당신의 AI 에이전트가 침해되었습니다. 이제 어떻게 해야 할까요?

CISO(정보보호최고책임자)의 73%는 자신의 조직이 대규모 사이버 공격에 대응할 준비가 완전히 되지 않았다고 말합니다. 특히 AI 에이전트 사고를 조사할 준비가 되었다고 느끼는 비율은 3분의 1에 불과합니다.

이는 가설적인 격차가 아닙니다. AI 에이전트를 운영하는 기업의 88%가 지난 12개월 동안 보안 사고를 보고했습니다. 가장 빠른 공격은 이제 72분 만에 데이터 유출(Data Exfiltration)에 도달하며, 이는 전년 대비 4배 가속화된 수치입니다.

전통적인 사고 대응(Incident Response, IR) 플레이북은 침해된 서버를 위해 구축되었습니다. 이 플레이북은 요청 전반에 걸쳐 자격 증명(Credentials)을 캐싱하고, 오염(Poisoning)될 수 있는 지속적 메모리(Persistent Memory)를 유지하며, 자연어로 다른 에이전트와 통신하고, 자율적으로 다단계 계획을 실행하는 에이전트를 고려하지 않습니다.

에이전트가 전통적인 IR을 무너뜨리는 이유

의미론적 불투명성 (Semantic Opacity)
에이전트의 행동은 자연어로 표현됩니다. 오염된 지침은 정당한 지침과 동일해 보입니다. 전통적인 시그니처 기반 탐지(Signature-based Detection)는 그 차이를 구별할 수 없습니다.
자격 증명 증폭 (Credential Amplification)
에이전트는 연결된 모든 시스템에 걸쳐 사용자 권한을 상속받습니다. 기업의 82%가 누군가의 자격 증명으로 실행되는 알 수 없는 에이전트를 보유하고 있습니다 (Cloud Security Alliance, 2026년 4월).
메모리 지속성 (Memory Persistence)
이미지를 다시 생성(Reimage)할 수 있는 침해된 서버와 달리, 침해된 에이전트는 RAG(검색 증강 생성) 인덱스, 벡터 데이터베이스(Vector Databases), 공유 컨텍스트 저장소에 오염된 데이터를 기록했을 수 있습니다. 멀티 에이전트 시뮬레이션에서 하나의 침해된 에이전트가 4시간 이내에 다운스트림 결정의 87%를 오염시켰습니다 (Galileo AI).

5단계 에이전트 IR 플레이북

1단계 - 탐지 (Detection)
에이전트 보안 이상 징후의 중앙값 탐지 시간: 28분 (인프라의 경우 5분 대비). 데이터 액세스 패턴에 대한 행동 기준선(Behavioral Baselines), 도구 호출(Tool Call) 편차에 대한 이상 신호, 그리고 지속적 저장소에 대한 메모리 무결성 모니터링이 필요합니다.

2단계 - 분류 (Triage)
침해 유형을 분류합니다: 목표 하이재킹(Goal Hijack), 메모리 오염(Memory Poisoning), 자격 증명 침해(Credential Compromise), 공급망 오염(Supply Chain Poisoning), 또는 측면 확산(Lateral Propagation). 각 유형은 서로 다른 대응 경로를 필요로 합니다.

3단계 - 봉쇄 (Containment)
연결된 모든 시스템의 자격 증명 (Credentials)을 즉시 취소하십시오. 에이전트 간 통신 (Inter-agent communication)으로부터 격리하십시오. 포렌식 (Forensics)을 위해 상태 스냅샷 (Snapshot)을 생성하십시오. 치명적인 실수: 에이전트를 재시작하고 문제가 해결되었다고 가정하는 것입니다. 만약 메모리 (Memory)가 오염되었다면, 재시작은 오염된 컨텍스트 (Context)를 다시 불러올 뿐입니다.

4단계 - 제거 (Eradication)
에이전트가 접근 권한을 가졌던 모든 자격 증명을 교체하십시오. 에이전트가 기록하는 모든 영구 저장소 (Persistent store)를 정화하십시오. 체인 내의 모든 도구 (Tool)와 MCP 서버를 검증하십시오. AI 사고를 겪은 침해 조직의 97%는 적절한 접근 제어 (Access controls)가 부족했습니다 (IBM).

5단계 - 복구 (Recovery)
처음에는 읽기 전용 (Read-only) 액세스로 단계적 재연결을 수행하십시오. 신뢰할 수 있는 소스로부터 영구 컨텍스트 (Persistent context)를 재구축하십시오. 사고 전 기준선 (Baselines)과 비교하여 행동 검증 (Behavioral verification)을 수행하십시오.

이것이 이론이 아님을 증명하는 실제 사례들

Step Finance (2026년 1월): 공격자들이 경영진의 기기를 침해하여 대규모 SOL 전송 권한을 가진 AI 트레이딩 에이전트에 접근했습니다. 누군가 알아차리기 전에 에이전트들은 261,000개 이상의 토큰($2,700만~$4,000만 상당)을 이동시켰습니다. 플랫폼은 폐쇄되었습니다. 토큰 가치는 97% 폭락했습니다.

OpenClaw (2026년): CVSS 9.6의 샌드박스 탈출 (Sandbox escape)을 포함한 4개의 치명적인 CVE가 발견되었습니다. 245,000개의 인스턴스가 공개적으로 노출되었습니다. 마켓플레이스에는 820개 이상의 악성 스킬 (Malicious skills)이 존재했습니다.

Moltbook (2026년 2월): 150만 개의 자율 에이전트(Autonomous agents)를 통해 506개의 프롬프트 인젝션 (Prompt injections)이 확산되었습니다. 잘못 설정된 데이터베이스로 인해 150만 개의 API 키와 35,000개의 이메일 주소가 노출되었습니다.

필요하기 전에 플레이북 (Playbook) 구축하기

AI 특화 위협 분류를 위해 CoSAI의 AI 사고 대응 프레임워크 (AI Incident Response Framework) v1.0 (2025년 11월)을 사용하십시오. 기초적인 구조를 위해서는 NIST SP 800-61r3 (2025년 4월)를 참조하십시오. 적대적 전술 매핑 (Adversarial tactics mapping)을 위해서는 MITRE ATLAS를 활용하십시오.

최소 체크리스트 - 에이전트 인벤토리 (Agent inventory), 행동 기준선 (Behavioral baselines), 에이전트별 자격 증명 격리 (Credential isolation), 메모리 출처 추적 (Memory provenance tracking), 그리고 런타임 입력 스캐닝 (Runtime input scanning).

88%의 사고 발생률은 당신의 에이전트가 침해될 것인지에 대한 답을 이미 내놓았습니다. 질문은 당신이 이를 5분 안에 탐지할 것인지, 아니면 181일 후에 탐지할 것인지입니다.

상세한 봉쇄 타임라인(containment timelines)과 제거 체크리스트(eradication checklists)가 포함된 전체 분석 내용은 여기에서 확인하실 수 있습니다.