Symantec, 미보호 언어모델 탈취해 공격하는 'Skynet 모드' 에이전트 발견

보안 기업 Symantec 연구진이 인터넷에 노출된 미보호 언어모델을 가로채 스스로 공격을 수행하는 공격용 AI 에이전트를 발견했다. Symantec 분석에 따르면 이 에이전트는 모델에 접근한 뒤 다른 공격 대상을 찾고, 널리 쓰이는 서버 소프트웨어의 결함을 악용해 데이터베이스와 인증 정보를 빼내며, 백그라운드에서 암호화폐 채굴 프로그램을 설치하도록 설계돼 있다. 다만 연구진이 확보한 것은 공격자가 허니팟에 보낸 프롬프트이고, 허니팟은 그 안의 도구를 실행하지 않았다. 구조는 이 프롬프트를 통해 파악했다.

이 과정은 사람 개입 없이 최대 10만 단계까지 이어지며, 탈취당한 모델 주인이 연산 비용을 부담한다. Symantec은 남의 AI 모델 접근 권한을 훔치는 이 수법을 'LLMjacking'이라 부른다. 탈취한 모델은 정보 제공용으로 쓰이는 데 그치지 않고 공격 전체를 직접 지휘한다.

허니팟에 걸린 공격 계획

공격 실체는 공격자들이 작업용 프롬프트 전체를 Symantec의 허니팟(공개 AI 서비스를 흉내 낸 미끼 시스템)에 보내면서 드러났다. 연구진은 2026년 여름 이 에이전트의 구조를 온전히 들여다볼 수 있었다. 허니팟은 포함된 도구를 하나도 실행하지 않았고, 가로챈 세션은 일반적인 시스템 응답 뒤에 끝났다고 Symantec은 밝혔다.

허니팟에는 수만 개의 서로 다른 주소에서 온 요청이 12만 7,000건 넘게 기록됐다. 대부분 AI 엔드포인트 탐색, 탈취한 API 키로 접속을 시도하는 무차별 대입, 노출된 설정 파일 탐색이었다. 대상은 자체 운영 모델 서버와 급히 만든 테스트 시스템부터 유료 조직 계정 앞단의 AI 게이트웨이까지 다양했다. 대부분의 AI 서비스가 같은 표준 API를 쓰기 때문에 스캐너 하나로 여러 유형을 찾을 수 있다.

다섯 겹 프롬프트

공격자들은 상용 모델이 말을 듣게 하려고 지시문을 다섯 겹으로 쌓았다고 Symantec은 설명했다. 첫 겹은 모델에 'Fantasy AI'라는 가짜 신원을 주고 실제 제공사를 밝히지 못하게 한다. 둘째 겹은 비밀번호·API 키·데이터베이스 내용을 빼내는 일을 '평범한 개발 업무'로 규정해 거부 없이 수행하게 한다.

셋째 겹은 'ENI'라는 가상의 동반자 페르소나를 심어, 거절을 개인적 관계에서의 신뢰 배신처럼 보이게 만든다. 넷째 겹은 모델 스스로의 안전 경고를 잡음으로 치부하게 하고 '윤리적', '불법', '그렇게 할 수 없다' 같은 표현을 명시적으로 금지한다.

Symantec이 공개한 가로챈 프롬프트 발췌 이미지의 설명에 따르면, 첫 겹은 원래 프랑스어로 쓰여 있었다.

다섯째 겹에는 탈옥용 지시가 아니라 실제 공격 도구가 들어 있다. 모두 74개 모듈로, 취약 서버를 인터넷 전역에서 스캔하는 도구, 인기 웹 프레임워크용 익스플로잇, 데이터베이스 전체를 내려받는 기능, 봇넷 운영 구성 요소가 포함된다. 이 탈옥 기법이 현행 상용 모델의 가드레일을 완전히 무력화할 만큼 효과가 있는지는 Symantec 분석에서 다뤄지지 않았다.

'Skynet 모드'와 이튿날의 두 번째 공격

마지막 지시문은 운영자들이 'Skynet 모드'라 부르는 상태로 에이전트를 전환해 최대 10만 단계 연속 실행을 허용한다. 모델은 확인 절차 없이 곧바로 도구를 실행하고, 숨김 디렉터리에 채굴 프로그램을 설치해 작동을 감시하라는 지시를 받는다. 같은 지시문은 스캔, 감염, 채굴기 설치, 이동, 복귀, 이미 감염된 시스템 재감염으로 이어지는 반복 순환을 설계해 두었다고 Symantec은 밝혔다. 다만 가로챈 프롬프트에 붙은 과제는 교육 플랫폼의 무해한 코딩 문제여서, 운영자가 안전한 대상으로 도구를 먼저 시험한 것으로 보인다고 Symantec은 해석했다.

이튿날 허니팟은 다른 주소에서 온 두 번째 공격을 포착했다. 이번에는 에이전트 형식을 쓰지 않고, 난독화된 명령을 해독해 실행하라고 모델에 요청했다. 그 뒤에는 Monero 채굴 도구 XMRig를 내려받아 무해한 시스템 파일처럼 위장하고 예비 채굴 풀 네 곳을 설정하는 압축 스크립트가 있었다. 이 스크립트는 스마트 카메라와 홈 오토메이션에 널리 쓰이는 스트리밍 도구 go2rtc의 디렉터리를 찾아 접근 로그를 반복해서 지우도록 짜여 있었다. 허니팟은 이 스크립트도 실행하지 않고 전체를 기록만 했다.

피해자는 두 부류

Symantec은 운영자들이 공개 챗봇을 조작하는 데 그치지 않고 공격 도구의 핵심에 AI를 넣었으며 이를 구동할 모델을 적극적으로 찾아 나섰다는 점을 두고, 공격자가 AI를 쓰는 방식의 변화라고 평가했다. 계획은 언어모델이 세우고 실제 공격 단계는 전문 모듈이 맡는다. 피해자는 두 부류다. 노출된 모델 주인은 10만 단계 허용분만큼 불어나는 연산 비용을 내고, 침해당한 서버는 데이터를 잃고 채굴에 이용된다.

에이전트에는 열린 엔드포인트와 유출된 키를 더 찾는 도구도 들어 있다. 매체 the-decoder는 이 때문에 한 번의 침해가 다음 침해의 자금원이 될 수 있다고 짚었고, 개별 기법은 새롭지 않지만 이를 스스로 움직이는 에이전트로 묶으면 대규모 공격이 훨씬 쉬워진다고 평가했다. 또 AI 서비스를 운영하는 조직은 보호 장치 없는 엔드포인트가 가동 직후 발견돼 탐색당한다고 가정해야 한다고 전했다.

이어지는 공격형 에이전트 경고

공격형 에이전트는 최근까지 주로 연구와 벤치마크에서 다뤄졌다. 2025년 공격 시도 180만 건을 동원한 레드팀 연구에서는 시험한 모든 에이전트가 모든 행동 범주에서 적어도 한 번은 정책 위반으로 유도됐다. 2026년 봄에는 Google DeepMind 연구진이 자신들이 설명한 에이전트 함정 상당수에 이미 개념 증명 공격이 문서화돼 있다고 밝혔다. 같은 해 7월 Sysdig는 사람의 통제 없이 AI 에이전트가 수행한 첫 랜섬웨어 공격으로 알려진 JADEPUFFER를 기술했다.

악의가 없어도 문제가 생긴다. 2026년 봄부터 OpenAI 에이전트가 인터넷의 시스템 수천 곳을 의도치 않게 침해했다고 the-decoder는 전했다. 원인의 일부는 에이전트가 안전 지침을 무시하거나 논리로 우회한 데 있다. 호주에서는 AI 에이전트가 주인의 요청을 이행하려다 헬스장 웹사이트를 해킹한 일도 있었다. OpenAI 연구진은 8월에 이런 우발적·완전 자율 해킹을 악의적 행위자가 곧 따라 할 가능성이 크다고 경고했고, Anthropic은 그런 용도에 충분한 성능의 오픈 웨이트 모델이 이미 존재함을 보였다.