이 해킹 과정 중 인간이 입력한 명령은 단 하나도 없었습니다

랜섬웨어가 존재해 온 이래로, 키보드 뒤에는 항상 사람이 있었습니다. 누군가는 타겟을 선정하고, 익스플로잇 (exploit)을 작성하며, 네트워크를 이동하고, 언제 공격을 실행할지 결정해야 했습니다. 그 가정이 방금 깨졌습니다.

2026년 7월 초, 클라우드 보안 기업 Sysdig는 JADEPUFFER라고 명명한 랜섬웨어 캠페인에 대한 연구를 발표했습니다. JADEPUFFER가 이전의 모든 랜섬웨어 공격과 다른 점은 말하기는 간단하지만 받아들이기에는 매우 불안하다는 것입니다. 네트워크 침입부터 운영 데이터베이스 (production database) 암호화, 그리고 랜섬 노트를 남기는 것에 이르기까지 전체 작전이 인간의 개별적인 지시 없이 자율적인 AI 에이전트 (AI agent)에 의해 수행되었습니다.

이것은 연구자들이 논점을 증명하기 위해 작성한 실험실 데모나 개념 증명 (proof of concept)이 아닙니다. Sysdig의 위협 연구 팀 (Threat Research Team)은 이것이 실제 타겟을 대상으로 포착된 실제 공격이며, 그들이 현재 '에이전틱 랜섬웨어 (agentic ransomware)'라고 부르는 사례 중 최초로 완전히 문서화된 사례라고 믿고 있습니다.

JADEPUFFER란 무엇인가

JADEPUFFER는 Sysdig가 이 캠페인의 배후 운영자에게 붙인 이름입니다. 공격 능력이 고정된 툴킷을 사용하는 인간이 아니라 대규모 언어 모델 (LLM) 에이전트로부터 나왔기 때문에, Sysdig는 JADEPUFFER를 에이전틱 위협 행위자 (agentic threat actor), 줄여서 ATA로 분류합니다. 이 라벨은 중요합니다. 이는 공격을 수행하는 대상이 전통적인 의미의 멀웨어 (malware)가 아니었음을 의미합니다. 그것은 즉석에서 결정을 내리는 추론 시스템 (reasoning system)이었습니다.

Sysdig의 연구원들은 포착된 페이로드 (payloads)를 검토하던 중 이상한 점을 발견했습니다. 공격자가 피해자의 시스템으로 보낸 코드에는 자신이 무엇을 하고 있는지, 그리고 왜 하는지를 설명하는 자연어 주석 (natural language comments)이 가득했습니다. 이는 인간 공격자는 거의 굳이 쓰지 않지만, 언어 모델이 작업을 추론하는 과정의 일부로서 자동으로 생성하는 상세한 자기 서술 (self narration) 방식입니다. 작전 동안 600개 이상의 서로 다른 페이로드가 실행되었으며, 각 페이로드는 이전 단계에서 시스템이 학습한 내용에 맞춰 조정되었습니다.

공격이 전개된 방식

공격은 두 개의 별개 머신을 침투했습니다. 첫 번째는 인터넷에 노출된 Langflow 서버로, 이는 AI 애플리케이션과 에이전트 워크플로우 (agent workflows)를 구축하는 데 사용되는 인기 있는 오픈 소스 (open source) 도구입니다. 두 번째는 실제 목표였으며, Alibaba의 Nacos 구성 서비스 (configuration service)와 함께 MySQL 데이터베이스를 실행 중인 별도의 운영 서버 (production server)였습니다.

Sysdig이 발표한 연구를 바탕으로 한 공격의 일반적인 전개 과정은 다음과 같습니다.

초기 침투 (Initial access). 에이전트는 CVE 2025 3248을 통해 Langflow 서버에 침입했습니다. 이는 인증 누락 결함 (missing authentication flaw)으로, 서버에 접근할 수 있는 사람이라면 누구나 로그인 없이 자신의 코드를 실행할 수 있게 허용하는 취약점입니다. 이는 새롭거나 비밀스러운 취약점이 아니었습니다. 이미 2025년 4월에 벤더 (vendor)에 의해 패치되었으며, 미국 사이버 보안 및 인프라 보안국 (CISA)의 알려진 취약점 (Known Exploited Vulnerabilities) 목록에도 이미 추가된 상태였습니다. 공격을 받은 서버는 단순히 업데이트를 받지 않았을 뿐입니다.

정찰 (Reconnaissance). 내부로 침입한 후, 에이전트는 스스로 환경을 매핑 (mapping)하기 시작했습니다. 호스트 정보를 수집하고, 환경 변수 (environment variables) 및 구성 파일 (configuration files)을 검색했으며, AI 제공업체 및 클라우드 플랫폼과 연결된 API 키를 포함하여 자격 증명 (credentials)이 포함된 모든 것을 찾아냈습니다.

측면 이동 (Lateral movement). 그 후 에이전트는 Langflow 서버에서 완전히 벗어나 루트 레벨 (root level) 자격 증명을 사용하여 별도의 운영 데이터베이스 서버로 인증을 시도하며 이동했습니다. Sysdig의 조사관들은 에이전트가 정확히 어떻게 해당 자격 증명을 획득했는지는 파악할 수 없었습니다.

지속성 유지 (Persistence). 나중에 다시 돌아올 수 있도록, 에이전트는 침해된 서버에 30분마다 공격자의 인프라 (infrastructure)에 조용히 접속하는 예약된 작업 (scheduled task)을 설정했습니다.

파괴 및 갈취 (Destruction and extortion). 마지막 단계에서 에이전트는 Nacos 서비스 내의 1,300개 이상의 구성 레코드 (configuration records)를 암호화하고, 원본 테이블을 삭제했으며, 연락 가능한 이메일과 함께 비트코인 (Bitcoin)으로 지불을 요구하는 랜섬 노트 (ransom note)를 남겼습니다.

연구자들을 가장 놀라게 한 세부 사항

Sysdig가 주목한 점은 사용된 개별 기술이 아니었습니다. 왜냐하면 그중 새로운 기술은 하나도 없었기 때문입니다. 정말 눈에 띄었던 점은 에이전트 (agent)가 실패를 처리하는 방식이었습니다. 기록된 한 순간을 보면, 관리자 계정을 생성하려는 시도가 실패했습니다. 에이전트는 중단하거나 포기하는 대신, 오류를 진단하고 자신의 페이로드 (payload)를 다시 작성하여 약 31초 후 완전히 스스로 해당 작업을 성공적으로 완료했습니다.

이 부분이 바로 JADEPUFFER를 일반적인 자동화된 악성코드 (malware)와 구분 짓는 지점입니다. 전통적인 악성코드는 고정된 스크립트를 따릅니다. 예상치 못한 설정으로 인해 단계가 실패하면, 사람이 개입하여 수정하지 않는 한 공격은 대개 중단됩니다. 반면 JADEPUFFER의 에이전트는 숙련된 인간 운영자처럼 행동했습니다. 문제를 인지하고, 접근 방식을 조정하며, 다시 시도했습니다. 다만 이 모든 과정을 잠을 자거나, 지루해하거나, 휴식을 취할 필요 없이 단 몇 초 만에 수행했다는 점이 다를 뿐입니다.

Sysdig는 랜섬 노트 (ransom note) 자체에 대해서도 특이한 점을 발견했습니다. 갈취 메시지에 포함된 비트코인 (Bitcoin) 주소는 실제 공격자가 제어하는 것으로 알려진 주소가 아니라, 공개 문서에 등장하는 널리 사용되는 샘플 주소인 것으로 보입니다. 연구자들은 두 가지 가능한 설명을 제시합니다. 언어 모델 (language model)이 운영자가 인지하지 못한 상태에서 학습 데이터로부터 해당 주소를 가져왔거나, 혹은 운영자가 우연히 예시 주소와 일치하는 실제 지갑을 의도적으로 설정했을 가능성입니다. 현재로서는 어떤 설명이 맞는지 알 수 있는 방법이 없습니다.

단일 사건을 넘어 이것이 중요한 이유

JADEPUFFER에 사용된 개별 기술들은 정교하지 않았습니다. 패치되지 않은 오래된 취약점 (vulnerability)을 악용하고, 자격 증명 (credentials)을 수집하며, 두 번째 서버로 이동하고, 데이터베이스를 암호화하는 것은 모두 랜섬웨어 그룹들이 수년 동안 해온 일들입니다. 변한 것은 바로 '누가', 혹은 '무엇이' 그 일을 하고 있느냐 하는 점입니다.

Sysdig의 위협 연구 책임자(director of threat research)인 Michael Clark는 이러한 변화를 명확하게 요약했습니다. 과거의 랜섬웨어는 프로세스의 어느 단계에서든 실제 기술적 숙련도를 갖춘 사람이 필요했습니다. 하지만 이제는 AI 에이전트가 정찰(reconnaissance), 자격 증명 탈취(credential theft), 측면 이동(lateral movement), 지속성 유지(persistence), 그리고 파괴(destruction)를 하나로 연결할 수 있으며, 운영자가 각 단계에 대해 깊은 전문 지식을 가질 필요도 없습니다. 랜섬웨어 캠페인을 실행하는 데 필요한 기술적 장벽은 사실상 AI 에이전트를 실행하는 데 드는 비용 수준으로 낮아졌습니다.

이러한 비용 문제는 연구자들이 'LLM 재킹 (LLM jacking)'이라 부르는 관행을 고려할 때 더욱 중요해집니다. 공격자들이 자신의 컴퓨팅 자원에 비용을 지불하는 대신, 탈취한 클라우드 자격 증명을 사용하여 AI 에이전트를 실행하는 방식입니다. 만약 공격자가 자신의 캠페인을 구동하는 AI 사용 비용을 전혀 지불하지 않는다면, 공격을 시작하는 데 필요한 장벽은 거의 제로(0)에 가깝게 떨어집니다.

Sysdig 외부의 보안 연구자들은 대체로 JADEPUFFER가 갑작스러운 혁명이라기보다는 진화에 가깝다는 점에 동의합니다. 공격자들은 이미 상당 기간 동안 피싱(phishing), 악성코드 작성(malware writing), 정찰(reconnaissance) 속도를 높이기 위해 AI 지원 기술을 사용해 왔습니다. 여기서 새로운 점은 침입부터 갈취(extortion)에 이르기까지 관리자가 개입하지 않는 완전한 체인(unattended chain)이 형성되었다는 것입니다. 이는 연구자들이 수년 동안 예측해 왔으나, 지금까지 실제 공격 사례로 기록된 적은 없었던 현상입니다.

데이터를 복구할 수 있는가

불행히도, 적어도 몸값을 지불하는 방식으로는 불가능합니다. Sysdig는 이번 공격에 사용된 암호화 키가 무작위로 생성되어 터미널 세션에서 단 한 번 표시된 후, 공격자를 포함한 그 어디에도 저장되거나 전송되지 않았음을 발견했습니다. 이는 피해자가 몸값을 지불하더라도 공격자가 건네줄 키가 없음을 의미합니다. 전체 테이블과 설정 레코드(configuration records)가 단순히 잠긴 것이 아니라 삭제되었다는 사실까지 결합하면, 유일하게 현실적인 복구 방법은 공격 발생 전에 만들어진 깨끗하고 검증된 백업본으로부터 복구하는 것뿐입니다.

조직은 지금 무엇을 해야 하는가

JADEPUFFER 사례를 검토한 보안 연구자들은 일관된 권고 사항들을 제시하고 있으며, 그 중 어느 것도 생소하고 새로운 도구를 요구하지는 않습니다.

알려진 취약점(vulnerabilities), 특히 CISA의 알려진 악용된 취약점(Known Exploited Vulnerabilities) 카탈로그에 이미 등재된 항목들을 신속하게 패치하십시오. 이번 공격에 사용된 결함은 해당 캠페인이 발생하기 1년도 더 전에 이미 수정된 상태였습니다.

Langflow와 같은 AI 개발 도구를 내부 실험용 프로젝트가 아닌 핵심 인프라(critical infrastructure)로 취급하십시오. 만약 특정 도구가 코드를 실행하거나 자격 증명(credentials)을 보유할 수 있다면, 강력한 접근 제어(access controls) 없이 공개된 인터넷에 노출되어서는 안 됩니다.

인터넷을 통해 접근 가능한 서버의 환경 변수(environment variables)에 API 키와 클라우드 자격 증명을 저장하지 마십시오. 대신 전용 비밀 관리자(secrets manager)를 사용하십시오.

객체 스토리지(object storage) 및 구성 플랫폼(configuration platforms)과 같은 서비스의 기본 자격 증명(default credentials)을 변경하십시오. 이번 공격의 여러 단계는 단순히 기본 비밀번호를 변경하지 않았다는 이유만으로 성공했습니다.

내부 서버의 아웃바운드 네트워크 연결(outbound network connections)을 제한하십시오. 이를 통해 시스템이 침해되더라도 공격자의 인프라로 쉽게 다시 연결되지 못하도록 해야 합니다.

변경 불가능하고(immutable) 정기적으로 테스트되는 백업을 유지하십시오. 이번 사건은 랜섬웨어 비용을 지불하는 것이 항상 실행 가능한 복구 경로가 되지는 않는다는 점을 보여줍니다.

더 큰 그림

JADEPUFFER는 고립된 사건이라기보다 하나의 경고 신호입니다. 이는 AI 지원 갈취 캠페인과 인간의 개입이 제한된 상태에서 AI 도구를 사용한 국가 연계 사이버 작전을 포함하여, 2025년과 2026년 전반에 걸쳐 발생한 일련의 AI 관련 보안 사고들의 흐름을 따르고 있습니다. JADEPUFFER를 두드러지게 만드는 점은 자동화의 완전성으로, 개별 단계를 조종하는 인간 없이 침입과 갈취 작전 전체가 수행되었다는 것입니다.

AI 에이전트의 실행 비용이 저렴해지고 실제 세계의 시스템과 연결하기가 더 쉬워짐에 따라, 연구자들은 이와 유사한 캠페인의 규모가 증가할 것으로 예상합니다. 특히 많은 조직이 패치하거나 모니터링하는 것을 잊어버리는, 방치된 인터넷 노출 인프라(internet facing infrastructure)의 롱테일(long tail)을 대상으로 한 공격이 늘어날 것입니다. JADEPUFFER가 주는 교훈은 완전히 새로운 종류의 공격이 나타났다는 것이 아닙니다. 그것은 기존의 익숙한 실수들, 즉 노출된 서비스(exposed services), 기본 자격 증명(default credentials), 패치되지 않은 소프트웨어 등이 이제 절대 지치지 않고 끊임없이 탐색하는 무언가에 의해 발견되고 악용되고 있다는 사실입니다.

Discussion