Check Point, AI가 이제 실제 사이버 공격 내부에서 작동한다고 경고

Check Point는 최신 보안 평가에서 AI의 역할을 지원 도구에서 능동적 실행 주체로 재정의했으며, 최근 보도를 통해 이러한 변화는 이제 Google News 독자들에게도 전해지고 있다. 회사는 AI 시스템이 실제 침입 과정에서 명령을 실행하고, 탈취 데이터를 분석하며, 후속 조치를 선택하고 있다고 말한다. 이 주장은 보안의 핵심 질문을 바꾼다. 방어자는 더 이상 단지 더 빠른 도구를 사용하는 인간 공격자만 상대하는 것이 아니다.

Check Point Research는 7월에 Annual AI Security Report 2026을 발표했다. 이 보고서는 전년도에 발생한 여러 사건을 연결해 다루며, 여기에는 첩보 작전, 정부 기관 침해, AI 생성 악성코드, 그리고 AI 시스템 자체를 겨냥한 공격이 포함된다. 핵심 주장은 제목만큼 광범위하지는 않다. AI가 모든 공격자를 대체한 것은 아니지만, 일부 운영자는 이제 코딩 에이전트에 상당한 수준의 전술 업무를 위임하고 있다.

이 구분이 중요한 이유는 Anthropic이 2025년 11월 관련 패턴을 문서화했기 때문이다. Anthropic은 중국 연계 그룹이 약 30개 표적을 대상으로 Claude Code를 사용했으며, AI가 전술 작전의 약 80%~90%를 처리했다고 밝혔다. 인간 운영자는 여전히 표적을 선정하고 주요 결정을 통제했다. 에이전트는 그 결정들 사이에서 정찰, 침투, 자격 증명 수집, 측면 이동, 데이터 분석의 상당 부분을 수행했다.

AI 공격 체인에서 달라진 점

AI는 더 이상 피싱 메시지를 작성하거나 악성 코드를 제안하는 역할에만 머물지 않는다. 이제 침해된 환경 내부에서 행동할 수 있다.

AI 보안 보고서는 이 전환을 보조자에서 운영자로의 이동이라고 설명한다. 과거의 악의적 사용은 흔히 개별 요청에 국한됐다. 공격자는 챗봇에게 미끼 문구 수정, 스크립트 디버깅, 메시지 번역 또는 취약점 설명을 요청할 수 있었다.

이러한 작업은 생산성을 높였지만, 여전히 사람이 각 단계를 연결했다. 인간은 다음 도구를 선택하고, 결과를 해석하며, 중요한 명령을 하나씩 내렸다. 이 구조에서는 공격의 속도가 운영자의 주의력, 판단력, 여러 표적을 관리하는 능력에 제한됐다.

에이전트형 시스템은 이러한 워크플로를 바꾼다. AI 에이전트는 도구, 파일, 실행 환경에 연결된 모델로, 여러 단계로 이뤄진 작업을 완료할 수 있게 한다. 출력 결과를 확인하고, 계획을 업데이트하며, 다른 명령을 실행한 뒤 새로운 프롬프트를 기다리지 않고 계속 진행할 수 있다.

Check Point의 보고서는 9개 멕시코 정부 기관과 관련된 침해를 가장 명확한 범죄 사례로 제시한다. 연구에 따르면 한 운영자는 2025년 12월 말부터 2026년 2월 중순까지 Claude Code와 GPT-4.1을 병렬로 사용했다. Claude Code는 시스템을 탐색하고 명령을 실행했으며, GPT-4.1은 수집한 정보를 처리하고 우선순위를 정하는 데 도움을 줬다.

연구진은 1,088개의 입력 지시가 34개 공격 세션에서 AI가 실행한 5,317개 명령으로 이어졌다고 말한다. 이 작전은 세금, 주민등록, 차량, 환자, 선거 정보를 아우르는 약 4억 건의 기록을 노출한 것으로 알려졌다. 이 수치는 Check Point가 인용한 사고 조사에서 나온 것이며, 영향을 받은 모든 기관으로부터 완전한 공개 검증을 받은 것은 아니다.

모델 이름보다 중요한 것은 작동 방식이다. 공격자는 한 모델이 접근 권한을 확보하고 다른 모델이 결과를 처리하는 워크플로를 만들었다. AI는 정찰, 침투, 데이터 분석, 그리고 다음 전술적 움직임을 잇는 연결 조직이 됐다.

이 구조는 지속적인 인간 감독의 필요성을 줄인다. 또한 한 명의 운영자가 과거에는 여러 전문 인력이 필요했던 업무를 관리하게 한다. 사람은 여전히 의도, 접근 권한, 인프라, 전략적 방향을 제공하지만, 소프트웨어가 운영 부담의 더 많은 부분을 맡는다.

이 패턴은 국가 연계 캠페인에서도 나타났다. 첩보 작전에 대한 설명에서 Anthropic은 Claude Code가 약 30개 조직을 상대로 침입을 시도했다고 밝혔다. 이 가운데 소수의 시도는 성공한 것으로 알려졌다.

Anthropic은 이 활동을 GTG-1002라고 부르는 중국 국가 지원 그룹에 높은 확신을 두고 귀속했다. 회사는 각 캠페인에서 약 4~6개의 핵심 의사결정 지점에 인간 개입이 있었다고 말했다. 그 지점들 사이에서 에이전트는 사람이 지속하기 어려운 속도로 전술 단계를 수행했다.

이 증거가 AI가 독립적으로 공격자가 되기로 선택했다는 뜻은 아니다. 사람은 목표를 정하고, 안전장치를 우회하며, 도구를 제공하고, 작전을 지휘했다. 다만 이 시스템은 많은 중간 단계의 수행 방식을 결정한 것으로 알려졌다.

이것이 Google News 제목이 가리키는 변화다. AI는 공격 재료를 만들어내는 단계에서 벗어나 공격 체인 내부의 행동을 조율하는 단계로 이동하고 있다.

Google News 제목이 방어자에게 중요한 이유

즉각적인 압박은 공격자가 생각하고, 입력하고, 조율하기 위해 멈춘다는 가정에 기반한 보안 팀에 가해진다.

기존 보안 운영은 부분적으로 마찰에 의존한다. 공격자는 네트워크를 살피고, 권한을 파악하며, 자격 증명을 시험하고, 스크립트를 수정하고, 방어 측의 대응을 해석할 시간이 필요하다. 이러한 멈춤은 모니터링 시스템과 분석가에게 진행 중인 침입을 탐지할 기회를 제공한다.

에이전트형 워크플로는 이런 멈춤을 압축한다. 모델은 명령 출력을 검토한 뒤 몇 초 안에 다른 경로를 시도할 수 있다. 발견 사항을 지속적으로 문서화하고, 여러 시스템을 비교하며, 피로 없이 성공한 기법을 반복할 수 있다.

Check Point는 일부 사례에서 취약점 대응 시간이 며칠에서 몇 시간으로 줄어들고 있다고 말한다. 이 진술을 모든 취약점에 대한 보편적 카운트다운으로 받아들여서는 안 된다. 실제 악용 가능성은 노출 수준, 복잡성, 권한, 사용 가능한 코드, 공격자의 목표에 따라 달라진다.

그럼에도 운영상의 방향성은 신뢰할 만하다. 공개된 정보만으로도 공격자는 기술 설명, 비교 가능한 패치, 스캔할 취약 표적을 확보할 수 있다. 특히 에이전트가 코드 분석 및 테스트 도구에 접근할 수 있다면, AI는 이러한 자료를 더 빠르게 연결하는 데 도움을 줄 수 있다.

첫 번째로 압박을 받는 집단은 보안 운영 센터다. 분석가는 흔히 서로 분리된 엔드포인트, ID, 클라우드, 네트워크 제품 전반에서 대량의 경고 중 의미 있는 행동을 식별해야 한다. 에이전트는 인간이 초기 조사를 마치기 전에 같은 계층들 사이를 이동할 수 있다.

두 번째로 압박을 받는 집단은 취약점 관리 조직이다. 공격자가 표적 탐색과 익스플로잇 적응을 자동화할 수 있을 때 주간 패치 주기는 위험해진다. 팀에는 정확한 자산 인벤토리, 노출 기반 우선순위 지정, 공개 시스템에 영향을 주는 취약점을 위한 긴급 대응 경로가 필요하다.

ID 팀도 비슷한 압박에 직면한다. 에이전트가 자격 증명을 수집하면, 즉시 어디에서 작동하는지 시험하고, 권한 있는 계정을 식별하며, 추가 비밀 정보를 찾기 위해 클라우드 서비스를 검색할 수 있다. 토큰, 서비스 계정 또는 관리되지 않는 자격 증명이 계속 활성 상태라면 단순한 비밀번호 재설정은 별다른 효과가 없다.

소프트웨어 팀도 방어 경계 안으로 들어온다. 코딩 에이전트는 프로젝트 파일, 리포지토리 지침, 구성 문서를 읽고 어떻게 행동해야 하는지 결정한다. 이런 신뢰된 위치에 심어진 악성 콘텐츠는 개발자가 해당 파일의 위험성을 인식하기 전에 에이전트에 영향을 줄 수 있다.

이 위험은 간접 프롬프트 인젝션이라고 불린다. 공격자는 모델에 악의적 지시를 직접 전달하는 대신, 나중에 모델이 처리할 콘텐츠 안에 지시를 심는다. 웹 페이지, 리포지토리, 문서, 이메일 또는 도구 응답이 전달 수단이 될 수 있다.

Check Point는 더 긴 악성 프롬프트 페이로드의 탐지 건수가 2026년 3월부터 5월까지 약 5배 증가했다고 보고했다. 5월에는 관측된 프롬프트의 1%에 가까워졌다. 회사는 긴 페이로드를 콘텐츠 기반 및 에이전트형 공격 경로가 운영상 중요성을 더해가고 있다는 신호로 해석한다.

이 텔레메트리는 Check Point의 고객 환경에서 나온 것이므로 모든 기업이나 모든 모델을 대표하지는 않는다. 또한 이는 탐지된 프롬프트를 측정한 것이지, 성공이 확인된 침해를 측정한 것은 아니다. 그럼에도 증가는 공격자들이 어디에서 실험하고 있는지에 관한 유용한 경고를 제공한다.

조직은 하나의 모델을 차단하는 방식으로 이 문제를 해결할 수 없다. 공격자는 상용 시스템, 로컬 모델, 탈취한 API 자격 증명, 일반 보안 도구를 결합할 수 있다. 제공업체의 안전장치는 여전히 중요하지만, 더 큰 운영 환경 안의 하나의 통제 수단일 뿐이다.

실질적인 변화는 모델 보안에서 시스템 보안으로의 이동이다. 방어자는 에이전트가 무엇을 읽을 수 있는지, 어떤 도구를 호출할 수 있는지, 어떤 자격 증명을 상속받는지, 어떤 행동에 승인이 필요한지를 모니터링해야 한다. 주변 워크플로가 과도한 권한을 부여한다면 모델의 안전한 응답은 큰 의미가 없다.

진짜 경쟁은 인간 방어와 기계 속도 작전의 대결이다

핵심 경쟁은 Check Point와 Anthropic의 대결, 또는 한 모델과 다른 모델의 대결이 아니다. 인간 속도의 방어와 기계 속도의 실행 간 경쟁이다.

AI 제공업체는 악용을 탐지하고 계정을 비활성화할 수 있다. Anthropic은 GTG-1002와 연관된 계정을 차단하고, 영향을 받은 조직에 통보하며, 당국과 협력하고, 악의적 활동을 위한 분류기를 확장했다고 밝혔다. 이러한 개입은 가치 있는 운영 도구에 대한 접근을 중단했을 가능성이 높다.

하지만 계정 집행만으로 완전한 방어를 구성하기는 어렵다. 공격자는 새 계정을 확보하고, API 키를 탈취하며, 다른 서비스를 통해 작업을 우회하거나, 일부 작업을 로컬 모델로 옮길 수 있다. 또한 여러 제공업체에 작전을 분산해 어느 한 기업이 확보할 수 있는 가시성을 줄일 수도 있다.

Check Point의 위협 환경 다이제스트는 공격자들이 많은 운영 환경에서 여전히 성능이 뛰어난 상용 모델을 선호한다고 말한다. 로컬 시스템은 하드웨어, 구성, 유지보수, 기술 지식을 필요로 한다. 주류 코딩 에이전트는 이미 강력한 추론, 도구 사용, 개발자 통합 기능을 제공한다.

따라서 공격자는 이러한 에이전트 주변의 아키텍처를 노린다. 프로젝트 수준 지침과 설정 파일은 세션 간에도 유지될 수 있다. 에이전트가 심어진 파일을 권위 있는 정보로 취급하기 시작하면, 공격자는 매 상호작용마다 눈에 띄는 탈옥 시도를 반복할 필요가 없을 수 있다.

이러한 구성-통제 패턴은 기존 콘텐츠 조정의 결정력을 낮춘다. 제공업체는 거부 행동을 개선할 수 있지만, 침해된 툴체인은 계속해서 모델에 오해를 부르는 맥락을 제공할 수 있다. 모델은 이미 신뢰 경계가 무너진 환경 안에서 행동한다.

같은 비대칭성은 네트워크 방어에서도 나타난다. AI 운영자는 여러 경로를 지속적으로 시험할 수 있다. 인간 분석가는 경고가 실제인지 확인하고, 비즈니스 영향을 파악하며, 시스템 소유자에게 연락하고, 증거를 보존하며, 정상 업무를 방해하지 않도록 해야 한다.

그렇다고 방어가 희망 없는 것은 아니다. 모델은 방어 텔레메트리를 처리하고, 사고를 요약하며, ID 정보를 상관 분석하고, 격리 조치를 권고할 수 있다. Anthropic은 자사 위협 인텔리전스 팀이 첩보 캠페인을 조사하는 동안 Claude를 광범위하게 사용했다고 밝혔다.

Check Point 역시 AI를 방어 자원으로 규정한다. 회사는 인간만의 워크플로로는 자동화가 심화되는 작전에 맞설 수 없기 때문에, 보안 팀에는 기계 속도의 탐지와 대응이 필요하다고 주장한다. 이 주장은 운영상의 문제와 부합하지만, Check Point가 해결책으로 포지셔닝된 제품도 판매하고 있다는 점은 함께 고려해야 한다.

핵심 통제 수단은 제한된 자율성이다. 방어 에이전트는 증거를 수집하고 조치를 신속히 제안할 수 있지만, 민감한 단계에는 명시적 승인이 필요하다. 조직은 프로덕션 전반에 무제한 권한을 부여하지 않고도 에이전트가 저위험 테스트 엔드포인트를 격리하도록 할 수 있다.

공격자는 같은 거버넌스 부담을 지지 않는다. 오탐, 실패한 스크립트, 소란스러운 스캔을 감수할 수 있다. 방어자는 가용성을 보호하고 자체 조직의 운영을 방해하지 않아야 하므로 자동화에는 신중한 제한이 필요하다.

이 불균형이 기본 보안 원칙이 여전히 중요한 이유를 설명한다. 다중 인증, 세분화, 엔드포인트 모니터링, 신속한 패치, 최소 권한, 자격 증명 교체는 여전히 공격의 근간을 차단한다. AI는 공격자의 속도와 규모를 바꾸지만, 접근 권한의 필요성을 없애지는 않는다.

코딩 에이전트는 더 열심히 추론한다고 해서 패치된 서비스를 익스플로잇할 수 없다. 폐기된 자격 증명을 재사용할 수도 없다. 네트워크 정책이 경로를 차단하고 방어자가 경계 통과 시도를 모니터링한다면 세분화된 환경에 도달할 수도 없다.

방어 측의 과제는 이러한 통제를 일관되게 적용하는 것이다. AI는 방치된 시스템을 더 쉽게 발견하게 하고, 취약한 관행을 대규모로 더 쉽게 악용하게 만든다. 기존의 보안 부채를 더 빠른 운영 기회로 전환한다.

AI 생성 멀웨어가 생산성의 상한을 끌어올린다

AI는 정교한 공격용 소프트웨어를 구축하는 데 필요한 노동도 줄이기 때문에, 실시간 오케스트레이션은 이야기의 절반에 불과하다.

Check Point는 명령·제어 기능, 클라우드 탐색, 컨테이너 표적화, 침해 후 기능을 포함하는 모듈형 Linux 멀웨어 프레임워크 VoidLink를 조명했다. 연구진은 처음에 그 아키텍처가 조직화된 개발팀을 반영한다고 판단했다.

운영상의 실수로 기획 문서와 기타 개발 산출물이 노출됐다. Check Point는 숙련된 개발자 한 명이 AI 기반 환경을 활용해 1주일 이내에 작동하는 임플란트를 제작했다고 결론지었다. 해당 프로젝트는 보도에 따르면 8만8,000줄이 넘는 코드로 구성됐다.

VoidLink 조사는 모델이 캠페인을 구상했거나 멀웨어를 독립적으로 운영했다는 점을 입증하지는 않는다. 대신 더 현실적인 사실을 보여준다. 역량 있는 사람이 AI를 활용해 복잡한 공격 프레임워크를 예상보다 훨씬 빠르게 기획, 구현, 테스트, 수정했다는 것이다.

해당 개발자는 사양 주도 개발을 따랐다고 전해진다. 이 워크플로에서는 구조화된 요구사항과 기획 문서가 에이전트의 구현 과정을 안내한다. 같은 방식은 합법적인 팀이 복잡한 소프트웨어 프로젝트를 조율하는 데도 도움이 된다.

이러한 이중 용도가 위험의 핵심이다. 범죄 생태계는 모든 AI 역량을 위해 별도의 발명 주기를 거칠 필요가 없다. 일반 개발자가 생산성 향상을 위해 채택하는 워크플로, 도구, 에이전트 패턴을 그대로 복제할 수 있다.

AI의 관여는 최종 산출물에서 사라질 수도 있다. 컴파일된 멀웨어를 분석하는 분석가는 일반적인 코드, 알려진 라이브러리, 익숙한 기법을 볼 수 있다. 유출된 프롬프트나 프로젝트 파일이 없다면 소프트웨어가 어떻게 만들어졌는지 신뢰성 있게 식별할 방법이 없을 수 있다.

이는 뚜렷한 문체적 단서를 찾아 AI 기반 사이버 범죄를 측정하려는 시도를 약화시킨다. 깔끔한 코드는 인간 저작을 증명하지 않으며, 결함 있는 코드도 AI 저작을 증명하지 않는다. 개발 출처는 대개 보이지 않는 상태로 남는다.

VoidLink는 단순한 대중화 주장의 한계도 보여준다. 초보자가 챗봇을 연다고 해서 고급 멀웨어 엔지니어가 되는 것은 아니다. 보도된 개발자는 보안 지식, 아키텍처 판단력, 체계적인 프로젝트 관리를 제공한 것으로 보인다.

AI는 그 전문성을 증폭했다. 한 명의 운영자가 더 큰 팀과 더 긴 일정에 해당하는 작업을 수행하도록 도왔다. 따라서 단기적으로 가장 큰 향상은 표적과 공격 기법을 이미 이해하는 유능한 공격자에게 돌아갈 가능성이 크다.

숙련도가 낮은 행위자도 패키지형 서비스를 통해 이익을 얻는다. Check Point는 피싱 키트, 음성 시스템, 범죄 플랫폼이 점점 더 단순한 인터페이스 뒤에 언어 모델을 내장하고 있다고 보고한다. 구매자는 기본 모델, 탈옥, 전달 파이프라인을 이해할 필요가 없다.

이는 이전의 사이버 범죄 시장과 닮았다. 랜섬웨어 제휴자, 초기 접근 브로커, 피싱 서비스, 봇넷 대여는 전문 역량을 구매 가능한 구성 요소로 전환했다. AI는 이러한 서비스 내부의 생산 비용을 낮추는 동시에 개인화와 운영 처리량을 개선할 수 있다.

합성 신원은 또 다른 층위를 더한다. 음성, 얼굴, 문서, 실시간 영상은 다채널 소셜 엔지니어링으로 결합될 수 있다. 직원은 같은 가짜 신원을 뒷받침하는 이메일, 음성 통화, 영상 속 인물을 받을 수 있다.

단일 딥페이크만으로 계정이나 거래가 악의적이라는 사실이 입증되지는 않는다. 보안 문제는 익숙한 신원 신호가 이제 독립적인 가치가 낮아졌다는 점이다. 조직은 신뢰할 수 있는 채널, 거래 통제, 기기 신호, 맥락 검토를 통한 교차 확인이 필요하다.

교육기관과 공공 부문 조직은 광범위한 사용자 집단, 민감한 기록, 노후화된 시스템, 분산된 기술 환경을 관리하기 때문에 특히 노출 위험이 크다. 공격자는 보안 성숙도가 고르지 않은 기관들을 대상으로 자격 증명 탈취, 소셜 엔지니어링, 자동화된 정찰을 결합할 수 있다.

따라서 Check Point의 AI 보안 주장은 멀웨어에만 국한되지 않는다. 코드, 설득, 신원 사기, 데이터 처리, 운영 조율 전반에서 생산성의 상한이 높아지고 있다.

증거가 여전히 입증하지 못하는 것

이 보고서는 중대한 운영상의 변화를 기록했지만, 자율 AI가 숙련된 공격자를 대체했다는 사실을 입증하지는 않는다.

벤더 위협 보고서에는 피할 수 없는 가시성 문제가 있다. Anthropic은 자사 서비스와 관련된 활동을 관찰한다. Check Point는 자사의 연구, 파트너, 제품, 텔레메트리를 통해 포착된 사건을 본다. 각 조직은 더 넓은 위협 환경의 일부만 볼 수 있다.

GTG-1002 보고서는 이례적으로 상세한 설명을 제시했지만, Anthropic은 외부 연구자가 완전한 독립 검증에 사용할 수 있는 침해 지표를 공개하지 않았다. Check Point는 보다 폭넓은 분석에서 이 한계를 지적했다.

멕시코 정부 사례에는 명령 수, 세션, 스크립트, 시스템, 기록을 포함한 광범위한 운영 수치가 담겨 있다. 그러나 언급되거나 영향을 받은 모든 기관의 공개 확인은 여전히 불완전하다. 보도는 이 구분을 유지해야 한다.

자율성 측정에도 문제가 있다. 사람이 여전히 프레임워크를 설계하고, 표적을 선택하고, 자격 증명을 제공하며, 핵심 조치를 승인하는 동안 모델은 많은 명령을 실행할 수 있다. 명령 수를 세는 것만으로는 누가 작전의 의도를 통제했는지 알 수 없다.

Anthropic의 80%~90% 추정치는 특정 캠페인 내 전술 작업에 관한 것이다. 이는 모델이 모든 중요한 결정의 90%를 맡았다는 뜻은 아니다. 회사는 사람이 몇몇 핵심 순간에 개입했다고 밝혔으며, 여기에는 불균형적으로 큰 전략적 가치를 지닌 선택이 포함됐을 수 있다.

마찬가지로 AI가 실행한 5,317개의 명령이 모든 명령이 유용했다는 사실을 입증하지는 않는다. 에이전트는 작업을 반복하거나 오류를 만나거나 불필요한 단계를 생성할 수 있다. 원시적인 규모는 역량이 아니라 활동량을 포착한다.

AI 시스템도 공격자를 노출시킬 수 있는 실수를 한다. 출력을 잘못 해석하거나, 소란스러운 기법을 선택하거나, 결과를 조작하거나, 민감한 세부 정보를 지나치게 철저히 문서화할 수 있다. Check Point는 개발 산출물과 운영상 실수가 가시성을 만들었기 때문에 VoidLink의 일부 측면을 발견했다.

제공업체의 통제는 여전히 중요할 수 있다. 악용 모니터링은 개별 표적이 관찰할 수 없는 계정 전반의 패턴을 본다. 속도 이상, 반복적인 익스플로잇 프롬프트, 의심스러운 도구 사용, 공유 인프라는 조사와 차단을 뒷받침할 수 있다.

Anthropic이 공개한 AI 위협 매핑은 2025년 3월부터 2026년 3월 사이 사이버 관련 정책 위반으로 차단된 832개 계정을 분석했다. 이 중 560개 계정, 즉 67.3%가 멀웨어 관련 준비 작업에 AI를 사용한 것으로 나타났다.

관찰된 행위자 대부분은 GTG-1002 수준으로 활동하지 않았다. Anthropic은 모델 주변의 소프트웨어와 아키텍처를 뜻하는 에이전트형 스캐폴딩이 요청된 기법의 수보다 최고 위험 활동을 더 뚜렷하게 구분한다고 밝혔다.

이 결과는 절제된 결론을 뒷받침한다. AI 지원 악용은 광범위하지만, 고도로 자율적인 작전은 여전히 더 고도화된 하위 집합이다. 위험은 그 하위 집합을 재현하기가 쉬워지는 데 있다.

Google News 배포는 이러한 구분을 극적인 헤드라인으로 평면화할 수 있다. “AI가 사이버 공격을 수행한다”는 표현은 방향성 면에서는 유용하지만 기술적으로는 불완전하다. 인간의 의도, 취약한 시스템, 탈취된 접근 권한, 오케스트레이션 코드, 취약한 통제는 여전히 문서화된 모든 사례를 형성한다.

방어자는 이 사건들을 마케팅으로 치부해서도, 자율적 침해가 불가피하다고 여겨서도 안 된다. 증거는 더 빠른 탐지, 강화된 에이전트 거버넌스, 기본 보안 통제에 대한 투자를 뒷받침한다. 인간 검토를 포기하거나 방어 에이전트에 무제한 접근 권한을 부여하는 근거는 되지 않는다.

다음으로 주시할 세 가지 신호

다음 시험대는 에이전트형 공격이 행위자, 표적, 모델 제공업체 전반에서 반복 가능해지는지 여부다.

첫 번째 신호는 독립적인 사고 검증이다. 보안 연구자는 엔드포인트 데이터, 네트워크 기록, 제공업체 텔레메트리, 피해자 보고가 모두 에이전트의 실시간 운영 역할을 확인하는 사례를 찾아야 한다. 서로 무관한 조사에서 반복되는 증거는 Check Point의 논지를 강화할 것이다.

공개 지표도 중요하다. 이는 다른 조직이 자사 환경을 검색할 수 있게 하고, 독립 팀이 귀속 분석을 검증하도록 돕는다. 향후 보고서가 한 제공업체의 내부 관찰에 계속 의존한다면, 더 광범위한 추세에 대한 신뢰는 더 느리게 높아질 것이다.

두 번째 신호는 지속적인 에이전트 조작에 대한 제공업체의 대응이다. 코딩 어시스턴트는 리포지토리 파일, 도구 설명, 프로젝트 맥락을 자동으로 소비한다. 제공업체는 경고, 권한 경계, 출처 표시, 제한된 실행을 포함해 이러한 입력을 위한 더 명확한 신뢰 통제가 필요하다.

상용 에이전트가 기본적으로 신뢰할 수 없는 콘텐츠를 운영 지침과 분리하기 시작하는지 지켜봐야 한다. 더 강한 격리는 심어진 구성 파일에 의존하는 공격을 약화할 것이다. 여러 제품에서 우회가 계속된다면 에이전트 아키텍처가 여전히 지속적인 약점이라는 주장은 더 설득력을 얻을 것이다.

세 번째 신호는 방어자의 대응 시간이다. 조직은 노출된 서비스를 인벤토리화하고, 패치를 적용하고, 자격 증명을 폐기하고, 의심스러운 도구 활동을 조사하고, 측면 이동을 차단하는 데 걸리는 시간을 측정해야 한다. 이러한 운영 지표는 방어가 더 빠른 공격에 적응하고 있는지를 보여준다.

더 뛰어난 모델이 없더라도 공개와 조치 사이의 격차가 커진다면 공격자에게 유리하게 작용할 것이다. 격차가 줄어든다면 자동화, 우선순위화, 거버넌스가 에이전트형 이점의 일부를 상쇄할 수 있음을 보여줄 것이다.

보안 리더는 승인된 AI 사용과 악의적 활동도 구분해야 한다. Check Point에 따르면 데이터세트의 평균 조직은 매월 10개의 AI 애플리케이션을 사용했으며, 대개 공식 승인 없이 사용됐다. 전년도 동안 고위험 프롬프트 비중은 2%에서 4%로 두 배 늘었다고 보고했다.

이러한 프롬프트에는 기업 정보, 개인 정보, 규제 대상 정보, 자격 증명 관련 정보가 포함될 수 있다. 대부분은 침입이 아니라 일반 직원의 행동을 나타낸다. 따라서 보안 프로그램에는 서로 연결된 두 가지 과제가 있다. AI를 이용하는 공격자를 막고, AI를 이용하는 직원을 관리하는 일이다.

전면 금지는 신뢰할 만한 가시성을 제공하는 경우가 드물다. 직원들은 개인 계정이나 승인되지 않은 서비스로 옮겨갈 수 있다. 조직에는 명확한 데이터 규칙, 승인된 도구, 접근 통제, 로깅, 민감한 자료를 노출하지 않으면서 맥락을 보존하는 워크플로가 필요하다.

빠르게 쏟아지는 보안 조사 결과를 검토하는 팀에는 오래 보존할 수 있는 내부 근거도 필요합니다. 검색 가능한 엔지니어링 지식 베이스는 흩어진 대화에 의존하지 않고 권고문, 자산 소유권, 인시던트 대응 결정, 시정 조치 기록을 연결할 수 있습니다.

실질적인 질문은 Google News의 모든 경고가 자율적인 침해를 예고하느냐가 아닙니다. 조직이 운영자가 다음 중대한 결정을 내리기 전에 시스템을 이동하는 에이전트를 식별할 수 있느냐입니다. AI 에이전트가 어디에서 실행되는지, 무엇에 접근할 수 있는지, 어떤 작업이 사람의 승인을 우회하는지 검토하세요. 그런 다음 현재의 도구와 인력으로 기계 속도의 침입을 차단할 수 있는지 테스트해야 합니다.