Google AI 사이버 위협 보고서, 공격자들이 역량 격차를 좁히고 있다고 경고

Google은 국가급 작전에 통상 수반되는 자원이 부족한 공격자들이 6시간 만에 대규모 자격 증명 수집 캠페인을 구축하고 실행한 사례를 문서화했다.

Google AI 사이버 위협 보고서는 단발성 챗봇 지원에서 자율형 멀티에이전트 워크플로로의 전환을 설명한다. 이러한 시스템은 제한적인 인력 개입만으로 스캔을 관리하고, 장애를 해결하며, 인프라를 순환시키고, 자격 증명을 수집할 수 있다.

중요한 점은 AI가 완전히 새로운 공격 기법을 발명하는지 여부보다 이 구분 자체에 있다. 이제 범죄 조직은 과거에는 더 큰 팀과 전문 운영 인력, 상당한 인프라가 필요했던 속도와 규모로 익숙한 기법을 조율할 수 있다.

Google Threat Intelligence Group(GTIG)은 9월 8일 보고서에서 Mandiant 조사, 위협 추적, Google 플랫폼 전반에서 관측된 활동을 근거로 제시했다. 조사 결과는 금전적 동기의 범죄자들이 중국·이란·러시아·북한과 연계된 국가 지원 그룹과 함께 사이버 작전 전반에서 AI를 활용하고 있음을 보여준다.

이 경쟁은 더 이상 단순히 공격자 AI와 방어자 AI의 대결이 아니다. 여전히 대기열, 인수인계, 정기 검토에 의존하는 인간 중심의 대응 절차를 자동화된 공격이 겨냥하는 구도다.

Google AI 사이버 위협 보고서가 기록한 6시간 공격

가장 분명한 변화는 운영 측면에 있다. AI 에이전트가 조언자 역할에서 실행 루프로 이동하고 있다.

2026년 2분기, Mandiant는 한 조직의 클라우드 인프라를 침해한 것으로 의심되는 금전적 동기 공격자를 조사했다. 공격자는 자격 증명 수집 작전의 여러 부분을 각각 처리하는 복수의 에이전트로 구성된 자율 프레임워크를 배포했다.

Google에 따르면, 이 공격자는 AI 코딩 챗봇에 하나의 프롬프트와 에이전트 지침 모음을 제공했다. 이 지침은 재사용 가능한 운영 플레이북 역할을 했다.

6시간 안에 해당 프레임워크는 대규모 자격 증명 수집 캠페인을 계획하고 구축해 실행했다. GTIG에 따르면 수천 개의 제3자 자격 증명이 침해됐다.

에이전트는 단순히 스크립트를 생성하는 데 그치지 않았다. 취약점 스캔 파이프라인을 관리하고, 오류를 진단하며, 지속적인 운영자 지시 없이 Internet Protocol 순환도 처리했다.

이 자동화는 소프트웨어가 다음 행동을 승인하거나 수정할 사람을 기다릴 때 발생하는 인간 개입 지연을 줄였다. 또한 공격자가 광범위한 표적 집합 전반에서 활동을 지속하는 데 도움을 줬다.

침해된 클라우드 환경은 또 다른 이점을 제공했다. 공격 트래픽은 피해자 인프라와 연결된 정상 IP 주소를 통해 이동할 수 있어, 단순한 평판 기반 탐지를 복잡하게 만들었다.

GTIG는 Recon이라는 자동화 정찰 및 자격 증명 관리 프레임워크를 실행 중인 노출된 명령·제어 서버도 별도로 발견했다. 이 프레임워크에는 에이전트형 운영을 위해 설계된 지침 및 지식 파일이 포함돼 있었다.

디렉터리에는 AGENTS.md, KNOWLEDGE.md, agentic_vuln_research.md와 같은 파일이 포함돼 있었다. 또한 도구, 메모리, 자동화 워크플로를 위한 모듈형 디렉터리도 담겨 있었다.

GTIG가 노출된 서버를 탐지한 뒤, 이 디렉터리는 보도에 따르면 운영 대시보드로 바뀌었다. 이 대시보드는 23,800개가 넘는 수집된 시크릿을 실시간으로 정리, 검증, 관리할 수 있었다.

이 시크릿에는 클라우드 플랫폼과 AI 서비스의 자격 증명이 포함됐다. 따라서 이 사례는 조직들이 흔히 별개로 취급하는 세 가지 위험, 즉 자격 증명 탈취, 클라우드 침해, 무단 AI 접근을 연결했다.

Google은 이 작전을 수동형 엔드포인트 정보 탈취 도구에서 공격적 에이전트형 수집으로의 이동으로 규정했다. 에이전트들은 최소한의 개입만으로 취약점을 조사하고, 서버 인프라를 스캔하며, 표적형 익스플로잇을 시도했다.

이것이 Google AI 사이버 위협 보고서의 핵심 경고다. 자원이 많지 않은 운영자도 지침을 한 번 인코딩한 뒤 소프트웨어가 수천 건의 기회에 걸쳐 이를 반복하도록 할 수 있다.

6시간이라는 타임라인이 모든 공격자가 갑자기 고도화된 첩보 활동을 수행할 수 있다는 뜻은 아니다. 이는 인력 규모에 제약받던 오케스트레이션 역량이 점차 임대, 탈취 또는 자동화될 수 있음을 보여준다.

AI 자동화가 방어자의 시간을 바꾼다

보안팀은 완전히 새로운 유형의 익스플로잇보다 먼저 시간 문제에 직면하고 있다.

전통적인 사고 대응은 정찰, 익스플로잇, 자격 증명 사용, 측면 이동 사이에 방어자에게 어느 정도 시간이 남아 있다고 가정한다. 모니터링 시스템이 이벤트를 탐지하고, 분석가가 이를 검증하며, 별도 팀이 봉쇄 조치를 조율한다.

에이전트형 AI는 이 단계들을 압축한다. 프레임워크는 경보가 검토되지 않은 상태에서도 스캔, 조정, 재시도, 다음 표적으로의 이동을 수행할 수 있다.

GTIG의 수석 분석가 John Hultquist는 IT Pro에 조직들이 위협 행위자가 이미 어떤 형태로든 AI를 사용하고 있다고 가정해야 한다고 말했다. 그는 범죄자들이 방어자가 대응할 수 있는 속도보다 빠르게 진행되는 공격을 선호할 것이라고 경고했다.

가장 큰 압박은 신속한 봉쇄를 가능하게 하지 못하면서 경보만 생성하는 보안 통제를 갖춘 조직에 가해진다. 분석가가 탈취된 자격 증명이 실제 공격 경로가 되기 전에 이를 조사할 수 없다면, 더 많은 경보량은 보호 효과가 거의 없다.

문제는 보안 운영 센터를 넘어선다. ID 팀, 클라우드 관리자, 개발자, 오픈소스 유지관리자는 모두 자동화된 캠페인이 도달할 수 있는 리소스를 통제한다.

자격 증명 순환은 간단한 사례다. 조직은 노출된 시크릿을 몇 시간 안에 발견할 수 있지만, 이를 폐기하기까지 여러 승인 절차가 필요할 수 있다. 공격자의 에이전트는 그 시크릿을 다른 곳에서 테스트하는 데 몇 초면 충분하다.

클라우드 인프라는 이러한 불균형을 심화시킨다. 탈취된 자격 증명은 처리 용량, 신뢰할 수 있는 네트워크 위치, 추가 서비스 접근 권한을 제공할 수 있다.

GTIG는 이러한 활동의 한 형태를 LLMjacking이라고 부른다. 공격자는 AI 플랫폼 자격 증명을 탈취하거나 클라우드 환경을 하이재킹해 무단 모델 워크로드를 실행한다.

이 방식은 공격자가 직접적인 인프라 비용을 피하게 해준다. 또한 연산이 정상 조직의 계정 내부에서 이뤄지므로 활동을 은폐할 수 있다.

2026년 4월, Mandiant는 한 공격자가 탈취한 AI 인프라 접근 권한을 사용해 고성능 그래픽 처리 리소스를 프로비저닝하는 것을 관측했다. 피해자는 그에 따른 워크로드와 비용을 부담했다.

같은 패턴은 UNC6508로 추적되는 중국 국가 연계 캠페인에서도 나타났다. Google은 이 그룹이 침해된 클라우드 환경 내부에 로컬 오픈 웨이트 모델을 배포했다고 밝혔다.

모델을 로컬에서 실행함으로써 이 그룹은 상용 AI 서비스의 모니터링을 피할 수 있었다. 동시에 연산 부담은 피해자에게 전가됐다.

이 사례들은 보안 리더들이 보호 표면을 재정의하도록 압박한다. 모델, 프롬프트, 에이전트 지침, API 자격 증명, 클라우드 할당량, 개발 도구가 이제 기존 애플리케이션 및 서버와 나란히 놓인다.

Black Duck의 사이버보안 거버넌스 책임자 Ronald Lewis는 IT Pro에 이러한 위험이 많은 조직이 측정하고 통제할 수 있는 속도보다 빠르게 진화하고 있다고 말했다. 그는 보안팀이 같은 기술을 사용하는 공격자와 맞서면서 AI 시스템을 보호해야 한다고 주장했다.

이것이 핵심 경쟁 구도를 만든다. 기계 속도의 공격과 여전히 인간 속도의 의사결정을 중심으로 구성된 조직 대응 시스템의 대결이다.

자원이 적은 공격자도 국가급 규모를 빌릴 수 있다

AI는 정보 접근, 자금, 전략적 인내의 차이를 없애지는 않더라도 운영 역량의 격차를 좁힌다.

국가 지원 그룹은 전통적으로 소프트웨어만으로 재현할 수 없는 우위를 유지한다. 이들은 기밀 정보, 장기 자금, 맞춤형 인프라, 외교적 보호, 전문적인 지역 지식을 갖춘 팀을 활용할 수 있다.

하지만 고도화된 작전의 눈에 띄는 특징 중 다수는 반복 가능한 실행에서 비롯된다. 여기에는 지속적인 정찰, 현지화된 피싱, 코드 수정, 인프라 순환, 신속한 문제 해결이 포함된다.

AI는 이러한 작업 각각을 자동화하거나 가속할 수 있다. 그 결과 더 작은 그룹도 과거에는 대규모 조직과 연관됐던 일부 운영 범위를 확보할 수 있다.

6시간 자격 증명 캠페인은 이러한 메커니즘을 보여준다. 공격자는 전례 없는 공격 개념을 고안할 에이전트가 필요하지 않았다.

대신 이 프레임워크는 모든 단계에서 인간 운영자를 기다리지 않고 알려진 작업들을 조율했다. 그 우위는 지속성, 병렬 활동, 일상적 오류로부터의 빠른 복구에서 나왔다.

이 모델은 방어자가 정교함을 해석하는 방식을 바꾼다. 높은 공격량, 정교한 미끼, 빠른 코드 변경은 더 이상 대규모 팀이 작전 뒤에 있다는 증거가 아니다.

소규모 그룹도 여러 에이전트에서 지침을 재사용할 수 있다. 또한 서로 다른 모델에 정찰, 코딩, 번역, 데이터 분석을 맡길 수 있다.

국가 연계 그룹도 같은 접근 방식을 채택하고 있다. GTIG는 중국 첩보 행위자가 자동화된 익스플로잇 및 익스플로잇 이후 파이프라인을 실험하는 것을 관측했다.

이 행위자는 서로 다른 언어 모델 간에 작업을 라우팅할 수 있는 도구인 CC Switch를 사용했다. Google에 따르면 이 도구는 익스플로잇 스크립트, 피싱 콘텐츠, 디버깅 지원을 위해 Claude, Gemini, Codex에 질의했다.

이 워크플로는 Burp Suite를 활용한 수동 탐색과 오픈소스 침투 테스트 프레임워크인 Phalanx를 통한 자동화 활동을 결합했다. 접근 권한을 획득한 뒤 운영자는 명령·제어 및 자격 증명 수집을 위한 추가 도구를 배포할 수 있었다.

Google은 또한 중국 국가 연계 그룹 BASIN CASTLE이 연속적인 공격 단계 전반에서 생성형 AI를 사용했다고 설명했다. 이들의 활동에는 표적 프로파일링, 현지화된 미끼 생성, 멀웨어 난독화, 익스플로잇 이후 문제 해결이 포함됐다.

GTIG에 따르면 APT42로도 알려진 CALANQUE ION은 정찰, 이메일 탐색, 번역, 사회공학에 AI를 사용했다. 이란 연계 행위자는 인프라 개발과 소프트웨어 리버스 엔지니어링도 조사했다.

또 다른 중국 연계 그룹인 RAVINE CASTLE은 정보 수집, 익스플로잇 조사, 영향력 공작을 위해 Gemini를 사용했다. Google은 이 그룹이 유출 정보를 익명화하고 미디어 채널을 통해 배포하는 방법을 연구하는 것을 관측했다.

러시아 연계 SANDWORM RELIC은 Gemini를 사용해 패스워드 스프레이 스크립트를 개선하고 호스트 프로파일링을 자동화했다. 또한 명령·제어 인프라를 숨기도록 설계된 프록시 라우팅을 탐색했다.

북한 클러스터들은 표적 프로파일링, 위조 취업 자료, 기술적 미끼, 악성 코드 개발에 모델을 사용했다. 한 클러스터는 탈취한 신원을 통해 대량의 모델 계정을 등록한 것으로 알려졌다.

이 사례들은 매우 다른 동기를 가진 행위자 전반으로 AI 사이버 위협 자동화가 확산되고 있음을 보여준다. 첩보 그룹은 정보를 추구하는 반면, 범죄 그룹은 갈취, 자격 증명 판매, 암호화폐 탈취를 노린다.

이 기술이 이들 행위자를 동일하게 만드는 것은 아니다. 다만 공통된 운영 자동화 계층에 접근할 수 있게 한다.

이 차이는 중요하다. 국가급 범위는 규모와 실행 속도를 뜻할 뿐, 일반 범죄자에게 국가의 정보 역량이 완전히 이전됐다는 의미는 아니다.

소프트웨어 공급망이 에이전트 공격 표면이 되고 있다

공격자들은 AI 코딩 시스템이 만드는 소프트웨어뿐 아니라, 이러한 시스템이 사용하는 지침과 신뢰 신호도 노리고 있다.

GTIG는 이 활동의 상당 부분을 TeamPCP로도 알려진 UNC6780과 연계했다. 금전적 동기를 가진 이 그룹은 2026년 3월부터 PyPI, npm, Docker Hub를 표적으로 삼았다.

이 서비스들은 현대 소프트웨어 프로젝트 전반에서 사용되는 패키지를 배포한다. 손상된 패키지는 일반적인 설치 과정이나 자동화된 빌드를 통해 여러 조직에 유입될 수 있다.

보도에 따르면 TeamPCP는 합법적인 개발자 계정을 탈취하고 Model Context Protocol 서버의 악성 포크를 게시했다. MCP는 AI 애플리케이션이 외부 도구와 데이터에 연결할 수 있도록 하는 표준이다.

이 그룹은 공식 조직 리포지터리에도 악성 코드를 주입했다. 이로 인해 오염된 리소스가 신뢰할 수 있는 프로젝트 자산처럼 보이게 됐다.

DUSTMAKER라는 악성 구성 요소 중 하나는 지속적 통합 환경에서 신원 토큰을 검색했다. 이러한 토큰은 신뢰된 개발자 워크플로를 통한 패키지 게시 권한을 부여할 수 있다.

Google은 손상된 패키지가 유효한 SLSA Build Level 3 증명을 포함할 수 있다고 밝혔다. SLSA는 소프트웨어 빌드 무결성을 기록하고 보호하기 위한 프레임워크다.

유효한 증명은 자동화된 시스템으로 하여금 패키지가 승인된 빌드 절차를 따랐다고 믿게 할 수 있다. 그러나 탈취된 게시자 신원을 신뢰할 수 있게 만들지는 못한다.

바로 이 지점에서 AI 코딩 시스템은 고유한 위험을 만든다. 에이전트는 종종 의존성을 추천하거나 설치하기 전에 패키지 이름, 메타데이터, 리포지터리 맥락, 기계가 읽을 수 있는 신뢰 신호를 평가한다.

공격자는 이러한 신호를 조작할 수 있다. 메타데이터를 오염시키거나, 프로젝트 파일 안에 지침을 숨기거나, 개발 작업을 완료하려는 에이전트의 성향을 악용할 수 있다.

DUSTMAKER는 코딩 도구와 개발 환경에서 사용하는 숨김 디렉터리에 악성 콘텐츠를 배치했다. 예시에는 .claude, .vscode, .cursor 디렉터리가 포함됐다.

이 위치의 파일은 일반적인 워크스페이스 활동에 자연스럽게 섞일 수 있다. 또한 프로젝트 구성을 자동으로 파싱하는 도구에 영향을 줄 수 있다.

Google은 일반적인 개발자 상호작용 중 명령을 실행하도록 설계된 악성 구성을 발견했다. 따라서 개발자는 손상된 프로젝트를 열거나 그 안에서 작업하는 것만으로도 악성코드를 활성화할 수 있다.

악성코드는 그럴듯한 AI 관련 이름의 파이프라인 작업도 만들었다. 한 사례는 추가 자격 증명과 액세스 키를 검색하면서 “Copilot Setup”이라는 라벨을 사용했다.

실행 후 악성코드는 워크플로 로그를 삭제할 수 있었다. 이로 인해 개발자가 리포지터리 인터페이스를 통해 의심스러운 활동을 알아차릴 가능성이 낮아졌다.

또 다른 전술은 AI 기반 보안 스캐너를 겨냥했다. 공격자들은 악성 JavaScript 위의 주석에 극단적인 금지 요청을 삽입했다.

겉보기 목표는 안전 제어 장치가 실제 악성코드에 도달하기 전에 분석을 거부하도록 만드는 것이었다. 이는 숨겨진 콘텐츠가 신뢰할 수 없는 자료를 검사하는 AI 시스템을 조작하는 간접 프롬프트 인젝션이다.

이 전략은 자동화된 개발 내부의 충돌을 드러낸다. 팀은 코딩 에이전트가 광범위한 프로젝트 맥락을 읽기를 원하지만, 파일이 하나 추가될 때마다 잠재적인 지침 채널도 늘어난다.

전통적인 스캐너는 일반적으로 주석을 실행되지 않는 텍스트로 취급한다. AI 스캐너는 같은 주석을 운영 지침이나 정책상 민감한 콘텐츠로 취급할 수 있다.

따라서 공급망 조사 결과는 악성 패키지 탐지를 넘어선다. 조직은 에이전트가 의존성을 선택하는 방식, 워크스페이스 파일을 해석하는 방식, 명령을 승인하는 방식을 검토해야 한다.

개발자는 자신을 대신해 수행된 작업도 확인할 수 있어야 한다. 패키지를 조용히 설치하거나 설정 스크립트를 실행하는 에이전트는 추천 오류를 즉각적인 침해로 바꿀 수 있다.

여기서 지식의 출처 추적은 중요하다. 팀은 신뢰할 수 있는 운영 지침과 리포지터리, 티켓, 문서, 외부 페이지를 통해 수집된 텍스트를 구분해야 한다.

액세스 규칙과 출처 맥락이 계속 보이는 경우, 검색 가능한 기술 지식 베이스는 이러한 구분을 지원할 수 있다. 이는 패키지 검증이나 런타임 격리를 대체하지는 않는다.

더 넓은 교훈은 AI 에이전트가 입력의 약점을 물려받는다는 점이다. 또한 일부 오도하는 입력을 행동으로 전환해, 잘못된 신뢰의 대가를 높인다.

Google의 증거는 심각하지만, 역량 격차가 사라진 것은 아니다

이 보고서는 실제 가속화 주장을 뒷받침하지만, 이제 모든 소규모 공격자가 완전한 국가 수준의 역량을 보유한다는 점까지 입증하지는 않는다.

GTIG는 사고 대응 업무, 위협 추적, 클라우드 인프라, Gemini 악용 모니터링을 통해 이례적으로 폭넓은 가시성을 확보하고 있다. 이는 사례 연구의 가치를 높인다.

그러나 이 보고서는 전 세계 공격자 행동을 완전히 측정한 결과가 아니라, 관찰된 일부 작전을 제시한다. 자율 에이전트를 사용하는 공격의 비율을 보여주는 기준선도 제공하지 않는다.

6시간짜리 캠페인 역시 공격자가 클라우드 인프라를 탈취한 뒤 시작됐다. 에이전트가 이후 단계를 가속하더라도 초기 접근은 여전히 중요한 장벽이다.

마찬가지로 “수천 개의 자격 증명”은 성공적으로 악용된 계정 수가 아니라 캠페인의 수집 규모를 설명한다. 일부 비밀 정보는 만료됐거나, 제한됐거나, 중복됐거나, 다른 이유로 사용할 수 없었을 수 있다.

따라서 조직은 AI가 생성한 모든 스크립트를 지능형 지속 위협으로 간주해서는 안 된다. 귀속 판단과 역량 평가는 여전히 인프라, 피해자 분석, 악성코드, 운영 패턴, 인간 정보가 필요하다.

Google도 한계를 보고했다. 2분기에 관찰된 정보 작전에서 AI는 생산성을 높였지만 질적으로 새로운 역량을 만들지는 못했다.

행위자들은 콘텐츠 생성, 합성 페르소나, 번역, 서사 개선에 모델을 활용했다. GTIG는 보고서 발행 시점까지 실제 영향력 작전에 배치된 실험적 대화형 에이전트를 관찰하지 못했다.

이 발견은 과장된 해석을 복잡하게 만든다. AI는 측정 가능한 피드백이 있는 구조화되고 반복 가능한 작업을 자동화할 때 가장 강력해 보인다.

사이버 작전은 정확히 그러한 조건을 제공한다. 스캐너는 호스트가 응답하는지, 자격 증명이 작동하는지, 명령이 실패했는지를 판단할 수 있다.

장기적인 첩보 활동은 더 많은 것을 요구한다. 운영자는 조직 간 관계를 이해하고, 전략적으로 유용한 정보를 선택하며, 노출을 피하고, 모호한 결과를 해석해야 한다.

AI는 공격자에게도 운영상 위험을 초래한다. 모델은 코드를 환각할 수 있고, 인프라를 노출할 수 있으며, 플랫폼 모니터링을 유발하거나 식별 가능한 패턴을 만들 수 있다.

상용 제공업체는 계정을 비활성화하고 모델 안전장치를 개선할 수 있다. Google은 악용을 관찰한 뒤 관련 자산을 차단하고 Gemini의 분류기와 거부 동작을 업데이트했다고 밝혔다.

하지만 제공업체의 집행에는 한계가 있다. 공격자는 사기 계정을 순환시키거나, 합법적인 자격 증명을 훔치거나, 로컬 호스팅 모델로 전환할 수 있다.

Anthropic은 감시 작전에서 유사한 이동 양상을 확인했다. 해당 기업의 위협 연구원들은 상용 안전장치가 지나친 마찰을 만들자 일부 행위자가 오픈 모델로 이동했다고 밝혔다.

감시 관련 조사 결과 역시 Google의 더 넓은 관찰을 뒷받침한다. 정부는 최신 프런티어 시스템이 없어도 AI를 활용해 인력 수요를 줄이고 분석량을 늘렸다.

그렇다고 안전 제어가 무의미해지는 것은 아니다. 플랫폼 모니터링은 정보 확보 기회를 만들고, 규율이 약한 운영자를 교란한다.

다만 계정 종료가 최종 방어 계층이 될 수 없다는 뜻이다. 공격자가 데이터, 지침, 대체 컴퓨팅 자원을 유지한다면 근본적인 워크플로는 계속될 수 있다.

Google은 이 논쟁에서 이중적 역할도 맡고 있다. 널리 접근 가능한 모델을 개발하는 동시에 클라우드 보안, 위협 인텔리전스, AI 방어 제품을 판매한다.

이 위치는 Google에 유용한 텔레메트리를 제공하지만, 독자는 관찰된 사고와 제품 주장을 구분해야 한다. 증거는 가속화를 보여주지만 자동화된 방어가 자동화된 공격을 일관되게 무력화할 것이라는 점까지 확립하지는 않는다.

같은 주의는 모델 추출에도 적용된다. Google은 독점 기능을 겨냥한 1억 건 이상의 프롬프트가 포함된 조직적 캠페인을 보고했다.

회사는 무단 학생 모델의 유용성을 낮추는 실시간 제어를 배치했다고 말한다. 이러한 방어의 지속적인 효과에 관한 독립적 증거는 여전히 제한적이다.

균형 잡힌 해석은 두 극단을 피한다. AI는 공격자가 더 나은 이메일을 작성하도록 돕는 데 그치지도 않고, 모든 범죄자를 정보기관으로 바꾸지도 않는다.

AI는 공격 수명주기의 일부 단계에서 노동과 조율의 제약을 제거하고 있다. 이 변화만으로도 더 느린 적대자를 전제로 설계된 방어 체계를 압도할 수 있다.

방어자가 따라잡을 수 있는지 보여줄 세 가지 신호

다음 단계는 격리 속도, 에이전트 거버넌스, 공격자 통제 모델로의 이동에 의해 결정될 것이다.

첫 번째 신호는 자격 증명 노출과 자동화된 격리 사이의 시간이다. 조직은 비밀 정보를 폐기하고, 워크로드를 격리하며, 의심스러운 세션을 차단하는 데 걸리는 시간을 측정해야 한다.

이 지표는 경보 건수보다 더 중요하다. 높은 신뢰도의 탐지가 몇 분 안에 격리를 유발한다면 6시간짜리 공격의 효과는 줄어든다.

대응이 여러 팀의 티켓 교환에 의존할 경우에는 더 위험해진다. 사용 가능한 자격 증명이 반복적으로 관련된 사고는 방어 시간 창이 압축되고 있다는 Google의 경고를 강화할 것이다.

두 번째 신호는 소프트웨어 플랫폼이 에이전트의 행동을 얼마나 안전하게 보호하는지다. 패키지 레지스트리, 코드 호스트, 클라우드 제공업체, 모델 공급업체는 생성된 제안과 권한을 받은 실행을 구분하는 제어 장치가 필요하다.

유용한 조치에는 제한된 에이전트 권한, 격리된 빌드, 의존성 고정, 서명된 릴리스, 민감한 명령에 대한 승인 요건이 포함된다. 로그는 에이전트가 무엇을 읽었고 왜 행동했는지도 보존해야 한다.

오염된 AI 지침으로 인한 대규모 레지스트리 침해는 보고서의 공급망 주장을 강화할 것이다. 효과적인 에이전트 격리가 더 널리 채택된다면 예상되는 영향은 약화될 것이다.

세 번째 신호는 공격자가 모니터링되는 상용 서비스에서 로컬 모델과 탈취한 컴퓨팅 자원으로 이동하는 흐름이다. 이러한 이동은 Google과 Anthropic 같은 제공업체가 확보할 수 있는 가시성을 줄인다.

GTIG는 이미 UNC6508이 손상된 인프라 내부에서 오픈 웨이트 모델을 실행한 사례를 관찰했다. 이 전술이 계속 확산된다면 모델 수준의 집행은 결정력이 약해질 것이다.

방어자는 예상치 못한 그래픽 프로세서 프로비저닝, 비정상적인 모델 다운로드, 이상 추론 트래픽, 새로 생성된 AI 서비스 자격 증명을 주시해야 한다. 이러한 이벤트는 기존 침입 경보가 발생하기 전에 리소스 탈취를 시사할 수 있다.

이전 제로데이 사례는 관련 기준점을 제공한다. Google은 범죄자들이 이전에 알려지지 않았던 인증 취약점을 발견하고 무기화하는 과정에서 AI를 사용한 것으로 보인다고 밝혔다.

독립적으로 확인된 사례가 일상화된다면 위험은 알려진 취약점의 더 빠른 악용을 넘어설 것이다. 공격자는 새로운 기회의 공급을 더 많이 확보하게 된다.

현재 가장 강력한 증거는 자동화와 규모에 관한 것이다. AI 사이버 위협 자동화는 행위자가 알려진 작업을 반복하고, 도구를 조율하며, 운영 오류에서 더 빨리 회복하도록 돕는다.

그럼에도 이는 다른 보안 태세를 요구한다. 조직은 코드, 자격 증명, 외부 콘텐츠 또는 프로덕션 시스템에 접근할 수 있는 모든 에이전트를 목록화해야 한다.

또한 모델 접근 권한과 실행 권한을 분리해야 한다. 명령을 추천할 수 있는 어시스턴트가 그 명령을 실행할 권한까지 자동으로 가질 필요는 없다.

팀은 한 가지 실질적인 질문을 시험하는 것부터 시작할 수 있습니다. 에이전트가 제어하는 계정이 두 번째 통제 장치의 개입 없이 프로덕션을 변경하거나, 패키지를 게시하거나, 비밀 정보를 노출할 수 있는가?

그 답은 자동화가 방어자를 지원하는지, 아니면 공격자의 경로를 조용히 확장하는지를 보여줍니다. Google AI 사이버 위협 보고서는 그 시점이 지금임을 분명히 합니다. 이 평가는 미래의 로드맵이 아니라 현재의 보안 계획에 포함되어야 합니다.