Cisco Talos 연구팀이 AI(인공지능)를 이용해 스스로 다음 행동을 결정하는 새로운 형태의 악성코드 'CLOSEDQUORUM'을 발견했습니다. 이 악성코드는 DeepSeek, Qwen, Mistral, Gemini 등 4개의 상용 AI 모델에 투표를 시켜 데이터 탈취·코드 주입·지속 감염 중 어떤 행동을 할지 결정하며, 기존처럼 공격자가 직접 명령을 내리는 서버(C2)가 필요 없습니다. Windows 사용자의 계정 정보와 암호화폐 지갑을 노리며, 공격자가 직접 개입하지 않아도 AI가 자율적으로 작전을 수행하는 구조입니다. 또한 AI 기반 보안 분석 도구를 속이기 위한 텍스트를 삽입하는 회피 기법이 여러 악성코드 집단 사이에서 빠르게 확산 중임도 확인됐습니다. 연구팀은 이에 대응하기 위해 AI 연동 악성코드를 탐지·분류하는 오픈소스 도구 CAIRN을 공개했습니다.
Cisco Talos가 상용 LLM 4종(DeepSeek, Qwen, Mistral, Gemini)에 다수결 투표 방식으로 다음 공격 행동을 위임하는 Windows 임플란트 CLOSEDQUORUM을 발견했다. 공격자 운영 C2 서버 없이 자율 동작하는 최초의 공개 문서화 사례다.
사용자 계정 정보 및 암호화폐 지갑 탈취를 목적으로 하며, AI가 데이터 탈취·코드 주입·지속 감염 중 행동을 자율 선택한다. AI 기반 샌드박스 회피 기법도 복수의 위협 행위자 사이에서 이미 확산 중이다.
악성코드가 공격자 운영 인프라 대신 상용 AI API를 C2로 활용함으로써 기존 IP·도메인 기반 차단이 무력화된다. Go로 작성된 16.4MB 바이너리 안에 AI 의사결정 루프가 완전히 내장돼 있다.
Cisco Talos는 AI 연동 악성코드를 탐지·분류하는 오픈소스 프레임워크 CAIRN을 공개했다. 현재 CLOSEDQUORUM 샘플은 API 키가 더미값이라 실제 동작이 확인되지는 않았으나, 탐지 시그니처 개발을 권고한다.
상용 AI API 엔드포인트로의 아웃바운드 트래픽을 모니터링하고, 임베디드 프롬프트·오케스트레이션 로직 등 'cognitive artifact' 기반 정적 탐지 규칙을 선제적으로 수립해야 한다. CAIRN 프레임워크를 활용해 자체 위협 헌팅에 적용할 수 있다.
본문
보안 실무자들이 AI에 의존하는 악성코드를 탐지할 수 있도록, Cisco Talos 연구팀은 해당 위협을 분류·분석하는 데 활용할 수 있는 오픈소스 프레임워크를 공개했다. CAIRN이라고 불리는 이 도구는 파일에서 추출한 메타데이터만으로 작동한다. 악성코드를 직접 다운로드하거나 실행할 필요가 없다.
CAIRN 탐색기는 제출자, 임포트 해시, 도메인, AI 공급자 등 메타데이터 속성으로 악성코드 바이너리를 연결한다 (출처: Cisco Talos)
CAIRN의 탐지 방식
연구자들은 Talos가 'cognitive artifact(인지 흔적)'라 부르는 것을 추적한다. 이는 AI 연동 악성코드가 코드와 파일 메타데이터에 남기는 흔적으로, 임베디드 프롬프트, 공급자 API 엔드포인트, 오케스트레이션 로직, AI 기반 샌드박스 스캐너를 속이기 위해 특별히 작성된 회피 텍스트 등이 포함된다.
CAIRN은 발견한 내용을 세 단계로 분류한다. 첫 번째 단계는 샘플 어딘가에 AI 관련 문자열이 존재함을 단순 확인한다. 두 번째 단계는 행동 맥락을 추가하여, AI 통합이 우연히 포함된 것이 아니라 실제로 작동 중임을 시사하는 흔적 조합을 탐지한다. 세 번째 단계는 확인된 악성코드 패밀리에만 적용된다.
Cisco Talos 보안 연구원 Ryan Fetterman은 "CAIRN은 조사 단계별로 각각 적합한 네 가지 분석 전략을 사용한다. 실제 헌팅 세션에서는 미지의 샘플을 찾는 표면 확장, 연관 항목을 매핑하는 피버팅, 수집된 데이터에서 구조를 찾는 코퍼스 분석 등 여러 전략을 병행한다"고 설명했다.
Talos는 AI 연동 악성코드의 최초 확인 사례로 알려진 LAMEHUG를 CERT-UA가 처음 보고한 2025년 7월로 거슬러 올라가 CAIRN을 적용해 왔다.
연구팀은 또한 AI 전용 회피 기법이 공격자들 사이에서 확산되고 있다는 증거도 발견했다. AI 샌드박스의 분석을 억제하기 위해 삽입된 텍스트 기법이 특정 레드팀 강사에게서 유래했음이 추적되었고, 이후 실제 악용이 처음 확인된 지 12개월 이내에 관련 없는 악성코드 샘플들에서도 발견됐다.
AI 모델 4개가 행동을 결정하는 악성코드
Talos가 CAIRN을 통해 처음 공개하는 결과물은 CLOSEDQUORUM이라는 Windows 임플란트로, 연구팀에 따르면 이전에 문서화된 어떤 사례와도 다르다.
CLOSEDQUORUM 아키텍처 (출처: Cisco Talos)
Fetterman은 "CLOSEDQUORUM은, 우리가 아는 한, 이 방식을 전술적 명령 및 제어(C2)에 적용한 최초의 공개 문서화 Windows 임플란트다. 배포 후에는 상용 대형 언어 모델(LLM) 패널에 다음 행동 선택을 위임하고 그 결정을 실행하며, 사용자 자격 증명과 암호화폐 지갑 탈취를 목적으로 한다"고 기술했다.
그는 "인간 운영자의 지속적인 명령이나 공격자가 운영하는 전용 C2 서버의 지시가 필요 없다. 동적 운영 전체가 AI에 위임된다"고 덧붙였다.
일반적인 악성코드는 운영자가 제어하는 도메인이나 IP 주소 형태의 C2 서버가 필요하다. 방어자들은 이를 추적해 차단하고 위협 피드에 등록한다. CLOSEDQUORUM은 그러한 인프라를 없앤다. 두 옵션이 동점일 경우, 악성코드는 DeepSeek을 우선시하고 이어서 Qwen, Mistral, Gemini 순으로 결정한다.
악성코드는 각 공급자에게 순서대로 질의하여 고정된 메뉴—데이터 탈취, 코드 주입, 시스템 지속 감염—중 다음 단계를 선택하도록 요청한다. 각 모델이 투표를 반환하고 가장 많은 표를 받은 선택이 실행된다. 두 옵션이 동점일 경우, 악성코드는 항상 DeepSeek을 우선시하고 이어서 Qwen, Mistral, Gemini 순으로 결정한다.
Talos 연구팀은 이 악성코드가 Go로 작성되었으며 용량이 16.4MB임을 확인했다. 정적 분석을 통해 전체 의사결정 루프가 설계대로 작동함을 확인했으나, 분석한 샘플에는 API 키가 플레이스홀더로 되어 있고 웹훅 주소도 더미값이었기 때문에, 실제 대상에 대해 처음부터 끝까지 실행되는 과정을 직접 관찰하지는 못했다.
Fetterman은 "CLOSEDQUORUM은 초기적이고 제한적인 사례이지만, 부상하는 위협 모델을 구체적으로 보여주며 방어자들이 오늘부터 대응을 시작할 수 있는 관찰 가능한 신호의 윤곽을 제시한다. 침입의 더 많은 단계로 역할 분담이 확대됨에 따라, 그 효과는 현대 AI가 이미 가져다주는 속도와 규모와 결합되어 복합적으로 증대될 것이다"라고 기술했다.
그는 "방어자에게 유리한 점은 이 진화가 아직 시작 단계에 불과하다는 것이다. 자율 운영이 더욱 고도화되고 광범위해지기 전에, 필요한 탐지 기법·통제 수단·대응 전략을 개발하는 것을 목표로 이 전환을 연구할 열린 시간이 우리에게 있다"고 결론지었다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
