2026년 10월 29일 Wiz는 공격 관행의 불편한 변화를 설명하는 조사를 발표했다. AI 에이전트가 침입에서 실무 작업의 상당 부분을 맡고 공격 자체를 조율할 수 있게 되었다는 것이다. 인간은 여전히 목표와 가드레일을 정하지만 에이전트는 기계 속도로 자체 도구를 작성하고 결과를 확인하며 스스로 수정하고 반복한다. Wiz가 강조하는 점은 이러한 공격이 현재 은밀하기보다는 오히려 “시끄럽다”는 것으로, 대량의 관찰 가능한 흔적을 남긴다는 것이다. 방어의 어려움은 이를 합법적 자동화와 구분하고 흩어진 신호를 완전한 그림으로 연결하는 데 있다.
노출된 Flowise 사례: 하나의 거점이 수십 개를 공격하다. 첫 번째 사례는 LLM 워크플로 구축 도구인 Flowise의 노출된 인스턴스에서 시작됐다. 미인증 호출과 인증을 우회하는 헤더 트릭을 통해 공격자는 Puppeteer를 경유해 셸을 생성하는 자바스크립트를 주입했다. 탈취된 인스턴스는 이후 중계 거점으로 사용되어 마찬가지로 노출된 Flowise 인스턴스들을 대량으로 공격했다. 약 24시간 동안 99개의 스크립트가 등장했으며, 평균 1~2분마다 새로운 목적 특화 스크립트가 생긴 셈이다.
Java 게이트웨이 사례: 4시간 반 동안 602단계. 두 번째 사례는 Java 기업 운영 게이트웨이의 원격 코드 실행 취약점에서 시작해 클라우드 네이티브 공격 기법의 거의 전체를 체계적으로 훑었다. Wiz는 약 4.5시간 동안 12개 기술 계열에 걸친 602개의 개별 단계를 세었고, 단계 간 간격은 불과 몇 초였다. 또한 100개가 넘는 ArgoCD 호스트명 변형이 생성됐고, 5대 호스트의 15개 포트가 병렬로 스캔됐으며 약 40개의 임시 파일이 남았다.
MCP 백엔드 사례: 대규모 비밀 유출. 세 번째 사례에서는 공격자가 제어하는 MCP 명령이 서브프로세스 실행을 거쳐 AI 에이전트 GraphQL 백엔드에서 셸에 도달했다. 연쇄적인 원격 코드 실행으로 클라우드 자격 증명과 Kubernetes 토큰을 포함한 대량의 비밀이 유출됐고, 지속성과 여러 Pod으로의 확산도 일어났다. 약 21시간 동안 150개가 넘는 서로 다른 스크립트가 사용됐고, 대형 암호화폐 거래소와 핀테크 기업을 중심으로 약 25개 표적 조직에 병렬로 실행됐다. 회수된 도구에는 803줄의 사람이 읽을 수 있는 주석이 포함되어 있어 에이전트가 자신의 작업 단계를 기록하고 있었다는 증거가 된다.
일곱 가지 지문은 체크리스트가 아니다
Wiz가 제안하는 일곱 가지 인식 기준은 다음과 같다. 단계 복잡도에 따라 지연이 달라지는 기계 속도의 지속적인 반복, 스크립트와 산출물에 내장된 자연어 추론, 버전이 있는 스크립트 체인에서 보이는 자기 수정과 적응적 실행, 기술 카탈로그의 거의 전체를 아우르는 구조화된 너비 우선 방법론, 수많은 경로·포트·호스트에 걸친 횡적 이동의 눈에 띄는 동시성, 출력·타임아웃·흔적을 의식적으로 통제하면서 무해한 프로브를 먼저 보내는 규율, 그리고 공격자에게 의도치 않게 서명하는 설명적이고 일회성인 스테이징 산출물이다. 단일 기준만으로는 에이전트의 존재를 증명할 수 없다. 수 시간, 여러 시스템에 걸쳐 조합되어야 비로소 그 판단이 설득력을 갖는다.
방어자에게 우선순위는 단일 악성 도구를 찾는 것에서 환경을 가로지르는 가시성으로 이동한다. 노출된 AI 도구와 에이전트 인터페이스를 먼저 닫고, 클라우드와 Kubernetes 로그를 연결해 분산된 단계를 하나의 캠페인으로 읽을 수 있게 하며, 봉쇄 절차를 사전에 갖춰 두는 것이다. 에이전트가 기계 속도로 반복하기 시작하면 수작업 조사만으로는 너무 느리다.
