침입 체인 속 Claude: Anthropic의 2026년 9월 위협 보고서

Anthropic은 네 번째 위협 인텔리전스 보고서를 AI 오용 탐지 및 대응: 2026년 9월이라는 제목으로 2026년 9월 10일에 발표했습니다. 154페이지 분량의 이 문서는 자사의 위협 인텔리전스 팀이 2025년 12월부터 2026년 8월 사이에 차단한 활동을 다루며, 가장 구체적인 피해 수치는 한 문단에 담깁니다: Anthropic이 GTG-20006으로 추적하는 첩보 행위자는—보고서는 이 행위자의 귀속이 "해당 행위자를 Midnight Blizzard와 연결하는 공개 보도와 일치한다"고 밝힘—북아프리카의 한 정부 기술 당국에서 VPN 자격 증명을 훔치고, 중앙 계정 서버를 장악한 뒤, 30만 건이 넘는 국가 신원 기록과 50만 개가 넘는 기업의 상업 등기 데이터를 가지고 나갔습니다. 이 공개에 대한 아카이브 기록은 신뢰도 등급 및 그 주변에 등록된 항목들과 함께 보관되어 있는 곳은 Orca AI Incident Archive입니다.

이 보고서는 한 공급업체가 자사 제품의 오용을 공개한 것으로, 이는 보고서의 가치와 한계를 동시에 규정한다. 이는 당사자 측이 직접 내놓은 설명이다. Anthropic의 텔레메트리, Anthropic의 계정 정지, 상대방이 누구였는지에 대한 Anthropic의 판단으로 이루어져 있으며, 외부 감사인은 그 수치를 검증하지 않았다. 이 글의 나머지 부분은 네 가지를 구분한다. 보고서가 관찰했다고 말하는 것, 단지 귀속시키기만 하는 것, 논쟁 중인 것, 그리고 아카이브의 요약이 주장하지만 그 문서에는 없는 것이다.

무엇이 게시되었으며, 무엇을 다루는지

AI 오용 탐지 및 대응: 2026년 9월 보고서는 표지에 2026년 9월 10일자로 표기되어 있으며 154페이지 분량으로, 다수 사례에 대한 침해 지표(IoC) 목록을 수록하고 있습니다. 이 보고서는 2025년 3월, 8월, 11월에 발표된 Anthropic의 이전 보고서들을 잇는 것으로, 사이버 작전, 영향력 공작, 감시, 재래식 무기, 생물학적 오용, 스캠과 사기, 불법 증류 등 일곱 가지 피해 영역을 다룹니다.

관련된 모델은 Claude Haiku, Claude Sonnet, Claude Opus였습니다. Anthropic은 한 건의 불법 증류 사례를 제외하고는 어떤 오용 사례에도 Claude Fable 또는 Claude Mythos급 모델이 연루되지 않았다고 밝혔습니다. 행위자들은 "국가 후원으로 의심되는 그룹, 금전적 동기로 움직이는 범죄자, 상업용 스파이웨어 공급업체, 국가 선전 기관, 정치적 동기를 가진 개인"에 이르기까지 다양합니다.

사례 연구에는 내부 레이블, 즉 보고서에서 "AI를 악용하는 것으로 관찰된 행위자에 대한 Anthropic의 내부 지정자"라고 정의하는 GTG 지정자가 붙어 있습니다. 이는 명명 관례일 뿐 법적 판결이 아니며, 이러한 행위자 대부분이 가진 유일한 식별 수단입니다.

Anthropic의 분석적 주장은 사례 수보다 범위가 좁습니다. 즉 AI가 국가 작전과 개인 운영자 사이의 “노동 및 도구 격차를 허물었고”, “정교함이 더 이상 어떤 작전의 배후가 누구인지를 보여주는 신뢰할 만한 신호가 되지 못했다”는 것입니다. 보고서는 스스로 “업리프트(uplift)”라고 부르는 것, 즉 속도·규모·깊이를 측정하며, 자체 사례 연구에 두 가지 단서를 붙입니다. 인간은 “자신에게 가장 중요한 결정들”, 즉 표적 선택과 탈취한 데이터를 어떻게 수익화할지를 “여전히 유지해 왔으며”, “자율성과 피해는 별개의 축”이라는 것입니다.

300,000건의 신원 기록: GTG-20006

GTG-20006은 해당 기록의 번호를 가진 사건입니다. Anthropic은 "JackPoterz"라는 핸들을 사용하는 러시아어 사용 운영자를 설명하며, 그 귀속이 "해당 행위자를 Midnight Blizzard와 연결하는 공개 보도와 일치한다"고 말합니다 — 이는 독립적인 확인이라기보다 다른 사람들의 귀속과의 비교이며, 보고서는 그것이 어떤 보도를 의미하는지 밝히지 않습니다.

이 수치를 만들어낸 침입은 북아프리카의 한 정부 기술 당국을 겨냥했다. 보고서에 따르면, 공격자는 VPN 어플라이언스의 자격 증명을 훔쳐 이를 이용해 조직의 중앙 계정 서버를 장악했고, 그곳에서 “전체 자격 증명 데이터베이스, 즉 30만 건이 넘는 국가 신원 기록과 해당 국가에서 영업하는 50만 개가 넘는 기업의 상업 등기 데이터”를 유출했다. 해당 기록은 정부 기관에 속한 것이었으며, 그 안에 담긴 사람들은 이 이야기에 나오는 AI 공급업체와 아무런 관련이 없다.

동일한 행위자의 더 광범위한 캠페인은 "20개 이상의 서로 다른 조직"에 영향을 미쳤습니다. 여기에는 정부 부처, 국방 및 정보 기관, 대사관, 싱크탱크, 방위산업 기업이 포함되며, 우크라이나와 유럽에 집중되어 있지만 중동과 아시아의 해양 기관까지 확장되었습니다. 구체적인 내용은 다음과 같습니다:

• {{1}}호텔 Wi-Fi:{{/1}} 행위자는 투숙객용 Wi-Fi를 운영하는 최소 3개 숙박업체를 침해한 후 DNS 레코드를 조작해 투숙객 트래픽, 기기 식별자, IP 주소가 행위자가 통제하는 서버로 전송되도록 했습니다. Microsoft Threat Intelligence는 2026년 7월 동일한 탈취 및 전달 수법에 관한 보고서를 {{2}}CaptiveCrunch{{/2}}라는 이름으로 발표했으며, Anthropic 보고서가 이 보고서를 인용합니다.

• WhatsApp: 피해자 계정은 헤드리스 브라우저와 오픈소스 WPPConnect 자동화 라이브러리를 사용해 컴패니언 기기로 연결되었으며, 읽음 확인은 억제된 채 러시아어 및 우크라이나어 대화가 대량으로 내보내졌습니다. 적어도 두 명의 전직 고위 우크라이나 관리가 이런 방식으로 표적이 되었습니다.

• 드론: 최소 두 곳의 드론 부품 제조업체의 메일함이 대량으로 내보내졌고, 드론 비전 시스템용 완전한 독점 소프트웨어 개발 키트가 도난당해 며칠에 걸쳐 리버스 엔지니어링되었다.

• 회피: 모니터링 에이전트는 배포된 임플란트가 탐지되는지 감시했고, 탐지되면 에이전트가 악성코드를 수정하고 재빌드하여 탐지되지 않을 때까지 반복했다.

Anthropic이 회피 루프에서 내린 결론은 그것이 방어자의 이점을 뒤집는다는 것이다. “AI는 비용을 다시 방어자에게 전가했다”라고 보고서는 밝힌다. 왜냐하면 유능한 적대자가 시그니처가 배포되기보다 더 빠르게 재구축할 수 있을 때 새로운 탐지는 더 이상 시간을 벌어주지 못하기 때문이다.

두 번째 국가 연관 사례: GTG-10007

GTG-10007은 보고서에서 명시적인 국가 배경 설명이 포함된 또 다른 사례이자, 더 이례적인 사례다. Anthropic은 중국어를 사용하는 운영자들이 "중국 후난성 창사에 거주하는 것으로 보인다"고 설명하며, 그중에는 지역 대학에서 컴퓨터 및 통신 공학을 전공하는 학부생 두 명도 포함되어 있다고 밝혔다. 그중 한 명은 보안 업체 Sangfor에서 인턴으로 근무한 적이 있었고, 공격 보안(오펜시브 시큐리티) 직무를 위해 QiAnXin에서 면접을 보고 있었다.

해당 그룹은 교육, 소매, 에너지, 기술, 의료, 금융, 제조 및 정부 부문에 걸쳐 약 50개 조직을 표적으로 삼았다. Anthropic은 이들이 교육기술 기업의 클라우드 스토리지에서 수백 메가바이트에 달하는 학생 개인 데이터를 추출했고, 한 소매업체의 운영 시스템에 접근했으며, 동남아시아 정부 기관에서 시민 기록(이름, 전화번호, 집 주소)을 빼냈다고 밝혔다.

차별점은 취약점 작업이다. “침입 탐지를 위해 특별히 배치된” 보안 소프트웨어 부류를 겨냥한 상시 연구 프로그램으로, Anthropic에 따르면 해당 행위자가 자체 실험실에서 검증한 다수의 이전에 알려지지 않은 취약점, 여러 계열의 네트워크 및 보안 장비에 대한 실제 동작하는 익스플로잇, 그리고 하나의 지속적으로 반복되는 워크플로에서 나온 “한 달 만에 12개 이상의 가능성 있는 제로데이 발견”을 산출했다. 별도의 13개 수집 에이전트 집단은 인간 개입 없이 공개 군사 및 정부 자료를 대상으로 일정에 따라 실행되었다.

Anthropic은 보안 제품, 취약점 또는 정부 기관의 이름을 밝히지 않으며, 이 보고서는 발견 사항을 공개된 어떤 CVE 식별자와도 연결하지 않는다.

범죄의 절반: 데이터 탈취, 그리고 페이로드로서의 API 키

사이버 섹션은 간첩 활동만 다루는 것이 아니다. 금전적 동기를 가진 여러 클러스터 중 가장 큰 규모는 Anthropic이 ShinyHunters 집단의 연계 조직원으로 의심된다고 설명하는 운영자들에게 귀속되며, GTG-50014로 추적된다. 보고서는 그들의 규모를 명확히 제시한다:

• 한 운영자의 자격 증명 파이프라인은 180만 개에 달하는 서로 다른 Android APK를 대량 다운로드해 디컴파일한 뒤 하드코딩된 시크릿을 스캔하고, 검증된 발견 사항을 100가지가 넘는 시크릿 유형으로 분류된 Telegram 그룹으로 전달했습니다.

• 한 제휴 공격자는 SaaS 제공업체를 침해하고 약 200개의 다운스트림 고객 조직에 도달한 후 약 34시간 만에 40개 이상의 기업 테넌트에 걸쳐 있는 2,100개 이상의 Azure AD 토큰 세트를 유출했습니다.

• 한 기술 제공업체의 침해 사고로 1테라바이트가 넘는 데이터가 유출되었으며, 여기에는 수십만 건의 국가 식별번호와 수백만 건의 결제 카드 기록이 포함되어 있었고, 이 데이터는 "피해자에게 몸값을 지불하도록 압박하기 위해" 공개 웹사이트에 게시되었습니다.

• 항공사에서는 공격자들이 수천만 건의 승객 기록을 보유한 시스템에 접근했고, 에너지 회사에서는 고객의 가정용 전기차 충전기의 충전 전류를 원격으로 제어할 수 있다고 주장했습니다.

프랑스어를 사용하는 단일 해커티비스트인 GTG-50029는 추적 중인 유럽의 정치·미디어·싱크탱크 표적 42곳 중 최소 14곳에 침투했고, 추정 12~26GB의 데이터베이스 덤프를 유출했으며, 사용자의 정치적 견해가 포함된 약 140,000건의 기록을 탈취했다. 그러면서 수천만 행의 유출 데이터가 탑재된 신상털기(doxxing) 플랫폼을 구축했다.

금융 사례들을 관통하는 공통점은 AI 접근 권한 자체가 전리품이 되었다는 것이다. 공격자들은 고객 환경에서 Anthropic API 키를 훔쳐 다른 사람의 비용으로 자신들의 공격 작업을 실행했다. 보고서는 이를 AI에 "living off the land"를 적용한 것이라고 부른다. Anthropic은 경계를 분명히 밝힌다. "모든 사례에서 관련 API 키는 Anthropic 고객 환경에서 도난당했다. Anthropic 자체 시스템은 이 행위자에 의해 침해되지 않았다." 러시아어를 사용하는 조직 GTG-50020은 호텔 예약 침입에서 AI 업계로 옮겨 약 4일 동안 약 30개 AI 기업을 공격했다. 표명된 목표는 출시 전 Claude 모델에 접근하는 것이었으며, 보고서에 따르면 "해당 행위자는 접근 권한을 얻지 못했다."

확립된, 귀속된, 논쟁 중인, 부재한

확인됨. 해당 보고서는 존재하며, 날짜는 2026년 9월 10일이고 154페이지입니다. 보고서의 침해 서사, 지표 목록, 금지 조치는 Anthropic 자체의 1차 설명이며, 독립 매체인 The Next Web(발표 당일), Digital Watch Observatory, Cloud Security Alliance의 연구 노트가 동일한 문서, 동일한 일곱 가지 피해 영역, 동일한 GTG-20006 세부 내용을 설명합니다. 어떤 매체도 북아프리카 침해에 대한 자체 포렌식 재구성을 발표하지 않았으므로, 300,000이라는 수치는 한 회사의 텔레메트리에 근거합니다.

귀속됨. 국가 연계는 Anthropic의 평가로, 자사 문서에서 "해당 행위자를 Midnight Blizzard와 연결하는 공개 보도와 일치한다"고 유보적으로 표현했다. 창사(長沙) 소재지, 학생들의 근무 이력, 중국어 사례에 대한 국가적 프레이밍 역시 정부의 귀속 판단이 아니라 Anthropic의 서술이다. The Next Web의 보도는 Axios 및 The New York Times와의 인터뷰에서 Anthropic의 위협 인텔리전스 책임자인 Jacob Klein의 발언을 인용하지만, 이 수치들을 평가하는 외부 전문가의 견해는 담고 있지 않다.

이견이 있음. 증류 섹션은 피의자 측이 답변한 유일한 부분이다. Anthropic은 "중국에 기반을 둔 7개 연구소로부터 Claude에 대한 추가 증류 공격을 발견했다"고 밝히며, 무엇보다도 Moonshot AI가 10일 동안 5,380개의 사기성 계정을 통해 거의 30만 건의 고객 요청을 Anthropic에 중계한 사례 등을 설명한다. 베이징은 관련 미국의 증류 주장을 거부했다고 The Next Web이 보도했다. 아카이브 기록은 이 사건을 다툼이 없는 것으로 표시하지만, 그 표시가 문서 내부의 모든 주장에까지 적용되는 것은 아니다.

없음. 이 기록에 대한 아카이브의 한 줄 요약은 보고서가 Claude가 피해자 분류(triage)와 랜섬웨어 사본 생성에 "처음으로" 사용되었다고 문서화한다고 말한다. 두 가지 모두 인용된 출처에는 나타나지 않는다. "ransomware"라는 단어는 154페이지 PDF에도, 보고서 웹 페이지에도 나오지 않으며 "triage"도 마찬가지다. 보고서가 설명하는 갈취는 암호화가 아니라 탈취한 데이터를 둘러싼 지불 아니면 유출(pay-or-leak)이다. 이 보고서에서 "ransom"이라는 단어가 한 번 사용된 대상은 결제를 강요하기 위해 도난당한 파일이 공개적으로 배치된 기술 제공업체다. 이 두 주장은 이 기록이 인용하는 출처로는 뒷받침되지 않는 것으로 취급하십시오. 반면 300,000건의 신원 기록은 보고서 자체의 GTG-20006 섹션에 명시되어 있다.

Anthropic이 자신이 했다고 말하는 것과 공개하지 않은 것

보고서는 각 사례마다 동일한 대응의 변형을 제시합니다. 계정 차단, 추가 탐지 배치, "당국 및 업계 파트너와 적절한 경우" 정보 공유, 그리고 학습한 내용을 바탕으로 안전장치 강화입니다. 증류 섹션은 Claude에서 추론 흔적을 끌어내는 데 사용된 추론 서명 재생 기법에 대응하는 기술적 조치를 추가합니다.

공개되지 않은 부분도 거의 일관적입니다: 얼마나 많은 계정이 차단되었는지, 각 작전이 시작된 시점 대비 언제 중단되었는지, 어느 당국이 어떤 정보를 받았는지, 그리고 애초에 행위자들이 어떻게 탐지되었는지. 이러한 누락은 벤더 보고서에서는 흔한 일이며, 이 문서를 외부에서 감사할 수 없는 이유이기도 합니다.

정책적 문제는 다른 이들에 의해 제기되었다. 해당 보고서 이후 발간된 클라우드 보안 연합(Cloud Security Alliance)의 연구 노트는 이 보고서에 "EU AI법, AI 사무국, 또는 제55조에 대한 언급이 전혀 없다"고 주장하며, 의도적인 제3자 오용이 과연 제55조의 "중대 사고" 정의에 포함되는지도 묻는다. 이 정의는 공격자 행동보다는 모델 오작동을 중심으로 작성되었다. 이 노트는 제55조에 따른 제출이 공개되지 않는다는 점을 인정하므로, 아무 언급이 없다고 해서 제출이 없었다는 증거는 되지 않는다고 말하며, 당시 해당 제도 아래 확인된 유일한 제출은 2026년 9월 7일경의 OpenAI 제출이었다고 밝힌다.

숫자를 읽는 방법

두 가지 점이 보고서의 수치를 더 쉽게 활용하게 해준다. 첫째는 피해와 자율성을 분리해 두는 것이다. Anthropic은 가장 심각한 침해 사례 여러 건이 인간이 모든 단계를 지시한 작업에서 나왔다고 보고하므로, 자율성이 낮은 사례가 심각도가 낮은 사례는 아니다. 둘째는 수치를 한 공급업체가 볼 수 있었던 것의 개수로 읽는 것이다. 30만 건의 신원 기록, 2,100개의 토큰 세트, 14만 건의 정치적 의견 기록은 모두 자사 제품의 오용을 설명한 그 회사가 산출한 것이며, 탐지되지 않은 행위자들은 그 어디에도 나타나지 않는다.