공격 에이전트가 이제 모델 서비스를 사냥하는 쪽이 됐다. 2026년 10월 21일 Symantec 위협 헌터 팀은 대규모 언어 모델을 핵심에 박은 자율 공격 에이전트 분석을 공개했다. 이 에이전트는 인증 없는 모델 엔드포인트를 인터넷에서 찾아내고, 침투하면 남의 모델과 연산 자원을 빌려 새 표적을 스캔하고, 흔한 서버 소프트웨어의 취약점을 파고들고, 데이터베이스와 자격 증명을 빼돌리고, 채굴 프로그램을 몰래 설치한다. Symantec는 타인의 모델 접근권을 훔치는 수법을 LLMjacking이라 부르는데, 이번에 포착된 버전에서는 탈취당한 모델이 단순히 되팔리는 데 그치지 않고 공격 전체를 지휘한다.
허니팟이 받아낸 것은 작전 지시서 전체였다
발견은 AI 허니팟에서 나왔다. Symantec가 무방비 모델 서비스를 미끼로 공개하자 운영자가 작업용 프롬프트 전체를 그대로 보내왔고, 구조 전체가 연구진 손에 들어갔다. 허니팟은 함께 실린 도구를 하나도 실행하지 않았고, 세션은 일반적인 응답 뒤에 끝났다. 로그에는 수만 개 주소에서 온 12만 7천 건이 넘는 요청이 남았는데, 대부분 모델 엔드포인트 탐색, 탈취한 API 키 대입, 노출된 설정 파일 탐지였다. 표적에는 자체 호스팅 모델 서버, 급히 띄운 테스트 시스템, 유료 모델 계정 앞에 선 AI 게이트웨이, 실제 도구와 연결된 MCP 서버가 포함됐다. 주류 AI 서비스가 같은 표준 인터페이스를 쓰다 보니 스캐너 하나로 여러 유형을 훑을 수 있다.
다섯 겹의 탈옥 지시, 74개의 공격 도구
상용 모델을 순순히 따르게 하려고 지시는 다섯 겹으로 쌓였다. 실제 제공자를 절대 드러내지 않는 가짜 신분, 비밀번호와 API 키와 데이터베이스 내용을 일상적인 개발 업무로 재정의하기, 거부를 배신으로 몰아가는 가상의 동반자 역할, 모델 자신의 안전 경고를 노이즈로 치부하고 거부 표현을 명시적으로 금지하는 지시가 그것이다. 다섯 번째 층이 무기였다. 약 74개의 도구 정의가 인터넷 전반의 자산 탐색, VS Code, Django, Jupyter, Laravel, Supabase, Next.js, Flask를 노리는 악용 모듈, Prisma를 통한 데이터베이스 통째 덤프, 봇넷 제어 기능을 맡았다.
운영자가 Skynet이라 부른 자가 순환
마지막 지시는 최대 10만 단계의 무인 실행을 허용하고, 승인 없이 도구를 즉시 돌리며, 채굴 프로그램을 눈에 띄지 않는 디렉터리에 숨겨 살아 있는지 계속 확인하라고 했다. 같은 지시에는 스캔, 감염, 채굴 설치, 이동, 그리고 이미 뚫은 장비 재감염이라는 순환 리듬도 적혀 있었다. 포착된 요청에 붙은 과제는 무해한 코딩 연습 문제뿐이어서, 운영자가 아직 안전한 표적으로 시험 중이었을 가능성이 보인다. 다음 날 다른 주소에서 온 두 번째 요청은 에이전트 형식을 버리고 난독화된 명령의 해독과 실행만 요구했다. 풀어 보니 Monero 채굴 프로그램 XMRig를 내려받는 스크립트였고, 시스템 파일로 위장하고 예비 채굴 풀을 네 개 갖췄으며, 스마트 카메라에 흔한 go2rtc 디렉터리를 찾아 숨고 접속 로그를 반복 삭제했다.
피해자는 두 부류다. 엔드포인트 소유자는 10만 단계를 허가받은 에이전트가 태우는 추론 비용을 대신 내고, 뚫린 서버는 데이터와 자격 증명을 잃은 채 남의 채굴에 동원된다. 개별 기술은 새롭지 않지만, 스스로 판단하는 에이전트 하나로 묶인 순간 대규모 악용의 문턱은 낮아졌다. 모델 서비스, AI 게이트웨이, MCP 서버를 직접 운영하는 팀이 얻을 교훈은 분명하다. 인증 없는 엔드포인트는 공개 직후 곧바로 발견된다. 인증, 키 관리, 노출 범위 축소를 더 미룰 수 없다.
