중국어권 해커가 자율 공격용으로 꾸민 AI 에이전트가 실수로 자기 컴퓨터에 웹서버를 하나 띄웠습니다. 그 서버 하나 때문에 API 키, 익스플로잇 스크립트, 공격 대상 목록, 셸 기록, AI 공격 로그가 통째로 외부에 노출됐습니다. 덕분에 보안 연구자들은 텔레그램 명령 한 줄로 시작된 자율 해킹 작전의 전 과정을 처음부터 끝까지 들여다볼 수 있었습니다.

Palo Alto Networks의 위협 인텔리전스 팀 Unit 42가 knaithe, KnYuan이라는 이름으로 활동하는 해커의 공격 캠페인을 분석해 이 내용을 공개했습니다. 해커는 오픈소스 에이전트 프레임워크 Hermes Agent에 DeepSeek을 연결하고, 텔레그램으로 명령을 보내는 것만으로 정찰부터 공격까지 전 과정을 자동화했습니다.

출처: Chinese-Speaking Threat Actor Harnesses AI Models for Autonomous Cyberattacks – Unit 42, Palo Alto Networks

명령 한 줄이면 나머지는 AI가 알아서

Unit 42가 복구한 세션 기록에는 공격자가 최초 지시를 내린 뒤 별다른 개입을 하지 않은 흔적이 남아 있었습니다. Hermes Agent는 인터넷 자산 검색 서비스 FOFA로 공격 대상을 스스로 찾아내고, 어떤 CVE를 노릴지 결정하고, 깃허브에서 트렌딩 중인 익스플로잇 코드를 가져와 공격을 실행했습니다. 이 전 과정에서 DeepSeek이 추론 엔진 역할을 맡아 코드 생성부터 취약점 평가, 표적 선정까지 처리했습니다.

에이전트에는 세 가지 레드팀용 스킬이 심어져 있었습니다. LLM 탈옥을 위한 “godmode”, 인증 없는 웹소켓을 노리는 커스텀 익스플로잇, 그리고 FOFA 검색을 자동화하는 스크립트입니다. 첫 시도가 대상 환경의 제약 때문에 실패하자 에이전트는 알아서 다른 취약점을 찾아 나섰습니다. 제품군 10개를 훑고 깃허브에서 인기 있는 PoC를 스캔한 끝에 더 가치 있는 취약점 7개로 방향을 틀었습니다.

460번 시도해서 3번 뚫었다

이렇게 자동화된 공격이 겨냥한 대상은 460개가 넘습니다. 그런데 Unit 42가 확인한 실제 침해 성공 사례는 3건뿐이죠. Citrix NetScaler의 메모리 유출 취약점을 통한 데이터 탈취, 그리고 말레이시아의 한 정부 기관을 상대로 한 세션 하이재킹 시도로 추정되는 사례입니다.

성공률만 보면 낮아 보이지만 Unit 42는 이 결과를 다르게 해석합니다. 사람이 손대면 수백 시간 걸렸을 정찰과 표적 선정을, AI가 명령 한 줄로 몇 분 만에 끝냈다는 게 핵심이라는 거죠. 실제 피해 규모보다 “정찰부터 공격까지 사람 없이 돌아가는 파이프라인이 이미 작동한다”는 사실 자체가 더 중요한 발견입니다.

Claude Code와 Codex도 슬쩍 써봤다

흥미로운 대목은 따로 있습니다. 공격자는 DeepSeek 외에도 Qwen, GLM, Kimi, MiniMax 같은 중국계 모델은 물론이고, 서구권 도구인 Claude Code와 Codex까지 제한적으로 테스트한 흔적을 남겼습니다. Claude Code는 연결 테스트와 프록시 검증 용도로 세 세션에 걸쳐 열 번 정도만 쓰였고, Codex는 익스플로잇 개발 디렉터리에서 사용된 흔적은 있지만 대화 로그 자체는 남지 않았습니다.

두 도구 모두 추적을 피하려는 시도가 뚜렷했습니다. 공격자는 이 둘을 제3자 프록시 서비스로 우회시켰고, Claude Code에는 귀속 헤더를 끄는 설정을, Codex에는 응답 저장을 막는 설정을 걸어뒀죠. Unit 42는 이런 패턴을 “여러 AI 도구 시장을 평가하며 자신에게 맞는 도구를 고르는 과정”으로 해석합니다. 공격자 입장에서도 어떤 AI 도구가 공격에 더 쓸모 있는지는 아직 실험 중인 문제라는 얘기입니다.

이론이 아니라 이미 작동하는 파이프라인

Unit 42는 이번 사례를 자율 공격 사이클이 더 이상 이론이 아니라는 증거로 규정했습니다. 실제 피해 규모는 제한적이었지만, 정찰과 취약점 선택, 익스플로잇 확보, 공격 실행까지 사람 개입 없이 끝나는 워크플로가 실제로 작동한다는 걸 보여줬기 때문이죠. 오픈소스 에이전트 프레임워크를 다루는 개발자라면, 자신이 쓰는 도구가 방어용으로만 설계되지는 않았다는 걸 이번 사례로 확인해둘 만합니다.

참고자료: Chinese Hacker Commands DeepSeek via Telegram to Launch Autonomous Attacks