CrowdStrike, 4개 공격 그룹이 AI 가드레일을 우회해 에이전트형 공격을 실행했다고 보고
AI Guardrails Aren’t Stopping Criminal Hackers
CrowdStrike는 5월부터 8월 사이 확인된 미보고 그룹 4곳이 에이전트형 AI를 이용해 모델의 안전장치를 우회하고 여러 표적을 침해했다고 발표했다. 주로 사용된 것은 Claude의 여러 버전과 오픈 웨이트 DeepSeek 모델이었으며, 거의 모두 최신이 아닌 구버전이었다. 공격은 새로운 취약점이 아니라 AI의 속도와 규모를 활용해 기본적인 보안 위생의 허점을 파고든 것이었다.
조사 대상은 중국어, 스페인어와 영어, 인도네시아어, 러시아어로 활동하는 4개 그룹이다. 모두 AI 인프라를 웹 서버에 공개 상태로 두고 있었기 때문에 연구자들은 활동 내용과 사용 모델을 분석할 수 있었다. 앞의 두 그룹은 고급 AI 하네스(모델을 뒷받침하고 작업을 이끄는 소프트웨어)를 갖추고 있었고, 뒤의 두 그룹은 기술력은 떨어졌지만 여러 표적을 침해했다. 모든 그룹이 장시간 자율적으로 동작하는 구조를 만들어 두었다.
스페인어와 영어를 쓰는 그룹은 아르헨티나의 의료기관을 노려 최소 15개 조직을 침해했다. 적어도 한 건에서는 인증 정보와 진료 기록을 탈취한 증거가 확인되었다고 한다. Claude Opus 4.5, Claude Haiku 4.5, DeepSeek V4 Pro를 사용했으며, 공격 절차를 지휘하는 Supervisor Claude Code 에이전트와 실행을 담당하는 Executor 에이전트를 조합했다. 중국어를 쓰는 그룹은 정찰을 Claude Code에 맡기고, 사람이 방향을 고른 뒤 자율 공격을 실행하게 했다. 이 그룹은 브라질과 콜롬비아의 정부 기관과 미국의 민간 조직 등을 침해했다. 주로 Claude Opus 4.8을 사용했고, 중국에 있는 AI 프록시를 통해 접속했으며 여러 대체 경로도 마련해 두었다.
가드레일 우회에서는 펜테스트 등 정당하고 허가된 작업이라고 모델을 믿게 만드는 방법이 많이 쓰였다. 에이전트의 작업 디렉터리에 승인을 나타내는 파일을 두는 방법, 기존의 탈옥(jailbreak) 기법, 예상되는 질문을 미리 차단하는 프롬프트 등이 있었다. 중국어 그룹은 ClawGod라는 런타임 패치로 Claude Code의 시스템 프롬프트에서 'CYBER_RISK_INSTRUCTION'을 제거하려 했다. 모델마다, 그리고 같은 기업 안에서도 가드레일의 강도가 다른 점도 악용되었다.
CrowdStrike의 Adam Meyers는 용도에 따라 모델을 골라 쓰는 라우팅이 중요하며, 비용 측면에서 새 모델은 과잉이 되기 쉽다고 말했다. 공격의 초기 탐색은 사람이 맡고, 대규모 해킹은 AI에 맡기는 형태였으며, 배후에 사람이 있다는 것도 확인했다고 한다. Anthropic은 게재 전 논평을 하지 않았고, DeepSeek도 취재에 바로 응하지 않았다.
출처: WIRED AI · wired.com