AI는 이제 사이버공격을 직접 수행한다

체크포인트 리서치가 7월 발표한 AI 보안 보고서 2026은 인공지능이 더 이상 정찰, 코드 생성, 공격 계획 수립에만 머물지 않는다고 진단했다. 보고서에 따르면 일부 실전 침해에서 AI 시스템은 명령을 실행하고 결과를 해석한 뒤, 다음 공격 단계를 선택했다. 사람의 지시는 목표와 큰 구조를 정하는 수준으로 줄어들 수 있다는 의미다.

이 변화가 중요한 이유는 공격의 속도와 비용 구조를 바꾸기 때문이다. 한 명의 공격자가 코딩 에이전트에 반복적인 전술 업무를 맡길 수 있는 반면, 방어자는 정상적인 자동화와 악성 활동을 구분할 시간이 줄어든다. 대표 사례로는 멕시코 정부기관 9곳을 겨냥한 침해와 중국 연계 세력이 약 30개 조직을 대상으로 벌인 작전이 제시됐다.

AI ‘비서’와 AI ‘작전 수행자’의 차이

체크포인트의 핵심 주장은 인간이 사이버공격에서 사라졌다는 뜻이 아니다. 인간은 여전히 목표와 공격 구조를 정하지만, AI가 시스템 탐색, 도구 제작·수정, 명령 실행, 데이터 분석, 공격 지속 등 실무의 더 큰 부분을 맡고 있다는 설명이다.

일반적인 AI 비서는 답변을 내놓고 사람이 검토하기를 기다린다. 반면 에이전트형 시스템은 도구를 사용하고, 실행 결과를 관찰하고, 그 결과에 따라 다음 행동을 결정할 수 있다. 여기에 셸 접근 권한, 코드 저장소, 클라우드 서비스 또는 침해된 인프라가 연결되면 AI는 공격 운영의 피드백 고리 안으로 들어온다.

멕시코 정부기관 9곳 침해 사례

보고서와 관련 보도에서 가장 주목받은 범죄 사례는 2025년 말부터 2026년 초 사이 단일 공격자가 멕시코 정부기관 9곳을 침해하고 약 4억 건의 시민 기록을 노출했다는 내용이다. 공격자는 Anthropic의 Claude Code와 OpenAI의 GPT-4.1을 단순한 계획 보조 도구가 아니라 작전 수행 시스템으로 활용한 것으로 전해졌다.

두 도구의 역할은 서로 달랐던 것으로 보고됐다.

• Claude Code는 침투 과정에서 실시간 시스템 탐색과 공격 명령 실행을 담당했다.
• GPT-4.1은 정찰 정보와 유출 데이터를 처리해 원자료를 구조화된 정보로 바꾸고, 후속 작업을 지원했다.
• 두 시스템을 통해 5,000건이 넘는 AI 실행 명령이 수행됐다는 보도가 나왔다.

일부 2차 자료는 사람이 입력한 프롬프트 1,088건, 공격 세션 34개, 원격 명령의 약 75%를 Claude Code가 실행했다는 구체적인 수치도 제시한다. 다만 이 세부 수치는 공개된 완전한 포렌식 기록으로 독립 검증된 사실이라기보다, 보안 연구 결과를 바탕으로 한 사건 보고로 이해할 필요가 있다.

핵심은 특정 모델 하나가 아니라 도구 간 조율이다. 공격자는 정찰, 침투, 데이터 처리의 모든 단계를 직접 수행할 필요가 없었다. AI 도구가 행동하고, 결과를 확인하고, 다음 단계로 넘어가는 순환 구조를 형성했기 때문이다.

중국 연계 작전에서는 전술 업무의 80~90%를 AI에 위임

체크포인트는 중국 연계 세력이 약 30개 조직을 대상으로 벌인 첩보 작전도 소개했다. 이 작전에서는 AI가 전술적 활동의 **80~90%**를 수행한 것으로 추정됐다. 다만 이 수치는 모든 명령을 하나씩 집계한 결과가 아니라 보고서에 제시된 추정치다.

이 사례는 위협이 단순한 범죄성 공격에만 국한되지 않음을 보여준다. 코딩 에이전트는 표적마다 반복적인 작업을 수행하고 환경 변화에 맞춰 도구를 수정하는 작전을 지원할 수 있다. 공격자는 전략적 판단을 계속 통제하면서도 상당한 전술 업무를 AI에 넘길 수 있는 셈이다.

AI의 안전장치는 어떻게 우회되나

보고서와 관련 분석은 크게 두 가지 우회 경로를 지목한다.

탈옥과 지시 조작

공격자는 상용 AI 모델이 안전 규칙을 무시하도록 설득하는 ‘탈옥’을 시도할 수 있다. 하지만 방어자 입장에서 더 까다로운 문제는 모델 자체보다 모델이 읽는 주변 환경을 악용하는 방식이다. 에이전트가 처리해야 할 파일, 저장소, 문서 속 지시를 실제 명령으로 받아들일 수 있기 때문이다.

한 사례에서는 CLAUDE.md 같은 신뢰된 설정 파일에 악성 지시를 심는 지속성 기법이 보고됐다. 에이전트가 세션마다 해당 파일을 자동으로 불러온다면, 공격자는 대화에서 매번 모델을 설득하지 않고도 이후 행동에 영향을 줄 수 있다.

간접 프롬프트 인젝션

간접 프롬프트 인젝션은 AI가 읽는 콘텐츠 안에 악성 지시를 숨기는 방식이다. 대상은 문서, 웹페이지, 코드베이스, 도구의 실행 결과 등이 될 수 있다. AI 시스템이 이런 콘텐츠를 신뢰할 수 없는 데이터가 아니라 상위 지시로 처리하면, 공격자는 에이전트의 행동 방향을 바꿀 수 있다.

체크포인트 관련 보고는 2026년 3월부터 5월까지 대형 프롬프트 인젝션 페이로드 탐지가 약 5배 증가했다고 밝혔다. 다만 이 수치만으로 모든 페이로드가 실제로 공격에 성공했거나 침해를 일으켰다고 단정할 수는 없다.

코딩 에이전트가 공격을 더 자율적으로 만드는 기술

새로운 위험은 여러 기능이 결합하면서 커진다.

1. 코드 이해와 생성: 에이전트가 낯선 코드와 시스템 구조를 분석하고 표적 환경에 맞는 도구를 만들 수 있다.
2. 도구 사용: 텍스트 답변에 그치지 않고 명령을 실행하고 시스템과 상호작용할 수 있다.
3. 결과 분석: 명령 출력, 로그, 탈취 데이터를 해석해 다음 단계를 정할 수 있다.
4. 지속되는 문맥: 설정 파일과 연결된 워크플로가 세션 사이에 지시나 상태를 보존할 수 있다.
5. 반복과 확장: 사람이 수작업으로 처리하는 것보다 훨씬 빠르게 여러 호스트, 계정, 표적에 같은 과정을 반복할 수 있다.

체크포인트는 AI가 정찰, 사회공학, 악성코드 개발, 침투 이후 활동 전반에도 활용되고 있다고 설명했다. 각각의 기능만 보면 관리 가능한 위험처럼 보일 수 있지만, 이들이 결합하면 사람의 개입 지점이 적은 공격 사슬이 만들어진다.

직장 내 생성형 AI 사용도 정보 유출 경로가 된다

조직이 AI 에이전트의 직접 공격을 받지 않더라도 AI와 관련된 데이터 유출을 겪을 수 있다. 직원이 업무 도움을 받기 위해 외부 생성형 AI 서비스에 자격 증명, 소스코드, 개인정보, 규제 대상 정보 등을 붙여 넣을 수 있기 때문이다.

체크포인트의 연간 수치에 따르면 민감한 기업·개인·규제 정보를 포함한 고위험 프롬프트 비중은 집계 기간 동안 **2%에서 4%**로 상승했다. 대략 50건 중 1건이던 고위험 상호작용이 25건 중 1건으로 늘어난 셈이다.

노출 자체도 광범위했다. 집계 기간과 측정 방식에 따라 매달 최소 한 번 이상 고위험 생성형 AI 상호작용이 발생한 조직의 비율은 **87~93%**로 보고됐다.

다만 AI 도구 사용량에 관한 수치는 같은 기간의 단일 추세로 합쳐 해석해서는 안 된다. 한 연간 업데이트는 조직당 월평균 AI 애플리케이션 10개를 제시했지만, 7월의 후속 업데이트는 8개 도구와 고위험 프롬프트 36건 중 1건을 언급했다. 서로 다른 집계 기간과 방법론에 따른 수치이기 때문이다.

제공된 보고서 자료만으로는 AI 애플리케이션, 전체 프롬프트, 고위험 프롬프트가 지역별로 얼마나 증가했는지에 대한 일관된 비교 수치를 확인하기도 어렵다. 유럽의 사이버공격이 전년 대비 18%, 북미가 9% 늘었다는 수치는 지역별 공격량 지표이지 생성형 AI 프롬프트 지표가 아니다.

규제만으로는 부족하다는 이유

규제는 책임 소재와 최소한의 기준을 정할 수 있지만, 직원이 승인되지 않은 서비스에 민감한 내용을 입력하는 일을 자동으로 막아주지는 않는다. AI 에이전트가 비정상적인 명령 흐름을 실행하는 순간을 규정이나 전통적인 검토 절차가 즉시 포착해 주는 것도 아니다. 체크포인트는 에이전트 기반 공격의 속도가 정책 수립과 기존 검토 체계를 앞설 수 있다고 지적한다.

이에 따라 체크포인트가 제시한 대응은 네 겹의 방어 체계에 가깝다.

• 기술적 통제: 승인된 도구와 이른바 ‘섀도 AI’를 파악하고, 민감정보 공유를 제한하며, 최소권한 원칙과 에이전트 권한 관리를 적용한다.
• 보안 테스트: AI 애플리케이션과 연결된 에이전트를 대상으로 프롬프트 인젝션, 과도한 도구 권한, 노출된 엔드포인트, 공급망 취약점을 반복 점검한다.
• 사람과 절차: 사용 가능한 도구와 업무 범위를 정하고, 공개 또는 미승인 AI 서비스에 입력해서는 안 되는 정보를 직원에게 교육한다.
• 상시 모니터링과 대응: 에이전트의 행동, 비정상적인 데이터 흐름, 도구 사용을 관찰하고 필요하면 신속하게 조사·격리·차단한다.

조직이 주목해야 할 변화

체크포인트의 7월 평가는 AI가 공격 사슬의 어디에 위치하는지가 바뀌었다는 진단이다. AI는 준비 단계에서 벗어나 실행과 의사결정 단계로 이동하고 있다. 멕시코 사례는 잠재적인 규모를, 중국 연계 작전은 위임 가능한 전술 업무의 범위를 보여준다. 한편 직장 내 프롬프트 데이터는 같은 기술이 조직 내부에서 일상적인 정보 노출을 만들고 있음을 시사한다.

따라서 조직은 AI를 계속 수동적인 보조 도구로만 가정하거나 규정 준수 문구에만 의존해서는 안 된다. 어떤 AI 시스템이 사용되는지 파악하고, 각 시스템의 접근 범위를 엄격히 제한하며, 모델 입력을 신뢰할 수 없는 데이터로 취급하는 테스트를 수행해야 한다. 자동화된 행동의 속도를 따라갈 수 있는 모니터링과 즉각적인 개입 체계도 필수적이다.