JadePuffer: 최초의 에이전트형 AI 랜섬웨어 등장

Sysdig은 ‘JadePuffer’라고 명명한 에이전트형 랜섬웨어의 첫 번째 사례를 기록했습니다. 출처: Sysdig

Sysdig은 에이전트형 AI 랜섬웨어가 실제 공격에 성공적으로 활용된 사실을 밝혔으며, 위협 연구 담당 수석 이사인 마이클 클라크는 향후 전망에 대해 경고했다.

연구진은 대규모 언어 모델(LLM)이 랜섬웨어 작전 전체를 처음부터 끝까지 자율적으로 수행한 첫 사례를 기록했습니다.

Sysdig 위협 연구팀은 이를 “대규모 언어 모델이 처음부터 끝까지 주도한 완전한 갈취 작전”이라고 규정했습니다.

Sysdig가 ‘JadePuffer’라고 명명한 이 위협 행위자는 AI 시스템이 이제 인간의 개입 없이도 복잡한 다단계 기술적 작업을 수행할 수 있음을 보여줍니다.

이 자율 에이전트는 피해자의 데이터베이스 서버에 접근하여 정찰부터 서버 장악에 이르는 다양한 작업을 수행했습니다.

단계 중 실패가 발생하면 시스템은 기계적인 속도로 스스로 오류를 수정했습니다.

자율적인 행동을 스스로 설명

Sysdig에 따르면, JadePuffer는 자연어 처리를 통해 추론 능력을 보여주었습니다. 이 시스템은 표적의 우선순위를 정하고 실시간으로 작전을 조정하며, 수정된 매개변수를 사용하여 실패한 단계를 재시도했습니다.

연구진은 이 자율 시스템이 로그인 실패 후 31초 만에 문제를 해결한 사례를 기록했습니다.

이 페이로드에는 추론 과정을 설명하는 자체 해설 기능이 포함되어 있어, 대규모 언어 모델(LLM)이 현재 기술적 상황을 평가하고 전략을 동적으로 조정하는 방식을 엿볼 수 있게 해 주었다.

AI 인프라를 통한 초기 접근

침입 지점은 Langflow의 인증 누락 결함인 CVE-2025-3248이었습니다.

Langflow는 오픈소스 LLM 구축 프레임워크이며, 이 특정 결함을 통해 공격자는 호스트에서 Python 코드를 실행할 수 있습니다.

Sysdig에 따르면, Langflow 배포 환경은 대개 인터넷에 노출되어 있으며, 서버에 일반적으로 API 키와 클라우드 인증 정보가 저장되어 있고 네트워크 제어 기능이 부족한 경우가 많아 악의적인 행위자들에게 매력적인 표적이 됩니다.

에이전트가 실행 권한을 획득하자마자 환경을 샅샅이 훑어, OpenAI, Anthropic, DeepSeek, Gemini 등 제공업체의 LLM API 키는 물론 클라우드 인증 정보, 암호화폐 지갑, 데이터베이스 인증 정보 및 구성 파일을 찾아냈습니다.

랜섬웨어를 실행하는 데 필요한 최소 기술 수준은 에이전트를 실행하는 데 드는 비용 수준으로 낮아졌으며, 해당 에이전트가 LLMjacking을 통해 도난당한 인증 정보를 사용하여 실행되는 경우 공격자에게 드는 비용은 거의 제로에 가깝습니다.

— 마이클 클라크(Michael Clark), Sysdig 위협 연구 담당 수석 이사

이 시스템은 접근 권한을 확장하기 전에 클라우드 인증 정보와 API 키를 수집했습니다.

이 시스템은 Langflow의 PostgreSQL 데이터베이스에서 데이터를 추출하여 저장된 인증 정보, API 키 및 사용자 정보를 회수한 후, 생성했던 임시 파일을 삭제했습니다.

적응형 자격 증명 추출 방법

에이전트는 내부 네트워크를 탐색하며 데이터베이스, 스토리지 시스템 및 비밀 관리 서비스를 찾았습니다.

결국 MinIO 오브젝트 스토리지 서버를 찾아내어, 해당 서버의 구성 파일에서 추가 인증 정보를 식별하고 추출했습니다.

첫 번째 시도가 실패하자, 시스템은 자동으로 접근 방식을 조정했습니다.

지속성을 유지하기 위해, 이 에이전트는 침해된 Langflow 서버에 예약된 작업(cron job)을 설치했습니다. 이 작업은 30분마다 공격자가 제어하는 인프라에 접속했습니다.

그런 다음 이 자율 시스템은 MySQL과 Alibaba Nacos를 실행 중인 인터넷에 노출된 프로덕션 서버로 공격 경로를 전환했습니다.

에이전트는 MySQL 루트 자격 증명을 사용하여 여러 가지 알려진 Nacos 인증 취약점을 동시에 악용했습니다. 이 루트 자격 증명의 출처는 알려지지 않았습니다.

실시간 오류 수정 기능

시스템은 플랫폼 데이터베이스에 백도어 관리자 계정을 삽입했습니다. 첫 번째 로그인 시도가 실패하자, 오류를 분석하고 접근 방식을 수정했습니다.

Sysdig에 따르면, 이 에이전트는 사람의 개입 없이 31초 만에 성공적으로 다시 접근 권한을 확보했습니다. 이 일련의 과정은 LLM이 기술적 디버깅을 자율적으로 수행할 수 있는 능력을 입증합니다.

관리자 권한을 확보한 시스템은 피해자의 Nacos 구성 데이터를 암호화하여 최종 단계로 넘어갔습니다. 이 데이터는 지불 지침이 포함된 몸값 요구 메시지로 대체되었습니다.

마이클 클라크(Michael Clark), Sysdig 위협 연구 수석 이사 | 출처: Sysdig (수정됨)

Sysdig의 위협 연구 수석 이사인 마이클 클라크(Michael Clark)는 JadePuffer에 대한 분석 보고서를 작성했습니다.

그는 “자율 에이전트가 표적을 분석하고, 인증 정보를 수집 및 재사용하며, 측면 이동을 수행하고, 지속성을 확보한 뒤 데이터베이스를 파괴하는 과정에서 전 과정을 통해 자신의 의도를 설명해 나갔다”고 말합니다.

자율 AI 시스템에 대한 시사점

마이클에 따르면, 개별 기술 중 새로운 것이거나 정교한 것은 없었다. 주목할 만한 점은 AI 모델이 이러한 기술들을 연결하여 인터넷에 노출된 인프라를 대상으로 한 완전한 작전을 수행했다는 사실이다.

“랜섬웨어를 실행하는 데 필요한 최소 기술 수준은 에이전트를 실행하는 데 드는 비용 수준으로 떨어졌으며, 만약 그 에이전트가 LLMjacking을 통해 탈취된 인증 정보를 사용해 실행된다면 공격자에게 드는 비용은 거의 제로에 가깝다”고 그는 지적한다.

이는 자율 AI 작전의 진입 장벽이 상당히 낮아졌음을 의미할 수 있다.

마이클은 자율적 도구가 성숙해짐에 따라 이러한 캠페인의 규모와 범위가 확대될 수 있다고 전망합니다.

전 과정에 걸쳐 시스템이 스스로 진행 상황을 설명하는 기능은 자율 에이전트가 어떻게 의사결정을 내리는지에 대한 통찰력을 제공할 수 있다. 이러한 투명성 기능은 방어자들이 정교한 AI 시스템의 추론 패턴을 이해하고 궁극적으로 공격을 차단하는 데 도움이 될 수 있는 단서가 될 수 있다.