자율 AI 에이전트, 6시간 만에 수천 건의 자격증명 탈취

위협 행위자들은 인공지능(AI)을 활용해 공격 작전을 간소화하는 추세를 이어가고 있으며, 금전적 동기를 가진 해킹 그룹 중 하나는 자율 멀티 에이전트 공격 프레임워크를 사용해 6시간 이내에 대규모 자격증명 수집 캠페인을 완수했다.

Google 위협 인텔리전스 그룹(GTIG)은 다양한 동기를 가진 공격자들이 의료·정부·미디어 분야의 독점 AI 모델을 표적으로 삼아 API 자격증명을 탈취하고, 피해자의 클라우드 환경을 장악해 비인가 AI 워크로드를 유지하는 사례를 포착했다고 밝혔다. 이는 공격자들이 첩보 활동·협박·자원 도용을 위해 기업 AI 자산에 점점 더 집중하고 있음을 보여준다.

GTIG 수석 분석가 John Hultquist는 The Hacker News와 공유한 성명에서 "현 시점에서 모든 위협 행위자들이 어떤 형태로든 AI를 활용하고 있으며, 그들의 작전이 이를 통해 이득을 얻고 있다고 봐야 한다"며 "취약점 문제도 우려스럽지만, AI는 여러 다른 영역에도 적용되고 있으며 특히 에이전트 방식으로 적용될 때 더욱 도전적인 상황이 될 것이다. 이는 더 빠르고 규모 있는 적을 만들어낸다. 6시간 만에 대규모 악용 캠페인을 수행한 범죄자들처럼, 우리가 대응할 수 있는 속도보다 빠른 공격에 범죄자들이 몰릴 것"이라고 말했다.

Google은 AI 보조 코딩 도구의 통합이 소프트웨어 개발 주기를 가속화했을 뿐만 아니라, 위협 행위자들의 개발자·AI 코딩 어시스턴트·LLM 보안 스캐닝 도구 표적화를 증가시켜 오픈소스 공급망 위험을 높였다고 지적했다.

이러한 흐름은 주로 TeamPCP(별칭 Altered Spider·UNC6780)라는 금전적 동기의 위협 행위자에 의해 주도됐으며, 이 그룹은 PyPI·npm·Docker Hub를 표적으로 한 일련의 대규모 소프트웨어 공급망 침해를 수행했다. 초기 침해 이후 SANDCLOCK·DUSTMAKER 같은 정보 탈취 악성코드를 배포해 민감한 데이터를 획득하고 AI 코딩 어시스턴트를 표적으로 삼았으며, 이를 직접 판매하거나 랜섬웨어·데이터 탈취 협박 그룹과의 파트너십을 통해 수익화했다.

GTIG는 The Hacker News에 "DUSTMAKER는 TeamPCP 작전에서 SANDCLOCK 정보 탈취 악성코드의 후속 버전"이라며 "SANDCLOCK(2026년 3·4월 사용)은 공개적으로 CanisterWorm으로 불리는 것의 구성 요소로, 주로 Python으로 작성됐으며 Linux에서 작동하고 Kubernetes와 상호작용하도록 설계됐다. 컨테이너 탈출 기능을 포함하며 클라우드·개발자 자격증명 외에 암호화폐 지갑도 표적으로 삼는다"고 설명했다.

"DUSTMAKER(4월 이후 사용)는 CI/CD 파이프라인에 최적화된 크로스플랫폼 JavaScript 페이로드다. 컨테이너 탈출 기능은 없으며, 일부 변종이 암호화폐 지갑을 표적으로 삼기도 하지만 전반적인 초점은 협박 작전을 위한 자격증명 탈취에 있다. AI 어시스턴트 워크스페이스 오염 및 탐지 회피를 위한 프롬프트 인젝션(AI 모델에 악의적 명령을 주입하는 기법) 사용 등 AI 표적화 기술은 DUSTMAKER에만 적용되며 이전 SANDCLOCK 변종에는 없던 기능이다."

이 외에도 Google은 위협 행위자들이 독점 AI 연구 및 모델을 탈취하는 사례를 포착했다 —

• 중국 연계 위협 행위자 UNC6508은 클라우드 환경을 침해해 상용 프론티어 모델이 아닌 로컬 오픈웨이트 모델을 사용하는 로컬 LLM(대규모 언어 모델) 인프라를 배포한 것으로 의심되며, 이를 통해 AI 모델 공급자의 모니터링을 회피하는 것으로 보인다.
• 위협 행위자들이 모델·기술·프롬프트·소스코드·관련 연구 등 독점 AI 데이터를 훔치는 여러 데이터 탈취 협박 작전이 관측됐다.
• 위협 행위자들이 Google AI 모델의 시각·청각 이해, 이미지 생성, 동영상 생성 기능을 표적으로 한 증류 공격(distillation attack, 고성능 모델의 능력을 무단으로 복제·추출하는 기법)을 수행하는 사례도 확인됐다.

공격자들은 또한 악성코드 및 도구 개발을 위해 에이전트형 AI 활용을 늘리고 있으며, 중국 연계 사이버 첩보 그룹은 Gemini를 활용해 자동화된 침투 테스트 프레임워크를 설계·개발했다.

Google은 "해당 그룹은 표적 상태를 관찰하고, 행동을 추론하며, 예측 불가능한 환경에서 작업을 실행할 수 있는 에이전트 아키텍처 구축을 시도했다"며 "계획된 에이전트는 포트 스캐닝 및 서비스 파싱과 같은 탐색 작업을 수행하도록 설계됐으며, 초기 탐색 및 실행 단계를 자동화하려는 의도를 보여준다"고 설명했다.

유사한 활동에 참여한 것으로 파악된 또 다른 위협 행위자는 금전적 동기를 가진 것으로 추정된다. 이 활동은 공격자들이 익명의 조직 클라우드 인프라를 침해해 자율 멀티 에이전트 공격 프레임워크를 배포하고 대규모 자격증명 수집 작전을 수행한 것과 관련됐다.

Google은 "위협 행위자는 AI 코딩 챗봇과 프롬프트, 에이전트 지시 세트를 활용해 6시간 이내에 대규모 자격증명 수집 캠페인을 계획·구축·실행했다"며 "마크다운 형식의 사전 구성된 지시 세트를 작전 플레이북으로 활용해 자동화된 스캐닝과 자격증명 수집을 수행하여 수천 건의 서드파티 자격증명을 탈취했다"고 설명했다.

AI의 통합으로 시스템이 취약점 스캐닝 파이프라인을 자율 관리하고, 실시간으로 문제를 해결하며, 사람의 개입 없이 IP 로테이션 로직을 실행할 수 있었다고 전해진다.

대규모 언어 모델(LLM)의 적대적 오용과 관련된 세 번째 범주는 위협 행위자들이 취약점 연구 강화, 익스플로잇 프로토타입 개발, 복잡한 도구셋 조율, 즉흥적 전술 결정을 위해 이 기술을 실험하는 데서 비롯된다 —

• 정부 기관 표적화 이력이 있는 중국 연계 그룹은 Claude·Gemini·Codex를 사용해 맞춤형 익스플로잇 스크립트를 작성하고, 설득력 있는 스피어 피싱(특정 표적을 노린 정밀 피싱) 미끼를 생성하며, 오류를 디버깅했다.
• Basin Castle(별칭 Mustang Panda)로 알려진 중국 연계 사이버 첩보 그룹은 고가치 표적 연구부터 침해 작전 중 오류 해결까지 다양한 작업에 LLM을 활용했다.
• Ravine Castle(별칭 APT24·COULEE·Pitty Tiger)로 알려진 중국 연계 사이버 첩보 그룹은 Gemini를 사용해 정보 수집, 공격 능력 개발, 영향력 공작을 수행했다.
• 러시아 기반 위협 그룹 UNC5792는 러시아 당국이 관심을 갖는 보안 위협·극단주의 콘텐츠 등 특정 정보를 찾기 위해 Telegram 채널을 분석하는 데 AI 모델을 통합했다.
• Sandworm(별칭 APT44·Sandworm Relic)으로 알려진 러시아 사이버 첩보 그룹은 우크라이나를 대상으로 한 지속적인 작전에서 정보 수집, 사회공학, 워크플로 자동화를 지원하기 위해 Gemini를 활용했다.
• Calanque Ion(별칭 APT42)으로 알려진 이란 해킹 그룹은 Gemini를 포함한 생성형 AI 모델을 정찰 및 표적형 사회공학에 활용했다.
• UNC5267(별칭 IT 워커 사기 계획)·UNC5342(별칭 Contagious Interview) 등 두 북한 위협 클러스터는 탈취한 계정을 사용한 LLM API 대량 등록을 포함해 작전에 AI를 활용했다.
• 북한 연계 금전적 동기의 위협 행위자 Midnight Neptune(별칭 UNC1069)은 사회공학, 소프트웨어 공급망 조작, 자동화된 백도어 개발에 상용 LLM 및 오픈웨이트 모델을 활용했다.
• UNC6240(별칭 ShinyHunters)으로 알려진 금전적 동기의 위협 행위자는 Cloudflare 보안 가드레일을 우회하고 탈취한 디렉터리를 분석해 협박에 활용하기 위해 Claude Code를 사용했다.
• 언더그라운드 행위자들은 WinRAR SFX(Self-Extracting, 자동 압축 해제) 아카이브 구성 요소를 리버스 엔지니어링하기 위해 Ghidra와 Gemini-CLI 에이전트를 결합해 사용했다.

이것이 전부가 아니다. 위협 행위자들은 AI 접근에 대한 수요 증가를 충족하기 위해 자격증명을 탈취하고 언더그라운드에서 기능을 구매하는 데 관심을 보이고 있다. 자격증명은 AI 개발자 구성을 표적으로 삼는 기능을 확장한 Lumma Stealer·Vidar·ACR Stealer 같은 정보 탈취 악성코드를 통해 탈취되는 것으로 보인다.

또 다른 특징은 UNC6508 사례에서 입증된 것처럼 침해된 호스트에 로컬 모델을 호스팅하는 것이다. 서방의 프론티어 AI 연구소들이 자사의 가장 강력한 모델에서 고급 사이버 기능에 대한 접근을 대체로 제한하는 동안, 오픈웨이트 모델의 빠른 성능 향상도 AI 기반 사이버 공격을 촉진할 수 있다는 우려를 키우고 있다.

GTIG는 The Hacker News에 "오픈웨이트 모델은 접근을 민주화하고 안전 가드레일이 없는 로컬·비모니터링 배포를 가능하게 해 증가하는 위험을 초래하며, 특히 '검열 해제(abliterated)' 또는 무검열 변종의 등장으로 더욱 심화되고 있다"며 "API로 제어되는 프론티어 모델은 공급자가 오용을 모니터링할 수 있지만, 오픈 모델은 중앙화된 방어자 가시성이 없어 피싱·악성 스크립팅 같은 작업을 가속화하는 데 위협 행위자들이 뚜렷한 이점을 갖게 된다"고 말했다.

"그러나 오픈 모델은 필수적인 혁신도 이끌기 때문에 단순히 접근을 차단하는 것은 비현실적이다. Gemini Enterprise와 같은 기업용 플랫폼은 기업이 오픈소스 모델을 안전하게 활용할 수 있는 통제된 환경을 제공할 수 있다. 이 균형을 맞추기 위해 Google은 모델 역량을 평가하고 오픈 배포가 용납할 수 없는 보안 위험을 초래하는 시점을 결정하는 Frontier Safety Framework와 CCL(Critical Capability Levels)을 공식화했다."

"이러한 위협 행위자 역량을 완화하려면 궁극적으로 오픈소스 AI에 특화된 업계 전반의 강제 가능한 안전 기준을 수립하고, 검열 해제 체크포인트를 제한하며 공격자의 진입 장벽을 높이기 위한 조율된 플랫폼 정책이 필요하다."