현지 시각 8월 28일 그레이노이즈(GreyNoise)가 오픈AI, 앤트로픽, 딥시크 등 AI 기업의 웹 크롤러를 사칭하는 공격자가 서버의 자격증명을 탈취하려 한다고 경고했다. 그레이노이즈는 오픈AI, 앤트로픽, 구글, 퍼플렉시티 등 4개 기업에 속한 6개 AI 크롤러 이름이 824개 IP에서 관찰됐다고 설명했다. 이 공격자들은.env 파일, 클라우드 접근 키, 개인 키, 비밀번호 저장소를 요청한 것으로 확인됐다..env 파일은 데이터베이스 비밀번호, 클라우드 접근 키, API 토큰 등을 보관하는 파일이다.

그레이노이즈는 이번 공격이 지난 7월 28일부터 8월 23일 사이에 관찰됐다고 밝혔다. 공격자들은 6개 사칭 크롤러 이름을 사용했으며, 이 중 어느 것도 robots.txt 파일을 요청하지 않았다. 실제 크롤러는 사이트의 규칙을 파악하기 위해 먼저 robots.txt를 읽는다.

그레이노이즈는 사칭 크롤러의 트래픽이 실제 크롤러가 공개한 주소 범위에서 발생하지 않았다고 밝혔다. 오픈AI, 앤트로픽, 구글, 퍼플렉시티는 모두 자사 크롤러가 사용하는 주소 범위를 공개한다. 그레이노이즈는 사칭 크롤러가 보낸 주소 중 어느 것도 실제 크롤러의 공개 범위에 포함되지 않았다고 설명했다.

그레이노이즈는 사용자 에이전트 문자열만으로는 크롤러의 신원을 확인할 수 없다고 경고했다. 사용자 에이전트는 클라이언트가 제공하는 헤더이므로, 이름만 확인하는 통제는 위조로 우회될 수 있다. 사칭 크롤러의 클로드봇 문자열은 앤트로픽의 실제 문자열과 문자 단위로 일치했다. 그레이노이즈는 사용자 에이전트 이름이 접근 권한을 부여하는 곳에서는 연결 주소를 공개 목록과 대조해 확인하라고 권고했다.

그레이노이즈는 824개 주소가 795개의 서로 다른 /24 네트워크에 분산돼 있어 단일 네트워크를 차단하는 방식으로는 대응하기 어렵다고 설명했다. 그레이노이즈는 보안 운영팀에게 사용자 에이전트 문자열을 신원으로 취급하지 말고, /.env, /.aws/credentials, /.git/config 같은 파일 요청에 대해 경고하라고 권고했다.

그레이노이즈는 웹 관리자에게.env,.git, 클라우드 자격증명 파일을 웹 루트에 두지 말라고 권고했다. 웹 경로에서 접근 가능했던 클라우드 키는 회전하고, 읽을 수 있었던 파일은 모두 읽혔다고 가정하라고 조언했다. 그레이노이즈는 이번 공격으로 파일이 반환됐거나 조직이 피해를 입었다는 증거는 없다고 밝히면서도, 공격자가 누구인지는 공개하지 않았다.

AI 크롤러를 허용하는 사이트가 사용자 에이전트 이름만으로 접근을 통제하면 위험에 노출될 수 있다. 그레이노이즈는 사용자 에이전트 이름과 함께 연결 주소를 공개 목록과 대조하는 방식으로 대응할 것을 권고했다.

자세한 내용은 그레이노이즈에서 확인할 수 있다.

이미지 출처: 그레이노이즈