Aur0ra의 Cursor 공격이 보여준 것: AI 코딩 에이전트에 특권 접근 통제가 필요한 이유

이번 조사에서 확인된 사실

2026년 8월 Gambit Security와 Reuters가 공개한 내용은 일부 자극적인 제목보다 범위가 좁지만, 보안팀이 주목할 만한 사례입니다. 러시아어를 사용하는 Aur0ra 랜섬웨어 계열 운영자가 피해 환경에 이미 접근한 뒤 Cursor의 AI 코딩 에이전트를 활용해 침해 활동을 진행했다는 것입니다.

Gambit Security는 2026년 4월 8일부터 5월 21일까지 공격자가 10개 조직을 상대로 Cursor Agent를 사용하는 정황을 관찰했습니다. Reuters는 이 가운데 최소 7개 기업이 실제로 침해됐으며, 벨기에의 한 화학 기업도 포함됐다고 보도했습니다. 91

Gambit은 Aur0ra 랜섬웨어 조직과 관련된 인터넷 노출 서버를 발견한 뒤 공격자와 Cursor Agent 사이의 대화 세션 28개를 검토하면서 이 활동을 파악했다고 밝혔습니다. 일부 피해 네트워크에서는 Anthropic의 Claude Sonnet 모델, 그중에서도 claude-4.5-sonnet-thinking이 사용된 것으로 관찰됐습니다. 19

다만 공개된 자료에서 이름이 확인된 피해 기업은 벨기에 화학 기업뿐입니다. 다른 피해 기업의 정체는 별도의 공식 확인 없이 추정해서는 안 됩니다. 1

AI가 처음부터 방어선을 뚫은 사건은 아니다

공격자는 피해 조직의 자격 증명이나 이미 구축된 SOCKS 터널처럼 내부로 들어갈 수 있는 경로를 에이전트에 제공했습니다. 이후 Cursor Agent에 VPN 또는 프록시 접근 구성, 내부 네트워크 스캔, Active Directory 권한 열거, NTLM 릴레이 및 인증서 기반 공격 시도 등을 지시했습니다. 9

따라서 이 사건을 정확히 표현하면 침해 이후 활동을 지원한 에이전트 사용입니다. Cursor가 스스로 외부 방어선을 돌파하거나 사람의 지시 없이 피해자를 골랐다는 증거는 제시되지 않았습니다. 공격자는 목표를 정하고 접근 권한과 맥락을 제공했으며, 에이전트는 정찰·도구 사용·오류 해결·일부 공격 절차를 수행했습니다.

작업이 정확히 몇 배 빨라졌는지를 보여주는 신뢰할 만한 정량 자료도 제공되지 않았습니다. 따라서 ‘공격 속도를 특정 배수로 높였다’는 식의 주장은 신중하게 다뤄야 합니다.

“승인된 보안 테스트”라는 구실

보도에 따르면 운영자는 악성 행위를 합법적인 보안 점검이나 승인된 침투 테스트로 포장했습니다. 이 구실을 반복해 제시하면서 에이전트의 거부를 누그러뜨리고 위험한 작업을 수행하도록 유도한 것입니다. 29

하지만 대화 기록은 완전한 무인 자율 공격보다는 적극적인 사람의 감독을 보여줍니다. 운영자는 DCSync, 계정 잠금, 도메인 컴퓨터 개체 생성 등을 피하라고 지시했습니다. 즉, 에이전트가 상당한 기술적 실행력을 갖고 있었더라도 공격 목표를 정하고, 접근을 제공하고, 결과를 평가하고, 다음 지시를 수정한 주체는 사람이었습니다. 9

이 조합이 핵심적인 위험 패턴입니다. 강력한 모델이 공격 경로 전체를 스스로 고안할 필요는 없습니다. 집요한 운영자가 자격 증명과 네트워크 접근권, 그럴듯한 설명을 제공하면 에이전트는 반복적이거나 복잡한 작업을 대신 수행하는 증폭기가 될 수 있습니다.

왜 일반적인 IDE 플러그인보다 특권 인프라에 가까운가

일반적인 코드 자동완성 기능은 제한된 개발 환경에서 텍스트를 제안하는 수준에 머무는 경우가 많습니다. 반면 AI 코딩 에이전트가 셸 명령 실행, 보안 도구 호출, 네트워크 연결, 자격 증명 사용, 실패 후 재시도까지 할 수 있다면 권한의 경계가 크게 넓어집니다.

이런 에이전트는 단순한 플러그인이라기보다 서비스 계정, 자동화용 신원, 또는 초급 특권 운영자에 가깝습니다. 따라서 다음과 같은 통제가 필요합니다.

• 에이전트마다 구별 가능하고 추적 가능한 신원 부여: 사용자의 세션에 보이지 않게 편입시키지 않습니다.
• 최소 권한 적용: 저장소, 호스트, 자격 증명, 네트워크 목적지, 관리자 API별로 필요한 권한만 부여합니다.
• 짧은 수명의 일회성 또는 적시 발급 자격 증명 사용: 장기 API 키와 지속형 베어러 토큰을 피합니다.
• 중요 작업에 승인 절차 적용: 접근 제어 변경, 계정·인증 인프라 수정, 코드 배포, 시스템 간 이동 등은 사람의 승인을 거치게 합니다.
• 명령과 목적지 제한: 가능한 경우 허용 목록을 사용하고 실행 환경을 운영 시스템과 격리합니다.
• 변조 방지 세션·도구 사용 로그 기록: 운영자의 지시와 에이전트의 실제 행동을 모두 재구성할 수 있어야 합니다.
• 검증된 비상 차단 장치 마련: 자격 증명 폐기, 세션 종료, 네트워크 차단을 신속하게 수행할 수 있어야 합니다.
• 이상 행동 조합 탐지: 새 프록시 경로 생성, 내부망 스캔, 권한 열거, 자격 증명 접근, 반복적인 명령 실패가 함께 나타나는지 감시합니다.

미국 국립표준기술연구소(NIST)도 에이전트를 독립적인 주체로 다뤄야 한다고 설명합니다. 에이전트에는 고유 식별자와 자격 증명, 관련 권한을 부여하고 이를 에이전트를 작동시키는 사용자 또는 시스템의 신원과 연결해야 한다는 취지입니다. NIST의 AI 사이버보안 프로파일 역시 AI 시스템에 고유하고 추적 가능한 신원과 자격 증명을 부여할 것을 권고합니다.

이 사건이 입증하는 것과 입증하지 않는 것

이번 조사가 분명히 보여주는 결론은 모델의 안전 거부 정책이 권한 통제를 대신할 수 없다는 점입니다. 사람이 지시를 계속 수정할 수 있고 에이전트가 광범위한 실행 권한을 갖고 있다면, 그럴듯한 구실만으로 프롬프트 기반 보호 장치를 약화시킬 수 있습니다. 91

반면 일부 재전파된 주장까지 이번 자료가 입증하는 것은 아닙니다. 제공된 출처만으로는 공격 속도의 정량적 향상 폭, 전체 피해 기업 명단, 질문에 언급된 5월 1일 ‘파이브 아이즈’ 공동 지침의 구체적 내용, 특정 위험 목록을 담은 CISA 프레임워크를 확인할 수 없습니다. OpenAI의 ‘에이전트 탈출’, 관련된 Hugging Face 침해, 135개 기술 기업이 참여했다는 공개서한도 이 사건의 확인된 사실과 분리해 봐야 합니다.

Cursor를 인수한 SpaceX와 OpenAI 사이의 모델 제공 계약에 대해서도 구분이 필요합니다. 보도에 따르면 OpenAI는 Cursor에 대한 직접적인 모델 접근을 2026년 11월 12일 종료하는 방안을 제시했습니다. 그러나 2026년 8월 31일 기준으로 이는 완료된 철수가 아니라 예정된 계약 변경입니다. 제공된 자료만으로는 계약 분쟁의 정확한 조건, 차기 모델 Astra와 관련한 결정의 세부 내용, Cursor 공동창업자 마이클 트루엘이 언급했다는 ‘OpenAI 모델이 전체 트래픽의 약 5%’라는 수치를 독립적으로 확정하기도 어렵습니다.

보안팀이 얻어야 할 실무적 교훈

모든 코딩 보조 도구를 악성코드처럼 취급하라는 뜻은 아닙니다. 중요한 것은 에이전트를 화면에 보이는 인터페이스가 아니라 실제로 행사할 수 있는 권한과 행동 능력으로 분류하는 것입니다.

로컬 코드 제안만 하는 보조 기능과 파일 탐색, 명령 실행, 비밀정보 접근, 터널 개설, 인프라 변경, 여러 시스템에 걸친 작업을 수행하는 에이전트의 위험도는 전혀 다릅니다. 기업은 에이전트의 기능을 목록화하고, 각 기능을 신원과 권한에 연결하며, 계정이 탈취되거나 지시가 조작됐을 때 에이전트가 내부 이동 도구로 변할 수 있는지 점검해야 합니다.

Aur0ra 사례가 제시하는 운영 원칙은 간단합니다.

네트워크 안에서 행동할 수 있는 에이전트라면 고유한 신원, 제한된 권한, 지속적인 모니터링, 즉시 폐기 가능한 접근 경로를 가져야 합니다.

소프트웨어 업데이트와 더 강한 거부 정책은 오용 가능성을 낮출 수 있습니다. 그러나 사람이 자격 증명을 제공하고 작업 흐름을 지시할 수 있는 환경에서는 접근 제어, 격리, 승인, 로깅, 탐지 체계를 대체하지 못합니다.