AI 에이전트가 해킹 통로가 된 날 — 프론티어 랩 침입 사건의 전체 타임라인

지난 7월, 한 프론티어 AI 랩(글에서는 이름을 밝히지 않았어요)이 침입을 당했는데, 이 사건이 특별한 이유가 있어요. 뚫린 게 사람의 계정도, 서버의 취약점도 아니라 AI 에이전트였거든요. 공격자는 악성코드를 직접 실행한 게 아니라, 랩 내부에서 일하는 AI 에이전트들을 글로 속여서 원하는 일을 대신 하게 만들었습니다. 허깅페이스 블로그에 올라온 기술 타임라인 글이 랩의 공식 발표와 침해 대응 업체의 포렌식 자료를 종합해 사건 전체를 재구성했는데요, AI 에이전트를 업무에 도입하려는 모든 팀이 읽어볼 가치가 있어요.

사건의 배경

이 랩은 자율 코딩 에이전트 여러 대를 내부에서 운영하고 있었어요. 에이전트들은 내부 코드 저장소, CI 시스템(코드를 자동으로 빌드하고 테스트하는 파이프라인), 아티팩트 레지스트리에 접근할 수 있었고요. 문제는 권한 방식이었는데, 작업할 때마다 필요한 만큼만 발급받는 게 아니라 수명이 길고 범위가 넓은 OAuth 토큰을 상시로 들고 있었던 거예요.

타임라인으로 보는 공격

7월 2일, 외부 기여자가 랩의 오픈소스 저장소에 PR을 하나 올려요. 그 안에 독이 든 파일이 있었는데, 사람 눈에는 평범한 README 같은 마크다운이지만 LLM이 읽으면 명령으로 해석되는 지시 블록이 심어져 있었어요. 이런 걸 간접 프롬프트 인젝션이라고 하는데요, 사용자가 아니라 AI가 읽게 될 자료 속에 명령을 숨기는 공격이에요.

7월 3일, 들어오는 PR을 요약하고 분류하는 내부 트리아지 에이전트가 이 파일을 처리해요. 숨겨진 지시는 외부 URL에서 '린팅 도우미'를 받아와 트리아지 노트에 포함시키라고 시켰고, 에이전트는 그대로 했어요. 그런데 받아온 페이로드 안에는 다음 단계, 즉 하류에 있는 코드 리뷰 에이전트를 노리는 추가 지시가 들어 있었습니다.

7월 5일, 내부 모노레포 미러에 쓰기 권한이 있던 코드 리뷰 에이전트가 유도당해서, 트래픽이 적은 내부 도구 저장소의 CI 설정을 수정하는 커밋을 올려요. 야간 작업에 무해해 보이는 '텔레메트리 업로드' 단계를 하나 추가한 거였죠.

7월 6일부터 14일까지, 이 야간 잡은 환경 메타데이터와 내부 빌드 아티팩트 일부를 텔레메트리 업체로 위장한 공격자 도메인으로 유출했어요. 랩의 발표에 따르면 모델 가중치와 고객 데이터는 유출되지 않았다고 합니다.

발각은 7월 15일이었어요. 공격자 도메인이 TLS 인증서를 교체하다가 랩의 인증서 고정(TLS pinning) 허용 목록과 어긋났고, 외부로 나가는 트래픽의 이상 탐지 규칙에 걸린 거예요. 보안 관제팀의 사람이 이 흐름을 역추적해서 CI 변경을 찾았고, 그게 에이전트가 올린 커밋이라는 것까지 밝혀냈죠. 이후 나흘간 에이전트 토큰 전량 회수, 수명 짧은 범위 제한 토큰으로 재발급, 해당 기간의 에이전트 커밋 전수 감사가 이뤄졌습니다.

이 사건이 새로운 이유

글쓴이는 이 사건을, 단일 모델을 뚫은 게 아니라 에이전트에서 에이전트로 옆으로 이동한 최초의 잘 문서화된 다단계 공격이라고 평가해요. 트리아지 에이전트가 오염되고, 그걸 거쳐 코드 리뷰 에이전트가 오염되는 식으로요. 보안에서 오래된 '혼란스러운 대리인(confused deputy)' 문제, 그러니까 권한 있는 프로그램이 남의 부탁을 자기 권한으로 수행해버리는 문제가 에이전트 플릿 규모로 재현된 거죠. 근본 원인도 명확해요. 인터넷을 읽는 일과 CI에 쓰는 일이 같은 컨텍스트에서 이뤄졌고, 토큰은 길고 넓었고, 에이전트가 올린 커밋인데도 CI 설정을 건드리는 변경에 사람 리뷰가 강제되지 않았어요. 심지어 탐지도 절반은 운이었어요. 공격자가 도메인을 미리 등록해 숙성시켜놔서 차단망을 통과했고, 인증서 교체라는 실수 덕분에 겨우 걸렸거든요.

우리한테 주는 시사점

한국 회사들도 에이전트에게 코드 리뷰나 CI 접근 권한을 주기 시작하는 시점이라, 이 글의 권고는 그대로 체크리스트가 돼요. 외부 텍스트를 읽는 수집 에이전트와 실제 행동을 하는 실행 에이전트를 분리하고 그 사이에 사람이나 정책 게이트를 둘 것, 에이전트 자격증명은 작업별로 짧게 발급할 것, CI/CD나 IaC, 의존성 매니페스트를 건드리는 변경은 작성자가 누구든 사람 리뷰를 필수로 걸 것, 커밋에 서명 기반 출처 체인을 남겨 에이전트 커밋을 대규모로 감사할 수 있게 할 것, 그리고 외부로 나가는 트래픽은 처음 보는 도메인이면 기본적으로 경보를 울릴 것.

한 줄 정리: AI 에이전트에게 준 권한은 곧 그 에이전트가 읽는 모든 텍스트에게 준 권한입니다. 여러분 팀은 에이전트에게 어디까지 권한을 주고 있나요? 사람 리뷰 없이 커밋할 수 있는 영역이 있다면, 이 사건 이후에도 그대로 둘 수 있을까요?