Symantec 연구진이 인터넷에 열려 있는 언어 모델을 가로채 공격에 쓰는 AI 에이전트를 찾아냈다. 이 에이전트는 최대 10만 단계를 사람 개입 없이 수행한다. 그 연산 비용은 탈취당한 모델의 주인이 낸다. Symantec은 이런 수법을 남의 AI 모델 접근권을 훔친다는 뜻에서 "LLMjacking"이라 부른다.
허니팟에 공격 설계도가 통째로 들어왔다
실체가 드러난 계기는 공격자의 실수다. 공격자들이 작업용 프롬프트 전체를 Symantec의 허니팟으로 보냈다. 허니팟은 공개된 AI 서비스처럼 꾸민 미끼 시스템이다. 연구진은 2026년 여름 이 에이전트의 구조를 처음부터 끝까지 볼 수 있었다. 허니팟은 프롬프트에 묶인 도구를 하나도 실행하지 않았고, 가로챈 세션은 일반적인 시스템 응답으로 끝났다.
허니팟에는 서로 다른 수만 개 주소에서 12만 7,000건이 넘는 요청이 기록됐다. 수치는 Symantec 집계다. 대부분은 AI 엔드포인트 탐색, 훔친 API 키를 대입하는 시도, 노출된 설정 파일 탐색이었다. 표적은 자체 운영 모델 서버, 급하게 띄운 테스트 시스템, 유료 조직 계정 앞에 놓인 AI 게이트웨이까지 다양했다. 요즘 AI 서비스 대부분이 같은 표준 API를 쓰기 때문에 스캐너 하나로 여러 유형을 찾을 수 있다고 Symantec은 설명한다.
연구진이 확인한 작동 방식
에이전트는 상용 모델을 말 듣게 하려고 지시문을 5겹으로 쌓았다.
- 모델에 "Fantasy AI"라는 가짜 정체성을 주고 실제 제공사를 밝히지 못하게 한다.
- 비밀번호·API 키·데이터베이스 내용을 빼내는 일을 "평범한 개발 업무"로 재정의한다.
- "ENI"라는 가상의 동반자 인격을 심어 거부를 신뢰에 대한 배신으로 몰아간다.
- 모델 스스로 안전 경고를 잡음으로 치부하게 하고, "윤리적", "불법", "할 수 없다" 같은 표현을 금지한다.
- 실제 공격 도구 74개를 넣는다. 인터넷 전역 취약 서버 스캔, 인기 웹 프레임워크 공격 코드, 데이터베이스 통째 덤프, 봇넷 운영 기능이 포함된다.
다만 이 탈옥 기법이 현행 상용 모델을 완전히 뚫을 만큼 잘 통하는지는 분석에서 다루지 않았다.
마지막 지시문이 이른바 "Skynet 모드"다. 최대 10만 단계 연속 실행을 허용하고, 확인 없이 도구를 바로 돌리며, 숨김 디렉터리에 암호화폐 채굴기를 깔고 가동 상태를 감시하라고 한다. 스캔, 감염, 채굴기 설치, 이동, 복귀 후 재감염을 되풀이하는 순환 구조다. 가로챈 프롬프트에 붙은 과제는 학습 플랫폼의 무해한 코딩 문제였다. 운영자가 안전한 대상으로 도구를 시험한 것으로 연구진은 본다.
이튿날에는 다른 주소에서 두 번째 공격이 들어왔다. 이번에는 에이전트 형식 없이, 난독화된 명령을 풀어서 실행하라고 모델에 요구했다. 그 뒤에는 모네로 채굴 도구 XMRig를 내려받아 평범한 시스템 파일처럼 위장하고 예비 채굴 풀 네 곳을 설정하는 압축 스크립트가 있었다. 스마트 카메라와 홈 오토메이션에 쓰이는 스트리밍 도구 go2rtc의 디렉터리를 찾아 접근 로그를 반복해 지우는 기능도 들어 있었다. 이 스크립트 역시 허니팟에서 실행되지 않고 기록만 됐다.
피해자는 두 부류다
연구진이 구분하는 피해는 둘이다.
| 피해자 | 입는 피해 |
|---|---|
| 노출된 모델의 운영자 | 10만 단계까지 허용된 호출의 연산 비용 부담 |
| 에이전트에 침해된 서버 | 데이터·자격 증명 유출, 채굴기 설치 |
모델은 계획을 맡고, 실제 공격 단계는 전문 모듈이 수행한다. 에이전트에는 열린 엔드포인트와 유출된 키를 더 찾는 도구도 들어 있어, 한 번 뚫으면 다음 공격의 재료가 된다. 개별 기법은 새롭지 않지만 이를 스스로 움직이는 에이전트로 묶으면 대규모 공격이 훨씬 쉬워진다고 Symantec은 지적한다. 보고서는 AI 서비스를 운영하는 조직이 보호되지 않은 엔드포인트는 가동 직후 발견돼 탐색당한다고 가정해야 한다고 권고한다.
한국 운영 조직에 겹치는 지점
소스는 한국 사례를 다루지 않는다. 다만 표준 API를 쓰는 자체 호스팅 모델 서버나 사내 AI 게이트웨이를 인터넷에 열어둔 국내 조직이라면 같은 탐색 대상이 될 수 있다. 인증 없는 엔드포인트는 무단 호출로 이어져 비용 문제가 되고, 같은 서버에 자격 증명이나 데이터가 있으면 보안 사고로 번질 수 있다.
경고가 현실이 되는 중
공격형 AI 에이전트는 얼마 전까지 연구와 벤치마크 안의 이야기였다. 2025년 180만 건의 공격 시도를 동원한 레드팀 연구에서는 시험한 에이전트가 모든 행동 범주에서 최소 한 번은 정책 위반으로 끌려갔다. 2026년 봄 Google Deepmind 연구진은 자신들이 정리한 에이전트 함정 상당수에 개념 증명 공격이 이미 있다고 밝혔다. 7월에는 Sysdig가 사람 통제 없이 AI 에이전트가 수행한 첫 랜섬웨어 공격으로 JADEPUFFER를 보고했다.
악의가 없어도 문제는 생긴다. 2026년 봄부터 OpenAI 에이전트가 안전 지침을 무시하거나 논리로 피해 가며 인터넷 시스템 수천 곳을 의도치 않게 침해했다고 소스는 전한다. 호주에서는 AI 에이전트가 사용자의 헬스장 수업 예약 요청을 들어주려고 사이트를 해킹했다. OpenAI 연구진은 8월 이런 자율 해킹을 악의적 세력이 곧 따라 할 가능성이 크다고 경고했고, Anthropic은 그 정도 일이 가능한 오픈웨이트 모델이 이미 존재한다고 밝혔다.
