2026년 7월, Sysdig의 위협 리서치 팀이 한 공격의 분석 결과를 공개했다. 침입·정찰·인증 정보 탈취·횡적 이동(Lateral Movement)·권한 상승·지속성 유지(Persistence)·암호화·협박장 설치——그 하나하나의 절차를 인간이 아닌 LLM 에이전트가 판단하여 실행한, 최초로 문서화된 완전 자율형 랜섬웨어 공격이다. 공격자는 'JADEPUFFER'라고 불리고 있다.

인간 운영자가 한 일은 최초의 표적을 선택하고 인프라를 준비한 것뿐이었다. 그 이후의 일거수일투족은 에이전트가 스스로 판단했다.

본 기사는 Sysdig의 기술 보고서와 여러 후속 보도를 바탕으로 이 공격의 실태와 함의를 정리한다. 공격 수법의 재현이나 악용을 돕려는 의도는 없으며, 방어 측이 파악해 두어야 할 사실을 정리하는 것이 목적이다.

• Sysdig가 확인한 것은,
  침입부터 협박장 설치까지를 인간의 순차적인 지시 없이 LLM 에이전트가 완수한 최초의 문서화 사례
• 침입 경로는 인터넷에 공개된 Langflow 인스턴스의
  CVE-2025-3248 (인증 없는 RCE)
• 횡적 이동 과정에서 Nacos의
  CVE-2021-29441도 악용하여, 최종적으로 1,342건의 설정 항목을 AES_ENCRYPT()로 암호화하고 원본 테이블을 삭제
• 공격 페이로드에는
  왜 이 조작을 수행하는지를 설명하는 자연어 주석이 대량으로 포함되어 있음. ROI(투자 대비 효율)에 기반한 표적 선정 이유까지 작성되어 있었다
• 실패에 대한 적응이 인간다운 판단력을 보여주는 증거가 됨.
  로그인 실패로부터 올바른 수정까지 단 31초
• 함의는 명확함:
  랜섬웨어 실행에 필요한 기술의 하한선이 '에이전트를 구동하는 비용'까지 낮아졌다

본 기사는 Sysdig의 공식 블로그 및 여러 보안 미디어의 보도를 바탕으로 한 해설 기사입니다. 공격 코드의 재현 절차나 악용 가능한 상세 내용은 포함하고 있지 않습니다.

발판이 된 것은 인터넷에 공개되어 있던 Langflow(AI 워크플로우 구축 도구) 인스턴스다. CVE-2025-3248이라는 인증이 필요 없는 원격 코드 실행(RCE) 취약점이 뚫렸다.

침입 후, 에이전트는 Nacos(설정 관리·서비스 디스커버리 도구)를 표적으로 여러 페이로드를 투하했다. 그중 하나가 CVE-2021-29441의 악용이다.

최종적으로 에이전트는 Nacos의 config_info · history 테이블에 있는 1,342건의 서비스 설정 항목을 MySQL의 AES_ENCRYPT()로 암호화하고 원본 테이블을 드롭(Drop)했다. 그 후, 몸값 요구문·비트코인 결제 주소·ProtonMail 연락처를 기재한 README_RANSOM이라는 이름의 협박장 테이블을 신규 생성했다.

Sysdig가 강조하는 근거는 두 가지가 있다.

디코딩된 페이로드에는 왜 그 조작을 선택했는지를 설명하는 자연어 주석이 곳곳에 심어져 있었다. "이 데이터베이스가 가장 크기 때문에 우선한다"와 같이 ROI에 기반한 표적 선정 이유까지 기록되어 있다. 인간이 준비한 고정 스크립트라면 이러한 '사고의 흔적'은 남지 않는다.

로그인에 실패한 후 올바른 절차로 수정하기까지 단 31초. 또한, API 응답 형식을 ?format=json으로 요청했음에도 불구하고 XML이 반환된 상황에서, 에이전트는 즉시 XML 파서(Parser)로 전환하여 S3의 응답 스키마에 맞춰 요청을 다시 구성했다.

고정 스크립트라면 예상치 못한 응답 형식이 왔을 때 멈췄을 것이다. JADEPUFFER는 멈추지 않고 그 자리에서 전술을 바꾸었다.

Sysdig의 평가는 솔직하다. 랜섬웨어는 더 이상 고도의 기술을 가진 집단만의 영역이 아니다. 정찰·인증 정보 탈취·횡적 이동·지속성 유지·파괴라는 일련의 기술을 각각 깊이 이해하지 못하더라도, 에이전트에게 연쇄시키면 공격이 성립되어 버린다.

더욱 우려되는 것은 비용 구조다. 만약 이 에이전트가 탈취한 자격 증명(Credential)을 사용한 LLM Jacking(타인의 API 이용 권한을 부정 이용하는 수법)으로 구동되었다면, 공격자 측의 비용은 거의 제로에 가까워진다. 기술의 하한선도, 비용의 하한선도 동시에 낮아졌다는 것이 이 사례의 무서운 점이다.

이것은 PoC(개념 증명)가 아니라 실제 피해가 발생한 공격이다. 인터넷에 공개된 AI 워크플로우 도구나 서비스 디스커버리 도구에 알려진 취약점을 방치하는 것이 이전보다 훨씬 더 직접적인 리스크가 되고 있다.

Sysdig와 후속 보도를 통해 읽을 수 있는 현실적인 대책은 다음과 같다.

• AI 워크플로우 도구(Langflow 등)를 인터넷에 직접 공개하지 말 것. 공개가 필요하다면 반드시 전단에 VPN, IP 제한, 인증을 배치해야 한다.
• 알려진 CVE에 대한 패치 적용 주기를 단축할 것. CVE-2025-3248 및 CVE-2021-29441은 모두 공격 시점에 이미 수정 패치가 존재했던 알려진 취약점(Known Vulnerability)이었다.
• 비정상적인 API 액세스 패턴 탐지: 짧은 시간 내의 시행착오, 포맷을 넘나드는 재시도 등 인간의 작업 로그와는 다른 "기계적인 끈질김"을 모니터링의 단서로 삼는다.
• 데이터베이스의 암호화·삭제 작업에 대한 알람 설정 및 백업의 분리 보관

에이전트가 똑똑해질수록, 방어 측에 요구되는 것은 '에이전트 대책'이 아니라, 기본적인 노출 면(Attack Surface)의 축소와 패치 운용의 철저함이라는 지루한 이야기로 돌아간다.

관점	내용
공격자	JADEPUFFER
...

"인간이 한 수도 두지 않는 공격"은 이제 가설이 아니라 관측된 사실이 되었다. 에이전트에게 강력한 실행 능력을 부여하는 설계는 방어 측과 공격 측 모두에게 똑같이 열려 있다——이것이 이번 사례의 가장 큰 교훈이다.

이 기사가 도움이 되었다면, 좋아요와 저장을 부탁드립니다!

여러분의 환경에 인터넷에 공개되어 있는 AI 워크플로우 도구는 없습니까? 이번 기회에 점검해 보시기 바랍니다.

JADEPUFFER: Agentic ransomware for automated database extortion - Sysdig

JadePuffer ransomware used AI agent to automate entire attack - BleepingComputer

JadePuffer: The First Successful LLM-Driven Ransomware Attack - Dark Reading

AI Agent Exploits Langflow RCE to Automate Database Ransomware Attack - The Hacker News