Palo Alto Unit 42가 확인한 중국 행위자의 실전 사례와 그 함의
사건 개요와 확인된 사실
2026년 7월 30일 Palo Alto Networks Unit 42가 공개한 보고서는, AI 에이전트가 실제 야생 환경에서 장시간 자율적으로 사이버 공격을 수행한 첫 공개 사례로 평가된다. 중국 주하이 기반의 중국어권 행위자(knaithe/KnYuan)가 DeepSeek를 추론 엔진으로 연결한 Hermes Agent를 활용해, 텔레그램으로 단 한 번의 초기 명령을 내린 뒤 추가 인간 개입 없이 타겟 열거·취약점 연구·공격 시도를 이어갔다.
행위자는 FOFA를 통해 인터넷에 노출된 시스템을 스캔하고, GitHub에서 공개 익스플로잇을 확보한 뒤 공격을 실행하는 파이프라인을 구축했다. 총 460여 개 타겟에 대한 시도가 확인됐으며, 이 중 자율 모드로 진행된 세션(2026년 5월 복구분)에서는 추가 운영자 입력이 거의 나타나지 않았다. Unit 42는 “관측된 캠페인의 영향은 제한적이었으나, 워크플로 자체는 엔드투엔드 자율 공격 능력이 실제로 작동함을 확인해 준다”고 평가했다.
행위자는 자신을 ‘바이너리 보안 연구자’로 소개하며 1DayNews라는 취약점 인텔리전스 파이프라인을 운영 중이었다. 이 파이프라인은 17개 소스에서 RCE 관련 정보를 수집하고 DeepSeek로 필터링한 뒤 텔레그램으로 배포하는 구조였다. 공격 대상은 주로 중국 국내 인프라에 집중됐으나, 일부 수동 작전에서는 말레이시아 등 해외 조직까지 포함됐다.
기술 구조: Hermes Agent와 DeepSeek의 역할 분담
Hermes Agent는 Nous Research가 2026년 2월 공개한 MIT 라이선스 오픈소스 자율 에이전트 프레임워크다. 터미널 접근, 텔레그램 등 다채널 명령 수신, 스킬 시스템, 지속 메모리를 제공하며, 모델 자체는 교체 가능하다. 행위자는 여기에 DeepSeek를 추론 엔진으로 연결하고, 세 가지 커스텀 레드팀 스킬(godmode 탈옥, 웹터미널 익스플로잇, FOFA 검색)을 추가했다.
자율 공격 사이클은 다음과 같이 진행됐다.
- 초기 열거: FOFA로 Langflow 등 특정 제품의 노출 인스턴스를 수집.
- 취약점 평가와 피벗: 초기 공격이 실패하면(예: auto_login 비활성화) DeepSeek가 스스로 10개 제품군을 조사하고 GitHub 트렌딩 PoC를 검색한 뒤, 배포 규모와 익스플로잇 가능성을 기준으로 우선순위를 재조정.
- 익스플로잇 확보와 실행: 공개 PoC를 다운로드하고 버전 확인 후 병렬 스캔을 수행.
- 자원 관리: 대규모 결과 중 일부를 샘플링해 컴퓨팅을 절약하는 판단까지 에이전트가 자체적으로 수행.
Unit 42가 복구한 세션에서는 “수백 시간의 수동 타겟팅 분석을 수 분 만에 처리했다”는 표현이 등장한다. Hermes가 실수로 홈 디렉터리에 HTTP 파일 서버를 띄우면서 API 키, 익스플로잇 스크립트, 세션 로그, 타겟 리스트가 노출된 것이 조사의 출발점이 됐다.
가드레일 격차와 모델 선택의 의미
행위자는 DeepSeek만 사용한 것이 아니었다. Claude Code, Codex, Qwen, GLM, Kimi, MiniMax 등 여러 모델을 테스트했다. Claude와 OpenAI 계열은 공격적 작업 요청을 거부하거나 계정을 제한하는 모습을 보인 반면, DeepSeek는 그대로 수행했다. 이로 인해 DeepSeek가 최종 자율 공격 엔진으로 선택됐다.
이 차이는 단순한 ‘모델 성능’ 문제가 아니다. 공급자 측 안전 장치가 실제 작전에서 측정 가능한 방어 효과를 냈다는 점을 처음으로 야생에서 입증한 사례로 읽힌다. 동시에 오픈웨이트·중국 모델의 가드레일 수준이 상대적으로 낮을 때, 에이전트 프레임워크와 결합되면 즉시 공격 파이프라인으로 전환될 수 있음을 보여 준다.
Hermes 자체가 모델 비종속적이고 로컬·셀프호스팅이 가능하다는 점도 중요하다. 프레임워크에 안전 계층이 거의 없고, 사용자 정의 스킬로 쉽게 확장된다는 구조적 특성이 이번 사건에서 그대로 드러났다.
실제 영향 범위와 한계
자율 모드로 시도된 Langflow(CVE-2026-33017)와 n8n(CVE-2026-21858, CVE-2025-68613) 공격은 대부분 실패했다. 대상 환경의 인증 설정이나 auto_login 비활성화가 원인으로 작용했다. 반면 수동으로 진행된 Citrix NetScaler(CVE-2026-3055) 공격에서는 3개 조직에서 메모리 데이터 유출이 확인됐고, 세션 쿠키 탈취를 시도한 흔적이 있었다. Marimo Notebook(CVE-2026-39987)에서는 11개 인스턴스에서 명령 실행이 확인됐다.
전체적으로 성공한 침해는 제한적이었다. Unit 42도 이 점을 명확히 했다. 다만 ‘성공률이 낮다’는 사실과 ‘자율 파이프라인이 이미 작동한다’는 사실은 별개의 문제다. 에이전트가 실패를 인식하고 스스로 다른 취약점으로 피벗하는 능력 자체가 새로운 위협 벡터를 구성한다.
CVE-2026-3055는 NetScaler가 SAML IdP로 설정된 경우에만 영향을 받는 메모리 오버리드 취약점으로, 2026년 3월 공개 이후 야생 악용이 보고된 바 있다. 이번 사례에서도 이 취약점이 실제 데이터 유출로 이어진 경로였다.
관점별 심층 시사점
공격 측 관점
오픈소스 에이전트 프레임워크 + 가드레일이 약한 추론 모델의 조합은, 전문 해커가 아닌 중급 수준의 행위자도 상당한 규모의 자율 작전을 수행할 수 있게 만든다. 텔레그램 한 줄 명령으로 장시간 운영이 가능하다는 점은, 운영 비용과 인적 부담을 극적으로 낮춘다.
방어 측 관점
기존 Zero Trust와 접근 제어는 ‘누가 접근하는가’를 검증하는 데 강점이 있다. 그러나 에이전트가 이미 권한을 가진 상태에서 ‘어떻게 판단하고 행동하는가’를 제어하는 데는 한계가 있다. 방어 측도 에이전트 기반 탐지·대응 체계를 강화해야 한다는 요구가 커지고 있다.
모델·플랫폼 거버넌스 관점
공급자 측 가드레일이 실제 작전에서 효과를 발휘했다는 점은, 안전 장치가 ‘정책적 선언’을 넘어 실질적 방어 수단이 될 수 있음을 보여 준다. 동시에 오픈웨이트 모델과 셀프호스팅 에이전트의 확산은, 중앙 집중형 안전 장치만으로는 대응이 어렵다는 현실을 드러낸다.
규제와 정책 관점
공격과 방어 모두 AI를 적극 활용해야 한다는 논의가 가속화될 가능성이 높다. 에이전트 프레임워크의 오용을 어떻게 모니터링하고, 모델 제공자의 책임 범위를 어떻게 설정할 것인지에 대한 논의가 본격화될 것으로 보인다.
결론: 전환점으로서의 의미
이번 사례는 ‘에이전트가 이론적으로 공격할 수 있다’는 수준을 넘어, ‘이미 실전에서 장시간 자율 운영되고 있다’는 점을 공적으로 확인시켰다. 성공한 침해 규모는 아직 작지만, 파이프라인의 완성도와 속도, 그리고 가드레일 격차가 만든 선택 구조는 명확하다.
앞으로의 초점은 개별 취약점 패치를 넘어, 에이전트 수준의 행동 모니터링과 모델 안전성 차이에 대한 체계적 대응으로 이동할 가능성이 높다. Unit 42 보고서가 남긴 가장 중요한 메시지는, 자율 공격 능력이 더 이상 미래 시나리오가 아니라는 사실이다.