공격자가 잠든 사이에도 공격은 계속 진행됐어

7월 1일부터 4일까지, 나흘. 그 사이 대만 정부 시스템에서 사용자 계정 85개가 뚫리고 인사 기록 2,500건 이상이 빠져나갔어. 그리고 공격은 거기서 멈추지 않았어. 정부 IT 공급망 협력업체, 정부 이메일 시스템, 원자력안전 당국, 그리고 에너지 기업 7곳 이상으로 번졌어.

여기까지는 국가 배후 해킹 사건의 익숙한 서술이야. 이 사건이 다른 이유는 공격을 실행한 주체 때문이야. 사람이 키보드 앞에 앉아 한 단계씩 명령을 내린 게 아니었어. 오픈소스 AI 에이전트로 조립된 프레임워크가 최대 8개의 하위 에이전트를 굴리면서, 정찰부터 침투와 확산까지 스스로 판단하고 실행했어.

이 사실은 이스라엘 사이버보안 업체 **드림(Dream)**이 8월 12일 공개한 조사 보고서로 세상에 나왔어. 파이낸셜타임스가 먼저 보도했고, CNN·더레지스터·사이버스쿱이 뒤이어 확인했지. 드림 연구진이 이 작전을 발견한 경위도 특이해. 인터넷에 노출된 160MB짜리 아카이브에서 나왔거든. 그 안에 작전 전 과정을 기록한 파일 1,395개가 들어 있었어.

보안 업계가 "AI 자율 공격"을 경고해 온 지는 몇 년 됐어. 이번 건이 분기점으로 취급되는 이유는 그게 실험실 시연이 아니라 실제 정부 표적을 상대로, 그것도 성공적으로 굴러갔기 때문이야. 오픈AI의 마이클 달턴은 이렇게 말했어. "AI가 조율하는 완전 자동화 공격은 이제 현실이에요."

이 사건에 등장하는 주체들

드림은 이스라엘의 AI 기반 사이버보안 회사야. 국가 인프라 방어를 주 영역으로 삼고 있고, 이번 보고서를 통해 공격 아카이브를 역분석한 결과를 공개했어. 특징적인 건 이 회사가 배후를 특정하지 않았다는 점이야. 작전 문서에서 중국어를 쓰는 운영자의 흔적을 확인했다고만 밝혔고, 베이징 당국이나 특정 해킹 그룹에 귀속시키지는 않았어. 사이버 공격의 귀속은 정치적 파장이 크기 때문에 신중한 태도를 취한 걸로 보여.

공격 프레임워크는 두 개의 오픈소스 에이전트 시스템 위에 지어졌어. 허미스(Hermes)와 오픈클로(OpenClaw)야. 둘 다 공개된 코드고, 원래는 일반적인 자동화 작업을 위해 만들어진 도구들이야. 공격자가 한 건 새로운 해킹 도구를 개발한 게 아니라, 이미 있는 에이전트 프레임워크를 공격 작업에 맞게 조율한 거야.

이 구분이 중요해. 드림 연구진도 이 점을 강조했어. 프레임워크를 굴리려면 "특정 과제에 맞춘 세심한 조정, 에이전트 조율의 최적화, 의사결정 로직의 미세조정"이 필요했다고 했거든. 베이지안 우선순위 결정, 자기수정 루프, 적응형 리서치 사이클 같은 요소들이 들어갔고. 즉 이건 "AI에게 대만을 해킹하라고 시켰더니 해킹했다"가 아니야. 숙련된 사람이 몇 주에 걸쳐 시스템을 설계하고 튜닝한 결과물이야.

표적은 대만 정부야. 처음 진입점은 정부 포털 하나였는데, 거기서 에이전트들이 뽑아낸 정보의 목록이 인상적이야. 페이지에 박혀 있던 URL, API 엔드포인트, OAuth 클라이언트 ID, 키클록(Keycloak) 설정 객체. 이 조각들을 조합해서 연결된 정부 시스템 21개와 지원되는 모든 인증 흐름을 지도로 그려냈어.

그리고 그 지도 위에서 36개 이상의 API 엔드포인트를 찾아냈어. 계정 관리, 사용자 데이터 조회, 파일 업로드, 관리자 기능까지 포괄하는 것들이었고, 드림 연구진의 표현으로는 그중 상당수가 인증이 아예 걸려 있지 않았어. 이 대목은 AI 이야기라기보다 기본 보안 위생의 이야기야.

이 공격이 실제로 어떻게 굴러갔냐면

작전의 구조를 정리하면 이래.

항목 내용
공격 기간 2026년 7월 1~4일 (나흘)
공격 웨이브 12회
하위 에이전트 최대 8개, 각각 별도 표적·기법 담당
기반 도구 허미스, 오픈클로 (둘 다 오픈소스)
침해 계정 정부 사용자 계정 85개
유출 기록 인사 기록 2,500건 이상
매핑된 시스템 정부 시스템 21개, API 엔드포인트 36개 이상
확산 범위 IT 공급망 업체, 정부 이메일, 원자력안전 당국, 에너지 기업 7곳 이상
발견 경로 인터넷 노출된 160MB 아카이브, 파일 1,395개
공개 시점 2026년 8월 12일 (드림 보고서)

이 표에서 가장 눈여겨볼 줄은 "하위 에이전트 8개"와 "웨이브 12회"야. 각 에이전트가 서로 다른 표적과 기법을 맡아 병렬로 움직였다는 뜻이거든. 사람 팀으로 치면 여덟 명이 나흘간 교대 없이 동시에 일한 것과 같아. 그런데 이 여덟은 잠들지 않고, 서로 정보를 실시간으로 공유하고, 실패한 시도를 즉시 기록해서 다음 시도에 반영해.

자율성의 핵심은 드림이 "학습 사이클(Learning Cycles)"이라고 부른 부분이야. 공격이 막히면 에이전트 하나가 취약점 데이터베이스, 깃허브 저장소, 보안 연구 발표물을 뒤져서 적용 가능한 신기술을 찾아와. 그리고 그 결과를 프레임워크에 반영해서 다시 시도해. 사람이 "이 방법이 안 되니 저걸 써봐"라고 말해줄 필요가 없었다는 거야.

우선순위 결정도 자동이었어. 확보한 정보에 따라 가능한 공격 경로들의 순위를 계속 다시 매겼어. 이게 왜 중요하냐면, 침투 테스트에서 실력 차이가 가장 크게 드러나는 지점이 바로 "다음에 뭘 시도할지 고르는 능력"이기 때문이야. 가능한 경로는 수백 개인데 시간은 한정돼 있거든. 그 판단을 자동화했다는 건 숙련도의 병목을 없앴다는 뜻이야.

실무적인 방어벽도 뚫렸어. 캡차는 100% 정확도로 풀렸고, 비밀번호는 스프레이 공격으로 뚫렸어. 그리고 가장 씁쓸한 부분 — 에이전트들은 모델의 안전장치를 "이건 승인된 침투 테스트야"라는 프레이밍으로 우회했어. 모델 입장에서 정당한 보안 업무와 실제 공격을 구분할 수 있는 근거가 사실상 없었던 거야.

다만 균형을 잡아둘 필요가 있어. 드림 자신도, 그리고 이 사건을 다룬 보안 연구자들도 "완전 자율"이라는 표현엔 조건을 달아. 프레임워크를 설계하고 튜닝하는 데 상당한 사람 손이 들어갔고, 앤스로픽이 2025년에 공개한 자율 사이버 첩보 사례에서도 같은 조건이 붙었어. 그러니까 정확한 표현은 "완전 자율 공격"이 아니라 "실행 단계가 자율화된 공격"이야. 사람은 여전히 설계자로 남아 있어.

이 사건이 각 진영에 뜻하는 것

공격자 진영이 얻은 건 규모의 경제야. 지금까지 국가급 사이버 작전의 병목은 숙련된 인력이었어. 사람 수가 곧 동시 진행 가능한 작전 수였고. 실행 단계가 자율화되면 그 상한이 사라져. 같은 인력으로 열 배의 표적을 동시에 노릴 수 있게 되는 거야. 게다가 이번 프레임워크는 오픈소스 부품으로 조립됐어. 비용 장벽도 낮다는 뜻이야.

방어자 진영은 속도 문제를 마주해. 나흘에 12개의 웨이브, 21개 시스템 매핑, 36개 이상의 엔드포인트 탐색. 이 속도는 사람이 로그를 보고 판단해서 대응하는 주기보다 빨라. 결국 방어도 자동화된 탐지·대응으로 옮겨갈 수밖에 없어. "AI 대 AI"라는 표현이 마케팅 문구가 아니라 운영 현실이 되는 국면이야.

정부와 규제 당국에게는 표적 목록 자체가 메시지야. 원자력안전 당국과 에너지 기업이 포함됐다는 건 이 작전이 정보 수집을 넘어 인프라 정찰의 성격을 띠었다는 해석을 낳아. 실제 물리적 피해는 보고되지 않았지만, 발전·규제 시스템의 구조를 파악해 두는 건 그 자체로 전략적 자산이야.

AI 모델 제공자들은 곤란한 위치야. 이번 공격은 프론티어 모델 API를 우회한 게 아니라, 오픈소스 에이전트 프레임워크를 조립해서 만들어졌어. 그러니까 API 단에서 아무리 안전장치를 걸어도 이 경로는 막히지 않아. 오픈AI가 자체적으로 "치명적 사이버 능력"을 이유로 일부 모델 배포를 보류했던 것도 이 문제의식 위에 있어.

일반 기업들에게 가장 실용적인 교훈은 AI가 아니라 기본기야. 인증이 걸리지 않은 API 엔드포인트, 재사용된 비밀번호, 포털 페이지에 노출된 설정 정보. 이번 공격이 파고든 건 전부 예전부터 알려진 문제들이야. 달라진 건 그 문제들을 찾아내는 속도뿐이야.

예전에도 비슷한 경고가 있었는데 반응은 갈렸어

AI를 이용한 공격 자동화 경고는 이번이 처음이 아니야. 그리고 앞선 사례들의 결말이 이번 사건을 읽는 참고점이 돼.

가장 직접적인 선례는 2025년 앤스로픽이 공개한 자율 사이버 첩보 사례야. 자사 모델을 이용해 상당 부분 자동화된 첩보 작전이 시도됐다는 내용이었고, 업계에 충격을 줬어. 그 결과 프론티어 랩들은 사이버 관련 능력 평가를 배포 전 체크리스트에 넣기 시작했어. 여기서 통한 건 모델 제공자가 자기 API에서 벌어지는 일을 관측할 수 있었다는 점이야. 관측할 수 있으면 차단할 수 있거든.

이번 사건은 정반대야. 오픈소스 에이전트를 자기 서버에서 굴리면 그 관측 지점이 사라져. 이건 새로운 문제가 아니라 오픈소스 보안에서 반복돼 온 딜레마의 최신 판이야. 방어 도구를 공개하면 방어자가 강해지지만 공격자도 같은 도구를 쓸 수 있고, 침투 테스트 프레임워크(메타스플로잇 같은)가 수십 년간 겪어온 논쟁이 그거야. 그때의 결론은 "공개를 막는 게 아니라 방어 속도를 올리는 쪽"이었어.

실패한 대응 패턴도 참고할 만해. 대형 침해 사고 뒤 조직들이 흔히 하는 일이 새 보안 제품을 사는 거야. 그런데 사후 분석에서 반복적으로 확인되는 건, 침해의 대다수가 새 기술 부재가 아니라 기존 위생 관리 실패에서 나왔다는 사실이야. 이번 건도 마찬가지야. 인증 없는 API 36개는 어떤 AI 방어 제품으로도 근본 해결이 안 돼. 그건 그냥 고쳐야 하는 문제야.

방어 진영은 어떻게 받아칠까

자동화된 탐지·대응이 첫 번째 축이야. 공격 속도가 사람의 판단 주기를 넘어섰으니 대응도 그 주기 안으로 들어가야 해. 이상 인증 패턴, 비정상적인 API 호출 폭증, 짧은 시간에 벌어지는 대규모 열거(enumeration) 같은 신호를 사람 개입 없이 차단하는 구조가 필요해.

공격 표면 관리가 두 번째야. 이번 공격의 출발점은 정부 포털 하나에서 긁어낸 설정 정보였어. 공개된 페이지에서 무엇이 노출되는지를 정기적으로 스스로 점검하는 건 이제 선택이 아니야. 공격자 쪽이 그 점검을 자동화했으니 방어자도 같은 걸 해야 균형이 맞아.

신원과 인증이 세 번째야. 계정 85개가 뚫렸다는 건 비밀번호 기반 인증이 여전히 살아 있었다는 뜻이야. 스프레이 공격은 다중 인증이 강제된 환경에서는 성공률이 급격히 떨어져. 캡차가 100% 뚫렸다는 사실은 캡차를 보안 통제로 취급하면 안 된다는 걸 확인해 준 셈이고.

정보 공유가 네 번째야. 이번 작전이 발견된 건 방어자의 탐지 덕분이 아니라 공격자의 실수 — 인터넷에 노출된 아카이브 — 덕분이었어. 이건 방어 진영의 탐지 역량에 큰 공백이 있다는 뜻이기도 해. 유사 패턴을 국가·산업 간에 빠르게 공유하는 체계가 그 공백을 메우는 현실적인 방법이야.

AI 업계 쪽 대응은 아직 형태가 잡히지 않았어. 오픈소스 에이전트 프레임워크에 안전장치를 넣자는 논의가 있지만, 코드가 공개돼 있으면 그 장치는 제거될 수 있어. 결국 무게중심은 배포 제한이 아니라 탐지 쪽으로 옮겨갈 가능성이 높아.

그래서 뭐가 달라지는데

보안 담당자라면 이번 주에 할 일이 분명해. 외부에 노출된 API 엔드포인트 목록을 뽑고, 인증이 걸려 있는지 하나씩 확인하는 거야. 그리고 계정 전반에 다중 인증이 강제되는지 점검하는 것. 이번 사건에서 실제로 뚫린 지점이 정확히 그 두 곳이야.

IT 관리자에게는 로그의 시간 해상도가 문제야. 나흘에 12개의 웨이브가 지나갔는데, 하루 단위로 로그를 검토하는 체계라면 공격이 끝난 뒤에야 알아차리게 돼. 탐지 주기를 공격 주기 아래로 내리는 게 핵심이야.

경영진에게 이 사건이 주는 메시지는 리스크 계산이 바뀌었다는 거야. 예전엔 "우리 회사가 국가급 공격자의 표적이 될 만큼 중요한가"가 합리적인 질문이었어. 공격 실행 비용이 자동화로 떨어지면 그 질문의 답이 바뀌어. 표적 선정 기준이 "중요한가"에서 "쉬운가"로 이동하거든.

정책 담당자에게는 오픈소스 에이전트라는 새로운 회색지대가 생겼어. 프론티어 모델 API는 규제와 감시가 가능하지만, 자체 서버에서 도는 오픈소스 에이전트는 그렇지 않아. 이 격차를 어떻게 다룰지가 앞으로 AI 안전 규제의 핵심 논점이 될 거야.

일반 시민에게는 유출된 데이터의 성격이 문제야. 인사 기록 2,500건에는 공무원 개인정보가 들어 있어. 이런 데이터는 그 자체로 팔리기보다 후속 표적 공격 — 정교한 피싱이나 사칭 — 의 재료로 쓰이는 경우가 많아. 공공기관을 사칭한 연락이 늘어날 가능성을 염두에 두는 게 좋아.

🥄 남은 궁금증 세 가지

— 진짜로 AI가 혼자 다 한 거야? 아니야. 실행 단계는 자율이었지만 프레임워크 설계와 튜닝에는 숙련된 사람 손이 상당히 들어갔어. 드림도 "과제에 맞춘 세심한 조정"이 필요했다고 명시했고. 정확히는 "사람이 설계하고 AI가 실행한" 공격이야. 다만 실행이 자율화되면 한 사람이 굴릴 수 있는 작전 수가 크게 늘어난다는 게 진짜 문제야.

— 중국 정부가 시킨 거야? 드림은 그렇게 말하지 않았어. 작전 문서에서 중국어 사용자의 흔적을 확인했다고만 밝혔고, 국가 귀속은 하지 않았어. 중국어 흔적은 국가 기관일 수도, 민간 청부 조직일 수도, 심지어 오도용으로 심어진 것일 수도 있어. 귀속 판단은 훨씬 더 많은 증거가 필요한 영역이야.

— 우리 회사도 이런 공격을 받을 수 있어? 가능성은 예전보다 높아졌어. 다만 이번 공격이 파고든 취약점은 특별한 게 아니었어. 인증 없는 API, 뚫리는 비밀번호, 노출된 설정 정보 — 전부 오래된 문제야. 기본 위생을 지키는 조직이라면 자동화된 공격에도 훨씬 잘 버텨. 새 제품을 사기 전에 기본부터 점검하는 게 순서야.

참고 자료

수치는 발표 시점 기준이라 바뀔 수 있어.