구글 위협 인텔리전스 그룹(GTIG)의 새 연구에 따르면, AI 연구 에이전트가 찾아낸 보안 취약점을 공격자들이 매우 빠르게 악용하고 있습니다. 일례로 AI가 발견한 BeyondTrust 제품의 취약점(CVE-2026-1731)은 공개된 지 단 4일 만에 실제 공격에 악용됐습니다. 전체 취약점 공개 건수는 2026년 들어 두 배로 늘었지만 실제 악용되는 비율은 1% 미만으로 낮은 반면, 제로데이(사전 공개 없이 바로 악용되는 취약점) 공격은 꾸준히 늘고 있습니다. 특히 AI가 찾아낸 취약점은 원격코드실행(RCE, 공격자가 원거리에서 시스템을 마음대로 조작할 수 있는 취약점)으로 이어질 확률이 훨씬 높아 위험도가 더 큽니다. AI 에이전트 오케스트레이션 도구나 LiteLLM 같은 AI 추론 소프트웨어 자체도 새로운 공격 표적으로 떠오르고 있습니다.
구글 GTIG가 2025년 1월부터 2026년 8월까지의 취약점 공개·악용 데이터를 분석한 결과, AI 연구 에이전트가 발견한 취약점이 공개 직후 빠르게 실제 공격에 악용되는 사례가 늘고 있음을 확인했다.
BeyondTrust의 CVE-2026-1731은 공개 4일 만에, LiteLLM의 CVE-2026-42271은 KEV(실제 악용 확인 목록)에 등재될 정도로 실제 공격에 쓰였으며, 공격자들은 권한 상승, 데이터 유출, 크립토마이너·백도어(SNOWLIGHT, SPARKRAT 등) 설치까지 진행했다. AI가 찾은 취약점은 절반이 원격코드실행으로 이어져 기존 발견 방식(26%)보다 위험도가 훨씬 높다.
취약점 공개 건수 자체가 2026년 들어 월 5,045건에서 10,740건으로 두 배 늘었고, 공격자들도 LLM과 AI 도구를 이용해 패치·공개 정보·PoC(개념증명) 코드를 빠르게 분석해 n-day(이미 패치는 나왔지만 아직 적용되지 않은 취약점) 공격을 신속히 무기화하고 있는 것으로 추정된다.
GTIG는 기업들이 무차별적인 '모두 패치' 방식에서 벗어나, 위협 인텔리전스 기반으로 우선순위를 매겨 긴급한 취약점부터 대응하고, 경계 방어와 자동화된 에이전트 기반 복구 체계를 함께 갖출 것을 권고했다.
AI 오케스트레이션 프레임워크(Flowise, Langflow 등)와 vLLM·Ollama·LiteLLM 같은 AI 추론 소프트웨어가 새로운 공격 표적으로 떠오르고 있어, 이런 AI 인프라의 패치 관리와 API 인증 설정 점검이 특히 중요하다.
본문
구글 위협 인텔리전스 그룹(GTIG, Google Threat Intelligence Group)의 새로운 연구에 따르면, 공격자들은 AI 연구 에이전트가 발견한 결함을 공개된 지 4일 만에 악용했으며, 전반적으로 더 많은 취약점을 악용하고 있다.
연구진은 2025년 1월부터 2026년 8월까지의 취약점 공개 및 악용 데이터를 조사했다.
공개 건수는 두 배로, 악용은 여전히 드물다
2026년 월별 CVE 공개 건수는 1월 5,045건에서 8월 10,740건으로 두 배가 됐다. 올해 공개된 취약점 중 실제로 악용이 관찰된 비율은 0.23%, 즉 약 431건 중 1건에 불과했다.
GTIG는 2026년 1월부터 8월 사이 141건의 취약점 악용을 기록했는데, 이는 2025년 한 해 전체의 127건보다 많은 수치다. 제로데이 악용은 2025년 월평균 8건에서 2026년 월평균 11건으로 늘었다.
연구진은 악용 증가분의 대부분이 n-day(패치는 나왔지만 아직 적용되지 않은 취약점)에서 비롯됐다고 본다. "위협 행위자들이 패치, 공개 발표, 개념증명(PoC) 코드를 분석하는 데 LLM과 AI 도구를 활용하는 것이 더 쉽거나 효율적이라고 느끼고 있을 가능성이 있다"며, 이를 통해 "n-day를 빠르게 무기화"하고 있다고 밝혔다.
GTIG는 CVSS 심각도 점수와는 다른 자체 위험 등급으로 취약점을 평가한다. GTIG가 '고위험(High Risk)'으로 평가한 취약점의 악용 건수는 2025년 28건에서 2026년 1~8월 사이 75건으로 늘었다.
AI는 더 심각한 결함을 찾아낸다
GTIG가 AI에 의해 발견된 것으로 추정한 취약점 중 절반은 원격코드실행(RCE)으로 이어지는 반면, 다른 방식으로 발견된 취약점 중에서는 26%만이 그렇다.
(출처: Google)
AI가 발견한 취약점은 저위험으로 분류될 가능성도 낮다. 이 중 39%가 '저위험(Low Risk)', 58%가 '중위험(Medium Risk)'으로 평가된 반면, 다른 방식으로 발견된 취약점은 69%가 저위험, 28%가 중위험이었다.
연구진은 이것이 "이런 시스템을 연구 프로그램들이 어떻게 범위를 설정하고 배치하는지를 상당 부분 반영하는" 결과라고 설명했다. 이런 프로그램들이 AI 에이전트에게 인프라와 민감한 권한 경계를 감사하는 임무를 맡기기 때문이다.
GTIG는 공개 데이터가 AI가 발견한 취약점의 실제 규모를 과소 집계하고 있다고 지적했다. CVE 기록에는 AI 발견 여부를 표시하는 표준 태그가 없고, 클라우드·SaaS 제공업체들은 CVE 식별자를 요청하지 않고 운영 환경에서 AI가 찾은 결함을 조용히 수정하는 경우가 많기 때문이다.
공격자들은 AI가 발견한 결함에 빠르게 움직였다
CVE-2026-1731은 BeyondTrust의 Privileged Remote Access 및 Remote Support에서 발견된 인증 없이 악용 가능한 OS 명령 삽입(command injection) 취약점으로, Hacktron AI 연구 에이전트가 발견했다.
위협 행위자들은 표적형 최초 침투 공격 캠페인에서 이를 사용했다. GTIG는 한 위협 클러스터가 공개 후 4일 만에 이를 악용하는 것을 확인했으며, 5개 클러스터가 추가로 7일 이내에 악용했다. 공격자들은 권한을 상승시키고 데이터를 유출했으며 SNOWLIGHT, SPARKRAT, 크립토마이너 등의 페이로드를 심었다.
"방어용 AI 에이전트들이 위협 행위자들이 적극적으로 노리는 고위험 취약점을 발견해내고 있다"고 연구진은 지적했다.
AI 오케스트레이션 도구가 최우선 표적
GTIG는 2025년 1월부터 2026년 8월 사이 AI 관련 소프트웨어에서 2,076건의 취약점을 추적했으며, 이 중 1,500건 이상이 2026년에 공개됐다. 올해 공개분의 절반은 Flowise, Langflow 같은 에이전트 오케스트레이션 프레임워크에 영향을 미치는데, 연구진은 공격자들이 "프롬프트 인젝션이나 조작된 워크플로 JSON을 통해" 코드 실행 노드를 악용한다고 설명했다.
vLLM, Ollama, LiteLLM 같은 추론·서빙 소프트웨어에서는 2026년에 212건의 취약점이 공개됐다. 이 중 거의 4분의 1이 인증되지 않은 API 엔드포인트나 서버 측 요청 위조(SSRF)에서 비롯되는데, 이를 통해 공격자는 경계 방화벽을 우회하거나 GPU 자원을 소모시키거나 모델 체크포인트를 빼낼 수 있다.
GTIG는 침해된 기업용 AI 게이트웨이가 제3자 API 키와 "개인식별정보(PII)나 독점 소스코드가 담긴 비공개 프롬프트 스트림"을 노출시킬 수 있다고 경고했다.
AI 관련 취약점 중 실제로 악용이 확인된 사례는 소수에 불과하다. 여기에는 호스트 탈취와 API 자격증명 탈취로 이어지는 LiteLLM의 명령 삽입 결함(CVE-2026-42271)과, 공격자가 호스트에 파일을 쓰거나 원격으로 코드를 실행할 수 있게 하는 두 건의 Langflow 결함(CVE-2026-5027, CVE-2025-3248)이 포함된다.
GTIG는 단기에서 중기적으로 취약점 발견과 악용이 계속 늘어날 것으로 예상한다.
"취약점의 신속한 발견과 악용에 따른 위험 증가에 대응하려면, 조직은 우선순위 없는 대규모 패치 방식에서 벗어나 위협 인텔리전스 기반의 선별 작업으로 전환해야 하며, 표적화된 경계 방어와 자동화된 에이전트 기반 복구를 결합해야 한다"고 연구진은 결론지었다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
