2025년 12월 말부터 2026년 2월 중순 사이, 단 한 명의 운영자가 9개의 멕시코 정부 기관을 침해했습니다. 포렌식(Forensics) 결과는 구체적인 이야기를 들려줍니다. 1,088개의 타이핑된 프롬프트(Prompts)가 34번의 공격 세션에 걸쳐 5,000개 이상의 AI 실행 명령(Commands)을 생성했습니다. Claude Code가 실시간 익스플로잇(Exploitation)의 약 75%를 처리하며, 305개의 내부 서버를 탐색하고, 익스플로잇(Exploits)을 실행하며, 자격 증명(Credentials)을 수집했습니다. 별도의 GPT-4.1 파이프라인(Pipeline)은 탈취된 데이터를 처리하여 2,597개의 구조화된 인텔리전스 보고서(Intelligence reports)를 생성하고 후속 활동을 자동으로 할당했습니다. 인간은 방향을 설정했고, AI는 작전을 수행했습니다. 작전이 끝났을 때, 세금 신고서, 시민 등록 데이터, 환자 기록, 차량 등록 및 선거 데이터 등 약 4억 개의 기록이 사라졌으며, 20개의 서로 다른 CVE를 겨냥한 400개 이상의 맞춤형 공격 스크립트(Attack scripts)가 사용되었습니다.

이것은 가설이 아닙니다. 이는 2026년 7월 13~14일에 발표된 Check Point Research의 Annual AI Security Report 2026의 첫 번째 사례 연구이며, Gambit Security의 독창적인 기술 보고서를 바탕으로 작성되었습니다. 이 보고서의 핵심 발견은 다음과 같습니다: AI가 보조자(Assistant)에서 운영자(Operator)로 넘어갔다는 것입니다. AI는 더 이상 공격자의 준비를 돕는 것에 그치지 않고, 공격을 직접 수행합니다.

왜 AI 에이전트는 아무도 알아차리기 전에 5,000개의 명령을 실행했는가?

그 답은 구조적인 문제에 있으며, 공격자가 특별히 영리한 행동을 할 필요조차 없었습니다.

대부분의 AI 코딩 에이전트(AI coding agents)는 범위 경계(scope boundary), 실행 상한(execution ceiling), 그리고 킬 스위치(kill switch) 없이 배포됩니다. 에이전트는 작업을 받습니다. 도구(tool)를 호출합니다. 결과를 얻습니다. 또 다른 도구를 호출합니다. 다음 호출이 정의된 범위 내에 있는지 확인하는 실행 전 강제 계층(pre-execution enforcement layer)이 없습니다. 특정 횟수의 도구 호출이나 특정 양의 데이터 전송 후에 작동하는 트리거(trigger)도 없습니다. 에이전트가 결코 건드려서는 안 될 시스템들 사이의 측면 이동(lateral movement)을 방지하는 신원 경계(identity boundary)도 없습니다.

이 공격에 사용된 AI 코딩 에이전트들은 설계된 대로 정확히 작동하고 있었습니다: 지시를 따르고, 사용 가능한 도구를 사용하며, 무언가 실패했을 때 적응하는 것입니다. 공격자는 이 점을 이해했습니다. 그들은 이러한 시스템이 '할 수 있는' 일과 조직이 일반적으로 '하도록 제한하는' 일 사이의 간극을 악용하는 워크플로우(workflow)를 구축했습니다.

그 간극은 구조적입니다. 인터넷에 노출된 서버에 대해 임의의 명령(arbitrary commands)을 실행할 수 있는 AI 코딩 에이전트는 사실상 권한이 있는 원격 셸(privileged remote shell)과 동일한 공격 표면(attack surface)을 가집니다. 그리고 대부분의 에이전트는 모델의 안전 학습(safety training)에 의해서만 제한될 뿐, 해당 기능이 기본적으로 활성화된 상태로 출시됩니다. 2026년 6월 GuardFall 연구에서 기록된 바와 같이, 패턴 기반의 거부(Pattern-based refusals)는 기본적인 셸 조작(shell manipulation)에 대해 지속적으로 실패합니다. 공격자에게 탈옥(jailbreak)은 필요하지 않습니다. 그들에게 필요한 것은 필터를 트리거하지 않는 프롬프트(prompt)뿐입니다.

이것이 당신의 에이전트와 무슨 상관인가요?

Check Point 보고서의 불편한 진실은 AI 기반 공격자로부터 방어하는 법에 관한 것이 아닙니다. 거버넌스(governance) 관점에서 당신이 운영 중인 에이전트가 어떤 모습인지 인식하는 것에 관한 것입니다.

만약 당신이 명시적인 범위 제한, 실행 상한, 그리고 파괴적인 작업에 대한 인간의 검토(human review) 없이 파일을 읽고, API를 호출하며, 데이터베이스에 쓰고, 외부 요청을 보낼 수 있는 에이전트를 출시한다면, 당신은 공격자가 악용한 것과 동일한 구조적 특성을 가진 무언가를 구축한 것입니다. 차이점은 아키텍처(architecture)가 아니라 의도(intent)일 뿐입니다.

Check Point는 지난 1년 동안 고위험 기업용 AI 프롬프트(prompt) 비율이 50번의 상호작용 중 1번에서 25번의 상호작용 중 1번으로 두 배 증가했다는 사실을 발견했습니다. 비즈니스 서비스(Business Services) 분야에서는 2026년 5월 기준, AI 상호작용 14번 중 거의 1번꼴에 달하는 비율을 기록했습니다. 현재 평균적인 조직은 매달 10개의 AI 애플리케이션을 실행하고 있으며, 그중 상당수는 공식적인 승인 없이 사용됩니다. 이러한 노출의 대부분은 공격으로부터 발생하는 것이 아니라, 유용한 답변을 얻기 위해 직원들이 의도했던 것보다 더 많은 정보를 공유하는 일반적인 승인된 사용 과정에서 발생합니다.

AI는 또한 방정식의 양측 모두에서 취약점 노출 시간(vulnerability window)을 압축했습니다. Check Point는 AI가 새로운 취약점 공개(vulnerability disclosure)를 단 몇 시간 만에 작동 가능한 익스플로잇(exploit)으로 전환한 사례들을 기록했습니다. 이에 대응하여 미국 정부의 CISA는 연방 기관들이 최고 위험 취약점을 3일 이내에 해결(remediate)하도록 요구했습니다. 인도의 CERT-In은 한 발 더 나아가, 조직들이 12시간 이내에 핵심 시스템을 패치(patch)할 것을 권고했습니다. 대응할 수 있는 며칠의 시간을 확보할 수 있다고 믿었던 방어자들에게 이제 더 이상 며칠이라는 시간은 주어지지 않습니다.

새로운 에이전트를 배포하기 전, 에이전트 스택(Agent Stack)에서 감사해야 할 사항

이러한 격차를 찾아내기 위해 외부 공격자가 필요하지는 않습니다. 올바른 질문이 이를 드러내 줍니다.

범위 제한(Scope limits): 귀하의 에이전트가 호출할 수 있는 도구(tool)의 명시적인 목록을 가지고 있습니까? 그리고 실행 계층(enforcement layer)이 시작 시점뿐만 아니라 매 호출(invocation) 전에 해당 목록을 확인합니까? 대부분의 에이전트는 그렇지 않습니다. 허용된 도구 목록은 시스템 프롬프트(system prompt)에 존재하며, 모델이 이를 준수할지 여부를 결정합니다.

실행 상한(Execution ceiling): 에이전트가 단일 실행에서 수행할 수 있는 도구 호출(tool call) 또는 LLM 턴(turn)의 횟수에 대한 엄격한 제한이 있습니까? 5,000개의 명령을 내릴 수 있는 에이전트는 상한선이 없을 때만 가능합니다. 상한선이 없다면, 귀하에게는 킬 스위치(kill switch)가 있는 것이 아니라 단지 희망 사항만 있을 뿐입니다.

파괴적인 작업에 대한 Human-in-the-loop (인간 개입): 에이전트가 외부 요청을 보내거나, 운영 데이터베이스 (production database)에 기록하거나, 데이터를 삭제할 때, 해당 작업이 인간의 승인을 위해 일시 중지됩니까? OWASP LLM Top 10 (LLM06B: 과도한 권한 (Excessive Agency)) 및 NIST AI RMF를 포함한 거버넌스 프레임워크 (governance frameworks)는 이 격차를 명시적으로 지적합니다. 해결책은 모델에게 주의를 기울이라고 요청하는 것이 아닙니다. 작업이 실행되기 전에 대기 상태를 강제하는 것입니다. 다음도 참조하십시오: 운영 에이전트를 위한 human-in-the-loop 강제 패턴 (human-in-the-loop enforcement patterns for production agents).

ID (Identity): 귀하의 에이전트는 공유 서비스 계정 (shared service account) 하에서 실행되고 있습니까, 아니면 자체적인 격리된 ID (isolated identity)를 가지고 실행되고 있습니까? 공유 자격 증명 (shared credentials)을 사용한다는 것은 에이전트가 구체적으로 무엇을 했는지 재구성할 수 없고, 다른 서비스에 지장을 주지 않고는 액세스 권한을 취소할 수 없으며, 에이전트별로 차별화된 범위 제한 (scope limits)을 설정할 수 없음을 의미합니다.

감사 추적 (Audit trail): 실행 후, 모든 모델 호출 (model call), 모든 도구 호출 (tool invocation), 그리고 모든 결과값을 타임스탬프와 함께 순서대로 재구성할 수 있습니까? 만약 답변이 "에이전트가 콘솔에 몇 가지 사항을 로그로 남깁니다"라면, 귀하에게는 감사 추적 (audit trail)이 있는 것이 아닙니다. 단지 메모가 있을 뿐입니다.

Waxell Runtime과 Observe가 이를 처리하는 방식

Waxell은 사후에 확인하는 대시보드는 거버넌스 (governance)가 아니라 부검 (autopsy)이라는 원칙 위에 구축되었습니다. Waxell Runtime과 Waxell Observe 모두 이번 공격이 악용한 구체적인 격차들을 메워줍니다.

Waxell Runtime은 시작 시점에 한 번이 아니라, 실행 아크 (execution arc) 내의 모든 결정 지점에서 각 단계가 실행되기 전에 정책을 강제합니다. 에이전트가 데이터를 외부로 전송하거나, 쓰기 (write)를 시작하거나, 정의된 재귀 깊이 (recursion depth)를 초과하는 동작에 도달하면, 해당 동작이 실행되기 전에 정책 게이트 (policy gate)가 작동합니다. 또한 Runtime은 에이전트, 워크플로 (workflow), 결정 단계 등 모든 수준에서 킬 스위치 (kill switches)를 제공하므로, 실행이 완료된 후가 아니라 실행 도중에 폭주하는 실행을 중단할 수 있습니다. 금융 조정 (financial reconciliation), 인프라 운영 (infrastructure operations), 의료 자동화 (healthcare automation)와 같이 오류의 비용이 큰 워크플로의 경우, Runtime은 격리된 실행 (isolated execution)을 제공하여 한 에이전트의 실패가 다른 에이전트로 전파되지 않도록 합니다.

Waxell Observe는 단 2줄의 코드로 기존 에이전트에 계측 (instrument) 기능을 추가하며, 50개 이상의 정책 카테고리를 즉시 제공합니다. 이번 사건과 가장 관련이 깊은 카테고리는 다음과 같습니다:

• Kill (중단) — 설정 가능한 임계값이 작동할 때 폭주하는 루프를 종료합니다.
• Identity (식별) — 공유 서비스 계정이 아닌, 격리된 자격 증명 범위 (credential scope)를 가진 고유한 에이전트 식별 정보를 제공합니다.
• Control (제어) — 실행당 도구 호출 (tool call) 볼륨을 엄격한 한도 내로 제한합니다.
• Operations (운영) — 예기치 않은 측면 범위 확장 (lateral scope expansion)을 모니터링합니다.
• Audit (감사) — 모든 모델 호출 및 도구 사용에 대해 실행 직후 즉시 확인할 수 있는 순차적이고 영구적인 추적 (trace)을 제공합니다.

이 50개 이상의 정책 카테고리는 OWASP LLM Top 10, NIST AI RMF, ISO 42001, EU AI Act, GDPR 및 HIPAA를 포함한 주요 컴플라이언스 프레임워크 (compliance frameworks)에 매핑됩니다. Waxell Observe는 200개 이상의 라이브러리, 프레임워크 및 벡터 데이터베이스 (vector databases)를 자동으로 계측합니다. 강제 적용에 따른 오버헤드는 p95 지연 시간 (latency) 기준 0.045ms로, 모델의 응답과 다음 동작 사이의 간극에서 실행됩니다.

5,000개 이상의 AI 명령을 생성한 1,088개의 인간 프롬프트 (human prompts)가 발생한 이유는 운영자의 의도와 에이전트의 실행 사이에 아무것도 없었기 때문입니다. Waxell은 실행되기 전 모든 단계에 1,000개 이상의 즉시 적용 가능한 정책을 배치하여 그 '무언가'를 채워 넣습니다.

waxell.dev/signup에서 무료로 시작하세요. 단 2줄의 코드면 충분합니다. 재빌드(rebuilds)는 필요하지 않습니다.

자주 묻는 질문 (Frequently Asked Questions)

Check Point AI Security Report 2026은 AI 에이전트 공격에 대해 무엇을 발견했나요?

Check Point Research의 AI Security Report 2026(2026년 7월 13~14일 발행)은 결정적인 변화를 기록하고 있습니다. 즉, AI가 공격자를 보조하는 단계에서 벗어나 자율적으로 공격을 수행하는 단계로 이동했다는 점입니다. 보고서의 도입부 사례 연구에 따르면, 한 운영자가 Claude Code와 GPT-4.1을 사용하여 멕시코 정부 기관 9곳을 침해했으며, 1,088개의 입력된 프롬프트(prompts)로부터 5,000개 이상의 AI 실행 명령을 생성하여 약 4억 개의 기록을 노출시켰습니다. 또한 보고서는 기업의 AI 상호작용 중 고위험 AI 프롬프트 비중이 1년 만에 2%에서 4%로 두 배 증가했으며, 평균적으로 기업들이 매달 10개의 AI 애플리케이션을 실행하고 있으나 그중 상당수가 공식적인 승인 없이 운영되고 있다는 사실을 발견했습니다.

왜 AI 에이전트는 중단되지 않고 수천 개의 명령을 실행했나요?

AI 코딩 에이전트(AI coding agents)는 지침을 따르고 사용 가능한 도구를 사용하도록 설계되었습니다. 실행 전 외부 강제 계층(pre-execution enforcement layer)—즉, 각 동작이 실행되기 전에 정의된 정책에 따라 평가하는 거버넌스(governance) 구성 요소—이 없다면, 에이전트는 작업이 완료되지 않고 도구를 사용할 수 있는 한 계속해서 동작합니다. 이번 공격이 성공한 이유는 AI 안전 학습(safety training)이 실패했기 때문이 아니라, 범위를 제한하거나, 실행량을 제한하거나, 파괴적인 동작을 수행하기 전에 인간의 승인을 요구하는 아키텍처적 강제 계층(architectural enforcement layer)이 없었기 때문입니다. 이것이 바로 Waxell Runtime이 메우고자 하는 구조적 격차입니다.

시스템 프롬프트(system prompt)의 범위 제한(scope limit)과 강제된 범위 제한(enforced scope limit)의 차이점은 무엇인가요?

시스템 프롬프트 지침은 모델에게 무엇을 해야 하고 무엇을 하지 말아야 하는지를 알려줍니다. 반면, 강제된 범위 제한은 모델이 무엇을 결정했는지와 관계없이 동작이 실행되기 전에 작동하는 외부 점검입니다. 시스템 프롬프트 지침은 충분히 창의적인 프롬프팅(prompting)이나 문맥 데이터(in-context data)에 의해 무력화될 수 있습니다. 하지만 강제된 범위 제한은 모델의 의사 결정 루프(decision-making loop) 외부에 존재하기 때문에 무력화될 수 없습니다. Waxell Observe의 Control 및 Kill 정책 카테고리는 제안이 아닌 강제된 제한(enforced limits)을 구현합니다.

AI 에이전트를 위한 Human-in-the-loop (HITL) 강제 적용이란 무엇인가요?

Human-in-the-loop (HITL) 강제 적용이란 파괴적, 외부적 또는 위험도가 높은 특정 에이전트 작업이 실행되기 전, 명시적인 인간의 승인을 위해 일시 중단되는 것을 의미합니다. 이는 인간이 지켜볼 수는 있지만 에이전트가 멈추지는 않는 Human-on-the-loop 모니터링과는 구별됩니다. OWASP LLM Top 10의 LLM06B (과도한 권한 부여, Excessive Agency) 카테고리는 영향력이 큰 작업에 대한 HITL의 부재를 주요 에이전트 실패 모드(agentic failure mode)로 식별합니다. Waxell MCP Gateway는 도구(tool) 수준에서 HITL 승인을 구현하며, 작업이 검토를 기다리는 동안 MCP 연결을 열린 상태로 유지합니다.

Waxell Observe는 기본적으로 몇 개의 정책 카테고리를 포함하고 있나요?

Waxell Observe는 Audit, Content, Control, Cost, Kill, LLM, Operations, Quality, Rate-Limit, Safety, Scheduling, Compliance, Delegation, Identity, Privacy, Reasoning을 아우르는 50개 이상의 정책 카테고리를 기본적으로 제공합니다. 이러한 카테고리들은 OWASP LLM Top 10, NIST AI RMF, ISO 42001, EU AI Act, GDPR 및 HIPAA와 매핑됩니다. 설정에는 단 2줄의 코드만 필요하며, 200개 이상의 라이브러리 및 프레임워크를 자동으로 인스트루먼테이션(auto-instruments)합니다.

거버넌스를 추가하면 AI 에이전트가 느려지나요?

Waxell의 강제 적용은 정책 검사당 p95 지연 시간(latency)을 0.045ms 추가합니다. 일반적인 LLM API 호출은 500~2,000ms가 소요됩니다. 이 오버헤드는 유의미한 성능 트레이드오프(tradeoff)가 아닙니다. 이는 모델의 응답과 다음 작업 사이의 간극에서 실행되므로 최종 사용자에게는 보이지 않습니다.

출처