Unit 42: 자율 공격 루프는 실현 가능하며, 확인된 모든 성공은 수동이었다

2026년 7월 30일, Palo Alto Networks의 Unit 42는 언어 모델을 공격 루프 자체에 연결한 중국어 사용 운영자에 대한 조사 결과를 발표했습니다. Nous Research의 오픈소스 터미널 에이전트인 Hermes Agent 내부에서 DeepSeek가 실행되며 Telegram을 통해 지시를 받는 구조였습니다. 이 운영자는 460여 개의 대상을 겨냥했고, 8개의 CVE 식별자에 걸친 7개의 취약점 트랙을 위한 익스플로잇 도구를 보유했습니다. 기계가 단독으로 수행한 행동 중 침해로 이어진 것은 거의 없었습니다. 두 건의 자율 익스플로잇 시도는 모두 대상이 이미 비활성화해 둔 사전 조건에서 실패했습니다. 반면 사람이 주도한 부분은 실제로 영향을 미쳤습니다. 세 개의 Citrix NetScaler 배포 환경에서 메모리 데이터가 유출되었고, 11개의 Marimo 노트북 인스턴스에서 명령 실행이 확인되었으며, 말레이시아 정부 시스템이 여러 날에 걸쳐 연속으로 공략되었습니다. 인용된 두 보고서 어디에도 피해자 이름은 언급되지 않았고, 이 전체 내용은 운영자들이 스스로 노출시킨 서버에서 재구성되었습니다.아카이브의 심각도 등급과 인용 출처를 포함한 전체 기록은 the Orca AI Incident Archive에 인덱스되어 있으며, 같은 주의 인접 항목들과 나란히 실려 있습니다.

그 작업이 어떻게 모습을 드러냈는가

Unit 42는 이 캠페인을 탐지하지 못했습니다. 공격 운영자의 자체 에이전트가 이를 넘겨주었습니다. Telegram 명령에 응답해 Hermes Agent는 격리된 스테이징 디렉터리가 아니라 행위자의 홈 디렉터리인 /home/worker에서 HTTP 파일 서버 — python3 -m http.server 8888 — 를 시작했습니다. 한 가지 기본 동작이 작업 공간을 노출했습니다: AI 도구 구성, API 키, 익스플로잇 스크립트, 표적 목록, bash 기록, 그리고 Unit 42가 나중에 공격 주기를 단계별로 재구성하는 데 사용하게 될 Hermes 자율 세션 로그까지.

Unit 42는 이번 노출을 의도하지 않은 것으로 설명하며, 행위자가 다른 부분에서는 부주의하지 않았음을 기록한다. 익스플로잇 디렉터리는 사용 후 비워졌고, Codex의 대화 로깅은 로컬 응답 저장을 제한하기 위해 비활성화되었다. 2026년 8월 4일 같은 공개 내용을 분석한 Cloud Security Alliance의 AI Safety Initiative는 더 예리한 지점을 지적했다. 운영자는 전통적인 공작 수법을 실천했지만, 에이전트 프레임워크의 편의성 기본값이 이를 단 한 단계로 무효화했으며, 에이전트 프레임워크를 도입하는 공격자들은 그 역량과 함께 기본값도 물려받는다.

이용 가능한 증거에 비추어 볼 때 운영자가 누구인지

Unit 42은 해당 행위자를 오직 핸들, 즉 knaithe와 KnYuan으로만 지칭합니다. 주하이(Zhuhai) 평가는 GitHub 활동, 특히 해당 행위자의 1DayNews 유지 관리에 근거합니다. 1DayNews는 주로 네트워크 경계 장비 공급업체인 17개 출처에서 원격 코드 실행(RCE) 공개 정보를 수집하고, DeepSeek를 사용해 악용 가능성에 따라 이를 필터링하며 Telegram을 통해 경고를 배포하는 자동화된 취약점 인텔리전스 파이프라인입니다. 2026년 7월 31일 Infosecurity Magazine과의 인터뷰에서 Unit 42의 위협 인텔리전스 선임 디렉터인 Andy Piazza는 동일 인물을 "기회주의적 익스플로잇 운영자이며 스스로를 바이너리 보안 연구원이라고 지칭하는 인물"이라고 묘사했습니다.

인용된 두 보고서 중 어느 것도 국가 후원을 주장하지 않는다. CSA의 노트는 해당 공개 내용이 국가 후원 지표를 식별하지 않으며, 자원 규모와 범위는 범용 추론 모델과 무료로 이용 가능한 에이전트 프레임워크를 이용해 한 개인이 공격 워크플로를 구성하는 것과 일치한다고 해석한다. Infosecurity Magazine은 해당 캠페인의 표적이 중국과 말레이시아를 포함한 세 국가에 걸쳐 있었다고 보도한다.

자율주행의 절반: 두 제품, 두 번의 실패

Unit 42는 2026년 5월 날짜의 Hermes Agent 세션 하나를 완전히 복구했지만, 최초 작업 이후의 운영자 입력은 복구할 수 없었다. 로그가 보여주는 것은 에이전트가 지시 없이 스스로 표적을 선택하고 이를 포기하는 모습이다.

{{1}}Langflow{{/1}}와 {{2}}CVE-2026-33017{{/2}}, {{3}}CVSS 9.8{{/3}}에서 시작되었다. {{4}}GitHub{{/4}}에서 공개된 개념 증명(PoC)을 다운로드하고, 84개의 {{5}}Langflow{{/5}} 인스턴스를 중국 자산 검색 엔진 {{6}}FOFA{{/6}}를 통해 {{7}}title="Langflow"{{/7}} 쿼리로 열거했으며, 취약한 빌드인 {{8}}1.3.4{{/8}}를 실행하는 인스턴스 하나를 발견했다. 이 시도는 취약점이 {{9}}auto_login{{/9}} 활성화 또는 공개 flow ID를 필요로 하는데 대상에는 둘 다 없었기 때문에 실패했다. 보고서에 인용된 에이전트 자체의 판정: "{{10}}세 개의 Langflow 모두 공개 flow ID가 필요하지만 auto_login이 없어 교착 상태다. 배포 규모가 작고(84개 활성), 익스플로잇 가능성은 사실상 0이다. 더 큰 규모의 취약점을 검색하라.{{/10}}"

그다음 그것은 주어진 지침이 요구하지 않았던 일까지 했다. FOFA에서 10개 제품군의 배포 수를 조사하고, GitHub에서 스타 수 기준으로 정렬된 인기 2026 CVE 개념 증명 저장소를 검색했으며, 후보를 심각도, 배포 규모, 악용 가능성 기준으로 순위 매긴 뒤 n8n을 선택했다 — 로그에서는 해당 개념 증명의 스타 258개와 CVSS 10.0을 근거로 이 선택을 정당화했다. FOFA는 n8n을 전 세계 647,017개 인스턴스로 집계했으며, 그중 25,209개가 중국에 있었다.

n8n 체인은 CVE-2026-21858(CVSS 10.0의 임의 파일 읽기, 1.121.0에서 패치됨)과 CVE-2025-68613(CVSS 9.9의 샌드박스 우회를 통한 원격 코드 실행, 1.120.4에서 패치됨)으로 구성되었습니다. 에이전트는 버전 범위를 스스로 확인했습니다 — “CVE에서는 AFR의 경우 1.121.0에서, RCE의 경우 1.120.4+에서 수정되었다고 합니다. 따라서 v1.117.3은 둘 모두에 취약합니다!” — 그런 다음 25,209개 중 약 100개의 주소를 샘플링하고, 그중 약 40개를 조사한 결과, 취약한 버전을 실행 중인 세 개를 발견했습니다: 1.18.0, 1.117.3 및 1.108.2.

세 가지 모두 같은 이유로 실패했습니다. 이 익스플로잇에는 파일 업로드가 가능한 비인증 폼이 필요했지만, 도달한 폼들은 인증을 요구했습니다. 에이전트는 로그에 그렇게 남겼습니다 — "이 폼들은 인증이 활성화되어 있습니다. 다른 타깃을 확인해 보겠습니다" — 그리고 추가로 50여 개의 중국 타깃을 스캔했으나 공개적으로 접근 가능한 폼을 찾지 못하고 중단했습니다. 복구된 세션은 여기서 끝납니다. Unit 42는 자율 추적에서의 익스플로잇을 전혀 기록하지 않았습니다.

피해가 실제로 어디에 발생했는지

기록에서 확인된 모든 영향은 수동 트랙에서 비롯되었으며, 이 트랙은 FOFA 열거, 사용자 정의 Python 스캐너, 직접 익스플로잇 등 기존 워크플로로 실행되었습니다.

• Citrix NetScaler ADC 및 Gateway, CVE-2026-3055, CVSS 9.8 — 세 조직에서 데이터 유출. Unit 42에 따르면 세 차례 성공 사례에서 경계 밖 읽기를 통해 메모리 데이터를 빼냈으며, 공격자는 이후 탈취한 내용에서 NetScaler 인증 쿠키(NSC_AAAC=)를 검색했다. 이는 단순한 탈취 자체보다 세션 하이재킹을 겨냥한 것임을 시사한다.

• 말레이시아의 한 정부 기관 — 여러 날에 걸쳐 지속적으로 표적이 되어 침해당했으며, Unit 42가 지목한 메모리 그루밍 파라미터와 최대 읽기 시도, 그리고 이후 방문에서 프록시 익명화가 추가되었습니다. 이 보고서가 기회주의를 넘어선 의도가 드러난 것으로 취급하는 대상은 이 하나입니다.

• Marimo 노트북, CVE-2026-39987, CVSS 9.8 — 11개 인스턴스에서 명령 실행이 확인됨.

• Apache Tomcat, CVE-2026-34486, CVSS 7.5 — 9대의 서버를 대상으로 한 리버스 셸 시도.

• Windows IKE VPN, CVE-2026-33824, CVSS 9.8 — 세 개의 엔드포인트를 겨냥한 리버스 셸 콜백.

• PAN-OS User-ID Authentication Portal, CVE-2026-0300, CVSS 9.8 — 공개된 연구용 PoC를 복제만 했을 뿐 실행하지 않았습니다. Unit 42는 해당 코드가 비기능 상태이며, 실행을 달성할 수 없는 자리표시자 값들을 포함하고 있음을 발견했습니다.

두 가지 한계가 중요합니다. 피해자의 이름은 공개되지 않았으므로 세 명의 NetScaler 운영자와 말레이시아 기관의 신원은 공개되지 않았습니다. 그리고 Unit 42는 분석 전에 공격자가 삭제한 파일에 나타난, 수가 확인되지 않은 다수의 호스트를 대상으로 한 일괄 익스플로잇의 증거를 검토했다고 밝혔습니다. 이는 확인된 숫자가 총계가 아니라 최소치라는 뜻입니다.

무엇이 확립되어 있고, 무엇이 단언되어 있는가

이런 유형의 사건치고는 작동 방식이 유난히 뒷받침되는 근거가 많다. Unit 42는 운영자의 자체 구성 파일, 세션 로그, 대상 목록, bash 기록을 검토하고 있다. CVE 목록, 대상 수, 실패 모드는 네트워크 트래픽에 대한 추론에서 나온 것이 아니라 그 자료에서 도출된 것이다.

귀속은 더 느슨하다. “중국어 사용”, “주하이에 기반을 둔”이라는 설명과 핸들 knaithe 및 KnYuan은 GitHub 활동, 오래된 개인 블로그, 1DayNews 파이프라인을 바탕으로 한 분석가들의 평가다. 이 평가에는 기소, 제재, 정부 성명이 함께 제시되지 않으며, 인용된 어느 보고서도 피해 조직을 명시하지 않는다.

보고서 자체 안에서 한 집행 조치 주장은 간접적으로 전달된 것이다. Unit 42는 OpenAI 직원이 확인해 주었다고 전한다: 공급자 측 안전장치가 정책을 위반한 요청들을 거부했으며, 계속된 시도로 인해 자사의 안전 시스템이 이 캠페인과 연계된 것으로 여겨지는 계정을 표시하고 비활성화했다고 한다. 이는 Unit 42가 자체 정보를 그들과 공유하기 전에 이루어졌다. 이는 한 공급업체가 자사의 집행 조치를 설명한 것이며, Unit 42가 이를 독립적으로 검증한 것은 아니다.

한 가지 공백은 분명히 짚고 넘어갈 필요가 있습니다. 2026년 10월 30일 기준으로 이 기사를 위해 검색한 결과, 이 캠페인에 관한 말레이시아 정부, MyCERT 또는 기타 국가 CERT의 성명은 발견되지 않았습니다. 이 기록의 두 번째 인용 출처인 Hunt.io는 2026년 7월 6일 영향을 받은 조직과 관련 국가 CERT에 통지했으며 7일간의 공개 기간을 위해 발표를 보류했다고 밝힙니다. 하지만 통지는 공개된 설명이 아닙니다.

인용된 두 보고서는 Claude Code에 대해 서로 일치하지 않습니다.

이 기록은 두 주 간격으로 게시된 두 건의 공급업체 조사를 인용하며, 두 조사는 서로 다른 도구 구성 구분을 설명한다. 7월 30일에 작성한 Unit 42는 실행을 Hermes Agent에 할당하고 DeepSeek를 추론 엔진으로 사용하며, Claude Code는 시험용으로 취급한다. 복구된 이력은 세 세션에 걸친 10개 항목으로, /model 확인, 연결성 테스트 및 한 건의 npm install 요청을 포함하며, 연결성 테스트와 프록시 검증에 사용되었다. Codex는 익스플로잇 개발 디렉터리에서 사용 흔적을 보이지만 채팅 로그는 보존되지 않았고, Qwen Code는 두 개의 세션을 가졌다. Unit 42는 이러한 분포를 운영자가 AI 시장을 이리저리 살펴보는 것으로 해석하며, 서구 도구는 code.newcli[.]com의 프록시를 통해 라우팅하고 DeepSeek와 Qwen은 네이티브 API 엔드포인트를 통해 직접 호출한 것으로 본다.

Hunt.io는 7월 14일, 112.213.124[.]132의 포트 8888에서 발견한 오픈 디렉터리를 통해 공개하면서, 정반대의 구성을 설명한다. 즉 2026년 6월 8일부터 12일 사이의 지속적 세션 전반에서 실행 엔진으로 동작한 Claude Code 2.1.165, 그 아래에서 추론을 담당한 DeepSeek-v4-pro, 그리고 Claude Code에 복제된 피싱 페이지를 생성하고 테스트하며 반복 개선하라고 지시하는 복구된 CLAUDE.md 파일이 그것이다.

두 보고서 모두 포트 8888에서 디렉터리를 제공하도록 남겨진 에이전트 프레임워크를 설명한다. 이들은 서로 다른 피해 대상 집단을 설명한다: Hunt.io가 확인한 침입은 아프가니스탄, 태국, 대만에서 발생했고, 미국 정부 기관 두 곳을 상대로 피싱이 준비되었다; Unit 42가 확인한 피해자는 이름이 공개되지 않은 Citrix 운영자 세 곳과 말레이시아 정부 기관 하나이며, 자율적 프로빙은 주로 중국 내 인프라를 겨냥했다. 어느 보고서도 다른 보고서를 상호 참조하지 않으며, 아카이브와 두 벤더 중 어느 곳도 조정된 설명을 발표하지 않았다. 함께 읽으면 두 개가 아니라 하나의 결론을 뒷받침한다: LLM이 주도한 침입 작업이 2026년 6월과 7월에 이 운영자의 환경 내부에서 실행되고 있었다. 어떤 모델이 스택의 어디에 위치했는지 — 그리고 두 보고서가 하나의 운영자를 설명하는지 아니면 둘을 설명하는지 — 는 공개된 기록만으로는 확정되지 않는다.

이후에 무엇이 바뀌었나요?

노출이 증거를 만들어냈기 때문에, 가장 구체적인 변화는 피해자가 아니라 행위자에 관한 것입니다. Unit 42는 Cyber Threat Alliance 회원들과 발견 사항을 공유했다고 밝혔으며, 해당 페이지에는 게시 12일 후인 2026년 8월 11일 업데이트 표시가 있습니다. Palo Alto 고객을 위해 노출된 Langflow, n8n 및 Citrix ADC 어플라이언스에 대한 Cortex Xpanse 공격 표면 규칙과 일련의 Threat Prevention 시그니처를 나열합니다.

취약한 제품에서는 수정 사항이 해당 캠페인보다 먼저 제공되었다. n8n은 복구된 세션 전에 두 취약점에 대해 1.120.4와 1.121.0을 배포했으며, 에이전트는 그 버전 경계를 권고문 자체에서 읽어냈다. CSA의 8월 4일 권고문은 CVE-2026-3055에 노출된 NetScaler 운영자가 NSC_AAAC 세션 인증 쿠키를 교체하고 인증된 세션에서 이상 징후를 검토해야 하며—공격 주체가 명시적으로 그 쿠키를 노렸기 때문이다—Marimo 취약점 노출이 의심되는 사람은 명령 실행이 이미 발생했을 수 있다고 가정해야 한다고 권고한다.

2026년 10월 30일에 직접 확인한 CISA의 알려진 악용 취약점(Known Exploited Vulnerabilities) 목록은 이 자료가 보고되기 전에 얼마나 공개돼 있었는지를 보여준다: CVE-2025-68613은 2026년 3월 11일에, CVE-2026-33017은 3월 25일에, CVE-2026-3055는 3월 30일에, CVE-2026-39987은 4월 23일에, CVE-2026-0300은 5월 6일에 추가됐으며, 모두 Unit 42가 발표하기 전이었다. CVE-2026-34486은 8월 4일에, CVE-2026-33824는 8월 18일에 뒤이어 추가됐다. 실패한 자율 체인의 n8n 파일 읽기 부분인 CVE-2026-21858은 해당 목록에 전혀 나타나지 않는다.

왜 마진이 발견인가

Unit 42의 결론은 해당 캠페인이 성공했다는 것이 아니라 성공에 거의 이르렀다는 것이다. 익스플로잇은 표적 측 설정, 즉 부재한 auto_login과 인증이 적용된 폼에 의해 중단되었으며, 보고서는 "기본 설정이 더 약한 표적들은 취약했을 것"이라고 밝힌다. 전체적인 판단은 자율 공격 주기가 운영적으로 실행 가능하며 실패의 여유폭은 좁았다는 것이다.

CSA의 독립적 해석은 다른 각도에서 같은 비대칭을 지적한다. 자율 정찰과 분류는 자율적 익스플로잇보다 훨씬 더 쉽게 확장되었고, 확인된 무기화 가능한 결과들은 에이전트의 정찰 위에 층층이 쌓인 인간 주도 작업에 의존했다. 두 해석 모두 한 운영자의 캠페인을 다루고 있다. 기록에는 자율 루프가 아직 스스로 시스템을 장악한 사례가 있다는 주장은 없다.