공격자가 더 이상 사람을 필요로 하지 않게 된 순간
2026년 7월 1일, Sysdig 위협 연구팀(Sysdig Threat Research Team)은 JADEPUFFER라고 이름 붙인 랜섬웨어 작전에 대한 분석을 공개했습니다. Sysdig의 표현을 그대로 옮기면 이 작전은 "what we assess to be the first documented case of agentic ransomware: a complete extortion operation driven end-to-end by a large language model (LLM)"(Sysdig가 에이전틱 랜섬웨어의 첫 번째 문서화된 사례로 평가하는 것으로, 대규모 언어 모델(LLM)이 처음부터 끝까지 주도한 완전한 갈취 작전)입니다.
이것은 AI가 작성한 피싱 이메일이나 딥페이크 음성 통화에 관한 또 하나의 이야기가 아닙니다. Sysdig가 확보한 페이로드를 보면, 에이전트는 인터넷에 노출된 애플리케이션을 익스플로잇하고, 자격 증명을 수집하고, 두 번째 서버로 이동하고, 그 서버의 구성 서비스를 장악하고, 데이터를 암호화한 뒤 삭제하고, 몸값 요구를 남겼습니다. 어떤 단계가 실패하면 지시를 기다리지 않고 실패 원인을 진단한 뒤 다시 시도했습니다.
BackupSec은 JADEPUFFER가 단일 사고로서보다는 하나의 예고편으로서 더 중요하다고 봅니다. 이 사례는 모든 백업 및 복구 아키텍처가 결국 답해야 할 질문에 대한 초기 데이터 포인트입니다. 상대편의 의사결정 루프가 몇 시간에서 몇 초로 줄어들면 어떤 일이 벌어질까요?
JADEPUFFER 공격 체인의 내부
큰 틀에서 보면 이것은 보안 팀이 수년간 방어해 온 킬 체인입니다. Sysdig도 같은 말을 합니다. "None of the individual techniques were novel or sophisticated."(개별 기법 중 새롭거나 정교한 것은 하나도 없었다.) 새로운 것은 그 기법들을 실행한 주체였습니다. 아래 순서는 Sysdig의 분석 보고서를 따릅니다.
- 초기 접근. 에이전트는 LLM 애플리케이션 구축용 오픈소스 프레임워크인 Langflow의 CVE-2025-3248을 익스플로잇했습니다. NVD는 이 취약점을
/api/v1/validate/code엔드포인트의 코드 인젝션으로, "a remote and unauthenticated attacker"(원격의 인증되지 않은 공격자)가 임의 코드를 실행할 수 있게 하는 결함으로 설명하며 CVSS 9.8점을 부여했습니다. 수정 사항은 2025년 3월 31일 Langflow 1.3.0에 포함되어 배포되었고, CISA는 2025년 5월 5일 이 결함을 알려진 악용 취약점(KEV) 카탈로그에 추가했습니다. 패치는 존재했지만 적용되지 않았습니다. - 자격 증명 수집. 에이전트는 Langflow 호스트에서 시스템을 열거하고 환경 전체를 훑어 LLM 공급자 API 키, 클라우드 자격 증명, 암호화폐 지갑, 데이터베이스 자격 증명을 찾아낸 뒤 Langflow 자체의 Postgres 데이터베이스를 덤프했습니다. 이어서 호스트에서 접근 가능한 MinIO 오브젝트 스토어를 발견하고 MinIO의 기본 자격 증명(
minioadmin:minioadmin)으로 로그인한 다음 버킷 목록을 조회했습니다. Sysdig에 따르면 이 버킷들에는 "application data, backups, ML artifacts, and a terraform-state bucket"(애플리케이션 데이터, 백업, ML 아티팩트, 그리고 terraform-state 버킷)이 포함되어 있었습니다. 에이전트는 그중 한 버킷에서 액세스 키/시크릿 쌍이 담긴credentials.json파일을 가져갔습니다. - 지속성 확보. Langflow 호스트에 30분마다 공격자 인프라로 비콘을 보내는 crontab 항목을 설치했습니다.
- 실제 목표로 이동. Sysdig에 따르면 이 작전의 진짜 목표는 MySQL과 Alibaba Nacos 구성 서비스를 실행하는, 인터넷에 노출된 별도의 프로덕션 서버였습니다. 에이전트는 노출된 MySQL 포트에 root로 접속했습니다. Sysdig는 이 root 자격 증명이 어디서 왔는지 관찰하지 못했습니다. "Their origin is unknown."(그 출처는 알려지지 않았다.)
- Nacos 장악. 에이전트는 여러 경로로 동시에 Nacos를 공격했습니다. CVE-2021-29441 계열의 인증 우회(NVD에 따르면 Nacos 1.4.1 이전 버전에서는 위조된 user-agent 헤더로 인증 필터를 건너뛸 수 있습니다), Nacos의 공개 문서에 나와 있는 기본 서명 키로 위조한 JSON Web Token, 그리고 root 권한으로 Nacos 데이터베이스에 직접 기록한 백도어 관리자 계정입니다. JWT 경로는 실패했고("custom secret in use", 즉 사용자 지정 시크릿이 사용 중) 에이전트는 이를 포기했습니다. 백도어 계정은 아래에서 설명할 31초간의 수정 끝에 작동했습니다.
- 피해. 에이전트는 MySQL의
AES_ENCRYPT()로 Nacos 구성 항목 1,342개를 모두 암호화하고, 원본 구성 테이블과 이력 테이블을 삭제했으며, 이어서 데이터베이스 스키마 전체를 삭제했습니다. 랜섬 노트는 AES-256을 사용했다고 주장하지만, Sysdig는 서버를 별도로 재구성하지 않는 한AES_ENCRYPT()의 기본값은 AES-128-ECB라고 지적합니다. 복구 관점에서 더 중요한 사실은 따로 있습니다. 키는 한 번 출력되었을 뿐 저장되거나 전송되지 않았습니다. 그래서 Sysdig의 표현대로 "The victim cannot recover the encrypted configurations even with payment."(피해자는 몸값을 지불하더라도 암호화된 구성을 복구할 수 없다.) 이 데이터를 되살릴 수 있는 것은 공격 이전에 만들어져 공격자의 손이 닿지 않는 곳에 보관된 사본뿐이었습니다. - 갈취. 에이전트는 요구 사항, 비트코인 주소, Proton Mail 연락처를 담은
README_RANSOM테이블을 생성했습니다.
정직하게 짚어 둘 한계
여기서 "자율"이 무엇을 의미하는지 정확히 해 두고자 합니다. 이를 과장하면 앞으로 펼칠 논지가 약해지기 때문입니다.
Sysdig는 자신들이 볼 수 없었던 두 가지를 명시합니다. 첫째, 에이전트가 4단계에서 사용한 MySQL root 자격 증명을 어떻게 얻었는지 관찰하지 못했습니다. 둘째, Sysdig는 "no visibility into JADEPUFFER's system prompt or agent configuration"(JADEPUFFER의 시스템 프롬프트나 에이전트 구성을 전혀 볼 수 없음) 상태였기 때문에, 에이전트가 실행되기 전에 사람이 어떤 목표나 자원을 주었는지 말할 수 없습니다. 누군가가 이 에이전트를 만들고, 구성하고, 실행했습니다.
Sysdig가 문서화한 것은 확보한 세션 내부의 동작입니다. 600개가 넘는 서로 다른 페이로드, 자신의 추론 과정을 스스로 서술하는 코드, 그리고 몇 초 만에 진단되고 수정된 실패들입니다. 이 증거를 바탕으로 Sysdig는 "the evidence points to an autonomous agent driving the operation rather than a human operator or a fixed toolkit"(증거는 인간 운영자나 고정된 툴킷이 아니라 자율 에이전트가 작전을 이끌었음을 가리킨다)이라고 결론 내립니다.
이 구분은 중요하며, 저희는 이것이 논지를 약화시키기보다 오히려 강화한다고 봅니다. 사람이 목표를 정하고 에이전트가 실행을 맡는 체인이라 하더라도, 전통적인 랜섬웨어 작전에서 가장 큰 지연 요인이 사라집니다. 바로 인간 운영자가 생각하고, 핸들러와 확인하고, 다음에 무엇을 시도할지 결정하는 데 쓰는 시간입니다.
31초가 생각보다 중요한 이유
31초는 전체 공격 소요 시간이 아닙니다. Sysdig는 체인 전체의 소요 시간을 공개하지 않았고, 저희도 일부러 그 숫자를 지어내지 않겠습니다. Sysdig가 공개한 것은 Nacos 장악 과정의 타임스탬프가 찍힌 한 시퀀스입니다. 에이전트는 백도어 관리자 계정을 삽입하고 19:34:36 UTC에 로그인을 시도했으나 실패했습니다. 가능한 원인 두 가지를 병렬로 검증한 뒤, 19:35:07에 계정을 제대로 다시 만드는 15줄짜리 수정 페이로드를 실행했습니다. 로그인은 19:35:18에 성공했습니다. Sysdig의 표현으로는 "The window between the failed login and the correct multi-step fix is 31 seconds."(로그인 실패와 올바른 다단계 수정 사이의 간격은 31초다.) Sysdig는 세션의 다른 곳에서도 같은 패턴을 보고합니다. 요청이 JSON 대신 XML을 반환하자 다음 페이로드는 XML을 파싱했습니다. DROP DATABASE가 외래 키 제약 조건 때문에 실패하자 다음 페이로드는 먼저 그 검사를 꺼 버렸습니다.
이를 인간 운영자가 단계에 실패했을 때의 행동과 비교해 보십시오. 사람은 멈춥니다. 상황을 다시 판단합니다. 체계화된 서비스형 랜섬웨어(RaaS) 조직이라면 핸들러에게 메시지를 보내고 지침을 기다릴 수도 있습니다. 그리고 몇 분 또는 몇 시간 단위로, 때로는 교대 근무가 바뀐 뒤에 다시 시도합니다. 실패와 다음 시도 사이의 이 지연은 언제나 방어자에게 유리하게 작용하던 몇 안 되는 요소 중 하나였습니다. 새벽 2시에 울린 경보를 오전 8시에 사람이 분류하더라도 그사이 사고가 반드시 극적으로 악화되지는 않았던 이유가 바로 이것입니다.
그 간격을 31초로 좁히는 에이전트는 단순히 더 빠르게 움직이는 것이 아닙니다. 거의 모든 사고 대응 런북에 깔려 있는 전제를 무너뜨립니다. 즉 공격자의 첫 번째 실패와 다음 시도 사이에는 사람의 시간 척도에 맞는 여유가 있고, 비슷한 시간 척도로 움직이는 탐지 및 대응 프로세스가 그 안에서 개입할 수 있으리라고 합리적으로 기대할 수 있다는 전제입니다.
AI가 등장하기 전부터 이미 사실이었던 숫자들
백업 인프라는 에이전틱 AI 때문에 표적이 된 것이 아닙니다. 이미 표적이었고, 이를 보여 주는 데이터는 JADEPUFFER보다 2년 앞섭니다.
- Veeam의 2024 Ransomware Trends Report는 2023년에 한 번 이상 랜섬웨어 공격을 받은 조직의 응답자 1,200명을 대상으로 한 설문조사로, "backup repositories are targeted in 96% of attacks, with bad actors successfully affecting the backup repositories in 76% of cases"(공격의 96%에서 백업 리포지토리가 표적이 되며, 공격자가 76%의 사례에서 백업 리포지토리에 실제로 영향을 미쳤다)라는 결과를 제시했습니다. Veeam은 자사 블로그에서도 96%라는 수치를 반복합니다.
- 지난 1년 사이 랜섬웨어 피해를 입은 조직의 IT 및 사이버 보안 전문가 2,974명을 바탕으로 한 침해된 백업에 관한 Sophos의 2024년 연구는 "The median overall ransomware recovery costs for organizations whose backups were compromised ($3M) came in eight times higher than that of organizations whose backups were not impacted ($375K)."(백업이 침해된 조직의 랜섬웨어 전체 복구 비용 중앙값(300만 달러)은 백업이 영향을 받지 않은 조직(37만 5천 달러)보다 8배 높았다)라는 결과를 내놓았습니다.
이 숫자들은 랜섬웨어 작전이 발판을 확보한 뒤 백업 계층을 파괴하거나 암호화하는 것이 가장 효과가 큰 한 수라는 사실을 이미 알고 있던 인간 공격자들의 세계를 보여 줍니다. 에이전틱 AI는 이 계산을 전혀 바꾸지 않습니다. 바뀌는 것은 그 계산을 누가, 혹은 무엇이 실행할 수 있느냐입니다. 대규모로, 24시간 내내, 잠을 자거나 교대 휴식을 하거나 다음 자격 증명을 시도하기 전에 핸들러의 승인을 기다릴 필요 없이 말입니다.
IBM의 2026 X-Force Threat Intelligence Index는 추세선을 더해 줍니다. IBM X-Force는 공개 애플리케이션 익스플로잇으로 시작된 공격이 44% 증가했다고 관찰했는데, 이는 JADEPUFFER가 사용한 진입 경로와 정확히 같습니다. 또한 활동 중인 랜섬웨어 및 갈취 그룹은 전년 대비 49% 증가했습니다. 자율 운영자가 필요해지기 전부터 공격 표면은 이미 커지고 있었습니다.
탐지 시간대에서 복구 확실성으로
알려진 취약점 익스플로잇은 이미 가장 흔한 침투 방법입니다. 같은 IBM 보고서는 취약점 익스플로잇이 "became the leading cause of attacks, accounting for 40% of incidents observed by X-Force in 2025"(공격의 주요 원인이 되었으며, 2025년 X-Force가 관찰한 사고의 40%를 차지했다)라고 말합니다. 알려진 취약점과 해소된 취약점 사이의 격차는 너무 크고 끊임없이 다시 채워지기 때문에 완벽한 예방은 현실적이지 않습니다. JADEPUFFER도 이 패턴에 들어맞습니다. Sysdig는 실제 목표에 대한 공격이 "leaned on years-old issues, a 2021 Nacos auth-bypass and an unchanged default signing key"(수년 된 문제들, 즉 2021년 Nacos 인증 우회와 변경되지 않은 기본 서명 키에 기댔다)라고 지적합니다. JADEPUFFER는 이 논지를 바꾸지 않습니다. 더 날카롭게 만들 뿐입니다.
업계의 실무적 전제가 사람 속도로 움직이는 탐지 및 대응 프로세스가 초기 접근과 되돌릴 수 없는 피해 사이 어딘가에서 침입을 잡아낼 수 있으리라고 합리적으로 기대할 수 있다는 것이었다면, 31초 만에 스스로 수정하는 에이전트는 그 전제에 대한 정면 도전입니다. 대응은 "기계보다 빠르게 탐지하고 대응하라"가 될 수 없습니다. 방어자가 무한정 계속 이길 수 있으리라 기대할 수 있는 경주가 아니기 때문입니다. 대응은 아키텍처적이어야 합니다. 공격자가 얼마나 더 빨라지든, 빠르고 적응적인 침입의 결과를 견뎌 낼 수 있게 만들어야 합니다.
구체적으로 말해, 백업 및 복구 인프라에서 중요한 속성들은 공격자가 사람이 아니라 AI 에이전트라고 해서 달라지지 않습니다. 다만 바람직한 목표에서 타협할 수 없는 조건으로 바뀝니다.
- 사람이 제때 이상 활동을 알아차리는 데 의존하지 않는 자격 증명 및 ID 분리. 백업 환경에 접근하는 자격 증명이 에이전트가 침해된 호스트에서 몇 초 만에 수집할 수 있는 것과 같다면, 격리는 절차가 아니라 구조로 구현되어야 합니다.
- 단순히 구성된 것이 아니라 검증된 불변성(immutability). 충분한 권한을 가진 자격 증명으로 조용히 해제할 수 있는 보존 잠금은 인간 공격자가 망설일 것이라고 가정하는 통제입니다. 에이전트는 망설이지 않습니다.
- 공격자가 이미 환경을 알고 있다고 가정하는 복구 테스트. JADEPUFFER의 에이전트는 실패한 단계에 실시간으로 적응했습니다. 예상되는 단일 장애 시나리오로만 테스트된 복구 계획은, 이제 실제로 가능하다는 것이 입증된 상대보다 느리고 예측 가능한 상대를 전제로 만든 계획입니다.
기업 리스크 책임자에게 주는 의미
JADEPUFFER는 문서화된 하나의 캠페인이며, 이제 모든 랜섬웨어 작전이 자율적이라는 증거가 아닙니다. 하지만 Sysdig의 평가가 맞다면, 이전까지 이론에 머물던 일이 이제 관찰되었습니다. LLM 에이전트가 실제 목표를 상대로 실제 공격 체인을 실행했고, 스스로 수정하는 루프가 초 단위로 측정되었습니다.
리스크 책임자에게 실무적인 질문은 더 이상 에이전틱 랜섬웨어가 더 흔해질지 여부가 아닙니다. Sysdig는 방어자들이 "should expect the volume and breadth of such campaigns to rise as agentic tooling matures"(에이전틱 도구가 성숙함에 따라 이러한 캠페인의 규모와 범위가 늘어날 것으로 예상해야 한다)라고 말하고, IBM X-Force는 "expects adversaries to automate complex tasks like reconnaissance and advanced ransomware attacks"(공격자들이 정찰과 고도화된 랜섬웨어 공격 같은 복잡한 작업을 자동화할 것으로 예상한다)라고 말합니다. 실무적인 질문은 여러분의 복구 아키텍처가 전제로 삼은 것이 사람 속도의 공격자인지, 아니면 더 이상 그럴 필요가 없는 공격자인지입니다.
BackupSec의 역할
BackupSec은 JADEPUFFER가 더욱 시급하게 만든 전제를 중심으로 접근 방식을 설계했습니다. 예방은 실패할 것이며, 결과를 좌우하는 것은 그 실패를 일으킨 것이 얼마나 빠르게 움직였든 그 실패를 견디도록 만들어진 계층이라는 전제입니다.
- ZeroMON은 Veeam Backup & Replication을 모니터링합니다. OVA 형태로 온프레미스에 배포되고, 읽기 전용 계정으로 연결되며, BackupSec이나 어떤 제3자에게도 아무것도 보내지 않습니다. 백업 작업 상태를 추적하고, Veeam의 구성 변경(누가 무엇을 언제 변경했는지)을 기록하며, Veeam 자체 리포지토리 설정이 보고하는 그대로 불변성 상태를 보여 주고, Veeam의 Security Analyzer 체크리스트를 계속 확인할 수 있게 합니다. 경보 규칙은 자격 증명 변경, 보존 기간 및 일정 수정, 비활성화된 작업, 삭제 세션 등 침입자가 백업을 노리고 Veeam 쪽에서 하는 움직임을 다룹니다. 경보는 이메일과 인앱 알림으로 전달됩니다. ZeroMON은 Veeam을 감시합니다. 다른 호스트에서 일어나는 자격 증명 수집은 보지 못하며, 스토리지 자체의 잠금을 확인하는 것이 아니라 Veeam의 불변성 설정을 읽습니다.
- ZeroTAM은 팀에 전담 백업 보안 어드바이저를 제공합니다. 아키텍처 검토, 랜섬웨어 복구 계획, 용량 계획, 위기 시 우선 지원이 포함됩니다. ID 분리, 불변성, 격리가 사람 속도의 공격자를 전제로 설계되었는지 철저히 검증해 볼 수 있는 곳입니다.
- ZeroPEN은 Veeam Backup & Replication, Veeam ONE, Enterprise Manager를 대상으로 하는 위협 주도형 모의 침투 테스트입니다. MITRE ATT&CK에 매핑된 8단계로 랜섬웨어 킬 체인을 시뮬레이션하며, 초기 접근과 자격 증명 악용부터 리포지토리 접근과 백업 무력화를 거쳐 암호화 능력 입증까지 진행합니다. 이 과정에는 복원 무결성 및 불변성 검증이 포함되며, 감사 대응이 가능한 증거와 치명적 발견 사항에 대한 재테스트를 제공합니다. 비파괴적 방식입니다. ZeroPEN은 "never deletes real backups, performs real encryption, or stops production or backup services"(실제 백업을 삭제하거나, 실제 암호화를 수행하거나, 프로덕션 또는 백업 서비스를 중단하는 일이 절대 없습니다).
JADEPUFFER가 던지는 질문은 방어가 빠른지 여부가 아닙니다. 복구 아키텍처가 방어의 속도에 의존하지 않도록 만들어졌는지 여부입니다.
복구 아키텍처 검증에 대해 BackupSec과 상담하기 →
이 분석은 JADEPUFFER에 관한 Sysdig의 2026년 7월 연구, IBM의 2026 X-Force Threat Intelligence Index, Veeam의 2024 Ransomware Trends Report, 침해된 백업에 관한 Sophos의 2024년 연구를 바탕으로 하며, 취약점 세부 정보는 NVD와 CISA에서 가져왔습니다. 여기에 제시된 해석과 프레임워크는 BackupSec 자체의 것입니다. 이 분석이 여러분의 환경에 어떻게 적용되는지 논의하려면 저희 팀에 문의하십시오 →