The 'first' AI-run ransomware attack still needed a human

🖼️ 인포그래픽

The 'first' AI-run ransomware attack still needed a human 내용을 설명하는 본문 이미지

🖼️ 4컷 인포그래픽

💡 한 줄 요약

Sysdig가 ‘최초의 에이전트형 랜섬웨어’로 소개한 JadePuffer는 기술 실행을 AI가 맡았지만, 피해자 선정과 인프라 준비, 초기 자격증명 확보에는 여전히 사람이 개입한 사례였다.

📌 핵심 요약

Sysdig 연구진은 JadePuffer라는 실제 갈취 작전에서 AI 에이전트가 침입, 이동, 암호화, 랜섬노트 작성 등 기술적 실행을 끝까지 수행했다고 밝혔다.
다만 Sysdig의 Michael Clark은 사람이 작전 방향을 잡고, 명령제어 서버와 탈취 데이터용 스테이징 서버를 마련했으며, 피해자를 선택하고 초기 자격증명을 제공했다고 설명했다.
공격은 Langflow의 알려진 취약점을 통해 시작됐고, 이후 운영 중인 MySQL 서버로 이동해 또 다른 알려진 결함을 이용해 관리자 접근 권한을 얻은 뒤 1,300개가 넘는 설정 레코드를 암호화했다.
기법 자체는 특별히 새롭지 않았지만, 실패한 로그인을 31초 만에 고치고 자연어 코드 주석으로 사고 과정을 남기는 등 속도와 투명성이 눈에 띄었다.
OpenAI, Anthropic, DeepSeek, Gemini 키가 발견됐다는 언급은 여러 모델이 공격을 구동했다는 뜻이 아니라 탈취물에 포함된 제공자 API 키였으며, Sysdig는 실제 어떤 모델이 에이전트를 구동했는지 확인하지 못했다.

🧩 주요 포인트

Sysdig 연구진은 JadePuffer라는 실제 갈취 작전에서 AI 에이전트가 침입, 이동, 암호화, 랜섬노트 작성 등 기술적 실행을 끝까지 수행했다고 밝혔다.
다만 Sysdig의 Michael Clark은 사람이 작전 방향을 잡고, 명령제어 서버와 탈취 데이터용 스테이징 서버를 마련했으며, 피해자를 선택하고 초기 자격증명을 제공했다고 설명했다.
공격은 Langflow의 알려진 취약점을 통해 시작됐고, 이후 운영 중인 MySQL 서버로 이동해 또 다른 알려진 결함을 이용해 관리자 접근 권한을 얻은 뒤 1,300개가 넘는 설정 레코드를 암호화했다.
기법 자체는 특별히 새롭지 않았지만, 실패한 로그인을 31초 만에 고치고 자연어 코드 주석으로 사고 과정을 남기는 등 속도와 투명성이 눈에 띄었다.
OpenAI, Anthropic, DeepSeek, Gemini 키가 발견됐다는 언급은 여러 모델이 공격을 구동했다는 뜻이 아니라 탈취물에 포함된 제공자 API 키였으며, Sysdig는 실제 어떤 모델이 에이전트를 구동했는지 확인하지 못했다.

🧠 상세 정리

1. ‘AI가 실행한 랜섬웨어’라는 주장과 실제 범위

기사의 출발점은 Sysdig가 JadePuffer를 최초로 알려진 ‘에이전트형 랜섬웨어’ 사례로 문서화했다는 발표다. 이 작전에서 AI 에이전트는 취약 서버 침입, 자격증명 탈취, 내부 이동, 파일 암호화, 랜섬노트 작성까지 기술적 실행을 맡은 것으로 설명됐다. 초기에 일부 보도는 이를 ‘사람의 감독 없이’ 또는 ‘키보드 앞의 인간 없이’ 진행된 공격처럼 묘사했다. 그러나 TechCrunch는 이 표현이 전체 그림을 충분히 설명하지 못한다고 짚으며, AI가 맡은 부분과 사람이 맡은 부분을 구분해야 한다고 강조한다.

2. 사람이 맡은 준비 단계와 초기 조건

Sysdig의 위협 연구 책임자인 Michael Clark은 CyberScoop 인터뷰에서 사람이 여전히 작전에 깊이 관여했다고 밝혔다. 그의 설명에 따르면 사람은 작전을 설정하고 방향을 지정했으며, 명령제어 서버와 탈취 데이터 저장용 스테이징 서버를 준비했고, 피해자도 선택했다. 또 피해자의 데이터베이스에 침입하는 데 쓰인 자격증명은 AI 에이전트가 직접 수확한 것이 아니었다. 누군가가 별도의 선행 침해를 통해 그 정보를 확보한 뒤 작전에 넘긴 것으로 설명됐다.

3. JadePuffer의 실제 침투와 암호화 과정

그렇다고 해서 Sysdig의 원래 주장이 무효화되는 것은 아니라고 기사는 설명한다. 기술 실행의 세부사항 자체는 여전히 주목할 만한 사례로 제시된다. 에이전트는 LLM 앱 구축에 쓰이는 오픈소스 도구 Langflow의 알려진 버그를 통해 침입했고, 이후 운영 중인 MySQL 서버로 이동했다. 이어 또 다른 알려진 취약점을 이용해 관리자 접근 권한을 얻었고, 1,300개가 넘는 설정 레코드를 암호화했으며, 직접 작성한 랜섬노트와 비트코인 수신 주소를 남겼다.

4. 평범한 기법보다 두드러진 속도와 실행 방식

기사에 따르면 공격 기법 자체는 비교적 일반적인 것으로 보인다. 눈에 띈 것은 기법의 독창성보다 실행 속도와 과정의 가시성이었다. 에이전트는 실패한 로그인 문제를 31초 만에 수정했고, 그 과정에서 자신의 추론을 자연어 코드 주석 형태로 남겼다. 이는 사람 해커처럼 장애물에 적응하는 모습을 보였다는 점에서 Sysdig가 이 사례를 주목한 이유와 연결된다. 다만 이 역시 기술 실행 단계에 관한 설명이지, 전체 작전이 인간 없이 독립적으로 시작됐다는 뜻은 아니다.

5. 여러 모델 사용 논란과 확인된 사실

처음에는 여러 AI 모델이 공격에 쓰였는지에 대한 혼선도 있었다. Clark이 CyberScoop에 OpenAI, Anthropic, DeepSeek, Gemini 키가 발견됐다고 말하면서, 여러 모델이 침입의 각 단계를 구동했을 가능성을 열어둔 것처럼 보였기 때문이다. 그러나 Clark은 TechCrunch에 보낸 설명에서 그 키들이 에이전트가 Langflow 호스트에서 훑어낸 탈취물의 일부였다고 바로잡았다. 즉 해당 키들은 공격자가 가치 있다고 본 정보였을 뿐, 어떤 모델이 의사결정을 했는지를 알려주는 증거는 아니었다.

6. 모델 정체와 확장 가능성에 남은 불확실성

Sysdig는 JadePuffer를 실제로 구동한 특정 모델을 식별하지 못했으며, 시스템 프롬프트나 구성에 대한 가시성도 없다고 밝혔다. Microsoft 연구자 Geoff McDonald는 링크드인에서 안전 훈련이 제거된 오픈웨이트 모델일 가능성을 제기했지만, Sysdig의 설명은 이를 확인하지도 배제하지도 않는다. McDonald는 랜섬웨어 캠페인이 인간 노력보다 공격자 예산에 의해 제한될 수 있다고 경고했지만, Clark의 설명처럼 피해자 선택과 인프라 준비, 자격증명 확보에 사람이 필요하다면 이는 병목이 될 수 있다. 그럼에도 Clark은 에이전트 실행 비용이 낮기 때문에 같은 유형의 시도가 늘어날 것으로 예상했다.

🧾 핵심 주장 / 시사점

이 사례의 핵심은 ‘AI가 모든 것을 했다’가 아니라, 사람이 초기 조건과 작전 환경을 만들고 AI가 기술 실행을 자동화했다는 분업 구조다.
여러 AI 제공자 키가 발견됐다는 사실은 공격 모델의 정체를 증명하지 않으며, 보안 분석에서는 탈취된 자산과 실제 실행 인프라를 구분해야 한다.
AI 에이전트가 공격 속도를 높일 수는 있지만, 현재 기사에 드러난 JadePuffer 사례만으로는 대규모 완전 자동 랜섬웨어 캠페인이 이미 현실화됐다고 단정할 수 없다.