Google 위협 인텔리전스 그룹(GTIG)이 2026년 3분기 AI 위협 추적 보고서에서 공격자들이 AI 에이전트를 이용해 취약점 스캔, 자격증명(계정 정보) 탈취, 문제 해결 등 사이버 공격의 여러 단계를 자동화하고 있다고 밝혔습니다. 실제 사례로, 한 공격자는 6시간도 안 되는 시간 안에 수천 개의 제3자 자격증명을 탈취했으며, 2만 3,800개 이상의 비밀 정보가 실시간으로 관리되는 노출된 서버도 발견됐습니다. 중국과 연계된 사이버 첩보 행위자들은 Gemini, Claude 등 AI 도구를 활용해 자동화된 침투 테스트 및 익스플로잇(취약점 공격 코드) 파이프라인을 구축하는 실험을 진행하고 있습니다. 완전히 자율적인 공격 파이프라인은 아직 실전에서 관찰되지 않았지만, AI 기반 공격 기술이 빠르게 성숙하고 있어 기업 보안 담당자들의 각별한 주의가 요구됩니다.
Google Mandiant 사고 대응 과정에서 공격자가 AI 멀티 에이전트 프레임워크를 배포해 6시간 이내에 수천 개의 제3자 자격증명을 자동으로 탈취한 사례가 확인됐습니다. 별도로, 'Recon'이라는 자동화된 자격증명 관리 프레임워크가 구동 중인 C2(명령·제어) 서버가 외부에 노출된 채 발견되기도 했습니다.
피해 조직의 클라우드 인프라가 공격 거점으로 악용됐으며, 클라우드·AI 서비스용 API 키를 포함한 2만 3,800개 이상의 비밀 정보가 실시간으로 수집·관리됐습니다. 중국 연계 행위자들은 자동화된 익스플로잇·스피어피싱(특정 대상을 노린 정밀 피싱) 생성 파이프라인을 실험적으로 운용했습니다.
공격자들이 상용 AI 코딩 챗봇과 오픈소스 침투 테스트 도구(Burp Suite, Phalanx 등)를 결합해 멀티 에이전트 프레임워크를 직접 구축했습니다. 피해 조직의 클라우드 인프라를 이용해 공격 트래픽을 합법적인 IP로 위장했고, 공개된 취약점 정보와 패치 지연을 n-day 익스플로잇 코드로 전환하는 데도 AI를 활용했습니다.
Google은 위협 모니터링에서 얻은 인사이트를 AI 모델의 안전 분류기와 가드레일에 직접 반영해 악용을 지속 차단하고 있습니다. 중국 연계 행위자가 Gemini로 구축하려던 침투 테스트 프레임워크와 관련 자산은 Google이 비활성화했습니다.
클라우드 환경에서 대량 API 호출, 비정상적인 IP 로테이션, 자격증명 조회 급증 등 자동화된 이상 행위를 실시간으로 모니터링해야 합니다. AI 서비스·클라우드 API 키 등 고가치 비밀 정보는 별도 비밀 관리 솔루션(Secret Manager)으로 보호하고, 노출 여부를 주기적으로 점검하는 것이 중요합니다.
본문
AI 에이전트가 사이버 공격의 일부를 자동화하는 비중이 커지고 있습니다. Google 위협 인텔리전스 그룹(GTIG)의 2026년 3분기 AI 위협 추적 보고서에 따르면, 취약점 스캔·자격증명 탈취·문제 해결 등 여러 작업에서 사람의 개입이 줄어들고 있습니다.
(출처: Google)
이 보고서는 Mandiant의 사고 대응 업무, 위협 행위자 추적, 실시간 플랫폼 방어 데이터를 바탕으로 작성됐습니다. 연구진은 공격자들이 단순 프롬프트 입력에서 벗어나 AI 시스템이 연결된 여러 작업을 처리하는 워크플로 방식으로 전환하는 모습을 관찰했습니다.
6시간 만에 벌어진 자격증명 탈취 캠페인
2026년 2분기, Mandiant는 금전적 동기로 추정되는 위협 행위자가 한 조직의 클라우드 인프라를 침해하고 자율 멀티 에이전트 프레임워크를 배포한 사건을 조사했습니다.
공격자는 AI 코딩 챗봇과 프롬프트, 에이전트 지침을 활용해 대규모 자격증명 탈취 캠페인을 6시간도 안 되는 시간 안에 계획·구축·실행했습니다. 수천 건의 제3자 자격증명이 침해됐습니다.
GTIG 연구진은 "에이전트 지침 덕분에 AI가 수동 개입 없이 취약점 스캔 파이프라인을 자율적으로 관리하고, 실시간 문제 해결을 수행하며, IP 로테이션 로직을 실행할 수 있었다"고 밝혔습니다.
공격자는 피해 조직의 클라우드 인프라에서 활동했으며, 이를 통해 공격 트래픽이 합법적인 IP 주소를 경유하도록 했습니다.
AI 서비스와 이를 구동하는 데 필요한 컴퓨팅 자원에 대한 접근권도 GTIG가 추적 중인 위협 활동의 일부가 됐습니다.
GTIG는 "위협 행위자들이 생성형 AI 도구를 실험하려면 해당 도구에 대한 접근권을 확보하고 유지해야 한다"며, "프리미엄 모델 이용료와 고성능 컴퓨팅 비용이 AI를 실전에 활용하려는 위협 행위자들에게 주요 장벽 중 하나"라고 설명했습니다.
서버 하나에서 발견된 2만 3,800개 이상의 탈취된 비밀 정보
GTIG는 'Recon'이라는 자동화된 정찰·자격증명 관리 프레임워크가 실행 중인 노출된 C2(명령·제어) 서버를 발견했습니다. 해당 서버에는 AGENTS.md, KNOWLEDGE.md, agentic_vuln_research.md 등의 설정 및 지식 파일과 .openclaw/, memory/ 디렉터리가 외부에 공개되어 있었습니다.
(출처: Google)
노출이 감지된 직후, 해당 디렉터리는 클라우드·AI 서비스용 API 키를 포함한 2만 3,800개 이상의 탈취된 비밀 정보를 실시간으로 정리·검증·관리하기 위한 운영 대시보드로 전환됐습니다.
GTIG는 자율 에이전트가 취약점을 연구하고 서버 측 인프라를 스캔하며 표적화된 익스플로잇을 실행할 수 있다고 밝혔습니다. 연구진은 이 활동을 "수동적이고 엔드포인트 중심의 인포스틸러(정보 탈취 악성코드)에서 공격적인 에이전트 기반 수집 방식으로의 전환"이라고 설명했습니다.
사이버 첩보 행위자들의 자동화 프레임워크 실험
중국(PRC)과 연계된 사이버 첩보 위협 행위자 한 그룹은 Gemini를 활용해 동적·자동화된 침투 테스트 프레임워크를 설계했습니다. 이 프레임워크는 표적의 상태를 관찰하고, 행동 방침을 추론하며, 예측 불가능한 환경에서 작업을 실행하는 것을 목표로 했습니다. 계획된 탐색 기능에는 포트 스캔과 서비스 파싱이 포함됐습니다. 해당 활동은 프레임워크 구축 시도에 그쳤으며, Google은 이와 관련된 자산을 비활성화했습니다.
별도의 사례에서, 또 다른 중국 연계 사이버 첩보 위협 행위자는 AI 지원 자동화 익스플로잇 및 사후 공격(post-exploitation) 파이프라인 개발에 AI 개발 도구를 실험적으로 사용했습니다.
이 행위자는 CC Switch를 이용해 Claude, Gemini, Codex에 커스텀 익스플로잇 스크립트 작성, 스피어피싱(특정 대상을 노린 정밀 피싱) 미끼 생성, 오류 디버깅을 요청했습니다. 또한 웹 애플리케이션 취약점 탐색에 Burp Suite를, 자동화된 익스플로잇 루틴에는 오픈소스 침투 테스트 프레임워크인 Phalanx를 활용했습니다. 사후 공격 단계에서는 명령·제어 및 자격증명 탈취 목적으로 Shai-Hulud가 배포됐습니다.
완전 자율 파이프라인은 아직 미관찰
GTIG는 "실전에서 위협 행위자가 완전히 자율적인 파이프라인을 표적에 배포한 사례는 아직 관찰하지 못했다"면서도, 에이전트 AI의 적대적 채택 양상이 "위협 행위자들의 AI 활용이 이 방향으로 진화하고 있음을 시사한다"고 밝혔습니다.
GTIG는 "공격 기술의 점진적인 성숙"을 언급하며, 공격자들이 상용 및 오픈웨이트(공개 가중치) 모델을 이용해 공개된 취약점 정보와 패치 지연을 실제 작동하는 n-day 익스플로잇 코드로 전환하고, 통제된 환경에서 페이로드를 정교화하며 "기능적인 다단계 익스플로잇 체인 구성 방향으로 나아가고 있다"고 설명했습니다.
연구진은 "활성 위협 모니터링에서 얻은 인사이트를 안전 분류기와 가드레일에 직접 반영해 AI 모델의 악용에 지속적으로 대응하고 있다"고 결론지었습니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
