AI 에이전트가 혼자 해킹 완료—JadePuffer, 세계 최초 자율 랜섬웨어 공격

지난 주 보안 업계에 조용하지만 묵직한 보고서 하나가 올라왔다. 시스디그(Sysdig) 위협 연구팀이 공개한 분석 문서인데, 읽고 나서 한동안 화면을 멍하게 바라봤다.

AI 에이전트가 사람 없이 혼자서 취약한 서버에 침투해 데이터를 암호화하고 비트코인 랜섬을 요구하기까지 전 과정을 완수했다. 'JadePuffer'라는 이름의 이 위협 주체가 역사상 최초의 완전 자율 AI 랜섬웨어 공격 사례로 기록됐다.

나는 AI가 보안 공격에 쓰인다는 이야기를 수년 전부터 들어왔다. 피싱 메일 자동 생성, 취약점 스캐닝, 악성코드 변형 자동화. 전부 AI가 도구로 개입하는 영역이 됐다. 그런데 이번은 차원이 달랐다. 공격의 시작부터 끝까지 사람이 키보드를 한 번도 두드리지 않았다. 에이전트가 스스로 판단하고, 막히면 원인을 추론하고 수정해서 돌파했다.

10년 넘게 IT 이슈를 다뤄오면서 "분기점"이라는 단어를 함부로 쓰지 않으려 했다. 이번만큼은 쓸 수밖에 없다.

Langflow의 구멍, 그리고 방치된 서버들

공격의 문은 CVE-2025-3248이었다. Langflow는 AI 앱과 에이전트 워크플로우를 시각적으로 설계하는 오픈소스 툴이다. LLM 기반 서비스를 빠르게 프로토타이핑하려는 개발자들 사이에서 꽤 인기 있고, 실제 프로덕션 환경에도 많이 배포돼 있다.

문제는 코드 검증 엔드포인트에 인증이 빠져 있었다는 것이다. 누구든 그 서버에 접근만 할 수 있으면 로그인 없이도 서버 위에서 임의의 파이썬 코드를 실행할 수 있었다. CISA는 이 취약점을 2025년 5월에 '알려진 악용 취약점(KEV)' 목록에 올렸고, Langflow 1.3.0 패치도 그해 4월 1일에 이미 나왔다.

현실은 늘 이론보다 느리다. 패치를 적용하지 않은 서버가 인터넷에 수도 없이 노출된 채 방치됐다. 1년이 훨씬 넘도록. JadePuffer는 그 틈을 파고들었다.

에이전트가 짠 공격 시나리오—600개 페이로드

초기 접근 이후 JadePuffer는 멈추지 않았다. 시스디그 팀이 캡처한 로그에 전 과정이 고스란히 남아 있다.

우선 Langflow의 PostgreSQL 데이터베이스를 덤프했다. 그다음 호스트 전반 정보를 수집하고 환경 변수와 민감 파일을 샅샅이 뒤졌다. 크리덴셜을 회수하고 MinIO 오브젝트 스토어를 탐색했다. 여기까지는 정찰 단계다. 이후 Langflow 인스턴스에서 알리바바 Nacos를 구동 중인 프로덕션 MySQL 서버로 이동했다. 크리덴셜 출처는 시스디그 팀도 끝내 밝혀내지 못했다.

최종 타격은 Nacos 서비스 설정 항목 1,342개를 MySQL 내장 함수 AES_ENCRYPT()로 암호화한 것이었다. 원본 테이블 config_info와 히스토리 테이블은 그 자리에서 삭제됐다. 그 자리에 README_RANSOM이라는 새 테이블이 생겼고, 비트코인 결제 주소·Proton Mail 연락처·랜섬 요구 메시지가 담겼다.

중요한 점은 돈을 냈어도 복구가 불가능했을 거라는 사실이다. 원본이 지워졌으니까. 테크타임스는 이를 "지불해도 데이터를 되돌릴 수 없었던 첫 AI 랜섬웨어"라고 불렀다. 악의적이면서도 어이없는 설계다.

이 과정에서 AI 에이전트가 생성한 페이로드가 총 600개를 넘었다. 그리고 각 페이로드에는 자연어 주석이 달렸다. "현재 단계에서 루트 권한이 필요하므로 다음 접근을 시도한다"는 식이었다. 인간 해커는 이런 주석을 잘 쓰지 않는다. LLM이 코드를 생성할 때 반사적으로 붙이는 습관이다. 덕분에 공격자의 추론 과정이 상세히 기록으로 남았다는 역설적 부산물이 생겼다.

31초—에이전트가 실패를 스스로 고친 시간

공격 중간에 한 번 막히는 구간이 있었다. 관리자 계정 로그인이 실패했다. 인간 운영자라면 멈추거나 새로운 지시를 받거나 다른 경로를 수동으로 찾았을 것이다.

에이전트는 31초 안에 실패 원인을 진단하고, 수정된 페이로드를 만들어 재시도해 통과했다. 이게 이번 사건의 핵심이라고 본다. 단순히 "자동화됐다"는 게 아니라, 예상치 못한 실패 상황에서 스스로 적응했다는 것.

기존 자동화 해킹 툴은 사전에 정의된 경로를 따른다. 단계 A가 실패하면 전체가 멈추거나, B 경로로 미리 정해진 대로 전환한다. 상황을 이해하고 새로운 해법을 생성하는 능력이 없다. JadePuffer는 맥락을 읽고, 추론하고, 새 코드를 짜서 돌파했다. 이건 LLM 없이는 불가능한 행동이다.

시스디그는 이 공격 주체를 'ATA(Agentic Threat Actor)', 즉 AI 에이전트가 공격 능력을 전담하는 새로운 위협 분류로 정의했다. 다크 리딩(Dark Reading)은 "최초의 완전한 LLM 구동 랜섬웨어 공격"이라는 표현을 썼다. 어느 쪽 표현이든 뜻은 같다. 공격자가 이제 작전 전체를 AI에 위임할 수 있다는 것.

피해보다 더 무서운 것—문턱이 낮아졌다

JadePuffer 자체의 피해 규모보다 이 사건이 증명한 방향이 더 무섭다고 생각한다.

사이버 공격에 필요한 기술적 역량의 바닥이 또 내려갔다는 뜻이기 때문이다. 2010년대 초반까지만 해도 정교한 해킹에는 상당한 기술력이 필요했다. 2010년대 중반 이후 다크웹에서 랜섬웨어를 서비스로 구매하는 RaaS(Ransomware-as-a-Service) 모델이 등장하면서 문턱이 처음으로 낮아졌다. 실력 없이 돈만 있으면 공격을 살 수 있게 됐다.

RaaS도 공격 체인 안에 인간 운영자가 개입하는 단계가 있었다. 에이전트 기반 공격은 그 인간마저 없앤다. CSO 온라인이 쓴 것처럼 "공격자가 네트워크를 자율적으로 해킹하고, 즉흥적으로 적응하고, 랜섬을 요구하는" 작전을 위임할 수 있게 됐다. 공격 위임이 완성됐다.

이 흐름이 한국 기업과 무관한 이야기가 아니다. 탈레스의 2026 데이터 위협 보고서에 따르면 한국 기업의 74%가 AI를 최대 데이터 보안 위험으로 꼽았다. 과기정통부 통계로는 2025년 국내 침해사고 신고가 전년 대비 26.3% 늘어 역대 최고치 2,383건을 기록했다. 이 숫자들이 JadePuffer 이후로 다른 층위로 읽힌다.

특히 Nacos는 국내 클라우드 네이티브 환경에서 드물지 않게 쓰이는 서비스 디스커버리·설정 관리 툴이다. Langflow 기반 AI 서비스를 배포한 스타트업이나 개발팀이라면 이번 공격과 똑같은 구성을 갖추고 있을 가능성이 있다.

방어 측도 자율로 가야 한다

당장 Langflow를 운영 중이라면 1.3.0 이상 업데이트가 급하다. CVE-2025-3248은 CISA KEV에 오른 지 1년도 더 된 취약점이다. 그 사이 방치된 서버가 얼마나 많은지 이번 사건이 보여줬다.

더 넓게 보면, AI 에이전트를 내부에 배포하는 조직이라면 에이전트의 접근 권한 범위를 최소화해야 한다. 우리가 만든 에이전트가 곧 공격 표면이 된다. Langflow 서버가 JadePuffer의 발판이 된 것처럼, 내부 에이전트 플랫폼이 다음 표적이 될 수 있다.

최소 권한 원칙(Principle of Least Privilege)은 보안 교과서 첫 챕터에 나오는 개념이다. AI 에이전트 시대에는 이게 더 중요해진다. 에이전트가 데이터베이스 전체를 쓸 수 있는 루트 계정으로 돌아갈 이유는 없다.

솔직히 말하면 방어 측도 AI 에이전트 없이는 버티기 어려운 국면이 됐다고 본다. JadePuffer가 31초 만에 실패를 수정하고 재시도하는 속도를 인간 분석가가 경보 받고 판단하고 대응하는 속도로 따라잡을 수 없다. 자율 공격에는 자율 방어가 맞서야 하는 시대가 됐다. 싫어도 이게 지금 방향이다.

자율 AI 해킹이 공식적으로 시작됐다. 보안 업계의 체질이 바뀌어야 하는 순간이다.