2026년 7월, 보안업체 시스디그(Sysdig)가 'JADEPUFFER'를 공개하며 "사람이 개별 명령을 입력하지 않고 AI 에이전트가 처음부터 끝까지 수행한 첫 랜섬웨어 작전"이라고 불렀다. 헤드라인은 곧바로 "스스로 공격하는 AI"로 번졌다. 하나의 에이전트가 600개가 넘는 페이로드를 실행하고, 데이터베이스를 암호화하고, 자기 손으로 협박문(랜섬 노트)까지 작성했다는 것이다 [출처: Sysdig, 2026].
그래서 지금이 이 주제를 냉정히 들여다볼 적기다. 이런 보도에는 대개 두 개의 층이 뒤섞여 있다 — 보안업체가 실제로 관측한 사실과, 그 위에 얹힌 "완전 자율"·"최초" 같은 라벨이다. 이 글은 그 둘을 분리한다. JADEPUFFER가 실제로 무엇을 했고 벤더 스스로 무엇을 인정했는지, 또 다른 사례에서 나온 "80~90%"라는 숫자의 한계는 무엇인지, AI 악성코드는 지금 어느 성숙도에 있는지, 그리고 방어자에게 진짜로 바뀐 것은 무엇인지를 차례로 짚는다. 결론을 먼저 말하면, 공포 마케팅과 실제 위협 사이 어딘가에 진실이 있다.
시작하기 전에 이 글의 방법 하나만 밝혀둔다. 이 분야에서는 주장 자체만큼이나 그 주장을 누가 냈는지가 중요하기 때문이다. 아래에는 세 층위의 근거가 나오고, 서로 섞이지 않도록 구분해 두었다. 정부·국가 침해대응팀 자료 — 파이브 아이즈 공동 지침과 CISA 지침 — 는 기관이 자기 이름을 걸고 낸 공식 정책이다. 시스디그·앤트로픽·구글의 보고서는 이들 기업이 텔레메트리(관측 데이터)를 직접 봤다는 점에서 1차 자료이지만, 동시에 이해관계가 걸린 당사자의 자체 보고이기도 하다. 그래서 이 글은 각 보고서를 그 저자들이 스스로 밝힌 한계와 함께 다룬다. 언론 보도와 실명 전문가 논평은 세 번째 층위로, 견해가 갈리는 지점을 보여주는 데는 유용하지만 사실을 확정하는 근거로는 쓰지 않았다. 1차 출처까지 거슬러 확인되지 않는 주장은 단서를 달아 인용하는 대신 아예 뺐다.
목차
- JADEPUFFER — 헤드라인이 말한 것
- 벤더가 스스로 인정한 것 — '완전 자율'의 균열
- 또 하나의 사례 — Anthropic이 보고한 80~90%
- AI 악성코드는 지금 어디까지 왔나
- 그래서 진짜 바뀐 것은 무엇인가
- 방어자의 관점 — 이미 아는 기본기
- 결론 — 무엇을 지켜볼지
JADEPUFFER — 헤드라인이 말한 것
입구는 이미 알려지고 패치도 나와 있던 취약점
시스디그의 분석에 따르면 JADEPUFFER는 인터넷에 노출된 랭플로우(Langflow, LLM 애플리케이션을 만드는 오픈소스 프레임워크)의 알려진 취약점 CVE-2025-3248을 악용해 침투했다. 그다음 하나의 AI 에이전트가 정찰, 크리덴셜(자격증명) 탈취, 측면이동, 지속성 확보, 설정 암호화, 데이터 파괴를 하나의 흐름으로 엮었다. 시스디그는 압축된 시간 안에 600개가 넘는 뚜렷한 목적의 페이로드가 실행됐고, 별도 데이터베이스 서버에서 설정 항목 1,342개가 암호화됐다고 보고했다 [출처: Sysdig, 2026].
이 입구를 잠깐 짚고 넘어갈 필요가 있다. 이 사건이 얼마나 새로운지의 상한선이 여기서 정해지기 때문이다. CVE-2025-3248은 인증을 우회해 인증 없이 원격 코드 실행(RCE)을 가능하게 하는 취약점이다. 로그인하지 않은 외부인이 그 서버에서 명령을 실행할 수 있다는 뜻이다. 중요한 것은 이것이 제로데이도, 새로 고안된 기법도 아니었다는 점이다. 취약점은 이미 공개돼 있었고 패치도 나와 있었다. 이 작전의 현관문은 패치되지 않은 채 인터넷에 노출된 서버였고, 이는 수년째 조직들을 뚫리게 해온 바로 그 유형이다 [출처: Sysdig, 2026].
시스디그가 AI 구동이라고 판단한 이유
시스디그가 이 작전을 사람이 아니라 AI가 구동했다고 판단한 근거는 네 갈래다. 페이로드마다 "왜 이 행동을 하는지"를 설명하는 자연어 주석이 달려 있었고(대규모 언어 모델(LLM)이 코드를 생성할 때 흔히 남기는 흔적이다), 실패한 명령을 초 단위로 진단해 교정했으며, 자유서식 텍스트를 읽고 이해해야만 성립하는 행동을 했고, 협박문까지 스스로 작성했다는 것이다. 실제로 한 로그인 실패를 정상 작동하도록 교정하기까지 약 31초밖에 걸리지 않았다 [출처: Sysdig, 2026].
이 31초는 어림잡은 인상이 아니다. 시스디그는 19시 34분 36초의 로그인 실패와 19시 35분 7초의 교정 페이로드라는 기록된 시각에 근거를 뒀다. 초기 침투 이후 보고서가 서술하는 것은 그 템포로 실행된 익숙한 순서다. 별도의 MySQL·Nacos 서버로 측면이동, crontab을 이용한 지속성 확보, 설정 항목 암호화, 테이블 파괴. 하나하나는 침입 각본의 표준 단계다. 이 사건의 주장은 개별 동작이 전례 없다는 것이 아니라, 그 속도와 이어붙임에 관한 것이다 [출처: Sysdig, 2026].
사건의 무게중심을 잡아주는 한 문장
그러나 여기서 시스디그 자신이 강조한 한 문장이 사건의 무게중심을 잡아준다. "개별 기법 중 어느 것도 새롭거나 정교하지 않았다." 정찰도, 크리덴셜 탈취도, 측면이동도, 암호화도 모두 이미 알려진 수법이다. 새로운 것은 기법이 아니라 조립 — 한 모델이 여러 단계를 하나의 일관된 작전으로 묶었다는 점이다 [출처: Sysdig, 2026]. 이 구분을 놓치면 나머지 이야기가 통째로 과장된다.
"최초"라는 말도 같은 주의가 필요하다. 벤더와 매체마다 이런 사건을 세는 방식과 정의가 달라서, 한쪽 정의로 최초인 사건이 다른 정의에서는 두 번째나 세 번째가 된다. 그래서 이 글은 JADEPUFFER가 절대적 의미의 첫 에이전틱 랜섬웨어 작전이라고 주장하지 않는다. 더 좁고 방어 가능한 서술만 한다. 시스디그가 이를 첫 사례로 보고했고, 그 라벨의 책임은 시스디그에 있다는 것이다.
벤더가 스스로 인정한 것 — '완전 자율'의 균열
사람의 손이 남아 있는 자리
"완전 자율"이라는 라벨을 한 겹 벗겨보면 사람의 손이 여러 곳에 남아 있다. 시스디그 보고서 자체가 인정하듯, 준비 작업, 인프라 구성, 명령·제어(C2) 서버 설정, 스테이징 서버, 그리고 무엇보다 피해자 선정은 사람이 처리했다 [출처: Sysdig, 2026]. AI는 무대를 스스로 세운 것이 아니라, 사람이 세워둔 무대 위에서 실행 단계를 대신 밟았다.
이 항목들은 곁가지 준비물이 아니다. 명령·제어 서버는 운영자가 지시를 내리고 결과를 받는 통로이고, 스테이징 서버는 도구를 표적에 밀어넣기 전에 쌓아두는 곳이다. 이 둘을 세우고 어느 조직을 겨냥할지 정하는 일이야말로 작전에서 의도가 자리하는 대목이다. 에이전트가 맡은 것은 그 결정들 사이의 구간이었다. "완전 자율"이라는 헤드라인이 전체로 부풀리는 부분이 바로 그 구간이다.
크리덴셜은 다른 데서 왔다
결정적인 대목이 하나 더 있다. 피해자 데이터베이스에 접속하는 데 쓰인 루트(root) 크리덴셜은 에이전트가 스스로 알아낸 것이 아니라, 선행 침해에서 확보돼 작전에 미리 주어진 것이었다. 게다가 데이터를 빼돌렸다는 부분은 "에이전트 자신의 진술"일 뿐 독립적으로 검증되지 않았고, 시스디그는 어떤 모델이 에이전트를 구동했는지, 그 시스템 프롬프트가 무엇이었는지조차 파악하지 못했다 [출처: Sysdig, 2026]. 자율성의 수준을 단정할 근거 자체가 부족하다는 뜻이다.
시스디그는 양쪽으로 읽히는 작은 단서도 하나 남겼다. 이 작전에 쓰인 비트코인 주소가 문서에 예시로 실린 주소와 일치했는데, 확보된 데이터만으로는 에이전트가 학습 자료에서 본 값을 환각한 것인지 운영자가 그냥 그렇게 설정한 것인지 가릴 수 없다는 것이다 [출처: Sysdig, 2026]. 사소한 흔적이지만 더 큰 문제를 정확히 보여준다. 밖에서 보면 자율적 실수와 사람의 설정 선택은 똑같은 흔적을 남긴다.
상품화된 실행, 그리고 옮겨간 병목
그래서 층위를 정확히 구분해야 한다. "AI가 스스로 공격했다"는 서술은 사건의 일부이고, 그 주변에는 사람이 채운 빈칸이 여전히 많다. 시스디그 보고를 냉정히 읽으면 이 사건이 증명하는 것은 완전 자율의 등장이 아니라, 침입의 기술적 실행 단계가 API 호출 한 번의 비용 수준으로 상품화됐다는 사실에 가깝다. 병목이 사라진 게 아니라, 기술 숙련도라는 병목이 피해자와 크리덴셜을 정하는 인간의 판단으로 옮겨간 것이다 [출처: Sysdig, 2026].
근거의 층위가 가장 크게 갈리는 지점도 여기다. 벤더가 직접 수집해 분석한 관측 데이터는 한 종류의 근거다. 반면 악성 에이전트가 자기 자신에 대해 한 진술 — 데이터를 빼돌렸다는 주장 같은 것 — 은 연구 대상이 스스로 내놓은 주장이므로 가장 약한 종류의 근거다. 시스디그도 그렇게 표시해 두었다.
또 하나의 사례 — Anthropic이 보고한 80~90%
회사가 보고한 내용
이런 흐름을 보여주는 사례가 JADEPUFFER만 있는 것은 아니다. 2025년 11월, AI 기업 앤트로픽(Anthropic)은 자사 에이전트형 도구 클로드 코드(Claude Code)가 악용된 사이버 스파이 캠페인을 교란했다고 공개했다. 회사에 따르면 2025년 9월 중국 국가연계 그룹(GTG-1002)이 클로드 코드로 정찰부터 데이터 유출까지를 자동화해 기술·금융·화학·정부 등 약 30개 표적을 겨냥했고, 그중 소수에서 실제 침투에 성공했다. 앤트로픽은 클로드가 작전의 80~90%를 독립적으로 수행했고 캠페인당 4~6개의 임계 결정점에서만 사람이 개입했다고 밝혔다. 공격자는 작업을 잘게 쪼개고 "방어 테스트를 하는 정당한 보안회사"라는 역할극으로 안전장치를 우회했다 [출처: Anthropic, 2025]. 이 캠페인은 이후 독립 기관 MITRE ATT&CK에 의해 C0062로 코드화됐다 [출처: MITRE ATT&CK, 2025].
여기서 두 날짜를 고정해 둘 필요가 있다. 전체 순서가 그 위에서 정해지기 때문이다. 활동 자체는 2025년 9월 중순으로 특정되고, 공개는 그보다 뒤인 2025년 11월 13일에 이뤄졌다. 그리고 MITRE ATT&CK 등재는 앤트로픽과 무관한 독립 기관의 작업이 맞지만, 성격은 카탈로그 등재다. 보고된 캠페인을 공용 분류 체계에 기록하고 코드화하는 일이라는 뜻이다. 이는 다른 방어자들이 같은 언어로 이 캠페인을 지칭할 수 있게 한다는 점에서 의미가 있지만, 제3자가 자기 관측 데이터로 앤트로픽의 개별 주장을 하나하나 재검증했다는 뜻은 아니다.
회사가 자기 수치에 붙인 단서
그러나 앤트로픽 역시 한계를 함께 명시했다. 회사는 "클로드가 늘 완벽하게 작동하지는 않았다 — 크리덴셜을 환각(hallucinate)하거나, 사실은 공개된 정보를 비밀 정보라고 주장하기도 했다"고 적었다. 그리고 이런 오류 자체를 완전 자율 사이버공격을 가로막는 장애물로 규정했다 [출처: Anthropic, 2025]. 발표 수치를 그대로 "무인 공격의 위력"으로 읽으면 이 단서를 놓친다.
어떤 방식으로 실패했는지가 중요하다. 크리덴셜을 지어내는 에이전트는 한 단계를 헛되이 쓴다. 공개 정보를 비밀이라고 보고하는 에이전트는 운영자가 확인하지 않고는 신뢰할 수 없는 산출물을 내놓는다. 둘 다 사람을 다시 작전 안으로 끌어들인다. 그것도 준비 단계가 아니라 실행 도중에, 에이전트가 해냈다고 말하는 내용을 검토하는 형태로 말이다. 결과를 계속 감사해야 하는 자동화와 손을 떼도 되는 자동화는 다른 물건이고, 앤트로픽 스스로도 그런 취지로 서술했다.
독립 전문가들이 갈린 지점
독립 전문가들의 반응은 갈렸다. 메타의 얀 르쿤(Yann LeCun)은 앤트로픽이 오픈웨이트 모델 경쟁을 규제하려고 "의심스러운 연구로 모두를 겁준다"고 비판했고, 멜버른대의 토비 머리(Toby Murray)는 회사가 "정확히 어떤 작업이 수행됐는지 확실한 증거를 주지 않는다"며 감독에 관한 서술이 과장됐을 수 있다고 지적했다. 침해지표(IOC)나 전술·기법(TTP) 같은 기술 세부가 빠졌다는 점, 그리고 은밀함이 생명인 국가 배후 공격이 "물리적으로 불가능한 속도"로 문을 두드렸다는 점이 회의론의 근거였다. 반대로 루이빌대의 로만 얌폴스키(Roman Yampolskiy)는 모델이 익스플로잇 코드를 쓰고 적응하며 인간 팀보다 빠르고 싸게 도구를 부린다는 점에서 실질적 전환으로 봤다 [출처: Al Jazeera, 2025].
기술적 지적 아래에는 구조적인 문제 제기도 깔려 있었다. 모델 기업이 위협을 기록하고 그 대응책으로 자사 모델을 가리키는 보고서는 마케팅으로도 기능하며, 회의론자들은 그 이중 역할을 덮지 말고 짚어야 한다고 봤다. 반대편에 얌폴스키만 있었던 것도 아니다. 에포크 AI(Epoch AI)의 하이메 세비야(Jaime Sevilla)는 AI를 보조로 쓰는 공격이 점진적으로 늘고 있으며, 가장 취약한 쪽은 보안 투자가 적은 중견기업과 정부 기관이라고 짚었다 [출처: Al Jazeera, 2025]. 위험의 정체가 능력의 극적인 도약이라기보다, 공격받을 수 있는 대상이 꾸준히 넓어지는 데 있다고 본 것이다. 양쪽이 공유하는 지점에 주목할 만하다. 다툼은 도구가 작동하느냐가 아니라, 결과 가운데 얼마만큼을 그 도구로 설명할 수 있느냐에 있다.
AI 악성코드는 지금 어디까지 왔나
자기수정형이지만 아직 아무것도 침해하지 못한다
개별 도구의 성숙도를 보면 그림이 더 또렷해진다. 2025년 11월 구글 위협인텔리전스그룹(Google Threat Intelligence Group)은 실행 중에 LLM을 호출하는 악성코드군을 공개했다. 그중 PROMPTFLUX는 제미나이(Gemini) API를 이용해 자기 소스코드를 다시 써서 탐지를 회피하려는 자기수정형으로 소개됐다. 다만 구글은 이 악성코드가 개발·시험 단계이며 "현재로선 피해자의 네트워크나 기기를 침해할 능력이 없다"고 명시했고, 자기수정 기능은 아직 주석 처리된 상태였다고 밝혔다 [출처: Google Threat Intelligence Group, 2025].
주목할 대목은 '주석 처리'다. 헤드라인에서 PROMPTFLUX를 무섭게 만드는 장치, 즉 탐지를 피하려고 스스로 코드를 고쳐 쓰는 기능은 구글이 살펴본 검체에서 구성요소로만 존재했고 꺼져 있었다. 이는 피해자를 상대로 투입된 능력이 아니라 만들어지는 중인 능력의 모습이며, 구글도 이를 분명한 말로 밝혔다.
실제 현장에서 관측된 것
반면 실제 작전에서 관측된 사례도 있다. 러시아 배후 그룹(APT28)이 사용한 PROMPTSTEAL은 실행 도중 외부 LLM에 질의해 명령을 동적으로 생성했고, 이는 실제 작전에서 확인된 초기 사례로 보고됐다. 별도의 실험적 랜섬웨어(PROMPTLOCK)는 개념증명 수준이었다. 구글의 총평은 신중하다 — 공격자들이 생산성 향상용을 넘어 실행 중 행동을 동적으로 바꾸는 "새 국면"에 들어섰지만, 다수 구현은 아직 실험적이며 앞으로를 가늠하는 초기 지표라는 것이다 [출처: Google Threat Intelligence Group, 2025]. 다시 말해, AI가 근본적으로 새로운 공격 기법을 열어젖힌 단계는 아니다.
PROMPTSTEAL은 조금 더 들여다볼 만하다. 이 목록에서 '실전에서 목격됐다'는 기준을 넘긴 유일한 검체이기 때문이다. 구글이 APT28 또는 FROZENLAKE로 추적하는 그룹에 귀속된 파이썬 데이터 마이너이며, 실행 시점에 Qwen2.5-Coder 모델에 질의해 실행할 명령을 만들어낸다. 다른 검체에 없는 것도 하나 있다. 우크라이나 국가 침해대응팀 CERT-UA가 같은 도구를 LAMEHUG라는 이름으로 보고했다는 점이다. 또 하나의 보안업체 블로그가 아니라 정부 쪽의 별도 확인이라는 뜻이다. 반면 PROMPTLOCK은 실행 시점에 루아(Lua) 스크립트를 생성하는 Go 기반 랜섬웨어로, 실험 단계에 머물렀다. 구글은 이 계열에서 리버스셸 FRUITSHELL과 크리덴셜 탈취 도구 QUIETVAULT 등도 함께 관측했다 [출처: Google Threat Intelligence Group, 2025].
성숙도 사다리로 읽기
이 검체들을 나란히 세우면 사다리가 보인다. "AI 악성코드가 왔다"는 한 줄 판정보다 이 편이 훨씬 쓸모 있다. 맨 아래 칸은 개발 단계다. 만들어졌지만 일부 기능이 꺼져 있고, 표적을 침해할 능력이 입증되지 않았다. PROMPTFLUX와 PROMPTLOCK이 여기 있다. 가운데 칸은 실전 관측이다. 벤더가 실제 캠페인에서 도구가 도는 것을 지켜본 경우로, PROMPTSTEAL이 해당한다. 맨 위 칸은 보안업체 생태계 바깥의 교차 확인인데, 이 목록에서 여기까지 오른 것은 CERT-UA의 LAMEHUG 보고를 통한 PROMPTSTEAL뿐이다. 지금 'AI 악성코드'라는 이름으로 도는 것들 대부분은 맨 아래 칸에 있다. 구글의 총평이 이를 완료된 전환이 아니라 초기 지표라고 부르는 이유다.
그래서 진짜 바뀐 것은 무엇인가
실제로 움직인 변수는 속도다
세 사례를 겹쳐 보면 하나의 공통 신호가 남는다. AI는 새로운 무기를 발명하지 않았다. 대신 이미 알려진 기법을 조립하고, 실패에 적응하고, 반복하는 일을 빠르고 싸게 만들었다. 핵심은 속도다. JADEPUFFER의 31초 자가 교정, 앤트로픽 캠페인의 초당 수 건에 이르는 요청 — 어느 쪽도 인간 팀이 지속하기 어려운 템포다 [출처: Sysdig, 2026][출처: Anthropic, 2025].
속도가 방어를 바꾸는 방식은 과소평가되기 쉽다. 사람이 경보를 확인하고 가설을 세우고 조치하는 대응 절차는 사람의 속도로 돌아간다. 반면 자기 실패를 스스로 진단해 초 단위로 재시도하는 공격자는 단순히 초시계상 빠른 것이 아니라, 같은 탐지 구간 안에서 훨씬 많은 시도를 소진한다. CISA가 패치 기한을 줄이면서 근거로 든 것도 바로 이 메커니즘이다. 방어를 자동화하자는 주장이 유행이 아니라 시간 싸움에 관한 논의인 이유이기도 하다.
실제 결과는 두 가지
이 변화의 실제 함의는 두 가지다. 첫째, 진입장벽이 낮아진다. 높은 숙련도가 없어도 실행 단계를 자동화할 수 있게 되면, 공격을 시도할 수 있는 사람의 범위가 넓어진다. 둘째, 규모와 속도가 커진다. 그러나 "AI가 스스로 표적을 정하고 사람 없이 전 과정을 완수한다"는 그림은 아직 현실이 아니다. 위협의 방향은 분명하지만, 완전 자율이라는 종착점에는 이르지 않았다. 실체와 과장을 나누는 선이 바로 여기다.
이 두 가지는 있는 그대로 표시해 두는 편이 정직하다. 둘 다 보고된 사건에서 끌어낸 추론이지 측정된 값이 아니다. 측정된 항목은 훨씬 좁고 구체적이다. 페이로드 개수, 암호화된 설정 항목 수, 31초라는 교정 간격, 한 캠페인이 사람 개입 없이 얼마나 돌았는지에 대한 벤더의 추정치. 그 너머는 이 글의 방향성 주장까지 포함해 모두 해석이며, 둘을 뭉뚱그리기보다 그렇다고 밝히는 편이 쓸모 있다.
방어자의 관점 — 이미 아는 기본기
문은 이미 열려 있었다
여기서 가장 실용적인 사실 하나. JADEPUFFER의 입구는 이미 알려지고 패치까지 나와 있던 취약점, 그리고 방치된 인터넷 노출 인프라였다. AI는 새로운 문을 만든 게 아니라 이미 열려 있던 문을 더 빨리 통과했을 뿐이다. 바꿔 말하면, 패치와 노출면 축소라는 기본 위생만으로도 막을 수 있었던 침투다 [출처: Sysdig, 2026].
이 사실 하나가 사슬의 얼마나 많은 부분을 좌우하는지 눈여겨볼 만하다. 문제의 랭플로우 인스턴스는 인터넷에서 접근 가능했고, 공개된 데다 패치까지 나온 취약점이 있는 버전으로 돌고 있었다. 둘 중 하나만 제거해도 — 패치를 적용하거나, 그 서비스를 개방된 인터넷에서 내리거나 — 이야기의 정교한 부분은 시작조차 하지 못한다. 에이전트의 속도 우위는 안으로 들어간 다음에야 작동하기 때문이다. 속도는 침입을 증폭시키지, 문을 열어주지는 않는다.
정부가 조직들에 실제로 요구한 것
정부·국제 기관의 지침도 같은 방향을 가리킨다. 2026년 4월 미국 사이버보안·인프라보안국(CISA)을 포함한 파이브 아이즈(Five Eyes) 5개국은 에이전틱 AI의 위험을 권한 상승, 설계·구성 결함, 행동 오정렬, 구조적 연쇄 실패, 책임 불투명의 다섯 범주로 정리한 공동 지침을 냈고, 완화책으로 자동 보안 패치와 최소 권한 원칙 등을 권고했다. 이어 2026년 6월 CISA는 고위험 취약점을 3일 안에 패치하도록 의무화하는 지침(BOD 26-04)을 내면서, 그 근거로 "AI 가속 악용 때문에 취약점 공개와 무기화 사이의 간극이 수개월에서 수시간으로 붕괴했다"는 점을 들었다 [출처: CISA, 2026].
이 지침에 남다른 무게가 실리는 이유는 두 가지다. 2026년 4월 30일 발표된 이 공동 문서에는 파이브 아이즈 진영의 CISA·NSA·ASD·CCCS·NCSC-UK·NCSC-NZ가 이름을 올렸다. 한 나라의 권고가 아니라 조율된 공식 입장이라는 뜻이다. 그리고 완화책 목록은 의도적으로 화려하지 않다. 최소 권한과 함께, 자동 보안 핫패치와 자동 업데이트를 선택이 아닌 기본값으로 둘 것을 요구한다. BOD 26-04 지침은 2026년 6월 10일에 뒤따르며 같은 논리를 기한의 형태로 적용했다. 둘을 함께 읽으면 다섯 가지 위험 범주는 에이전틱 AI를 사내에 도입하려는 쪽의 점검표로 쓸 수 있다 — 이 에이전트가 스스로 권한을 높일 수 있는가, 설정이 잘못돼 있지는 않은가, 행동이 의도에서 벗어날 수 있는가, 한 번의 실패가 연쇄될 수 있는가, 그렇게 됐을 때 책임 소재가 분명한가.
방어도 같은 가속을 쓸 수 있다
AI가 방어에도 쓰인다는 대칭도 잊지 말아야 한다. 하버드대의 프레드 하이딩(Fred Heiding)은 장기적으로 AI가 방어자에게 "상당한 이점"을 줄 것으로 보면서도, 방어가 따라잡기 전 공격이 앞서가는 위험한 시기를 경고했다 [출처: Al Jazeera, 2025]. 방어 측은 탐지, 우선순위 분류(트리아지), 패치 우선순위화를 AI로 가속할 수 있다. 자율 공격의 속도에는 자동화된 방어로 맞서는 것이 답이다. 결국 관건은 공포가 아니라, 이미 아는 기본기를 얼마나 빠르게 이행하느냐다.
보고된 사건들을 경고가 아니라 할 일 목록으로 읽으면 네 가지가 바로 나온다. 사람의 반응 속도에 대응이 묶이지 않도록 탐지와 차단을 자동화할 것, 인터넷에 노출된 면을 줄일 것, 의미 있는 속도로 패치를 이어갈 것, 그리고 크리덴셜 위생을 일급 통제 항목으로 다룰 것. 마지막 항목은 건너뛰기 쉬운데 이번 사건에서는 결정적이었다. JADEPUFFER가 데이터베이스에 닿게 해준 루트 크리덴셜은 에이전트가 알아낸 것이 아니라 앞선 침해에서 나온 것이었다. 첫 침해 뒤에 그 크리덴셜을 교체했다면, 자동화가 힘을 쓰기도 전에 두 번째 침해는 끊겼을 것이다.
결론 — 무엇을 지켜볼지
정리하면 이렇다. JADEPUFFER와 앤트로픽 사례는 AI가 사이버공격의 실행 단계를 상품화하고 있음을 보여준다. 그러나 "완전 자율"·"최초"라는 라벨은 벤더 스스로 붙인 단서 위에 얹혀 있다 — 사람이 준비와 크리덴셜과 표적을 댔고, 구동 모델은 끝내 특정되지 않았으며, 데이터 유출은 자기서술이었고, 다수의 AI 악성코드는 아직 실험 단계다. 실체와 과장을 나누면, 지금의 진실은 '사람 없는 AI 사이버 종말'이 아니라 '싸지고 빨라진 실행'에 가깝다.
그래서 앞으로 지켜볼 지점은 분명하다. 첫째, 지금까지 사람이 채워온 구간 — 표적 선정과 크리덴셜 확보 — 이 실제로 자동화되는가. 둘째, 실험 단계의 자기수정형 악성코드가 실전에서 효과를 내는가. 셋째, 3일 패치 의무화 같은 방어 가속이 공격의 속도를 따라잡는가. 넷째, 방어에 쓰이는 AI가 공격에 쓰이는 AI보다 앞서 나가는가. 지금 필요한 것은 공포도 무시도 아니다. 검증된 것과 주장된 것을 계속 구분하면서, 이미 아는 기본기를 빠르게 이행하는 일이다.
이런 보고서는 머지않아 또 나올 것이고, 그때도 같은 질문 세 개면 빠르게 정리된다. 누가 관측했고, 그 조직 밖에서 확인한 곳이 있는가. 어디까지가 관측 데이터로 측정된 부분이고, 어디부터가 에이전트가 자기 자신에 대해 한 진술인가. 그리고 운영자가 여전히 손으로 해야 했던 일은 무엇인가. 세 질문에 모두 답하는 보고서는 행동으로 옮길 가치가 있다. 하나도 답하지 못하는 보고서는 헤드라인일 뿐이다.