DeepSeek 기반 AI 에이전트, 460개 이상 시스템 겨냥

연구진이 460개 이상의 표적을 공격하려 한 AI 지원 캠페인을 공개하면서 DeepSeek가 Google News에 등장했다. 이 작전으로 확인된 피해는 제한적이었지만, 그 워크플로는 중요한 경계를 넘었다. AI 에이전트는 취약한 시스템을 찾고, 익스플로잇을 선택하며, 가능성이 낮은 기회를 포기하고, 사람의 지시가 거의 없는 상태에서 스스로 방향을 전환했다.

Palo Alto Networks의 Unit 42는 이 활동을 knaithe와 KnYuan이라는 별칭을 사용하는 중국어 구사 운영자와 연계했다. 연구진은 이 인물이 중국 주하이에 기반을 두고 있다고 평가했다. 이들은 해당 행위자를 국가 지원 그룹이 아닌 기회주의적 익스플로잇 운영자로 설명했다.

이 캠페인이 중요한 이유는 DeepSeek가 단순히 해킹 관련 질문에 답한 것이 아니기 때문이다. DeepSeek는 터미널 접근 권한, 재사용 가능한 스킬, Telegram 기반 제어 기능을 갖춘 오픈소스 프레임워크 Hermes Agent 내부에서 추론을 제공했다. 이 조합은 언어 모델을 공격 시스템의 운영 구성 요소로 바꿨다.

가장 우려스러운 시나리오는 완전히 현실화되지는 않았다. Unit 42는 필요한 설정이 없거나 인증이 접근을 차단했기 때문에 Langflow와 n8n 시스템을 상대로 한 자율적 시도가 실패했다고 밝혔다. 확인된 데이터 탈취는 별도의 수동 익스플로잇에서 발생했으며, 노출된 노트북 엔드포인트에서는 명령 실행도 관찰됐다.

이 구분은 헤드라인의 강도를 낮추지만, 교훈은 더욱 분명하게 만든다. 이 에이전트는 신뢰성이 낮고 잡음이 많았으며, 운영자 자신을 노출할 수도 있었다. 동시에 과거에는 지속적인 수작업이 필요했던 정찰과 익스플로잇 작업을 수행할 수 있었다.

이로 인한 충돌은 DeepSeek와 특정 서구 모델 간의 대결이 아니다. 이는 허가 없는 에이전트 실행 환경과 제공업체가 통제하는 AI 접근 방식의 대립이다. 이 작전은 모델 안전장치, 프레임워크 권한, 노출된 인프라, 기존 패치 관리가 이제 하나의 공격 체인 안에서 교차한다는 점을 보여준다.

Google News 헤드라인이 빠뜨린 내용

이 캠페인은 자율적 실험과 기존의 수동 공격을 결합했으며, 수백 개 조직을 완전히 자동화된 방식으로 침해한 사례는 아니었다.

가장 명확한 설명은 2026년 7월 30일 공개된 Unit 42 조사에서 확인할 수 있다. 연구진은 knaithe 및 KnYuan과 연계된 운영 환경을 발견했다. 여기에는 모델 구성, 익스플로잇 스크립트, 표적 목록, 셸 기록, 에이전트 세션 로그가 포함돼 있었다.

Unit 42는 행위자가 자율 및 수동 기법을 모두 사용해 460개 이상의 표적을 익스플로잇하려 했다고 밝혔다. 이 수치를 460건의 침해 성공으로 해석해서는 안 된다. 연구진은 Citrix NetScaler 표적 세 곳에서의 데이터 유출과 Marimo 노트북 엔드포인트 11곳에서의 명령 실행을 확인했다.

5월 7일 세션에서 재구성된 자율적 시퀀스는 더 제한적인 결과를 냈다. 운영자는 Telegram을 통해 Hermes Agent에 초기 작업을 부여했다. 연구진은 기록된 시퀀스 동안 추가 운영자 입력을 복구하지 못했다고 밝혔다.

Hermes는 먼저 AI 워크플로 구축 플랫폼인 Langflow를 표적으로 삼았다. DeepSeek는 공개 익스플로잇 코드를 찾아 FOFA 검색 엔진으로 노출된 인스턴스 84개를 열거하고, 10개 스레드로 스캐너를 실행했다. 그 결과 취약해 보이는 표적 하나를 식별했다.

그러나 이 시도는 취약점 악용에 노출된 플로 식별자 또는 활성화된 자동 로그인 설정이 필요했기 때문에 실패했다. 해당 표적은 어느 조건도 제공하지 않았다. DeepSeek는 이후 이 제품을 가능성이 낮은 기회로 분류하고, 더 넓은 범위에서 접근 가능한 표적을 찾기 시작했다.

이 전환이 핵심 사건이다. 전통적인 자동화는 준비된 목록을 대상으로 사전에 정해진 명령을 실행한다. Hermes와 DeepSeek의 조합은 실패 결과를 해석하고, 다른 취약점을 조사하며, 표적을 비교하고, 다른 경로를 선택했다.

에이전트는 10개 제품군을 조사하고 최근 개념 증명 코드를 찾기 위해 GitHub를 검색했다. 심각도, 배포 수, 사용 가능한 익스플로잇 코드의 겉보기 인기도를 고려한 뒤 n8n을 선택했다.

Unit 42는 FOFA가 전 세계적으로 n8n 인스턴스 647,017개를 반환했으며, 이 중 25,209개가 중국에 있다고 보고했다. 이 수치는 검증된 취약 설치 수가 아니라 행위자의 정찰 환경에서 나온 것이다. 노출된 인스턴스가 반드시 영향을 받거나 익스플로잇 가능한 것은 아니었다.

DeepSeek는 두 개 취약점을 연결한 익스플로잇 체인을 분석하고, 취약해 보이는 버전을 실행 중인 시스템 세 곳을 식별했다. 그러나 사용 가능한 익스플로잇에는 파일 업로드가 활성화된 비인증 폼이 필요했다. 발견된 폼들은 인증을 요구했다.

에이전트는 남은 50개 이상의 표적을 계속 스캔했지만 사용할 수 있는 공개 폼을 찾지 못했다. Unit 42는 이 자율 n8n 시퀀스에서 성공적인 익스플로잇 사례를 발견하지 못했다.

이 실패 결과는 중요하다. 이 작전은 AI 시스템이 제로데이 취약점을 새로 만들어 내거나 강화된 방어를 우회하는 모습을 보여주지 않았다. 대신 공개 정보를 조합하고 알려진 기법을 기계 속도로 적용하는 에이전트를 보여줬다.

수동 측면은 더 큰 영향을 냈다. 행위자는 NetScaler 메모리 오버리드 취약점을 익스플로잇해 세 표적에서 데이터를 획득했다. Unit 42는 Marimo 노트북 엔드포인트 11곳에서의 명령 실행과 Tomcat 및 Windows IKE 서비스와 관련된 시도도 발견했다.

CVE-2026-3055로 추적되는 NetScaler 취약점은 NIST로부터 9.8의 CVSS 점수를 받았다. 영향받는 시스템이 SAML 아이덴티티 제공자로 작동할 때 발생하는 불충분한 입력 검증 문제였다. CISA는 3월 30일 이를 Known Exploited Vulnerabilities 카탈로그에 추가했다.

Unit 42는 행위자가 탈취한 NetScaler 메모리에서 인증 쿠키를 검색했으며, 이는 세션 하이재킹에 관심이 있었음을 시사한다고 밝혔다. 말레이시아의 한 정부 기관은 메모리 매개변수 조정과 익명화 프록시를 통한 후속 연결을 포함해 며칠 동안 지속적인 주목을 받았다.

이런 세부 사항은 AI 에이전트가 성공하지 못한 영역에서 운영자가 판단을 적용했음을 보여준다. 따라서 이 캠페인은 하이브리드 형태였다. 자동화가 정찰과 실험 범위를 넓히는 동안, 사람은 더 가치 높은 익스플로잇과 지속성 확보를 맡았다.

DeepSeek AI 에이전트 자동화가 경제성을 바꾸는 방식

에이전트의 가치는 더 높은 성공률이 아니었다. 반복적인 조사, 필터링, 표적 재지정을 재사용 가능한 프로세스로 압축할 수 있다는 점이었다.

Hermes Agent는 운영 계층을 제공했다. 이 프레임워크는 DeepSeek에 터미널 접근 권한, 스킬 시스템, Telegram 제어, 외부 도구 연결 기능을 제공했다. DeepSeek는 코드 생성, 취약점 평가, 표적 선택, 다음 단계 결정에 필요한 추론을 공급했다.

행위자는 세 가지 공격용 스킬을 추가했다. 하나는 모델 탈옥을 지원했고, 다른 하나는 WebSocket 익스플로잇을 다뤘으며, 세 번째는 지시를 FOFA 검색으로 변환했다. 이 환경은 자산 탐색 및 취약점 스캔 기능을 노출하는 Model Context Protocol 서버에도 연결돼 있었다.

Model Context Protocol 또는 MCP는 AI 시스템이 외부 데이터 소스와 도구를 호출할 수 있게 하는 표준이다. 이 캠페인에서는 자연어 지시를 인터넷 자산 검색 및 스캐너 생성과 연결하는 데 도움이 됐다. 모델은 무엇을 찾아야 할지 판단하는 단계에서 이를 찾기 위해 필요한 검색을 실행하는 단계로 이동할 수 있었다.

이 아키텍처는 인지와 행동을 분리한다. 언어 모델은 결과를 평가하고 다음 단계를 제안한다. 에이전트 프레임워크는 명령을 실행하고 상태를 저장하며 관찰 결과를 반환한다. 스킬은 이후 세션에서 재사용할 수 있는 절차를 보존한다.

이 분리는 모델 자체가 전체 위험이 아닌 이유를 설명한다. DeepSeek는 실행 환경 없이 주소를 스캔하거나 익스플로잇을 실행할 수 없었다. Hermes는 생성된 결정을 운영체제 활동으로 전환했다.

이 워크플로는 리소스도 관리했다. Unit 42에 따르면 DeepSeek는 FOFA가 보고한 중국 내 n8n 인스턴스 25,209개 중 약 100개 주소를 샘플링했다. 이후 전체 집합을 테스트하는 대신 약 40개의 고유 주소를 탐색했다.

이런 행동은 시스템이 표적 범위와 컴퓨팅·실행 비용 간 균형을 맞추고 있었음을 시사한다. 시스템은 광범위하게 검색한 뒤 범위를 좁히고, 버전을 테스트했으며, 필요한 조건이 충족되지 않으면 중단했다. 기저 판단이 불완전했더라도 이는 분석가의 트리아지 프로세스를 닮았다.

운영자는 자동화된 취약점 인텔리전스 파이프라인인 1DayNews도 유지했다. Unit 42에 따르면 이 파이프라인은 17개 소스에서 원격 코드 실행 공개 정보를 수집하고, DeepSeek로 발견 사항을 익스플로잇 가능성 기준으로 필터링했으며, Telegram을 통해 경보를 배포했다.

이 파이프라인은 캠페인이 기회주의적으로 보인 이유를 설명하는 데 도움이 된다. 행위자는 새로운 취약점 공개 정보를 받아들여 노출된 제품의 우선순위를 정하고, 공개 코드를 확보하며, 특정 피해자나 분야에 전념하지 않은 채 테스트를 시작할 수 있었다.

이 접근 방식은 방어자에게 압박을 가한다. 취약점 공개가 이루어지는 순간부터 패치 시계가 이미 시작되기 때문이다. 에이전트는 공개와 표적 탐색, 익스플로잇 시도 사이에 필요한 노동을 줄인다. 다른 곳에서 취약한 구성 하나를 찾을 수 있다면 익스플로잇 자체를 개선할 필요도 없다.

Palo Alto Networks는 이전에 통제된 조건에서 유사한 공격 자동화를 시험했다. 2025년 에이전틱 공격 프레임워크는 초기 침해부터 데이터 탈취까지 이어지는 랜섬웨어 시퀀스를 25분 만에 시뮬레이션했다.

회사는 이 실험실 결과를 속도가 100배 증가한 사례로 설명했다. 또한 침해부터 데이터 유출까지의 평균 시간이 2021년 9일에서 2024년 2일로 줄었다고 보고했다. 조사한 사례의 5분의 1에서는 유출이 한 시간 내에 시작됐다.

이 수치가 DeepSeek 캠페인이 같은 속도로 작동했다는 점을 입증하는 것은 아니다. 하지만 자율적 트리아지가 사고 대응자에게 우려를 불러일으키는 이유는 보여준다. 주 단위 패치 주기로 측정되는 방어 프로세스는 한 세션 안에 표적을 재평가할 수 있는 공격자와 맞서게 된다.

현재 캠페인도 여전히 기본적인 장애물에 부딪혔다. 인증은 n8n 익스플로잇 체인을 막았다. Langflow 설정 하나가 빠진 탓에 첫 시도는 중단됐다. 스캔된 많은 시스템도 응답하지 않았다.

이 결과는 덜 극적인 사실을 뒷받침한다. 구성과 접근 통제는 여전히 중요하다. 에이전트는 검색하고, 적응하고, 재시도할 수 있지만 익스플로잇에 내장된 모든 전제 조건을 자동으로 제거할 수는 없다.

그럼에도 경제성은 바뀌었다. 표적 탐색과 1차 테스트가 저렴해지면 낮은 성공률도 여전히 유용할 수 있다. 에이전트가 거절된 작업을 지속적으로 수행할 수 있다면 공격자는 모든 시도가 성공할 필요가 없다.

허가 없는 에이전트가 제공업체 안전장치를 압박한다

핵심 경쟁은 제한 없는 실행 환경과 제공업체 경계에서 정책을 집행하는 AI 서비스 사이에서 벌어진다.

운영자는 여러 모델 및 코딩 시스템을 평가했다. Unit 42는 Qwen, GLM, Kimi, MiniMax, Claude Code, Codex, DeepSeek와 관련된 구성을 발견했다. 이들의 역할과 확보된 증거는 상당히 달랐다.

DeepSeek는 Hermes Agent 내부의 주된 추론 엔진으로 작동했다. Qwen Code는 복구된 세션 두 개에서만 나타났다. Claude Code 활동은 세 세션에 걸친 10개 항목으로 구성됐으며, 주로 모델 점검, 프록시 검증, 연결성 테스트였다.

연구진은 Codex가 익스플로잇 개발 디렉터리에 접근한 정황을 발견했지만, 대화 내용은 복구하지 못했다. 행위자가 로컬 응답 저장을 비활성화했기 때문에 Unit 42는 Codex가 어떻게 사용됐는지 검증할 수 없었다.

그 누락된 증거는 중요하다. 도구 설정이 존재한다고 해서 해당 도구가 익스플로잇을 생성했거나 성공적인 공격에 참여했다는 사실이 입증되는 것은 아니다. Unit 42는 Codex 연결을 확인된 운영상 역할이 아니라 정황으로 적절히 설명했다.

행위자는 서구권 도구를 서드파티 프록시를 통해 우회 연결했다. DeepSeek와 Qwen은 각자의 네이티브 API에 직접 연결됐다. 구성은 가능한 경우 클라이언트 측 권한 요청도 제거하거나 줄였다.

클라이언트 측 권한은 코딩 에이전트가 반복적인 승인 없이 명령을 실행하고, 파일을 변경하거나, 네트워크에 접근할 수 있는지를 제어한다. 그러나 제공업체의 서버 측 콘텐츠 및 악용 방지 통제를 없애지는 못한다.

Unit 42에 따르면 OpenAI는 관련 신호를 검토하고 자사의 안전장치가 정책 위반 요청을 거부했음을 확인했다. 시도가 계속되자 Unit 42가 정보를 공유하기 전에 시스템이 이 캠페인과 연계된 것으로 보이는 계정을 플래그 처리하고 비활성화했다.

이는 제공업체 통제가 공격자의 선택지를 바꿨다고 보고된 드문 현장 사례다. 운영자가 모델과 프레임워크를 바꿀 수 있었기 때문에 통제가 더 큰 캠페인을 멈추지는 못했다. 그럼에도 마찰을 늘리고 하나의 계정을 차단했다.

Hermes는 다른 경계를 보여줬다. Unit 42는 관측된 구성에서 이 프레임워크에 내장 안전 계층이 없었다고 설명했다. 또한 모델의 거부 응답을 우회하기 위한 선택형 스킬도 포함돼 있었다.

그렇다고 오픈소스 에이전트가 본질적으로 악성이라는 뜻은 아니다. 동일한 터미널 접근 권한과 재사용 가능한 스킬은 합법적인 연구, 시스템 관리, 소프트웨어 개발에도 쓰인다. 광범위한 실행 권한이 공격적 목적과 결합할 때 위험이 나타난다.

중요한 상충 관계는 통제와 이식성 사이에 있다. 호스팅 서비스는 요청을 검토하고 반복적인 위반을 탐지하며 접근을 중단할 수 있다. 자체 관리형 프레임워크는 사용자에게 더 많은 자유를 주지만, 집행 책임을 운영자와 주변 인프라로 옮긴다.

공격자는 예측 가능하게 제약이 더 적은 경로를 선택한다. Unit 42는 제공업체 측 통제가 이번 캠페인에서 서구권 시스템의 효율을 낮췄을 가능성이 높다고 평가했다. 이후 행위자는 최소한의 클라이언트 측 제약을 갖춘 프레임워크를 통해 DeepSeek에 의존했다.

그러나 작전을 전적으로 DeepSeek에 귀속하면 증거를 지나치게 단순화하게 된다. 행위자가 목표를 제시하고, 도구를 선택하고, 스킬을 설치하고, FOFA를 연결하고, 터미널 접근 권한을 제공했다. 공개 취약점 코드와 노출된 시스템이 그 사슬을 완성했다.

DeepSeek의 역할은 선택과 적응을 처리했다는 점에서 여전히 중요했다. 그러나 같은 허용적 환경에 배치된 다른 유능한 모델도 유사한 작업을 수행할 수 있었을 것이다. 브랜드명 자체보다 아키텍처의 조합이 더 중요하다.

이는 어려운 정책 문제를 제기한다. 모델 제공업체는 직접 요청을 필터링할 수 있지만, 오픈 모델과 대체 API는 중앙집중식 통제의 도달 범위를 줄인다. 에이전트 프레임워크는 승인 관문을 추가할 수 있지만, 사용자가 이를 비활성화할 수 있는 경우가 많다.

따라서 보안팀은 공급업체의 안전 정책을 주된 방어 수단으로 간주할 수 없다. 그러한 정책은 한 계층에서의 악용을 방해할 수 있다. 하지만 노출된 어플라이언스를 패치하거나, 워크플로 양식에 인증을 요구하거나, 관리되지 않는 에이전트가 터미널 권한을 받는 것을 막지는 못한다.

Google News의 프레이밍은 DeepSeek를 알아보기 쉬운 주제로 만든다. 더 깊은 경쟁은 누가 실행을 통제하며 그 통제가 어디에서 집행될 수 있는지를 둘러싼 것이다. 모델은 결정을 생성하고, 프레임워크는 역량을 부여하며, 인프라는 시도된 익스플로잇의 성공 여부를 결정한다.

AI 공격자도 자신을 노출했다

운영자의 범위를 넓힌 바로 그 자율성은 심각한 운영 보안 실패를 낳았고, 연구자들에게 캠페인 내부를 들여다볼 드문 기회를 제공했다.

Hermes Agent는 Telegram 요청을 받고 포트 8888에서 Python HTTP 서버를 시작했다. 격리된 스테이징 폴더가 아니라 행위자의 홈 디렉터리에서 해당 서버를 실행했다.

그 오류로 전체 작업 공간이 노출됐다. Unit 42는 API 키, 구성 파일, 익스플로잇 스크립트, 대상 목록, 명령 기록, 에이전트의 익스플로잇 로그를 검토할 수 있었다. 이 아티팩트들은 공개된 재구성의 근거가 됐다.

이 실수는 단순히 흥미로운 역전 사례가 아니다. 자율 실행은 사람이 각 명령을 검토하지 않은 채 내려지는 중대한 결정의 수를 늘린다. 겉보기에는 일상적인 파일 공유 단계도 자격 증명과 운영 기록을 노출할 수 있다.

인간 공격자도 실수한다. 서버를 잘못 구성하고, 인프라를 재사용하며, 로그를 남긴다. 에이전트는 경로, 권한, 범위 또는 명령의 결과를 오해할 수 있으므로 또 다른 오류 원인을 추가한다.

행위자는 다른 부분에서 운영 보안을 의식한 모습을 보였다. 익스플로잇 디렉터리는 사용 후 비워졌다. Codex 응답 저장소는 로컬에서 비활성화됐다. 프록시 인프라는 일부 도구에 대한 직접적 귀속을 줄였다.

하지만 에이전트는 범위가 잘못 설정된 단 하나의 명령으로 그 작업 일부를 무력화했다. 더 신중한 수동 운영자라면 피했을 법한 포렌식 증거를 만들어냈다.

이 역전은 연구자들이 자동화된 작업과 수동 작업을 구분하는 데도 도움이 됐다. 복구된 Hermes 세션은 실패한 Langflow 시도, 자율적인 취약점 조사, n8n으로의 전환을 보여줬다. 다른 파일들은 해당 세션 밖에서 이뤄진 익스플로잇을 기록했다.

이 로그가 없었다면 관찰자들은 AI 모델이 대상을 선택했는지 알지 못한 채 스캐닝 트래픽만 봤을 수 있다. 자율 해킹에 관한 마케팅 주장은 검증하기 어려웠을 것이다. 노출된 환경은 이례적으로 직접적인 증거를 제공했다.

이 증거에도 한계는 있다. Unit 42는 삭제된 모든 파일이나 모든 세션을 확보하지 못했다. 행위자가 삭제한 파일에 담긴, 알 수 없는 수의 호스트를 대상으로 한 대량 익스플로잇 정황을 검토했다.

연구자들은 실제 Codex 대화도 확인할 수 없었다. 모든 시도 대상에 자율 익스플로잇이 적용됐다고 주장하지도 않았다. 확인된 영향은 여러 방법과 서로 다른 취약점을 결합한 것이었다.

이러한 단서는 이야기가 멈출 수 없는 AI 해커에 대한 주장으로 변질되는 것을 막는다. 기록된 에이전트는 유용한 조사와 적응을 수행했지만, 의도한 자율 대상 침해에는 실패했다. 가장 큰 성과는 운영자의 탐색을 가속한 것이었을 수 있다.

이 캠페인에는 알려진 취약점과 공개된 개념 증명 코드도 포함됐다. 보고서에는 DeepSeek가 알려지지 않은 취약점을 발견했다는 증거가 없다. 처음부터 새로운 익스플로잇을 독자적으로 개발했다는 증거도 없다.

시스템의 판단은 때때로 피상적이었다. 개념 증명 코드의 GitHub 스타 수를 익스플로잇 가치의 한 지표로 취급했다. 인기는 신뢰성이나 광범위한 노출을 입증하지 않은 채 관심을 반영할 수 있다.

제품 수 역시 인터넷 검색 플랫폼에서 가져왔다. 검색 결과는 오래됐거나, 중복되거나, 불완전할 수 있다. 서비스 배너는 정확한 버전, 접근 가능한 기능 또는 악용 가능한 구성을 확인해주지 않는다.

그럼에도 에이전트는 증거가 가정과 충돌했을 때 방향을 수정했다. 누락된 Langflow 전제 조건을 인식했다. n8n 익스플로잇 요구사항을 다시 읽고 인증이 사용 가능한 양식을 차단한다는 점을 알아차렸다.

이러한 행동만으로도 방어자들이 우려하기에 충분하다. 에이전트는 수동 작업량을 줄이기 위해 완벽한 추론이 필요하지 않았다. 명백히 부적합한 대상을 걸러내고 더 나은 기회에 운영자의 주의를 남겨두면 됐다.

따라서 이 캠페인은 두 가지 사실을 동시에 보여준다. 현재의 공격형 에이전트는 여전히 오류가 잦고 운영상 서툴다. 하지만 이들의 실수가 지속적인 자동화 정찰로 얻는 효율을 없애지는 않는다.

방어자는 그 약점을 활용할 수 있다. 자율 캠페인은 반복적인 쿼리, 고속 프로브, 도구 다운로드, 실행 급증을 만들어낸다. 이러한 행동을 ID, 엔드포인트, 네트워크, 클라우드 텔레메트리 전반에서 상관 분석하면 워크플로를 드러낼 수 있다.

조직은 자체 AI 에이전트도 격리해야 한다. 광범위한 터미널 접근 권한이 자격 증명 디렉터리나 제한 없는 네트워크 서비스에 대한 접근을 의미해서는 안 된다. 파일을 노출하고, 리스너를 열거나, 보안 통제를 변경하는 명령에는 추가 승인이 필요하다.

에이전트 로그는 보안 증거가 된다. 코딩 또는 운영 에이전트를 사용하는 팀은 도구 호출, 권한 변경, 모델 선택, 네트워크 목적지를 보존해야 한다. 개인 AI 지식 베이스는 합법적인 업무를 지원할 수 있지만, 운영 비밀에는 접근 경계와 보존 통제가 필요하다.

공격자의 노출은 에이전트 보안이 유해한 프롬프트를 차단하는 문제만이 아님을 보여준다. 유효한 지시를 잘못 따르는 에이전트가 초래할 수 있는 피해를 제한하는 문제이기도 하다.

이 DeepSeek 보고서 이후 방어자가 주시해야 할 것

다음 단계는 성공적인 자율 침해, 반복 가능한 공격 인프라, 그리고 에이전트 행동을 인식하는 방어 통제로 가늠될 것이다.

첫 번째 신호는 사람이 개입하지 않고 에이전트가 침해를 완료했다는 증거다. Unit 42는 자율 열거, 익스플로잇 획득, 대상 선택, 실패한 익스플로잇을 문서화했다. 보고서에서 확인된 성공 활동은 수동 캠페인에서 비롯됐다.

그 경계는 중요하다. 향후 조사가 자율적인 초기 접근, 권한 상승, 지속성 확보, 데이터 탈취를 하나의 추적 가능한 순서로 기록한다면 위험 평가는 달라진다. 이는 에이전트가 대상 선별을 넘어 신뢰할 수 있는 운영으로 이동할 수 있음을 보여줄 것이다.

독자는 세션 로그, 명령 기록, 네트워크 텔레메트리 또는 기타 직접 증거를 살펴봐야 한다. 공급업체의 설명만으로는 자율성을 입증할 수 없다. 단순히 AI가 생성한 코드를 사용하는 캠페인은 실패 후 재계획하고 다음 선택을 실행하는 캠페인과 다르다.

두 번째 신호는 독립적인 행위자들 사이에서의 반복이다. 이 운영자는 커스텀 스킬, Telegram 제어, FOFA 통합, 프록시, 취약점 경보 파이프라인을 통해 재사용 가능한 인프라를 구축했다. 이러한 투자는 프로세스를 개선하려는 의도를 시사한다.

하나의 캠페인만으로 광범위한 전환을 입증할 수는 없다. 유사한 에이전트 아키텍처를 사용하는 여러 무관한 행위자가 등장한다면, 그 방법이 한 운영자의 실험이 아니라 표준 관행이 되고 있음을 보여줄 것이다.

반복 가능성은 공유 스킬, 패키지화된 MCP 서버, 수정된 에이전트 프레임워크, 익스플로잇 선택 워크플로를 통해 나타날 가능성이 높다. 방어 연구자들은 모든 레드팀 프로젝트가 악성이라고 가정하지 않은 채 공개 저장소를 모니터링해야 한다.

세 번째 신호는 제공업체와 기업이 집행을 도구에 더 가깝게 옮기는지 여부다. 모델의 거부 응답은 여기서 마찰을 만들었지만, 운영자가 시스템을 바꾸는 것을 막지는 못했다. 행위자가 승인 프롬프트를 비활성화했기 때문에 그것 역시 지속적인 경계 역할을 하지 못했다.

더 의미 있는 통제는 요청된 작업, 대상 권한, 프로세스 맥락, 네트워크 목적지를 평가해야 한다. 공개 문서를 요청하는 에이전트와 무관한 인터넷 호스트를 대상으로 스캐너를 실행하는 에이전트는 다르다.

기업은 배포된 에이전트와 이들이 사용할 수 있는 자격 증명을 목록화해야 한다. 셸 접근 권한을 가진 관리되지 않는 에이전트는 그 기반 모델이 의도한 대로 동작하더라도 새로운 노출을 만들 수 있다.

인터넷에 노출된 시스템은 여전히 즉각적인 우선순위다. 인증은 자율 n8n 시도를 막았고, 누락된 구성 요구사항은 Langflow 익스플로잇을 저지했다. 이는 비전통적인 워크플로에 맞선 전통적인 방어의 승리다.

CISA의 CVE-2026-3055 대응도 패치 속도가 중요한 이유를 보여준다. 이 기관은 3월 23일 공개된 지 7일 후 해당 결함을 악용된 취약점 카탈로그에 추가하고, 연방 기관에 4월 2일 시정 기한을 설정했다.

조직은 외부에서 접근 가능한 관리 서비스를 줄이고, 패치된 버전을 검증하며, 반복적인 버전 탐색을 모니터링해야 합니다. 또한 실험을 위해 빠르게 배포된 뒤 온라인에 그대로 남아 있는 워크플로우 플랫폼도 검토해야 합니다.

보안팀은 공격 트래픽의 양상이 바뀔 수 있음을 예상해야 합니다. 에이전트는 같은 페이로드를 반복하는 대신 잠시 멈춰 조사한 뒤 다른 익스플로잇으로 돌아올 수 있습니다. 하나의 지표에 묶인 탐지 규칙은 이처럼 더 넓은 연속 과정을 놓칠 수 있습니다.

탐색 활동과 이후의 익스플로잇을 연계해 분석하면 더 나은 관점을 얻을 수 있습니다. 제품 열거가 급증한 뒤 버전 확인, 공개 익스플로잇 다운로드, 표적화된 요청이 이어진다면, 각 행위가 개별적으로는 평범해 보여도 에이전트가 주도한 활동을 드러낼 수 있습니다.

Google News의 보도 주기는 “자율형 사이버 공격”이라는 표현을 선호하겠지만, 방어자는 더 구체적인 질문을 던져야 합니다. 어떤 단계가 자율적으로 수행됐는가? 어떤 조치가 성공했는가? 에이전트에는 어떤 권한이 있었는가? 어떤 통제가 결국 이를 막았는가?

이 질문들은 긴급성을 유지하면서도 과도한 대응을 막아 줍니다. 이번 캠페인은 무해한 자동화도, 완전히 독립적인 디지털 공격자도 아니었습니다. 단순한 장벽 앞에서 자율 구성 요소가 실패했고, 이후 자체 운영자를 노출한 기능적 공격 시스템이었습니다.

이는 완성된 전환이 아니라 조기 경보입니다. 향후 1~3개월은 다른 연구자들이 유사한 시스템을 발견하는지, 프레임워크가 도구 권한을 강화하는지, 공격자들이 작전 규율을 개선하는지를 보여줄 것입니다.

보안 책임자에게 필요한 조치는 분명합니다. 취약점 공개부터 조치 완료까지의 시간을 단축하고, 모든 인터넷 노출 서비스를 파악하며, 에이전트 실행을 권한 있는 자동화로 다뤄야 합니다. 개발자는 네트워크 스캔, 자격 증명 접근, 공개 리스너 설정에 대해 승인을 요구해야 합니다.

Google News 헤드라인 뒤의 검증된 보안 연구를 계속 살펴보되, 시도된 공격과 확인된 침해 사고를 구분해야 합니다. 핵심 지표는 더 이상 공격자가 AI 모델을 참조했는지가 아닙니다. 에이전트가 피해자의 환경을 바꾸는 행동을 독립적으로 선택하고, 실행하며, 완료했는지입니다.