카스퍼스키 위협 리서치 팀은 11월 2일 공격자들이 오픈소스 프레임워크 CyberStrikeAI를 이용해 아프리카와 라틴아메리카 교육 기관에 대한 침입을 지휘했다고 밝혔다. 공격자 서버에 있는 대형 모델이 도구를 고르고, 명령을 작성하고, 결과를 분석했으며, 임플란트는 피해자 기기에서 실행만 담당했다. 임플란트 배포부터 도메인 관리자 계정 탈취까지는 단 3~4일이 걸렸다. 실제 침입 기록이 에이전트가 침입 이후 작업의 대부분을 이미 맡을 수 있음을 보여주는 반면, 방어 측은 여전히 익숙한 수법에 주목하고 있다는 점에서 이 사례는 중요하다.
카스퍼스키가 관찰한 공격은 2026년 9월부터 10월 사이에 발생했으며, 공격 사슬은 세 단계로 재구성됐다. 1. 공격자는 먼저 침해된 SQL Server를 경유해 수동으로 정보를 수집하고 도구를 준비한 뒤 약 2주간 멈췄다. 2. 다시 나타난 뒤 CyberStrikeAI 임플란트를 심었고, 모델이 서버에서 지휘하는 가운데 임플란트가 정찰, 권한 상승, 횡적 이동, 데이터 수집을 수행했다. 3. 마지막 횡적 이동, 자격 증명 수집, 데이터베이스 반출은 1시간도 걸리지 않았고, 임플란트 이후 단계 전체가 3~4일 만에 도메인 관리자 권한에 도달했다. 카스퍼스키 엔드포인트 탐지는 자격 증명 덤프와 악성 예약 작업 등의 행위를 발견했고, 네트워크 탐지는 프레임워크의 명령·제어 트래픽과 피해 도메인을 파악하기 위한 비정상 쿼리를 식별했다. 임플란트는 HEUR:HackTool.Win64.CyberStrike.gen과 Linux 버전으로 명명됐다.
모델이 스스로 침입한 것은 아니고, 배후 규명도 아직 결론이 없다
CyberStrikeAI의 역할 분담을 분명히 해야 한다. 공격자 측 사람이 목표를 정하고, 모델은 이미 침해된 네트워크 안에서 후속 행동을 조율할 뿐이다. 모델은 피해자 기기에서 실행되지 않으며, 임플란트가 AI 서비스를 직접 호출하지도 않는다. 카스퍼스키는 스크립트에서 중국어 주석을 발견했지만, 공격자의 신원이나 위치를 특정할 수 없고, 알려진 그룹에 귀속할 수 없으며, 모든 인프라가 동일 행위자의 것인지도 확인할 수 없다고 분명히 밝혔다. 다시 말해 이는 사람이 개입하는 에이전트 침입이지, 모델이 스스로 취약점을 찾아 공격을 시작한 것이 아니며, ‘AI 해커의 단독 범행’으로 과장하면 실체를 왜곡하게 된다.
이런 공격에는 모델보다 행위를 보는 방어가 통한다
카스퍼스키의 판단은 AI가 바꾸는 것은 침입의 조율 방식과 속도이며, 수법 자체는 정찰, 자격 증명 덤프, 횡적 이동, 수집과 유출이라는 익숙한 것들로, 제대로 설정된 보안 도구로 여전히 탐지하고 차단할 수 있다는 것이다. 기관에 대한 조언도 행위 수준에 머문다. 엔드포인트 탐지로 의심스러운 명령, 자격 증명 접근, 지속성 메커니즘을 감시하고, 네트워크 탐지로 시스템을 넘나드는 비정상 트래픽을 찾으며, 위협 인텔리전스를 최신 상태로 유지하고, 근무 시간 밖에도 모니터링을 이어가라는 것이다. 이 위험은 고립된 사례가 아니다. AI 랜섬웨어에 대한 영국 NCSC의 경고도 같은 방향을 가리킨다. AI는 이미 존재하는 공격 수단을 증폭시키고 있으므로, 방어는 전용 ‘반 AI’ 도구를 기다리는 것이 아니라 행위 모니터링을 제대로 하는 데서 시작한다.
