Insights
AI가 자동으로 큐레이션·번역·정리하는 기술 동향 피드입니다.
아르텍스라는 자동화 프레임워크를 이용해 가짜 쇼핑몰의 관리자 권한을 우회하는 과정을 다루었습니다. LLM 연결만으로 사이트 구조 파악 및 SQL 인젝션을 통한 인증 우회가 가능했습니다. 새로운 기술보다 모든 공격 과정이 빨라지고 저렴해진 것이 가장 큰 위협입니다.
AI 자동 생성 콘텐츠
본 콘텐츠는 X AI 연구의 원문을 AI가 자동으로 요약·번역·분석한 것입니다. 원 저작권은 원저작자에게 있으며, 정확한 내용은 반드시 원문을 확인해 주세요.
원문 바로가기관리자 권한, AI가 22초에 털었다
관리자 권한 뚫는데 22초. 돈은 0.98달러 썼다는 글을 봤다.
처음엔 중국 AI가 금융권을 해킹했다는 식으로 떴더라. 근데 파보니 그게 아니었다. 아르텍스라는 프로그램이 있는데, 이게 자체적으로 해킹하는 AI 모델이 아니라 그냥 바깥 LLM 모델들을 연결해서 취약점 찾고 공격 명령 실행하는 걸 자동화해주는 틀이더라. 실제로 공격자 서버에서는 중국 딥시크 모델도 나오고 즈푸AI GLM도 나오고 미국 스페이스XAI 그록도 나오고, 심지어 클로드 코드로 작업한 흔적까지 같이 발견됐다고 한다. 그러니까 중국 AI가 해킹했다는 제목부터 반은 낚시였던 거다.
근데 진짜 흥미로운 건 그 다음이었다. IT조선에서 이 아르텍스를 직접 설치해서 챗GPT로 모델 연결해보고, 실습용으로 만들어진 가짜 쇼핑몰(주스숍)에 돌려본 거다. 처음엔 그냥 구조 조사해보라고 시켰더니 3분 12초 걸려서 59번 도구를 호출하며 사이트 구조를 다 파악했다. 두 번째로 관리자 인증 우회라는 목표만 던졌더니, AI가 로그인 기능 뜯어보고 SQL 인젝션 쓰기로 스스로 판단해서 파이썬 코드까지 직접 짜서 실행했다. 결과는 관리자 권한 토큰 발급 성공. 전체 3분 17초, 그 중에서 구체적으로 우회 지시가 나간 뒤부터 성공까지는 딱 22초였다.
여기서 비용이 더 어이없다. 두 번 실험 합쳐서 0.98달러. 천원도 안 든다.
근데 SQL 인젝션 자체는 진짜 옛날 기법이다. AI가 새로운 공격법을 발견한 게 아니라는 거다.
새 수법이 아니라 그냥 모든 게 빨라지고 싸졌다는 게, 오히려 더 무서운 포인트인 것 같다.
이거 보고 나는 반대로 생각했다. 나도 퇴근하고 혼자 만든 앱들 몇 개 서버에 올려놨는데, 한 번도 제대로 보안점검 안 해봤다. 근데 저 기사 방식 그대로 — 내 앱 목표만 던져주고 로그인 뚫어보라고 AI한테 시켜서 내 코드를 스스로 찔러보게 하면, 나도 배포 전에 셀프 모의해킹 한 번 돌릴 수 있겠더라. 주스숍 같은 연습용 사이트도 있으니까 거기서 먼저 감 잡아보면 될 것 같다.
혼자 사이드로 뭐 만들어서 서버에 올려본 사람들, 배포 전에 보안점검 제대로 한 번이라도 해본 사람 있나? 나는 이 기사 보고서야 처음 찔렸다.
출처: IT조선 — '중국 AI'가 해킹했다?…'아르텍스'가 보여준 진짜 위협 [보안TMI]