VOLTA는 AI가 피해자의 몸값을 매기게 하는 Windows 정보 탈취 악성코드다. 10월 31일 Cisco Talos는 그 작동 방식을 담은 조사 보고서를 공개했다. 먼저 비밀번호와 세션, 지갑을 훔친 뒤 자료를 묶어 대형 모델에 넘겨 피해자가 얼마만큼의 가치가 있는지, 보안 습관은 어떤지를 평가하게 한다. 새로운 점은 역할 분담이다. 모델은 침입을 맡지 않고 가장 손이 많이 가는 선별 작업만 대신한다.
탈취 뒤 모델이 먼저 보는 것은 '얼마인가'
VOLTA는 한 번의 실행으로 거의 디지털 생활 전체를 훑는다. 브라우저 비밀번호와 쿠키, 은행 카드, Outlook과 Slack, Discord, Telegram, Steam, Roblox 세션, OAuth 토큰, SSH와 클라우드 설정, Wi-Fi 비밀번호와 스크린샷. 내장된 암호화폐 지갑 보관함도 해독한다. 이어서 훔친 세션으로 정보를 보완한다. Gmail 영수증으로 주소를 확인하고 음식 배달 주문 내역을 가져온다. 자료는 Identity_Report.txt로 모아져 OpenRouter를 통해 모델로 전송된다. 프롬프트는 두 가지 출력을 요구한다. 현금화 용이성에 따라 자산을 하·중·상 3단계로 나누는 '얼마인가'와 비밀번호 습관을 평가하는 '상대 보안 태세는 어떤가'다.
모델이 거부하면 다음 모델로
VOLTA의 모델 설정은 노골적이다. 기본값은 Anthropic의 Claude Opus 4.6이며, 'I can't'와 같은 거부 표현을 감지하면 Moonshot AI의 Kimi K2, Google의 Gemini 2.5 Flash 순으로 전환하고 온도는 0.2로 고정한다. Talos는 이 대체 체인이 작성자가 모델 가드레일에 부딪힐 것을 예상했음을 보여준다고 지적한다. 가드레일이 의도적으로 우회된 것은 처음이 아니다. Claude 텍스트 워터마크 우회 방법도 매개변수 수준의 허점을 이용했다. 추론은 피해자 자신의 기기에서 일어나며, 평가 결과는 AI_Analysis.txt 형태로 탈취 기록과 함께 외부로 전송된다.
Talos가 확인하지 못한 세 가지
이 보고서를 '이미 대규모로 확산됐다'고 읽어서는 안 된다. Talos가 분석한 것은 샘플 하나이며, 최초 발견은 10월 11일이다. 확산 방식과 피해자 수, 실제 공격에서의 사용 여부, 어느 모델이 실제로 평가를 마쳤는지는 밝혀지지 않았다. 빌드 시점에 채워 넣는 여섯 개의 설정 슬롯을 보고 Talos는 '구매자용 생성기 모델'로 추측했지만 이는 추측일 뿐이다. 공격자 소유 인프라도 발견되지 않았다.
방어 방법도 구체적이다. Chrome을 헤드리스 모드로 실행할 수 있는 프로세스를 제한하면 Chrome의 앱 바운드 암호화를 우회하는 경로를 막을 수 있고, 개발자용이 아닌 프로세스의 헤드리스 실행에 경고를 내보낼 수 있다. 자격 증명은 가능한 한 하드웨어 기반 저장소에 보관한다. 침해가 의심되면 먼저 volta_debug.txt 로그를 보존한 뒤 토큰을 폐기하고 비밀번호를 변경한다. 시드 구문이 디스크에 평문으로 저장됐던 지갑은 완전히 침해된 것으로 보고, 격리된 기기에서 생성한 시드로 이전한다. Cursor 확장 마켓에 등장한 악성 Claude Code 버전 사례도 SSH 키가 건드려졌다면 최악을 가정하고 확인해야 함을 보여준다.
