실제 환경에서의 CyberStrikeAI: LLM 오케스트레이터가 라틴아메리카와 아프리카의 교육 기관 대상에서 도메인 관리자 권한에 도달

2026년 11월 2일 Kaspersky는 라틴 아메리카와 아프리카 여러 국가의 교육 부문 조직에서 발생한 침해 사건을 설명하는 Securelist 보고서와 보도자료를 발표했습니다. 해당 사건에서는 침해 후 작업을 대규모 언어 모델이 지휘했습니다. 사용된 도구는 오픈소스 Go 기반 침투 테스트 프레임워크인 CyberStrikeAI로, 명령제어 서버가 도구를 선택하고 명령을 작성하는 LLM을 호스팅하며 일반 임플란트가 피해자 호스트에서 해당 명령을 실행합니다. Kaspersky가 상세히 재구성한 한 사례에서 인간 운영자는 침해된 Microsoft SQL Server를 통해 진입한 뒤 2주 동안 중단했다가 에이전트를 실행하도록 했습니다. 도메인 관리자 계정은 3~4일 만에 장악되었고, 마지막 단계인 측면 이동, 대규모 자격 증명 덤프, 데이터베이스 내보내기는 1시간 이내에 완료되었습니다. Kaspersky는 어떤 기관이나 국가도 밝히지 않았고, 피해자 수를 제시하지 않았으며, 해당 활동을 2026년 9월과 10월 사이에 관찰했다고 밝혔습니다. 이 캠페인에 대한 전체 기록은 심각도 등급, 신뢰도 평가 및 전체 출처 목록과 함께 Orca AI Incident Archive에 AI 지원 침해에 관한 다른 항목들과 나란히 기록되어 있습니다.

Kaspersky가 실제로 게시한 것

주 문서는 "실제 환경에서의 CyberStrikeAI: 조직에 대한 실제 공격에서의 AI 활용"이며, 2026년 11월 2일 Securelist에 게시되었고 Kaspersky 위협 연구팀의 키릴 안토노프, 블라디슬라프 블라소프, 드미트리 치즈마크의 이름으로 기재되어 있습니다. 여기에는 같은 날 발행된 Kaspersky 자체 보도자료가 함께 제공되며, 동일한 조사 결과를 요약하고 있습니다. 아카이브의 신뢰도 등급 A는 두 문서가 서로 얼마나 잘 일치하는지와 기술적 세부 사항이 얼마나 구체적인지를 설명하는 것이지, 제2의 조직이 해당 침해를 독립적으로 검증했다는 진술은 아닙니다.

이 보고서의 2차 보도만으로는 그 두 번째 기관이 제시되지 않는다. Cybersecuritynews.com, Cyberpress, SecurityOnline, 그리고 나이로비에 본사를 둔 TechTrends Kenya는 모두 2026년 11월 2일에서 3일 사이에 관련 기사를 게재했으나, 각 기사는 자체 취재가 아니라 카스퍼스키의 발표 자료에 기반한 것이다. 케냐 매체의 기사 역시 카스퍼스키의 위협 탐사 책임자인 니키타 나자로프의 보도자료 인용문을 중심으로 구성되어 있다. 2026년 11월 9일 현재, 침해 사실을 공개적으로 확인한 피해 대학이나 교육부, 국가 컴퓨터긴급대응팀은 없었으며, 카스퍼스키 또한 피해자들의 신원을 공개하지 않았다. 이러한 부재 자체가 기록의 일부다. 상세히 문서화된 것은 공격 수법이지, 이름이 밝혀진 어떤 기관이 입은 피해가 아니다.

Kaspersky의 범위 설명은 의도적으로 좁습니다. 그들의 표현에 따르면 확인된 피해자는 “아프리카와 라틴 아메리카 전역 여러 국가의 교육 부문 조직”이었습니다. 피해자가 몇 곳인지, 어느 국가인지, 또는 이 캠페인이 처음에 어떻게 탐지되었는지는 밝히지 않았으며, 단지 팀이 “적극적인 위협 모니터링의 일환으로” 이를 발견했다고만 말했습니다.

여기서 한 가지 구분이 중요합니다. 쉽게 흐려질 수 있기 때문입니다. 독립 기관들은 이제 실제 침해 사례에서 CyberStrikeAI를 보고했습니다. 하지만 이 침해 사례들은 아닙니다. Team Cymru는 이 도구를 실행하는 인프라를 600개 이상의 FortiGate 장치를 대상으로 한 2026년 1~2월 캠페인과 연결했으며, 2026년 1월 20일부터 2월 26일 사이에 이를 제공한 21개의 고유 IP 주소를 관찰했습니다. Trend Micro의 TrendAI 부서는 2026년 10월 23일 발표한 연구에서 44개의 조정된 CyberStrikeAI 에이전트를 운영한 한 운영자가 그해 10월의 짧은 기간 동안 최소 19개의 식별 가능한 조직, 그중 최소 16곳은 일본에 있는 조직을 검증 활동에 노출시켰다고 설명했습니다. Cloud Security Alliance의 2026년 10월 28일 연구 노트는 이 두 사례를 종합하고, 발표된 어떤 출처도 아직 별개의 CyberStrikeAI 캠페인들을 단일 행위자와 연결하지 못했다고 결론 내렸습니다. 그 일련의 연구는 이 프레임워크가 실제 네트워크를 공격하는 데 사용되고 있다는 전제를 뒷받침하며, Kaspersky 보고서에 나오는 라틴 아메리카와 아프리카의 교육 분야 피해자들에 대해서는 아무 말도 하지 않습니다.

도구, 그리고 AI가 실제로 자리했던 곳

Kaspersky가 설명하는 CyberStrikeAI는 "Go로 작성된, 침투 테스트 자동화를 위한 오픈소스 모듈형 플랫폼"입니다. 이 플랫폼을 규정하는 설계상의 선택은 지능형 계층 전체가 피해자 머신이 아니라 공격자의 제어 서버에 존재한다는 점입니다. 정찰 및 익스플로잇 유틸리티, 웹셸 관리, 에이전트에 대한 작업 할당과 결과 읽기는 모두 단일 서버 프로세스 내에서 MCP 도구로 모델에 노출되며, 다음에 이들 중 어떤 것을 호출할지는 모델이 결정합니다.

임플란트는 나머지 절반이며, 의도적으로 멍청하게 만들어졌다. Kaspersky는 이것이 "AI 기능이 전혀 없는 전형적인 C2 에이전트 — API 키도 없고, AI 서비스 API 호출도 없으며, 자율적 로직도 없다"라고 썼다. 이것은 HTTP/S, TCP 또는 WebSocket을 통해 리스너를 폴링하고, 셸 명령을 실행하며, 파일 시스템에 접근한다. 이는 피해자의 네트워크에서 실행되는 모델이 아니며, AI 제공업체에 절대 연락하지 않는다. 역할 분담은 Kaspersky가 전체 계획을 설명하면서 사용하는 다음 문장에 담겨 있다: "결정은 두 계층에 분산된다: 운영자는 작업을 개괄적으로 정의하고, 모델은 이를 어떻게 실행할지 결정한다."

인간의 통제는 제거되는 것이 아니라 유지됩니다. Kaspersky는 운영자가 "해당 프로세스에 대한 완전한 통제권을 유지"하는 인간 개입(human-in-the-loop) 메커니즘을 언급하며, 모델이 생성한 명령은 "실행되기 전에 수동 승인이나 수정이 필요할 수 있다"고 지적합니다. AI가 단계를 작성하지만, 사람은 여전히 이를 거부할 수 있습니다.

Kaspersky가 날짜를 매긴 순서대로 재구성한 침입 사건 하나

보고서는 캠페인 내부의 단일 사건을 다루며, 그 첫 단계는 평범한 직접 키보드 조작처럼 보입니다. 피해자 시스템의 명령은 sqlservr.exe 프로세스에서 나왔으며, 이는 {{1}}침해된 SQL Server(버전 16.0.1000){{/1}}가 유력한 침입 경로임을 시사합니다. 이후 운영자는 기본 호스트 정보를 수집하고 도구를 배포했으며 네트워크를 수동으로 매핑했습니다. 이 작업에는 {{2}}거의 하루{{/2}}가 걸렸고, 그 후 공격자들은 약 2주 동안 잠잠했습니다.

2단계에서는 속도가 달라집니다. CyberStrikeAI 에이전트가 배포된 상태에서 지속성 확보와 로컬 정찰은 "2분 이내에" 이루어졌습니다. 즉, 임플란트를 가리키는 SystemUpdate라는 예약 작업을 만들고, Windows에서는 프레임워크의 대안으로 HKCU\Software\Microsoft\Windows\CurrentVersion\Run 아래에 레지스트리 Run 키를 등록했으며, Linux에서는 그 대안으로 crontab @reboot 항목이나 ~/.bashrc의 nohup 줄을 사용했습니다. 도메인 정찰은 "이후 5시간 동안" 실행되었으며, 모델이 생성한 PowerShell 스크립트와 Active Directory에 대한 LDAP 쿼리를 사용했고, 여기에는 Kerberoasting 및 AS-REP Roasting을 준비하는 데 필요한 조회와 LAPS, Azure 및 .azcopy 디렉터리 확인이 포함되었습니다. "며칠간의 짧은 중단" 후, 최종 단계인 SMB 및 WMI를 통한 측면 이동, 대량 자격 증명 덤프, 데이터베이스 내보내기는 "1시간을 넘지 않았습니다."

Kaspersky의 요약 문장은 기억할 가치가 있습니다: 전체 공격은 "에이전트 배포부터 도메인 관리자 침해까지" 3~4일 이내에 완료되었습니다.

자격 증명 작업은 새로운 것이 아니라 잘 알려진 Windows 기법들의 목록이었습니다. reg.exe로 레지스트리 하이브를 복사해 빼냈고, 명령줄 매칭을 피하기 위해 이름 대신 프로세스 ID를 사용하여 comsvcs.dll의 MiniDump 함수를 통해 lsass.exe를 덤프했으며, 기본 제공 도메인 관리자 계정이 침해된 후에는 이름이 바뀐 Mimikatz 바이너리인 wdiag2.exe를 통해 DCSync 및 Golden Ticket 공격을 실행했습니다. 측면 이동에는 Impacket의 WMIExec, 공유 관리 폴더 및 WMI를 사용했으며, 리버스 셸 스크립트인 p1.ps1을 원격 호스트에 푸시하여 185.186.245[.]144:5501로 콜백하게 했습니다. 페이로드는 d3.b64와 같은 조각으로 분할되었고 certutil로 재조립되었으며, 하나의 비컨은 svchosts.exe로 위장했습니다.

수집은 마지막에 이루어졌습니다. 에이전트는 작업에 맞춘 SQL 쿼리를 생성했지만 실행하기 전에 데이터베이스 계정의 권한을 확인했고, 파일을 가져오기 전에 네트워크 공유를 재귀적으로 스캔했으며, 데이터를 JSON 안에 Base64로 인코딩한 채 동일한 암호화된 C2 채널을 통해 모든 것을 전송했습니다. Windows와 Linux 모두에서 스크린샷을 사용할 수 있었지만, Kaspersky의 설명에 따르면 오케스트레이터가 명령을 내렸을 때만 촬영되었습니다. 보고서는 데이터 수집이 "공격의 마지막 단계였다: 공격 체인은 거기서 끝났으며, 우리는 더 이상의 활동을 관찰하지 못했다"라고 밝혔습니다.

무엇이 빼앗겼으며, 기록이 말하지 않는 것

Kaspersky는 해당 에이전트가 교육 기관의 SQL 서버에서 데이터베이스 레코드를 내보내고 네트워크 리소스에서 파일을 수집했다고 기록하며, 그 메커니즘을 자세히 설명한다. 하지만 얼마나 많은 레코드나 파일이 유출되었는지, 내보내기가 완료되었는지, 테이블에 누구의 데이터가 있었는지는 밝히지 않는다. 2차 요약들은 이 점에서 보고서보다 더 나아간다. SecurityOnline의 글은 해당 에이전트가 "데이터베이스 테이블에서 학생 및 교직원 기록을 탈취하기 위해 표적화된 SQL 쿼리를 생성했다"고 말하지만, Kaspersky 자체 텍스트는 테이블에 무엇이 들어 있었는지 명시하지 않은 채 교육용 SQL 서버에 대한 쿼리를 설명한다. 독자는 "학생 및 교직원 기록"이라는 설명을 Kaspersky의 발견이 아니라 2차적 특성화로 취급해야 한다.

기록에서 또한 빠져 있는 사항: 피해자 중 누구든 침입 자체를 탐지했는지, 각 기관이 이후 무엇을 했는지, 영향을 받은 국가의 규제 기관이나 데이터 보호 당국에 통보되었는지, 그리고 해당 캠페인이 아직 진행 중인지. Kaspersky는 조사한 사건들에서 데이터 수집이 마지막으로 관찰된 단계였다고만 말한다. 보도자료에는 영향을 받은 조직을 위한 교정 지침이 없으며, 그 권고는 일반적으로 방어자를 겨냥한 것이다.

귀인: 증거가 뒷받침하는 것과 그렇지 않은 것

Kaspersky는 어떤 행위자도 지목할 수 없다는 점을 분명히 밝혔다. "가용 데이터만으로는 이 활동을 알려진 공격자 그룹과 연결할 수 없으며, 동일한 운영자가 두 캠페인 모두의 배후에 있다고 확신을 가지고 말할 수도 없습니다." Kaspersky가 근거로 삼는 아티팩트는 임플란트 내부의 Go 빌드 메타데이터로, 여기에는 버전 관리 해시, 커밋 시각, 변경된 작업 복사본(dirty-working-copy) 플래그가 포함되어 있으며, 이는 "특정 빌드에 대한 고유한 지문"이다. 이를 근거로 샘플은 두 그룹으로 나뉘며, 각 그룹 내에서 Windows 및 Linux 페이로드는 동일한 메타데이터를 공유하므로 같은 작업 복사본에서 나온 것임을 의미한다.

이 그룹들은 하나로 묶이지 않습니다. 이들은 “공통의 C2 인프라를 공유하지 않으며,” 두 제어 서버 세트에서는 서로 다른 버전의 CyberStrikeAI가 실행되고 있었습니다. Kaspersky는 이 사례에서 귀속이 어려운 이유를 두 가지 제시합니다. 프레임워크가 공개되어 있어 서로 다른 운영자들이 유사한 조건에서 페이로드를 독립적으로 구축했을 수 있고, 명령 자체가 모델 생성 방식이어서 그 다양성을 부풀리는 반면 행위 기반 귀속이 의존하는 개별 습관은 제거한다는 점입니다.

남아 있는 것은 단정적이기보다는 시사하는 바에 그친다. 일부 스크립트에는 중국어 주석이 들어 있었고, 공격자들은 피해자 호스트의 인터넷 접속을 확인하기 위해 중국 서비스인 dnslog[.]cn을 사용했으며, 제어 서버 재시작 대부분은—자체 서명 TLS 인증서가 시작할 때마다 메모리에서 재생성되어 not_before 필드에 재시작 시간이 기록되므로 복원할 수 있다—UTC+8 업무 시간에 발생했다. CyberStrikeAI 자체는 중국 사이버보안 커뮤니티에서 개발되었다. Kaspersky의 보도자료는 선을 분명히 긋는다. 이러한 흔적들은 "공격자의 신원이나 위치를 입증하지 못한다"며, 회사는 "이 활동을 알려진 위협 그룹에 귀속시키거나 동일한 운영자가 식별된 모든 인프라를 통제했음을 확인할 수 없었다." 중국어를 사용하는 운영자는 확인된 사실이 아니라 추론이다.

Kaspersky가 이것이 탐지 비상 상황이 아니라고 말하는 이유

보고서의 결론은 킬 체인에 LLM이 포함된다고 해서 새로운 종류의 방어가 필요하다는 생각에 반박한다. 모델이 공격자의 서버에 있기 때문에, 그것은 "인프라에 존재 흔적을 남기지 않았다(예: 로컬 LLM에 대한 특정 API 요청이나 호스트의 비정상적인 리소스 소비 패턴)." 대신 방어자들이 보는 것은 인간 형태의 침입이다: 동일한 유틸리티, 동일한 시퀀스, 동일한 이벤트 로그 항목. 카스퍼스키의 판단은 "공격 체인에 AI를 도입하는 것이 아직 탐지에 근본적으로 새로운 도전을 제시하지는 않는다"는 것이며, "잘 조정된 고전적인 상관관계 및 행동 분석 규칙으로 충분하다"고 하고, 참신함은 "방법 자체에 있는 것이 아니라 그것이 실행된 속도와 용이성에 있다"고 한다.

공개된 탐지들은 새로운 것을 만들어내기보다 그 논리를 따른다. Kaspersky Anti Targeted Attack은 임플란트의 트래픽에 대해 네트워크 판정 Backdoor.CyberStrikeAI.HTTP.C&C를 내린다. "Scanning domain records via LDAP queries"라는 이름의 네트워크 이상 탐지 규칙은 도메인 정찰을 탐지한다. Kaspersky SIEM은 보고서에 나온 기법들을 다루는 100개 이상의 규칙을 제공하며, 여기에는 DCSync, Golden Ticket, Kerberoasting 및 Impacket WMIExec가 포함된다. 또한 임플란트는 HEUR:HackTool.Win64.CyberStrike.gen 및 HEUR:HackTool.Linux.CyberStrike.gen으로 분류된다. Kaspersky가 고객에게 제공하는 지침은 일반적이다 — 엔드포인트 탐지 및 대응, 네트워크 탐지, 위협 인텔리전스, 그리고 근무 시간 외 모니터링 또는 관리형 서비스를 통한 모니터링이다.

보도자료에서 나자로프의 발언은 같은 주장을 한 문장으로 요약한 것입니다. 공격자들은 “CyberStrikeAI를 기반으로 한 AI 에이전트를 사용해 전체 공격 체인을 수행하고 침해된 네트워크 내에서 다음 단계를 상황에 맞게 조정했다”지만, “그 프레임워크는 여전히 발견, 자격 증명 덤프, 측면 이동, 수집 및 유출을 포함한 익숙한 기술과 절차에 의존했다.”

무엇이 확립되었으며, 무엇이 그렇지 않은가

분명히 말하자면, 그 메커니즘은 방어자가 내일 당장 추적에 나설 수 있을 정도로 문서화되어 있다 — sqlservr.exe에서 이어지는 프로세스 계보, SystemUpdate라는 이름의 예약 작업, comsvcs.dll을 통한 LSASS 접근, 도메인 컨트롤러가 아닌 곳에서의 DCSync, X-Implant-Token HTTP 헤더, 그리고 Kaspersky가 나열한 C2 주소까지. 하지만 그 메커니즘을 둘러싼 캠페인은 그렇지 않다. Kaspersky는 피해자 목록도, 국가별 내역도, 데이터량 추정치도, 공격 주체도 공개하지 않았다. 누가 피해를 입었고 얼마나 심각했는지에 관해 독자가 알고 싶어 할 모든 정보는 업종과 지역에서 멈춘다.

보고서에서 더 많은 내용을 기대하고 찾는 사람이라면 주목할 만한 두 가지 세부 사항이 있습니다. 첫째, Kaspersky는 이 공격을 최초가 아니라 "실제 환경에서 LLM이 관련된 침해에 관한 최초의 공개 설명 중 하나"라고 설명합니다. 이는 팀이 공개 보고서에서 확인할 수 있었던 범위로 주장을 한정하려는 신중한 표현입니다. 둘째, 보고서는 임플란트의 버전이 서버의 버전을 따라가지 않으며, 리스너 구성과 키는 운영자 업데이트 후에도 유지되고, 샘플의 빌드 날짜는 침해 기간이 아니라 가능한 가장 이른 배포 날짜만 알려준다고 지적합니다. 3~4일이라는 수치는 재구성된 한 사건에 대한 측정치일 뿐, 이러한 침입 중 하나가 누군가 알아차리기 전까지 얼마나 오래 지속되었는지에 대한 한계값이 아닙니다.