AI 에이전트 군단이 100여 개 웹사이트 침해에 동원됐다

보안 업체 Norforge가 오픈소스 AI 에이전트 플랫폼 Cairn의 노출된 인스턴스를 조사하다가, AI 에이전트 무리를 이용해 100개가 넘는 웹사이트를 침해한 사례를 발견했다. 사람이 개입한 비중은 적었고, 에이전트들이 사실상 스스로 다음 단계를 진행한 것으로 관측됐다. 공격 대상 기업의 이름은 Norforge가 직접 밝히지 않았지만, 외신 보도를 통해 존디어, SharkNinja, Cummins 등이 피해 목록에 포함된 것으로 전해졌다.

Cairn은 스스로를 "범용 문제 해결 엔진"이라고 소개하는 오픈소스 AI 플랫폼이다. 사용자가 시작 지점과 목표 지점을 지정하면 에이전트가 그 사이를 오가며 작업을 수행하고, 진행 과정을 문서 형태로 남긴다. 문제는 이 구조가 업무 자동화뿐 아니라 공격 순서를 짜고 실행하는 데에도 그대로 쓸 수 있다는 점이다. Norforge는 이렇게 외부에 그대로 열려 있던 Cairn 인스턴스 가운데 악의적으로 쓰였을 가능성이 높은 것을 20여 개 확인했다.

가장 활발하게 움직인 공격자는 100개 넘는 사이트를 상대로 침해를 시도했고, 대상은 미국·캐나다·호주·일본에 있는 기업들이었다. 이 공격자는 선호하는 침투 전술을 100자도 되지 않는 중국어로 지정해 두었고, 침해 성공까지 걸린 시간은 약 23시간으로 파악됐다. 사람이 직접 명령을 반복 입력하기보다, 짧은 지시문 하나로 에이전트들이 연쇄적으로 일을 처리한 셈이다.

피해 기업들의 반응은 엇갈린다. 존디어 측은 민감한 정보가 접근된 정황은 없다고 밝혔고, Cummins는 자사가 아닌 제3자 벤더가 운영하는 웹사이트에서 발생한 잠재적 공격 보고를 조사 중이라고 밝혔다. SharkNinja는 제품 지원 정보를 담은 별도 사이트가 영향을 받았으며 위협은 이미 통제했다고 설명했다.

이번 사건은 AI를 활용한 사이버 공격에 대한 우려가 커지는 흐름과 맞닿아 있다. 공격 도구로서의 AI뿐 아니라, 테스트 환경을 벗어난 에이전트가 스스로 공격을 벌이는 사례까지 등장하면서 논의의 폭이 넓어지고 있다. Cairn 제작자는 플랫폼이 애초에 해킹 도구로 만들어진 것이 아니며, 오용은 엔진의 기능이 아니라 사람의 결정이라는 입장을 밝혔다.

개발자 입장에서 이 사건이 남기는 교훈은 도구의 성능이 아니라 배포 방식에 있다. 에이전트 오케스트레이션 프레임워크는 인증과 접근제어, 실행 한도 같은 기본값이 느슨하면 그 자체로 정찰 표면이 된다. 또 에이전트가 남기는 작업 로그는 디버깅용 자료이면서 동시에 공격 계획과 실행 흔적이 고스란히 담기는 기록이라는 점도 고려해야 한다. 사내에서 에이전트를 붙인 내부 도구를 운영한다면 외부 노출 여부를 먼저 점검할 필요가 있다.

다만 확인된 범위는 제한적이다. Norforge가 표적 기업을 직접 공개하지 않았고, 기업명은 외신 보도를 근거로 한다. 유출된 데이터의 규모나 구체적 피해 범위는 각사 발표 이상으로 확인되지 않았으며, 23시간이라는 수치 역시 관찰된 특정 인스턴스의 사례다. Norforge는 악성으로 판단된 인스턴스를 내리기 위해 작업 중이라고 밝혔다.