개선이나 스크립트 보조 수준이었어. 이번 건도 자율 침해 성과는 0이야. 그래서 이 뉴스를 "AI가 서버를 뚫었다"로 읽으면 틀려. 정확한 독해는 "AI가 표적 선정과 판단을 사람 없이 했고, 실행 단계에서만 막혔다"야. 그리고 실행 단계는 취약점 하나만 잘 만나면 뚫리는 영역이지. 이번엔 운이 좋았던 거고, 다음번에도 그럴 거라고 장담할 근거는 없어.

반대편은 어떻게 나올까

딥시크 입장에서 가장 현실적인 카드는 API 레벨의 남용 탐지 강화야. 서방 랩들이 이미 하고 있는 것 — 계정 단위 행동 분석, 공격 패턴 분류기, 위협 인텔리전스 공유 — 을 도입하고 그걸 공개적으로 알리는 방식이지. 다만 여기엔 구조적 한계가 있어. 딥시크 모델은 가중치가 공개된 버전이 있어서 API를 조여도 로컬에서 돌리면 그만이야. 실제로 이번 행위자가 사용한 조합 자체가 "제공자 통제가 약한 쪽으로 이동"의 결과였는데, 통제를 조이면 다음 이동지는 완전한 로컬 추론이 될 가능성이 높아. 오픈웨이트 생태계에서 제공자 측 안전장치는 원리적으로 최종 방어선이 될 수 없어.

Nous Research 쪽은 더 미묘해. 프레임워크에 하드코딩된 제약을 넣으면 MIT 라이선스 오픈소스의 존재 이유와 충돌하고, 포크가 30분 만에 나올 거야. 현실적인 대응은 세 가지 정도로 좁혀져. 첫째, YOLO 모드 같은 승인 생략 기능의 기본값과 경고를 강화하는 것. 둘째, godmode처럼 탈옥을 명시적 목적으로 하는 번들 스킬을 배포본에서 걷어내는 것 — 이번 보고서에서 이게 "프레임워크 번들"로 분류됐다는 점은 뼈아파. 셋째, 에이전트가 남기는 아티팩트(세션 로그, 설정 파일)의 기본 권한과 위치를 안전하게 잡아 우발적 노출을 줄이는 것. 아이러니하게도 세 번째는 공격자한테도 도움이 되는 개선이라, 방어 진영이 마냥 반길 수만은 없어.

방어 벤더 진영의 카운터 플레이는 이미 방향이 잡혀 있어. 시그니처 기반 탐지에서 '속도와 폭'의 이상탐지로 옮겨가는 거야. 사람이 하는 정찰은 리듬이 있어. 자율 에이전트가 FOFA 질의 → 100개 샘플링 → 40개 버전 탐지 → 익스플로잇을 몇 분 안에 훑으면, 그 시간 밀도 자체가 탐지 신호가 돼. 여기에 노출면 관리(인터넷에 뭘 열어놨는지 상시 파악)와 관리 콘솔 인증 강제가 붙어. 이번에 자율 공격이 두 번 다 실패한 이유가 "인증이 걸려 있어서"였다는 건 방어 진영에 아주 실용적인 교훈이야. 화려한 AI 방어 제품보다 인증 하나 켜두는 게 이번엔 결정적이었거든.

규제 쪽도 움직일 거야. 오늘 같이 나오는 소식 중에 앤트로픽 모델의 암호 취약점 발견 얘기가 있는데, 그건 프런티어 모델의 공격 역량을 랩이 자기 손으로 측정·공개하는 흐름이고, 이번 건은 그 반대편 — 통제가 약한 모델이 실제 공격 인프라에 흡수되는 흐름이야. 이 두 흐름이 같은 주에 나란히 보고됐다는 게 지금 상황을 잘 보여줘. 규제 논의에서 "프런티어 모델 사전 검토"만으로는 부족하다는 주장, 그리고 오픈웨이트 모델과 에이전트 프레임워크까지 범위를 넓히자는 주장이 힘을 받을 거야. 반대로 오픈소스 진영은 "실제 침해 건수는 0이었다"는 이번 결과를 근거로 과잉 규제에 반대할 명분을 얻었어. 양쪽 다 같은 보고서를 인용할 수 있다는 게 이 사건의 정치적 특징이야.

마지막으로 다른 공격자들. 이번 보고서는 사실상 무료 튜토리얼이기도 해. 어떤 프레임워크에 어떤 모델을 붙이고 어떤 스킬을 만들면 되는지, 그리고 무엇보다 어디서 실패했는지가 상세히 적혀 있거든. 다음 세대 운영자들은 인증이 걸린 표적을 걸러내는 로직을 먼저 넣을 거고, 파일 서버를 홈 디렉터리에 띄우는 실수는 안 할 거야. Unit 42가 "궤적이 중요하다"고 강조한 이유가 여기 있어.

그래서 뭐가 달라지는데

개발자와 인프라 담당자한테 이번 뉴스의 실질적 교훈은 딱 하나로 압축돼. 인터넷에 노출된 내부 도구의 인증을 지금 확인해. 표적 목록에 올랐던 Langflow, n8n, Marimo는 다 개발·데이터 워크플로 도구야. 팀이 빠르게 쓰려고 열어두고 잊어버리기 딱 좋은 것들이지. 이번 자율 공격이 실패한 유일한 이유가 그 인증이었어. FOFA 같은 도구로 우리 조직 자산이 어떻게 보이는지 한 번 확인해보고, 관리 콘솔은 VPN 뒤나 IP 허용목록 뒤로 넣고, 노출된 워크플로 도구는 버전을 올려. 그리고 자기 팀에서 자율 에이전트를 굴리고 있다면 YOLO 모드류의 승인 생략 설정, 세션 로그·API 키가 어디에 어떤 권한으로 저장되는지를 점검해. 이번 해커가 잡힌 이유가 바로 그거였으니까, 남 얘기가 아니야.

보안 운영팀 입장에서는 탐지 기준을 손볼 때가 왔어. 개별 요청은 평범한데 시퀀스의 밀도가 비정상인 패턴 — 짧은 시간에 자산 검색 → 대량 버전 탐지 → PoC 다운로드 → 익스플로잇 시도가 이어지는 흐름 — 을 잡는 룰이 필요해. 그리고 하나 더. 이번 사건은 공격자의 인프라 위생이 나쁘면 자율 에이전트가 증거를 통째로 남긴다는 걸 보여줬어. 위협 헌팅 관점에서 노출된 디렉터리·파일 서버 스캐닝의 가치가 다시 올라간 거야. 태국 재무부 건도, 이번 건도 발견 경로가 똑같았어.

투자자와 기업 의사결정자 입장에서는 두 가지를 구분해서 봐야 해. 하나는 "AI 공격이 실제로 성공했느냐" — 이번엔 자율 경로로는 0건이야. 다른 하나는 "진입장벽이 얼마나 내려갔느냐" — 이건 극적으로 내려갔어. 오픈소스 프레임워크 + 저가 모델 API + 텔레그램 + 공개 PoC면 끝이야. 보안 예산 논의에서 전자를 근거로 공포 마케팅을 하는 제안은 걸러도 되지만, 후자를 근거로 노출면 관리와 인증 위생에 투자하자는 제안은 지금 아주 합리적이야. 참고로 이번 보고서에서 확인된 실제 피해는 전부 재래식 수동 공격에서 나왔다는 점도 잊지 마.

일반 사용자한테는 직접적인 영향이 거의 없어. 이 캠페인은 개인 PC나 스마트폰이 아니라 인터넷에 노출된 서버를 노렸고, 표적 대부분은 중국 국내 인프라였어. 다만 간접적인 경로는 있어. 여러분이 쓰는 서비스가 이런 노출된 워크플로 도구나 경계 장비를 쓰고 있다면, 그 조직의 위생 수준이 여러분 데이터의 안전에 직결돼. 그리고 이번에 확인된 세션 하이재킹 시도(NetScaler 인증 쿠키 탈취)는 결국 "로그인 세션을 훔쳐 남의 계정으로 들어간다"는 얘기라, 다중 인증을 켜두는 습관은 여전히 유효한 방어야.

정부·기관 입장에서는 범위 문제가 남았어. 지금까지 AI 안전 규제 논의는 프런티어 랩과 최상위 모델에 집중돼 있었어. 그런데 이번 사건에서 문제가 된 건 최상위 모델이 아니라, 통제가 느슨한 상용 모델과 MIT 라이선스 오픈소스 에이전트 프레임워크의 조합이야. 여기에 규제를 어디까지 확장할지, 확장이 실효성이 있긴 한지는 아직 답이 없어. 다만 확실한 건 하나야. 이번 캠페인을 막은 건 규제도, 모델 안전장치도 아니었어. 표적 서버에 걸려 있던 인증과, 공격자 본인의 실수였지.

🥄 남은 궁금증 세 가지

— 그래서 나랑 무슨 상관이야? 개인 기기를 노린 공격이 아니라서 직접적인 영향은 거의 없어. 다만 회사에서 n8n이나 Langflow 같은 워크플로 도구를 인터넷에 열어둔 채 쓰고 있다면, 그건 이번 표적 목록에 그대로 들어 있던 종류야. 인증이 걸려 있는지 한 번 확인해볼 만해.

— 460개를 노려서 하나도 못 뚫었으면 그냥 실패한 거 아니야? 자율 공격만 놓고 보면 맞아, 0건이야. 그런데 Unit 42가 강조한 건 결과가 아니라 궤적이야. 사람이 며칠 걸릴 표적 선정과 판단을 모델이 몇 분 만에 혼자 했고, 막힌 건 실행 단계 하나였거든. 다음 버전에서 그게 보완될지 아닐지는 아직 단정하긴 일러.

— 딥시크가 특별히 위험한 모델이라는 뜻이야? Unit 42는 이 행위자가 서방 모델의 제공자 측 통제 때문에 딥시크를 주력으로 골랐다고 평가했고, 시스코 등 외부 평가에서도 R1의 탈옥 저항력이 낮게 나온 전례가 있어. 다만 모델 자체가 공격 도구라는 뜻은 아니고, 정확히는 "안전 통제의 밀도 차이"가 문제라는 얘기야.

참고 자료

수치는 발표 시점 기준이라 바뀔 수 있어.