AI 공격 프레임워크, 6시간 만에 자격증명 수천 건 탈취…2만3800개 비밀정보 관리 현장

클라우드 한 곳을 장악한 공격자가 대규모 자격증명 탈취 체계를 만드는 데 걸린 시간은 6시간도 되지 않았다. 사람이 단계마다 명령하는 보조 도구가 아니라, 스캔부터 오류 해결과 IP 교체까지 이어서 처리하는 다중 에이전트가 실제 공격 현장에 등장했다. Google Threat Intelligence Group(GTIG)이 2026년 9월 8일 공개한 2분기 위협 추적 보고서가 포착한 가장 큰 변화다.

Mandiant가 조사한 사례에서 금전 목적의 공격자는 피해 조직의 클라우드 인프라에 자율형 프레임워크를 배치했다. AI 코딩 챗봇과 하나의 프롬프트, 에이전트 지침 세트를 조합해 작전을 계획하고 도구를 만든 뒤 실행까지 마쳤다. 미리 작성한 Markdown 지침은 작전 교범 역할을 했고, 프레임워크는 취약점 스캔 파이프라인을 관리하며 실시간으로 문제를 해결했다. IP 교체 로직도 사람의 개입 없이 수행했다. 피해자의 정상 클라우드 IP를 공격 경로로 쓴 탓에 방어자가 악성 트래픽을 구분하기도 더 어려웠다.

결과는 수천 건의 제3자 자격증명 침해로 이어졌다. 별도로 노출된 지휘통제 서버에서는 ‘Recon’이라는 자동 정찰·자격증명 관리 프레임워크가 발견됐다. AGENTS.md, KNOWLEDGE.md, agentic_vuln_research.md 같은 지침·지식 파일과 .openclaw, memory 디렉터리가 함께 있었고, 이 서버는 곧 2만3800개가 넘는 API 키와 비밀정보를 검증·정리하는 운영 대시보드로 바뀌었다. 수동 정보탈취 악성코드가 모은 자료를 사람이 선별하던 흐름이 서버 취약점 연구, 표적 스캔, 익스플로잇, 사후 관리까지 연결된 구조로 이동한 셈이다.

오픈소스 공급망도 같은 공격면에 들어왔다. GTIG는 UNC6780(TeamPCP)이 2026년 3월부터 PyPI, npm, Docker Hub를 겨냥했다고 기록했다. 탈취한 개발자 계정으로 tiktoken_mcp 같은 MCP 서버의 악성 포크를 배포하고, azure-functions-mcp-extension 등 조직 저장소에 코드를 주입했다. DUSTMAKER 악성코드는 GitHub Actions 실행기의 OIDC 토큰을 빼내 정상 발행자로 가장했으며, 그 결과 오염된 패키지에도 유효한 SLSA Build 3 증명이 붙었다. 코드 주석에 극단적인 문구를 삽입해 LLM 보안 스캐너가 분석을 거부하도록 유도한 정황도 확인됐다.

다만 보고서는 공격자가 완전 자율형 제로데이 발굴·무기화 파이프라인을 실제 표적에 투입한 사례까지 확인한 것은 아니라고 선을 그었다. 현재의 변화는 기존 자동화에 추론, 복구, 도구 선택을 겹쳐 속도를 끌어올리는 단계다. Google은 관련 자산을 비활성화하고 Gemini의 분류기와 모델 거부 동작을 보강했다. 방어 측이 지켜볼 곳도 넓어졌다. 네트워크 경계뿐 아니라 AI 도구가 자동으로 읽는 숨김 프로젝트 폴더, CI/CD 토큰, MCP 패키지, 클라우드 사용량을 한 사건 흐름으로 묶어야 한다. 6시간이라는 숫자는 탐지 후 검토하는 기존 대응 주기가 이미 공격자의 실행 주기보다 느릴 수 있음을 보여준다.