Mandiant 2026 AI 보고서: 폭주한 에이전트의 5만 달러 청구서와 AI 지원 침입

Mandiant의 AI 위험 및 복원력 2026 보고서는 2026년 9월 Google Cloud에 게시되었고 같은 주에 Help Net Security, The Hacker News, SecurityBrief가 보도했으며, AI가 표적이 아니라 메커니즘이었던 세 가지 사례를 설명합니다: 이름이 밝혀지지 않은 SaaS 제공업체의 약 100개 내부 리포지토리 전반에 Shai-Hulud 웜이 퍼지도록 한 탈취된 AI 코딩 지원 세션; 침입자가 의료 회사 내부에서 AI 지원 공격 허브로 전환한 손상된 CI/CD 자격 증명을 통해 수천 개의 자격 증명을 유출한 사례; 그리고 손상된 null 값 때문에 도구 하나가 고장 나 청구 데이터베이스를 잠그고 실시간 거래를 중단시킨 뒤 한 시간도 안 되어 회계 에이전트가 약 $50,000의 클라우드 요금을 발생시킨 사례입니다. 세 번째 사례에는 공격자가 관여하지 않았습니다. 이 기사의 근거가 된 기록과 그 주변에 제출된 항목들은 AI 사고 아카이브에 있으며, 여기에는 각 항목의 출처, 심각도, 신뢰 등급 및 이의 제기 플래그가 포함되어 있습니다.

이것은 어떤 종류의 문서입니까?

이 보고서는 Google Cloud의 보안 리소스 페이지에 실린 "AI risk and resilience in 2026: A Mandiant special report"라는 제목의 보고서이며, 침해 공개가 아닌 공급업체 발간물입니다. 이 보고서의 사례 연구는 Mandiant의 사고 대응 프로젝트와 Offensive Security 팀의 평가에서 비롯되었으며, 조직은 업종으로만 식별됩니다: 서비스형 소프트웨어(SaaS) 제공업체, 글로벌 의료 기관, 글로벌 엔터프라이즈 금융 서비스 제공업체. 피해자의 이름은 밝혀지지 않았고, 어떤 침해 사건에도 날짜가 명시되지 않았으며, 세 사례 모두 피해자 진술이 첨부되어 있지 않습니다.

그것은 수치를 어떻게 읽어야 하는지를 규정한다. 그 안의 모든 숫자는 Mandiant 자체 조사관에게서 비롯된다. Cloud Security Alliance의 9월 16일 Frontier Ready 노트는 약 50,000달러의 청구와 15,000건의 호출량을 "자체 보고(제공자 지표)"라고 표시하며, 이는 "독립적으로 검증되지 않았다"고 밝힌다. 이는 대조해 확인할 제3자 텔레메트리를 공개하지 않는 전체 보고서에 대한 타당한 설명이다. 아카이브는 이 항목을 정보성 기록, 즉 기록된 피해가 있는 사건이 아니라 보고서로 분류하고, 분쟁 중이라는 표시 없이 신뢰도 A로 평가한다. 그 등급은 보고서가 얼마나 잘 문서화되었는지를 나타낼 뿐, 외부 당사자가 그 내용을 확인했는지 여부를 나타내는 것은 아니다.

보고서 자체의 프레이밍은 2026년에 공격자들이 챗봇에 리서치를 요청하는 단계에서 에이전트형 시스템이 침입의 일부를 수행하게 하는 단계로 이동했다는 것이다. Mandiant는 Google Threat Intelligence Group이 Hexstrike와 Strix를 포함한 자율 도구를 정찰과 자격 증명 수집에 배치하고, 상용 AI 플랫폼의 가드레일과 청구 한도를 우회하기 위해 프록시 릴레이와 자동화된 등록 파이프라인을 구축하는 행위자들을 관찰했다고 말한다. 이 보고서는 VirusTotal이 문서화한 OpenClaw 에이전트 스킬의 2월 무기화, Mandiant가 자신이 UNC6780으로 추적하고 다른 이들은 TeamPCP로 추적하는 행위자에 기인한 3월의 공급망 침해, 그리고 GTIG가 사이버 범죄자가 AI로 개발한 제로데이 익스플로잇을 사용한 첫 공개적으로 확인된 사례로 설명한 5월의 공개를 인용한다. 해당 익스플로잇은 인기 있는 오픈소스 관리 도구에서 2단계 인증을 우회했다.

사례 1: 어시스턴트가 해당 패키지를 추천했습니다

첫 번째 사례에서 공격자는 SaaS(software-as-a-service) 제공업체를 침해한 뒤 개발자 워크스테이션에서 실행 중인 AI 코딩 어시스턴트 세션을 장악했습니다. Mandiant는 해당 어시스턴트가 "환경 내에서 신뢰받는 인터프리터로 작동"했다고 설명합니다. 즉, 어시스턴트는 공격자가 이미 오염시켜 둔 외부 소프트웨어 패키지 설치를 권장했고, 개발자는 그 권장을 받아들였습니다. 보고서는 어시스턴트가 "의도치 않게 트로이 목마 역할을 했다"고 말합니다.

라이브 세션에서 공격자는 악성으로 오염된 PyPI 패키지를 통해 정보 탈취 악성코드를 설치하고 개발자의 GitHub OAuth 토큰을 수집했습니다. 이후 자기 전파형 Shai-Hulud 웜이 약 100개의 내부 코드 저장소로 퍼져 나가며 저장소 비밀 정보 탈취와 독점 제품 소스 코드의 프로그램적 유출을 자동화했습니다. 공격자는 또한 조직의 공식 네임스페이스 내 패키지를 오염시켰고, 두 번째 직원이 손상된 버전을 가져갔습니다. 이는 Mandiant의 설명에 따르면 침입자의 추가 조치가 필요 없었던 하위 감염이었습니다.

보고서가 말하지 않는 것은 이런 일이 언제 일어났는지, 또는 공격자가 애초에 어떻게 어시스턴트 세션의 통제권을 얻었는지입니다. 9월 16일 이 사례 연구를 보도한 The Hacker News는 이 두 가지 누락을 모두 지적합니다. 9월 18일 이 사건에 관한 Cloud Security Alliance의 연구 노트는 초기 접근 벡터를 "사례 연구의 가장 중요한 미해결 질문"이라고 부르며, Mandiant의 권장 통제는 감염이 얼마나 멀리 퍼질 수 있는지를 다룰 뿐 세션이 어떻게 탈취되었는지는 다루지 않는다고 관찰합니다.

Mandiant가 이 사건에 적용하는 통제 조치는 세 가지이며, 실패 지점을 구체적으로 겨냥합니다: AI가 권장한 모든 서드파티 의존성을 암호화 체크섬과 승인된 허용 목록에 대해 검증하는 IDE 및 CLI 검증 훅을 적용하고; 원시 API 키, 장기 수명 OAuth 토큰 및 기타 비밀 정보를 확장 프로그램의 접근 범위 밖에 두며; 워크스테이션 네트워크 이그레스를 제한하여 의존성 트래픽이 통제된 내부 리포지토리를 통해서만 라우팅되도록 합니다.

사례 2: AI 공동 디버깅 허브로 변한 CI/CD 자격 증명

두 번째 사례는 글로벌 의료 기관에서의 기업 클라우드 조사입니다. Mandiant는 비정상 활동을 장기 유효 개발자 CI/CD 자격 증명이 침해된 것으로 추적했으며, 침입자는 이를 이용해 격리되지 않은 VM 인스턴스를 생성하고 이를 실시간 공격 거점으로 전환했습니다. 공격자는 도구를 오프라인에서 구축하는 대신 대규모 언어 모델을 실행 중인 서버에 직접 연결하고 그 자리에서 모델을 대상으로 반복적으로 시도했습니다.

Mandiant는 3단계 워크플로를 설명한다. 첫 번째는 문맥 사전 준비로, 원격 세션을 통해 동기화된 코드 패키지와 프로젝트 README 파일을 모델의 채팅 컨텍스트에 로드하여 이후 코드 생성이 캠페인의 목표에 맞게 유도되도록 했다. 다음은 대화형 디버깅으로, 공격자는 모델이 다중 워커 데이터 수집 프레임워크를 구축하도록 하고 논리적 스크립트 분할 오류를 함께 해결하면서 유출 주기를 3시간 주기로 높였다. 마지막은 회피 및 익스플로잇으로, 모델은 차단 목록에 오른 서버 주소를 실시간으로 교체하는 동적 IP 로테이션 스크립트를 작성했고, 피해자 계정에 로그인하고 금융 잔액을 확인하기 위한 Rust 기반 도구를 공동 개발했다.

Mandiant는 이 캠페인이 수천 개의 자격 증명을 탈취하고, 수집한 API 키와 금융 관련 비밀 정보를 공격자가 통제하는 저장소로 유출했다고 밝혔다. 보고서에는 Rust 도구가 어떤 계정을 겨냥했는지, 확인한 금융 잔액이 누구의 것인지, 이후 자격 증명이 어떻게 되었는지는 언급되지 않았다. 사례 연구 어디에도 환자 데이터에 대한 언급은 없다.

권장 통제는 모델보다 자격 증명을 기준으로 합니다. 장기 액세스 키를 OIDC를 사용하는 단기 Workload Identity Federation 신뢰 관계로 교체하고, VPC Service Controls로 송신을 격리하여 런타임 및 개발 환경이 승인되지 않은 외부 모델 제공자에 접근할 수 없도록 하며, 모든 작업 공간에서 지속적인 시크릿 스캔을 실행하고, 하드코딩된 자격 증명을 가로채고 공격용 유틸리티 스크립트가 실행되는 즉시 차단할 수 있도록 Model Armor와 같은 런타임 프롬프트 방화벽을 경로에 배치하십시오.

사례 3: 한 시간도 채 안 되어 $50,000을 지출한 에이전트

세 번째 사례에는 공격자가 없었다. 한 글로벌 엔터프라이즈 금융 서비스 제공업체는 회계 원장의 이상 항목을 조정하기 위해 에이전트를 배포하고 내부 청구 데이터베이스에 대한 읽기 및 쓰기 권한을 부여했다. 손상된 널 값이 에이전트의 포맷팅 도구를 망가뜨렸고, 에이전트는 이에 대응해 Mandiant가 제약 없는 재귀적 추론 루프라고 부르는 상태에 들어가 무차별 대입 방식으로 수정을 시도했다.

한 시간도 채 지나기 전에 15,000건이 넘는 고빈도·고비용 추론 API 호출을 발생시켜 약 5만 달러의 갑작스러운 클라우드 청구 급증을 초래했습니다. 동일한 루프로 인해 심각한 로컬 데이터베이스 잠금이 발생하여 진행 중인 비즈니스 트랜잭션이 중단되었습니다. Mandiant는 이 사례를 "denial-of-wallet"로 분류하며, 제시하는 해결책은 모델 수준이 아니라 운영 수준입니다: 지출 상한, 제한된 재귀, 그리고 동일한 작업에 계속 실패하는 에이전트를 중지시키는 회로 차단기입니다.

그 보고서는 해당 청구가 지불되었는지, 크레딧 처리되었는지, 아니면 이의가 제기되었는지, 거래가 얼마나 오랫동안 중단되었는지, 고객이 영향을 받았는지, 그리고 이후 회사가 무엇을 변경했는지를 밝히지 않는다. 또한 날짜도 제시하지 않는다. SecurityWeek의 9월 18일 라운드업은 이를 일반적인 침해가 아니라 보고서가 새로운 금융 위험 범주로 표시한 항목 아래에 분류한다.

Mandiant가 제안한 통제책은 그에 상응해 재무적 성격을 띱니다. 에이전트에 대한 아이덴티티 및 역할 기반 접근 정의, 거버넌스로서의 비용 상한 임계값과 모니터링, 그리고 연속된 작업 실패가 일정 횟수에 도달하면 에이전트를 중단시키는 자동화된 재무 회로 차단기입니다. 서비스 및 프로젝트 수준에서는 엄격한 재무 상한, 제한된 재귀 한도 및 속도 제한을 권장하여, 자기 교정 루프가 장애로 이어지기 전에 제한되도록 합니다.

무엇이 확립되었고, 무엇이 귀속되며, 무엇이 공개되지 않았는가

확인됨. Mandiant가 이 보고서를 발표했으며, 위에 요약된 내용을 담고 있다. 업계 매체 네 곳이 서로 사흘 이내에 이 소식을 보도했다. Help Net Security와 The Hacker News는 9월 16일, SecurityBrief UK는 9월 17일, SecurityWeek는 9월 18일에 보도했으며, 이들이 언급한 모든 수치에서 그들의 보도 내용은 보고서와 일치한다. Cloud Security Alliance는 9월 18일 첫 번째 사례에 관한 별도 연구 노트를 발표했으며, 그 사례의 작동 방식에 대해 같은 해석과 Mandiant가 빠뜨린 점에 대해 같은 결론에 도달했다.

출처가 명시되었으나 독립적으로 검증되지는 않음. 구체적인 수치는 Mandiant의 것이다. 약 100개의 저장소, 수천 개의 자격 증명, 3시간의 유출 주기, 15,000건 이상의 추론 호출, 대략 50,000달러, 1시간 미만이다. 어떤 매체도 세 피해자 중 누구의 텔레메트리도 공개하지 않았고, 세 피해자 중 누구도 이름이 밝혀지지 않았다. 존재하는 교차 검증은 사건에 대한 것이 아니라 보고서 내용에 대한 교차 검증이다. 이 구분이 바로 독자가 여기서 의존할 수 있는 전부이며, 아카이브의 신뢰도 등급도 그렇게 읽어야 한다.

공개되지 않음. 이 보고서는 세 건의 사안 중 어느 것에 대해서도 날짜를 제시하지 않고, 피해자 이름도 밝히지 않으며, 사례 1에서 어시스턴트 세션이 어떻게 탈취되었는지에 대한 설명도 없다. 또한 수집된 GitHub OAuth 토큰과 저장소 시크릿이 폐기되었는지, 사례 2의 수천 개 자격 증명이 사용되었는지 또는 재설정되었는지, 의료 기관의 정보주체들이 영향을 받았는지, 회계 에이전트의 청구 금액이 회수되었는지, 또는 세 조직 중 어느 곳이 이후 무엇을 변경했는지는 밝히지 않는다. 이 기사에서는 9월 16일 이후 발표된 피해자 진술, 규제 기관의 통지 또는 후속 보도 중 이러한 공백을 메우는 것을 찾지 못했다.

보도가 엇갈리는 부분. Cloud Security Alliance의 노트는 사례 1의 두 번째 감염이 회사 자체의 npm 네임스페이스를 통해 확산된 것으로 설명한다. Mandiant의 글은 “조직의 공식 네임스페이스 내부의 패키지”라고만 말하며 그곳에서 생태계를 명시하지 않는다. npm이라는 해석은 인용이 아니라 덧붙인 것이다. 한편 The Hacker News는 이 사례의 웜이 코딩 도우미를 위한 훅을 심은 8월의 npm 웜과도, 자격 증명을 찾기 위해 469개 위치를 스캔하는 것으로 발견된 Shai-Hulud 변종과도 가용한 증거로는 연결되지 않는다고 분명히 밝힌다. 같은 패밀리 이름일 뿐 별개의 캠페인이며, 기사에는 이들을 연결하는 증거가 없다.

보고서가 바뀌어야 한다고 말하는 것

Mandiant의 권고 사항은 보고서의 사례 연구 전반에서 반복됩니다. 수명이 긴 자격 증명과 서비스 계정에서 벗어나 워크로드에 바인딩되고 설계상 수명이 짧은 ID로 전환하십시오. AI 코딩 어시스턴트와 MCP 서버를 실행 전에 확장 및 CLI 후크를 검증하는 권한 있는 세션으로 취급하십시오. 에이전트 워크로드를 승인되지 않은 모델 제공자로의 송신을 차단하는 네트워크 경계 안에 두십시오. 또한 토큰 사용, 애플리케이션 간 API 호출, 민감한 자산에 대한 에이전트 접근을 계측하여 민감한 리포지토리에 대한 최초 읽기가 정상적인 도구 트래픽에 섞이지 않고 신호로 드러나도록 하십시오.

비용 측면에서 이 보고서는 'AI의 거버넌스'와 'AI를 위한 거버넌스' 사이에 선을 긋는다. 한쪽은 위험 선호도와 조달 규칙을 설정하는 정책이고, 다른 쪽은 강제되는 기술적 한계다. 회계 에이전트는 두 번째 종류가 실패한 사례로 보고서에 등장한다. Mandiant의 설명에 따르면 그 배포에서는 루프를 제한하는 것이 아무것도 없었으며, 이를 잡아낼 수 있었던 통제—상한, 속도 제한, 회로 차단기—는 특이한 워크로드에 적용된 평범한 통제들이다.

세 사례의 원인은 같지 않다. 하나는 신뢰 문제로, 어시스턴트의 권고가 동료의 권고와 같은 권위를 지녔다. 하나는 어떤 모델보다도 앞서 존재한 자격 증명 문제로, 모델들은 일단 내부에 들어온 뒤 침입을 더 빠르고 적응적으로 만들었다. 나머지 하나는 둘 다 아니다. 공격자도, 익스플로잇도 없고, 원장에 대한 쓰기 권한을 부여받았으며 고장 난 도구를 고치는 데 지출할 수 있는 금액에 상한이 없던 에이전트가 있을 뿐이다. 이들의 공통점은 각 사례에서 AI 시스템이 누구도 범위를 정하지 않은 권한, 즉 권고하고, 재구성하고, 계속 시도할 권한을 가졌다는 점이다.