GTIG AI Threat Tracker: 프롬프트 하나에서 6시간 만에 수천 개의 자격 증명으로

Google Threat Intelligence Group은 자사의 AI Threat Tracker 2026년 2분기판을 2026년 9월 8일에 발표했습니다. 보고서의 핵심 사례는 간단히 말할 수 있을 만큼 짧습니다: 재정적 동기로 의심되는 행위자가 피해자 소유의 클라우드 리소스를 가져와 프롬프트와 미리 작성된 에이전트 지침 세트를 AI 코딩 챗봇에 입력했고, 수천 개의 제3자 자격 증명을 6시간 이내에 수집했으며, 에이전트는 취약점 스캔, 문제 해결 및 IP 로테이션을 스스로 관리했습니다. 같은 보고서는 PyPI의 트로이 목마화된 MCP 서버, 빌드 시스템 자체의 신원을 훔쳐 백도어가 심긴 패키지가 유효하고 암호학적으로 서명된 SLSA Build 3 증명과 함께 도착하게 하는 자격 증명 탈취기, 그리고 LLM 기반 보안 스캐너가 그 아래에 있는 코드를 읽기를 거부하게 만드는 것을 목표로 한 적대적 텍스트를 설명합니다. 이 모든 것은 구글이 자사 텔레메트리에 대해 밝힌 내용입니다. 이 보고서는 신뢰도 등급과 인용 출처와 함께 AI 사고 아카이브에 목록화되어 있으며, 이 아카이브에는 이 시리즈에서 문서화된 다른 모든 사고가 함께 수록되어 있습니다.

실질적인 주장 중 어느 것도 구글의 내용을 그대로 되풀이하지 않는 제3자에 의해 검증되지 않았다. Help Net Security는 발표 당일 트래커를 보도했고, Cloud Security Alliance는 다음 날 연구 노트를 발표했으며, Lineaje는 9월 17일 DUSTMAKER 분석을 발표했다. 이들 각각은 구글의 공개 내용에 대한 요약이거나 분석적 덧붙임이며, Lineaje도 이를 스스로 인정하면서 GTIG가 "하나의 관찰된 종단 간 실행 추적이 아니라 여러 관련 DUSTMAKER 기능을 설명한다"고 언급했다. 이 기록과 함께 인용된 두 번째 출처인 2026년 9월 11일자 threatops.tech의 "threat pulse" 항목은 두 번째 목격담이 아니라 재진술이다. 즉 새로운 보도를 추가하지 않고, 어떤 수치에도 이의를 제기하지 않으며, 무엇을 기준으로 측정된 것인지 설명하지 않은 채 심각도 표기만 높인다. 보도들은 해당 판본의 명칭에 대해서도 완전히 일치하지 않는데 — Help Net Security는 이를 Q3 2026 트래커라고 부르면서 주요 사례는 Q2 2026으로 날짜를 표기한다 — 이는 사실관계의 충돌이 아니라 번호 표기상의 차이다.

아카이브는 이를 사건이 아니라 보고서로 분류한다. 신뢰도 등급은 A이고, 이견은 없으며, 이에 대해 기록된 정량적 실제 피해 수치는 없다. 그 등급은 문서화의 품질을 설명할 뿐 피해 규모를 설명하는 것은 아니다. 구글은 피해자가 아니라 자격 증명 수를 센다. 트래커는 6시간 동안 벌어진 캠페인에 몇 개 조직이 휘말렸는지, 그들이 누구였는지, 어떤 챗봇이 사용되었는지, 또는 탈취된 자격 증명 중 일부가 나중에 판매되거나 사용되었는지는 밝히지 않는다.

GTIG가 묘사한 6시간, 그리고 에이전트가 혼자 해낸 세 가지 임무

보고서에 나오는 그 순서는 접근에서 결과까지 이어지며, 그 사이에 사람의 개입은 거의 없다. 공격자는 클라우드 리소스를 침해한 뒤, 상용 AI 코딩 챗봇과 GTIG가 "프롬프트" 및 "에이전트 지침 세트"라고 부르는 것 — 현재 저장소에 AGENTS.md 파일로 존재하는 마크다운 플레이북 — 을 함께 사용해 작전을 계획하고 구축하고 실행했다. 구글은 그 결과를 "에이전트 기반 대규모 자격 증명 수집 캠페인"이라고 규정했으며, 이는 "6시간 이내"에 완료되었다.

세 가지 작업은 자율적이라고 설명되며, 이들은 그렇지 않았더라면 운영자의 주의를 필요로 했을 세 가지 작업입니다:

• Help Net Security가 GTIG의 표현을 인용한 것처럼, 에이전트 지침이 AI로 하여금 "자율적으로 관리"하도록 하는 취약점 스캐닝 파이프라인.

• 스캔에서 발견된 모든 문제를 실시간으로 해결하여, 장애가 결정을 기다리며 실행을 지연시키지 않도록 했습니다.

• IP 로테이션을 통해 누구도 명령을 내리지 않아도 연속된 시도가 서로 다른 주소에서 나갔습니다.

작전이 어디서 실행되었는지는 얼마나 빨리 실행되었는지만큼이나 중요했습니다. 공격자는 피해자의 자체 클라우드 인프라에서 활동함으로써 피해자의 정당한 IP 대역을 통해 트래픽을 라우팅했습니다. 조직 내부에서 오는 것처럼 보이는 요청은 평판 기반 방어 체계가 가장 의심하기 어려워하는 바로 그런 요청이며, 보고서는 이를 피해자 자체 환경에서 활동한 결과로 기록합니다.

보고서가 담고 있지 않은 내용은 담고 있는 내용만큼이나 많은 것을 말해준다. 단계별 소요 시간이 없으므로 "6시간 미만"은 전체 실행에 대한 단일 측정치일 뿐이며 차트로 분해할 수 없다. 행위자에 대해서는 "금전적 동기로 의심됨" 외에 어떤 명칭도 없고, 피해자도 없으며, 어떤 모델이나 어느 공급업체의 챗봇이 관련되었는지에 대한 언급도 없다. 이 트래커는 해당 사건을 하나의 추세를 보여주는 사례 연구로 취급하며, 사고 대응 담당자가 원하는 수준이 아니라 그 목적에 부합하는 추상적 수준에서 작성되어 있다.

노출된 서버가 23,800개의 비밀 정보를 담은 대시보드로 발전했다

같은 섹션의 두 번째 발견은 더 구체적이며, 별개의 사례입니다. GTIG는 자동화된 정찰 및 자격 증명 관리 프레임워크를 호스팅하는 노출된 명령 및 제어 서버를 발견했으며, 이를 Recon이라고 부릅니다. 디렉터리 목록은 읽을 수 있었고 설계를 그대로 드러냈습니다: AGENTS.md, KNOWLEDGE.md, agentic_vuln_research.md, 그리고 모듈식 .openclaw/ 디렉터리와 memory/ 디렉터리도 있었습니다. 그 파일 이름들은 맞춤형 임플란트가 아니라 에이전트 스택의 지문입니다 — 지침, 축적된 지식, 연구 계획이 모두 운영자의 도구가 읽을 수 있는 디스크에 있습니다.

같은 디렉터리는 나중에 라이브 프런트엔드 대시보드로 기능하면서 다음을 정리하고 검증하고 있었습니다: 23,800개가 넘는 수집된 시크릿, 여기에는 클라우드 및 AI 서비스용 API 키가 포함됩니다. GTIG는 이것이 나타내는 변화를 "수동적이고 엔드포인트 중심의 인포스틸러에서 공격적인 에이전트 기반 수집으로"의 전환, 즉 노트북 한 대에서 가능한 것을 긁어모으는 악성코드에서 이미 도달한 대상들을 계속 공략하는 도구로의 전환이라고 규정합니다.

그 수치에는 두 가지 주의가 따른다. 2만 3,800은 비밀의 개수이지 사람이나 회사의 수가 아니며, 보고서는 하나를 다른 하나로 환산하지 않는다. 그리고 GTIG는 Recon 서버와 6시간 캠페인이 동일한 작전인지 밝히지 않는다. 그것들은 같은 섹션에 별도 관측으로 제시되므로, 이를 하나의 이야기로 취급하는 것은 보고서가 하지 않는 추론이 될 것이다.

DUSTMAKER 및 패키지가 정품임을 올바르게 명시하는 인증

추적기의 공급망 관련 부분은 UNC6780에 관한 것으로, Google은 이를 TeamPCP라고도 추적하는데, 이는 2026년 3월부터 PyPI, npm, Docker Hub 전반에서 오픈소스 인프라를 침해해 온 금전적 동기 부여를 가진 그룹입니다. AI 도구와 관련된 이들의 방식은 직접적입니다. 침해된 개발자 계정을 사용해 정당한 MCP 서버의 트로이 목마화된 포크를 게시했으며, PyPI에서는 tiktoken_mcp가 그 예로 언급되었고, 악성 코드는 azure-functions-mcp-extension을 포함한 공식 조직 저장소에 주입되었습니다. GTIG는 해당 자산이 다운로드되거나 복제될 때마다 페이로드와 악성 워크스페이스 후크가 자동으로 수집되었다고 밝혔습니다 — 별도의 유인도, 두 번째 단계도 없었습니다.

그 자격 증명 탈취 도구인 DUSTMAKER가 보고서에서 가장 유용한 기술적 요점이 담겨 있는 곳입니다. 체인은 짧습니다. 이 탈취 도구는 자신이 CI/CD 환경에서 실행 중임을 감지합니다. GTIG는 "확인된다면" GitHub Actions 러너의 프로세스 메모리에서 OIDC 토큰을 추출한다고 씁니다. 그런 다음 해당 토큰을 사용해 자신을 신뢰할 수 있는 게시자로 인가합니다. 이어서 손상된 패키지 버전을 게시합니다. 해당 버전에는 다음이 포함됩니다: 유효하고 암호화 방식으로 서명된 SLSA Build 3 증명. 그 체인에서 위조된 것은 아무것도 없습니다. 그 증명은 실제이며, 실제 신원에 발급되었고, 실제로 수행된 빌드, 즉 공격자가 작성한 코드의 빌드에 대한 것입니다. 출처 정보에 의존하는 누구에게나 중요한 문장은 GTIG의 결론입니다: "유효한 토큰으로 게시된 패키지는 AI 코딩 에이전트의 자동 신뢰 검사를 통과할 것입니다."

DUSTMAKER의 나머지 동작은 방어자들이 주시하지 않는 곳을 겨냥합니다. AI 코딩 어시스턴트 및 IDE 작업 공간 디렉터리인 .claude/, .vscode/, .cursor/ 안에 파일을 드롭하고 수정하여 개발자 노이즈 속에 섞여들며, Windows 레지스트리 키나 /etc/cron.*처럼 엔드포인트 탐지가 실제로 모니터링하는 위치는 피합니다. 작업 공간이 열릴 때 IDE나 AI 확장이 setup.mjs 같은 스크립트를 실행하도록 구성을 작성하여, 폴더를 여는 것만으로 코드 실행이 이루어지게 합니다. "Copilot Setup" 같은 AI 테마 이름으로 파이프라인 작업을 생성해 토큰을 찾아다니고, 워크플로 실행 로그를 삭제하는 API 호출을 보내 GitHub 인터페이스에 해당 실행이 나타나지 않게 합니다.

스캐너에게 눈을 돌리라고 요청하는 악성코드

마지막 메커니즘은 세 가지 중 검증이 가장 덜 된 것입니다. DUSTMAKER의 JavaScript 로더 스크립트는 주석으로 삽입된 적대적 프롬프트 텍스트로 시작합니다. _index.js를 비롯한 여러 파일에서 생물학 및 핵무기를 언급하며, 20킬로톤 내폭형 핵분열 장치의 사양에 대한 요청도 포함합니다. GTIG의 평가에 따르면 이는 "안전 또는 정책상의 거부로 인해 LLM 보안 스캐너가 그 아래에 있는 악성 JavaScript 코드 분석을 실패하거나 건너뛰게 하려는 의도였을 가능성이 높습니다."

그 문장에 붙은 라벨은 중요하다. 그것은 로더가 담고 있는 텍스트로부터 추론한 의도에 관한 진술이지, 어떤 스캐너가 실제로 해당 파일을 거부했다는 증명은 아니다. 그 보고서는 파일을 건너뛴 스캐너를 지목하지 않으며, 우회율을 보고하지도 않고, 그 기법이 통했다고 말하지도 않는다. 확립된 것은 누군가 미끼를 작성해 자격 증명 탈취기 안에 넣어 배포했다는 사실이며, 이는 그 자체로 공격자들이 LLM 기반 트리아지가 분석 경로에 포함될 것으로 기대한다는 증거다.

UNC6508, MIDNIGHT NEPTUNE 및 CALANQUE ION은 동일한 보고서에 있습니다.

이 트래커의 국가 연계 자료는 범죄 관련 자료보다 범위가 넓고, 대부분 자동화 수준이 낮습니다. UNC6508은(는) 중국 연계 그룹으로, 북미의 학술·의료·군사 연구를 대상으로 다년간 첩보 캠페인을 벌여 왔으며 이제는 독점 AI 연구를 특정 표적으로 삼고 있습니다. GTIG는 이 그룹이 상용 API 모니터링을 피하고 피해자의 자체 컴퓨팅 자원을 활용하기 위해 로컬 오픈 웨이트 모델을 배포하려고 클라우드 환경을 침해한 것으로 의심합니다.

다른 곳의 패턴은 기성 모델이 대규모로 평범한 작업을 수행하는 것이다. 북한의 MIDNIGHT NEPTUNE(이전 UNC1069)은 DeepSeek-Coder를 사용해 크로스 플랫폼 지속성과 프로세스 인젝션을 갖춘 Python 원격 접속 트로이목마를 작성했고, LLM을 Bash 측면 이동 스크립트에 사용했으며, 사회공학적 페르소나와 기술적 유인책을 운영하고, 내부 저장소 구성을 오염시켰으며, Claude CLI 훅을 변경하고, 개발자가 저장소와 상호작용할 때 SOMBERMEME 백도어를 배포했다. 이란의 CALANQUE ION(이전 APT42)은 모델을 사용해 대상 이메일 주소를 식별하고, OSINT를 수행하며, 유인책을 현지화하고, 유출된 데이터를 요약하며, 라이선스 코드의 리버스 엔지니어링을 시도했다. 중국 연계 BASIN CASTLE은 Gemini를 대상 프로파일링, 중국어 자료를 격식 있는 영어 정치 보고서로 번역, PowerShell 문제 해결에 사용했으며, RAVINE CASTLE은 이를 사용해 VMware vCenter SAML 우회와 Active Directory 사후 익스플로잇을 연구했고, 러시아의 SANDWORM RELIC은 Gemini에게 비밀번호 스프레이 코드를 작성하게 했다. 금전적 동기로 활동하는 UNC6240(ShinyHunters로도 추적됨)은 Claude Code 프롬프트를 사용해 난독화된 코드를 작성하고, Cloudflare를 우회하며, 맞춤형 MCP 도구를 통해 유출된 디렉터리를 파싱했다.

이 섹션의 한 사례는 다른 사례보다 한 단계 더 나아갑니다. PRC 연계 조직은 Gemini를 사용해 대상의 상태를 관찰하고 다음에 무엇을 할지 추론하며 포트 스캔과 서비스 파싱을 수행하도록 의도된 동적 자동 침투 테스트 프레임워크를 설계했습니다. Google은 식별한 캠페인들에 대해 더 광범위한 조치를 취해 관련 자산, 프로젝트, 계정을 비활성화했다고 밝혔습니다. 별도로, 2026년 6월에 Google은 "Outsider Enterprise,"라는 피싱 키트를 공급한 중국 기반 사이버 범죄 서비스를 중단시켰으며, 이를 Gemini 오용과 관련해 법적 조치를 취한 첫 사례로 설명했습니다. 이는 서로 구별되는 두 진술이며, 이를 합친 요약은 보고서가 말하는 것보다 더 많은 내용을 말하게 됩니다. 즉, 침투 테스트 프레임워크는 자산 비활성화 관련 표현에 속하고, 법적 조치는 Outsider Enterprise에 속합니다.

LLMJacking, 그리고 이제 훔친 AI 계정의 가격은 얼마인가

이 추적기는 또한 도난당한 AI 접근 권한을 둘러싼 시장의 가격도 산정합니다. 지하 수요는 Claude 및 Gemini 자격 증명과, 자율 코딩 IDE인 Cursor Pro 및 Devin에 집중되었으며, 후자는 Cognition이 만들었고, 계정당 평균 시장 가격은 2026년 동안 두 배 이상으로 올랐습니다. 수집을 수행하는 인포스틸러 — LUMMAC.V2, STEALC.V2, VIDAR 및 ACRSTEALER — 는 AI 개발자 구성을 대상으로 하도록 업데이트되었습니다. 2026년 5월, ACRSTEALER의 운영자들은 Cline의 secrets.json 및 Continue AI의 config.yaml에 대한 파일 수집 규칙을 배포했으며, 둘 다 평문 API 키와 사용자 정의 모델 라우팅 엔드포인트를 보관할 수 있습니다.

GTIG가 설명하는 한 침해 사례는 AI 계정이 탈취되면 얼마나 가치가 있는지를 보여준다. 2026년 4월에는 노출된 GitHub 개인 액세스 토큰 하나로 Gemini Enterprise를 활성화하고, 고성능 컴퓨트를 프로비저닝하고, LiteLLM API 배포와 Manus 에이전트 프레임워크를 위한 Docker 리포지토리를 생성하고, Cloud Run 서비스를 allUsers에 IAM 호출자 바인딩을 통해 노출되도록 구축할 수 있었다. 같은 세션은 Editor 권한이 있는 악성 서비스 계정을 만들고 해당 키를 내보냈으며, BigQuery에서 환경 변수와 자격 증명을 조회했고, 프로젝트 소유권을 외부 주소로 넘기려고 시도했으며, Cloud Quotas API를 사용해 NVIDIA RTX 6000 용량과 추가 48-vCPU 인스턴스를 요청했다.

모델 추출 문제도 규모만 커졌을 뿐 같은 경제적 논리다. GTIG에 따르면 증류 캠페인은 이제 정기적으로 발생하며, "일부는 1억 건이 넘는 프롬프트"를 포함하고, 질의는 수천 개의 침해된 계정과 사기성 계정에 걸쳐 돌려가며 사용되며 프록시 인프라를 통해 라우팅된다. 또한 Google은 학생 모델의 성능을 저하시킬 수 있는 대응책과 출처를 통해 Gemini에서 증류된 모델을 식별하는 방법을 배포했다.

무엇이 입증된 사실이고, 무엇이 평가 사항이며, GTIG가 아직 보지 못했다고 밝힌 것은 무엇인가

확립된 것이다. Google이 자사 자체 텔레메트리와 자사 계정 조치를 설명하고 있다는 의미에서: 보고서와 그 날짜; Google이 관찰했다고 말하는 아티팩트—패키지 이름, 로더 파일명, 디렉터리 이름, 23,800개의 비밀 정보가 담긴 대시보드 포함—; 그리고 Google이 취했다고 말하는 중단 조치. 이는 계정 비활성화가 추론하는 것이 아니라 실제로 수행하는 일이기 때문에 Google이 입증할 수 있다. Help Net Security, Cloud Security Alliance, Lineaje는 모두 모순 없이 해당 항목들을 보도하지만, 그중 어느 곳도 자체적인 독립 증거를 제시하지는 않는다.

평가, 즉 Google이 내리는 판단이라는 의미에서: 보고서에 있는 모든 국가 배후 귀속, 거절을 유도하는 미끼를 의도적인 것으로 해석한 부분, 그리고 탈취된 토큰이 "AI 코딩 에이전트의 자동화된 신뢰 검사"를 통과할 것이라는 주장 — 이는 특정 제품이 그러한 검사에서 실패했다는 측정이 아니라 그러한 검사가 일반적으로 어떻게 구축되는지에 관한 진술이다.

확인되지 않은 사항: 6시간 동안 활동한 행위자의 신원, 피해자와 그 수, 관련된 챗봇과 모델, 그리고 Recon 서버가 해당 캠페인과 애초에 연결되어 있는지 여부.

그리고 보고서 자체의 상한선은 제목이 시사하는 것보다 낮다. GTIG는 아직 야생에서 완전 자율적인 익스플로잇 파이프라인을 관찰하지 못했다고 밝히며, 적대자의 사용이 "이 사용 사례를 향해 진화하고 있을 수 있다"고 평가한다. 분열은 공격을 둘러싼 것이 아니라 공격 내부에 있다: 인간은 목표, 프롬프트, 지시 파일을 제공하고, 에이전트는 스캐닝, 문제 해결, 로테이션을 제공하며 허가를 받기 위해 멈추지 않는다. 주의 깊게 읽으면, 6시간 캠페인은 자율성이 도래했다는 증거가 아니다. 그것은 작업에서 인간의 몫이 인간이 필요한 부분—무엇을 할지 결정하는 것—으로 축소되었고, 결정과 결과 사이의 모든 것은 스스로 실행되었다는 증거다.

구글이 말하는 변경 사항, 그리고 보고서가 실제로 지목하는 통제

구글이 밝힌 대응은 두 가지 축으로 나뉜다. 악용과 관련해서는 해당 활동이 "Gemini의 안전 대응을 촉발했다"고 밝혔고, 행위자들의 운영 보안 실패를 근거로 해당 캠페인에 대해 "추가적이고 더 광범위한 조치"를 취했으며, 관련 자산과 프로젝트, 계정을 비활성화했고, Google DeepMind가 이번 발견을 활용해 분류기와 모델 자체를 강화하여 이러한 요청을 거부하도록 했다고 밝혔다. 방어와 관련해서는 Google AI Threat Defense를 배포했는데, 이는 Gemini 및 프런티어 모델을 Wiz의 위험 우선순위 지정, Gemini와 CodeMender의 교정, Mandiant 인텔리전스와 결합한 것으로, 지속적인 스캔에는 경량 모델을, 고위험 발견 사항에는 프런티어 모델을 사용한다. 또한 Gemini 3.8 Flash Cyber를 취약점 탐지 및 자동 패치용으로 도입했고, 오픈소스 공급망 강화 지침을 공개했다.

DUSTMAKER 사례가 요구하는 구체적 수정은 그 스택보다 좁으며, 외부 분석들도 이에 수렴한다. SLSA 증명은 패키지가 주장하는 정체성에 의해 빌드되었는지를 답한다. 그것은 그 정체성이 여전히 당신이 신뢰하려던 당사자에게 속하는지는 답하지 않으며, DUSTMAKER의 방법 전체는 정체성을 위조하는 것이 아니라 빌려오는 것이다. 그 근본적 변화에 대한 Lineaje의 요약이 이를 가장 명확하게 표현한다. "저장소 콘텐츠가 실행 권한이 된다." 패키지 이름, MCP 서버 이름, 증명 배지, 저장소 내부의 지시 파일들은 이제 모두 준수되어야 한다는 어떤 주장을 달고 오며, 탈취된 OIDC 토큰이 그 주장을 검증된 것처럼 보이게 만든다.