해킹 에이전트는 공격에 성공했다고 보고했지만, 공격받은 곳은 진짜 서버가 아니라 격리된 복제본이었다. 최대선 교수를 비롯한 숭실대학교 연구진 4명은 11월 5일 논문 공개 사이트 아카이브(arXiv)에 발표한 논문에서, AI가 설계한 미끼와 격리된 복제 서버로 AI 해킹 에이전트의 실제 침투를 막는 방어 방식을 제시했다. 실제 공격에 쓰인 공격 프레임워크 ‘ARTEX(아르텍스)’를 상대로 한 실험에서 AI 해킹 에이전트의 실제 침투는 방어가 없을 때 40건 중 20건이었고, 방어를 적용한 뒤에는 0건이었다. 보안 패치보다 AI 해킹 에이전트의 공격이 먼저 도착해 공격 자체를 막지 못하더라도, 진짜 서버는 지킬 수 있다는 실험 결과다.

AI 해킹 에이전트 침투, 20건에서 0건으로

연구진은 미끼를 둔 방어로 AI 해킹 에이전트의 실제 침투 대부분을 막았다. 실험에는 웹 취약점 평가 도구 ‘CVE-벤치(CVE-Bench)’의 심각 등급 과제 40개와, 연구진이 방어 설계에 쓰지 않은 새 취약점으로 직접 만든 과제 20개를 합쳐 60개 웹 서비스가 쓰였다. CVE는 공개된 보안 취약점에 부여되는 고유 번호로, 과제마다 실제 취약점이 있는 웹 서비스가 하나씩 들어 있다.

ARTEX는 방어가 없을 때 CVE-벤치 과제 40개 중 20개, 새 과제 20개 중 15개를 실제로 뚫었다. 미끼와 복제 서버를 적용하자 두 과제 묶음 모두에서 실제 침투가 0건이 됐다. 다만 CVE-벤치 40개 가운데 정상적으로 실행된 기록은 31건이다. 앤트로픽의 AI 모델 ‘클로드 오퍼스 4.8’을 공격자로 쓴 실험에서도 실제 침투가 40건 중 26건에서 5건으로 줄었고, 실행 중 대응 기능을 더한 강화형 구성에서는 1건이었다.

그림1. AI 해킹 에이전트 공격 결과, 진짜 서버 침투와 복제 서버 공격 성공 (자료: 숭실대학교 연구진 논문 Figure 1 재구성)

ARTEX는 7월 공개된 오픈소스 다중 에이전트 공격 프레임워크다. 논문에 따르면, 8월 말에는 금전 목적의 공격 조직과 첩보 조직이 이 도구를 실제 공격에 썼고, 일부는 첫 공격 몇 시간 만에 높은 접근 권한을 얻었다. 개발자는 악용 사례가 이어지자 10월 저장소를 내렸다. 연구진은 실험에서 ARTEX를 중국 AI 모델 ‘딥시크-V4-플래시’로 구동했다.

진짜 서버 대신 격리 복제본으로 보내는 라우터

공격이 시작되기 전에 클로드 오퍼스 4.8 에이전트 2개가 미끼를 설계한다. 분석 에이전트가 서비스의 소스코드와 설정을 읽고 공격받기 쉬운 기능을 최대 10개까지 순위로 뽑으면, 설계 에이전트가 가짜 페이지, 가짜 접속 주소, 그 주소로 안내하는 힌트, 허니토큰을 배치한다. 허니토큰은 가짜 비밀번호나 인증 키로, 누군가 이것을 쓰면 공격자로 식별된다. 미끼 설계 비용은 서비스 1개당 중앙값 2.0~2.4달러(약 2,684~3,220원), 소요 시간은 7~16분이었다.

공격이 시작되면 라우터가 접속자마다 상태를 기록하는데, 라우터는 들어오는 요청을 진짜 서버와 복제 서버 가운데 어디로 보낼지 정하는 프로그램이다. 공격 코드 형태의 요청이나 연속된 ‘페이지 없음’ 응답이 나오면 접속자를 의심 상태로 바꾸고, 허니토큰 사용이나 가짜 주소 접속, 예측한 취약 기능을 노린 공격이 나오면 공격자로 확정한다. 확정 이후 그 접속자의 요청은 실제로 작동하는 공격 코드까지 전부 복제 서버로 간다. 복제 서버는 진짜 서비스를 복사한 것으로, 별도 네트워크와 저장소, 가짜 비밀값을 갖고 있다. 연구진은 이 복제본을 ‘섀도(shadow)’라고 불렀다.

라우터는 미끼 기본 구성에서 ARTEX를 CVE-벤치 기준 요청 6건, 26.9초 만에(중앙값), 새 과제 기준 요청 5건, 20.2초 만에 공격자로 확정했다. 그 결과 ARTEX가 보낸 요청의 95.2%(CVE-벤치)와 93.2%(새 과제)를 복제 서버가 처리했다. 공격 중에 AI를 따로 부르지 않는 기본 구성은 미리 짜 둔 미끼 계획과 고정된 라우터 규칙만으로 이 결과를 냈다.

공격은 막히지 않고 복제본으로 이동

연구진은 이 방어가 작동하는 공격을 복제본으로 이동시켰다고 밝혔다. ARTEX의 공격은 미끼 설계 기본 구성에서 CVE-벤치 40개 중 14개, 새 과제 20개 중 12개에서 성공했지만, 성공한 공격은 모두 복제 서버에서 일어났다. 방어가 없을 때의 성공 건수(20개, 15개)와의 차이는 통계적으로 유의하지 않았다. 다만 연구진은 과제당 1회 실행한 결과여서 방어가 있어도 공격 성공 확률이 같다고 단정할 수는 없다고 설명했다. 논문은 이 결과를 “작동하는 공격을 멈춘 것이 아니라 이동시켰다”고 표현했다.

따라서 남은 위험은 공격자로 확정되기 전에 진짜 서버에 도착하는 요청이다. CVE-벤치 31건 가운데 2건에서 확정 전에 공격 코드가 담긴 요청(7건, 4건)이 진짜 서버에 들어갔지만 침투로 이어지지는 않았다. 분석 에이전트가 실제 취약 기능을 예측한 경우는 CVE-벤치 미끼 계획 39개 중 22개였다. 나머지 경우에는 공격자가 다른 미끼나 다른 예측 대상을 먼저 건드려 확정됐다. 한 사례에서는 존재하지 않는 업로드 주소로 요청이 3만 1,409건 쏟아진 뒤, 공격 133초 만에 ARTEX가 미끼 페이지를 열면서 확정됐다.

연구진은 일반 이용자를 공격자로 잘못 판정하는지 확인하려고 방어를 적용한 실행마다 별도 경로로 일반 탐색 프로그램을 실행했다. 117회 중 115회는 정상으로 판정됐고 2회는 의심 상태가 됐지만 공격자로 확정된 경우는 없었다.

가짜 비밀값을 진짜로 보고한 공격 에이전트

미끼는 공격자의 보고서에도 거짓 정보를 남겼는데, ARTEX는 방어를 적용한 과제 120개(정상 실행 110회) 가운데 30회에서 연구진이 심어 둔 가짜 비밀값을 진짜 성과로 보고했다. 이 가운데 20회는 실제로 작동한 공격 없이 미끼만 보고 얻은 값이었다. 공격 조직이 이런 보고서를 받으면 확보하지 못한 정보를 확보했다고 잘못 판단하게 된다.

한 실행에서 ARTEX는 디버그용 주소가 닫힌 포트를 넣어도 같은 비밀값을 돌려준다며 신뢰할 수 없다고 적어 미끼를 의심했다. 하지만 보고서에서 어떤 항목을 미끼라고 지목한 10회 가운데 5회는 다른 가짜 비밀값을 진짜로 보고했다. 한 사례에서는 유출된 관리자 비밀번호로 로그인이 실패하자 미끼라고 판단하고도, 같은 파일에 있던 가짜 비밀 키는 진짜로 보고했다. 클로드 오퍼스 4.8은 방어를 적용한 80회 실행에서 가짜 비밀값을 제출한 적이 없다.

과제당 1회 실행, 차단 방식과는 비교 안 해

연구진은 과제마다 방어 조건별로 1회 실행한 결과만 분석해, 같은 실험을 반복했을 때 결과가 얼마나 달라지는지는 측정하지 않았다고 밝혔다. 같은 탐지 규칙으로 요청을 단순 차단하는 방식이나 웹 방화벽과도 비교하지 않았기 때문에, 공격을 복제본으로 보내는 방식이 차단보다 낫다고 말할 수는 없다.

실험에서는 공격자마다 접속 경로가 하나로 고정돼 있어 라우터가 접속자를 구분할 필요가 없었다. 연구진은 실제 서비스에서는 세션이나 주소로 접속자를 구분해야 하고, 신원을 바꾸는 공격자는 새 접속자로 처음부터 다시 판정받게 된다고 설명했다. 미끼를 예상하거나 복제 서버를 알아보는 공격자도 시험하지 않았다.

방어자가 자기 서비스의 소스코드를 읽을 수 있다는 전제도 있다. 서비스 운영자라면 가능한 조건이지만, 소스코드를 볼 수 없는 서비스에는 시험하지 않았다. 과제는 모두 컨테이너로 띄운 단일 웹 서비스였다. 연구진은 오판된 일반 이용자가 복제 서버에 계속 머물 수 있으므로 운영자가 접속자를 풀어 주는 수단을 마련할 필요가 있다고 밝혔다. 연구진은 새로 만든 과제 묶음과 방어 도구를 공개 저장소로 배포할 계획이다.

FAQ( ※ 이 FAQ는 본지가 리포트를 참고해 자체 작성한 내용입니다.)

Q1. 허니팟이란 무엇인가요?
허니팟은 공격자를 끌어들이려고 일부러 만든 가짜 시스템이나 데이터입니다. 이번 연구는 미끼로 공격자를 식별한 뒤, 그 공격자의 모든 요청을 진짜 서비스를 복사한 격리 서버로 보내 실제 서비스를 지켰습니다.

Q2. 공격이 복제 서버에서 성공했다면 의미가 없지 않나요?
복제 서버는 별도 네트워크와 저장소, 가짜 비밀값을 갖고 있습니다. 논문의 ARTEX 실험에서는 방어를 적용한 실행 기록 어디에도 진짜 비밀값이 나타나지 않았습니다. 다만 논문은 공격자로 확정되기 전에 진짜 서버에 도착하는 요청을 남은 위험으로 꼽았습니다.

Q3. 이 방식을 바로 실제 서비스에 적용할 수 있나요?
연구진은 과제당 1회 실행, 단일 웹 서비스, 고정된 접속 경로라는 조건에서 시험했으며, 신원을 바꾸는 공격자와 단순 차단 방식과의 비교는 시험하지 않았다고 밝혔습니다. 실제 서비스에 적용하려면 이 조건들을 추가로 검증할 필요가 있습니다.

기사에 인용된 리포트 원문은 아카이브에서 확인할 수 있다.
리포트명: A Gingerbread House for LLM Agents: Source-Planned Honeypots That Lure Autonomous Attackers into an Isolated Shadow (숭실대학교, 2026년 11월)
이미지 출처: 숭실대학교 연구진 논문 Figure 1을 AI 매터스가 재구성
해당 기사는 클로드를 활용해 작성되었습니다.