12분. 최근 유럽에서 진행된 사이버 보안 시뮬레이션에서 AI 기반 자동화 공격자가 표적 네트워크에 최초로 접근한 뒤 루트 관리자 권한을 완전히 장악하기까지 걸린 시간입니다. 12분은 보안 팀의 아침 스탠드업 회의보다도 짧은 시간입니다. 보안 운영 센터(SOC)의 일반적인 경보 분류 및 우선순위 지정 절차에 걸리는 시간은 말할 것도 없습니다.
최고정보보호책임자(CISO)에게 시간적 여유가 빠르게 사라지고 있습니다. 자율형 AI 에이전트가 인간 분석가가 경보 티켓을 열어 보기도 전에 스캔, 내부 이동, 취약점 악용, 자격 증명 유출까지 수행할 수 있는 상황에서 보안 리더가 따라야 할 전략적 방향은 명확합니다. 기계의 속도로 전개되는 위협에는 기계의 속도로 작동하는 방어로 맞서야 합니다.
이처럼 대응 시간이 급격히 줄어든 배경에는 중국에서 처음 개발되어 GitHub에 오픈 소스로 공개된 공격용 멀티 에이전트 프레임워크 Artex가 있습니다. 광범위한 악용 사례가 발생하자 개발자가 공개 저장소를 삭제했지만, 해당 코드는 이미 수천 번 포크된 뒤였으며, 인터넷에서 누구나 접근할 수 있는 수백 개의 설치 인스턴스가 여전히 가동 중입니다.
다양한 유형의 공격자들이 Artex를 공격 도구로 활용했다. 한국에서는 사이버 범죄자들이 금융기관 7곳에 대한 침해를 자동화해 개인 약 6만 7,000명과 조직 2,200곳에 피해를 입히고 금전을 요구했다. 전 세계적으로는 국가와 연계된 해킹 조직들이 14개국의 통신사, 제약사, 정부기관 등 200곳 이상을 대상으로 Artex를 활용한 공격을 감행했으며, 인도에서 벌어진 공격에서는 이를 이용해 은행의 자금 이체 API를 직접 호출했다.
“자체 실험실 테스트에서 AI 기반 WAF, 악성 사용자 탐지, 봇 방어, API 스키마 적용을 함께 사용한 결과, Artex의 전체 공격 성공률이 90% 이상 감소했습니다.”
기업을 보호하려면 업계의 과장된 홍보에서 벗어나 실체를 파악해야 합니다. Artex는 독립형 초지능 모델이 아닙니다. Go로 작성된 오케스트레이션 프레임워크로, DeepSeek, Claude, Grok과 같은 상용 대규모 언어 모델(LLM)을 명령줄 도구, 스크립트, 모델 컨텍스트 프로토콜(MCP) 서버와 연동합니다.
LLM은 인지 기능을 담당하는 두뇌 역할을 하며, 응답을 분석하고 다단계 공격을 계획하며 맞춤형 익스플로잇 스크립트를 즉석에서 생성합니다. 자동화 도구는 손발 역할을 합니다. 이러한 아키텍처 덕분에 누구나 해킹을 할 수 있게 되었습니다. 과거에는 고도로 숙련된 팀이 며칠에 걸쳐 준비해야 했던 정교한 다단계 공격도 이제는 기술 수준이 낮은 공격자가 취약한 비밀번호, 다중 인증(MFA) 미적용, 외부에 노출된 API 같은 흔한 취약점을 노려 단 몇 분 만에 실행할 수 있습니다.
기계 속도로 진행되는 공격에 단일 계층 보안 통제가 실패하는 이유
F5 보안 연구원들이 Artex를 주요 AI 모델에 연결하고 실험실에서 의도적으로 취약하게 만든 애플리케이션을 대상으로 실행했을 때, 결과는 명확했습니다. 기반 LLM의 성능이 뛰어날수록 Artex는 더 빠르고 공격적으로 작동했습니다.
특히 중요한 점은 기존의 개별 방어 체계에 직면했을 때 에이전트가 어떻게 행동하는지 관찰했다는 것입니다. 대부분의 기존 보안 아키텍처는 들어오는 요청을 개별적으로 검사합니다. 애플리케이션 앞단에 Distributed Cloud용 F5 Web Application Firewall을 배치하자, 기존 시그니처가 Artex의 첫 번째 공격에 사용된 식별 가능한 웹 인젝션 페이로드를 즉시 차단했습니다. 또한 AI 기반 위험 점수 산정을 통해 시그니처 탐지와 머신 러닝을 결합함으로써 WAF는 들어오는 요청의 맥락을 더 폭넓게 평가했고, 이를 통해 보안 팀은 수동적인 모니터링에 그치지 않고 확신을 갖고 능동적인 차단을 적용할 수 있었습니다.
하지만 첫 번째 공격을 차단했다고 해서 공격이 끝난 것은 아니었습니다. Artex가 기존의 웹 취약점 공격이 차단되었음을 감지하자마자 LLM은 실시간으로 전술을 바꿨습니다. 애플리케이션의 프로그래밍 인터페이스(API) 구조를 파악하고, 고객 ID 매개변수를 조작해 다른 사용자의 비공개 계정에 접근하는 것과 같은 비즈니스 로직의 허점을 찾기 시작했습니다. 패킷을 한 번에 하나씩 검사하는 단일 지점 방화벽에는 이러한 요청이 정상적인 애플리케이션 트래픽처럼 보입니다.
여러 공격 벡터를 넘나들며 전술을 역동적으로 바꾸는 공격자를 막으려면 보안 스택 전반을 운영 측면에서 유기적으로 연결해야 합니다. F5 Distributed Cloud에서는 악성 사용자 탐지 기능이 각 요청을 개별적으로 평가하는 대신 요청의 배후에 있는 행위자를 추적하여 이러한 연결을 제공합니다. 이 기능은 WAF 위반, 금지된 접근 시도, 로그인 실패, 봇 원격 측정 데이터, 요청 속도 제한 발동 내역을 종합하여 위협 점수를 지속적으로 산출하고, 위협 수준에 비례해 JavaScript 챌린지에서 CAPTCHA, 완전 차단으로 대응 수위를 높입니다.
CISO에게 지속적인 추적은 보안 운영의 세 가지 핵심 사각지대를 해소해 줍니다. 첫째, Artex 공격 캠페인은 프록시 인프라를 끊임없이 교체합니다. 노출된 공격자 서버를 분석한 한 사례에서는 처음 테스트한 100개의 ID에서 프록시 서비스가 79개의 출구 IP 주소를 생성했습니다. 악성 사용자 탐지 기능은 IP 추적에 JA4 TLS 핑거프린트, JWT 클레임, 쿠키, 세션 헤더를 결합하여 IP 주소가 바뀌어도 동일한 공격자를 계속 추적할 수 있도록 가시성을 유지합니다.
둘째, 개별적으로는 무해해 보이는 미세한 정찰 시도들을 서로 연결합니다. 셋째, Artex는 기존 시그니처가 없는 새로운 스크립트를 즉석에서 생성하므로, 시간에 따른 행동 흐름을 추적해 제로데이 공격 시퀀스를 자동으로 차단합니다. 실험실 시뮬레이션에서는 악성 사용자 탐지와 AI 기반 WAF를 함께 사용했을 때 공격 성공률이 70% 이상 감소했습니다.
엣지에서 지속적인 신뢰 구축
에이전트형 AI 공격은 LLM의 명령을 수행하는 스크립트, 헤드리스 브라우저, 자동화 프레임워크를 통해 실행되므로 정적 규칙만으로는 대응할 수 없습니다. 보안 리더는 애플리케이션 및 API와 상호 작용하는 주체가 실제 사람인지 자동화된 머신인지 검증하여 런타임 전반에 걸쳐 지속적인 신뢰를 확보해야 합니다. F5 Distributed Cloud Bot Defense는 네 가지 개별 벡터에 걸쳐 클라이언트 텔레메트리를 검사하여 에지에서 에이전트형 자동화를 탐지합니다:
- 가상 머신 하드웨어 핑거프린팅: 자동화된 에이전트는 일반 사용자 트래픽을 모방하기 위해 가정용 프록시를 통해 트래픽을 라우팅하면서 데이터 센터의 가상 머신 내에서 고부하 작업을 수행하는 경우가 많습니다. 고급 핑거프린팅은 클라이언트 하드웨어 특성을 정밀하게 분석하여 서버급 CPU, 메모리 한도, GPU 등 데이터 센터의 가상 머신을 일반 사용자의 노트북이나 모바일 기기와 구별하는 특징을 드러냅니다.
- 사이트 탐색 경로: 사람은 웹사이트를 탐색할 때 불규칙하고 예측하기 어려운 패턴을 보입니다. 반면 자동화 에이전트는 작업을 최대한 효율적으로 수행하기 위해 일정하고 사전에 정해진 경로를 따릅니다. 특허받은 시퀀스 탐지 기술은 이러한 탐색 경로를 분석하여 자동화된 탐색을 사람의 행동과 구분합니다.
- 양식 상호작용 속도: 에이전트는 계정을 생성하거나, 로그인 정보를 테스트하거나, 양식을 제출할 때 속도를 최적화합니다. 텔레메트리 모니터링은 사람보다 빠른 입력 필드 작성과 사람이 손으로 재현할 수 없는 부자연스러운 페이지 스크롤을 감지합니다.
- 사용자 생체 정보 및 마우스 움직임 특성: 에이전트가 사람의 커서 움직임을 흉내 내려 해도, 텔레메트리 데이터에는 수학적 완벽함이 드러납니다. 직선 궤적, 매끄러운 곡선, 버튼의 정중앙을 정확히 누르는 클릭은 사람에게서 자연스럽게 나타나는 부정확성과 뚜렷한 대조를 이룹니다.
자동화된 에이전트가 경계 방어를 우회하고 노출된 인터페이스를 공격하려 할 때, F5 Distributed Cloud API Security는 결정적인 보호 계층을 제공합니다. 지속적인 API 탐지를 통해 문서화되지 않은 섀도 API를 포함한 모든 엔드포인트를 자동으로 찾아냅니다. 그런 다음 엄격한 OpenAPI 스키마 적용을 통해 각 트랜잭션에서 허용되는 정확한 데이터 구조와 인증 요건을 정의하고, Artex가 정찰 및 ID 조작 과정에서 생성하는 규격에 맞지 않거나 형식이 잘못된 페이로드를 자동으로 거부합니다.
실험실 테스트에서 AI 기반 WAF, 악성 사용자 탐지, 봇 방어, API 스키마 적용을 함께 사용한 결과, Artex의 전체 공격 성공률이 90% 이상 감소했습니다. (참고: 이 결과는 특정 실험실 구성 및 테스트 시나리오에서 도출되었습니다. 실제 성능과 공격 완화율은 개별 네트워크 환경 및 애플리케이션 아키텍처에 따라 달라집니다.)
중요한 점은 실험실에서 여전히 성공한 소수의 공격 시도가 요청자의 권한을 확인하지 않고 민감한 데이터를 반환하는 엔드포인트를 대상으로 했다는 것입니다. 이는 최고정보보호책임자(CISO)가 애플리케이션으로 들어오는 데이터뿐 아니라 애플리케이션이 반환하는 데이터도 모니터링해야 한다는 점을 분명히 일깨워 줍니다.
해킹용으로 설계되지 않은 공개 도구의 악용으로 확산되는 해킹에 대응하려면 까다로운 질문을 던져야 합니다. 외부에 노출된 모든 API를 완전히 파악하고 있으며, 각 API에 인증을 요구하고 있는가? 비즈니스 로직의 매개변수 변조에 대한 테스트를 수행했는가? 공격자가 IP를 빠르게 바꾸더라도 우리 시스템은 이들을 추적할 수 있는가? 또한 레드팀은 격리된 환경에서 검증된 도구를 실행하고 있는가? 특히 연구진이 인터넷에 노출된 Artex 설치 인스턴스 62개가 이미 백도어에 감염된 사실을 발견한 상황에서는 이러한 점검이 더욱 중요합니다.
AI 공격자는 기계의 속도로 움직이며 스스로 적응합니다. 복원력을 유지하는 기업은 웹, 봇, 사용자 행동, API 환경 전반에서 동시에 적응하는 통합된 다계층 방어 체계를 갖춘 기업일 것입니다.
스스로 진화하는 AI 위협에 맞서 방어 체계를 강화할 준비가 되셨나요? F5 Distributed Cloud에 대해 알아보거나 F5에 문의하여 애플리케이션 및 API 환경의 AI 공격 대응 준비 상태 평가를 예약하세요.
작성자 소개
Muhammad Abid는 F5에서 애플리케이션 보안 및 WAAP 제품 마케팅을 총괄하는 수석 디렉터입니다. Netskope, Cisco, Juniper, Fortinet에서 20년 이상 네트워킹 및 사이버 보안 사업의 성장을 이끌어 온 경험을 바탕으로, 현재 WAF, API 보안, 봇 방어, 포스트 양자 암호화를 아우르는 F5의 통합 WAAP 포트폴리오를 총괄하고 있습니다.
Muhammad Abid의 다른 블로그 게시물관련 블로그 게시물
대부분의 기업이 쿠버네티스 성숙 단계에 도달하지 못한 이유
F5 연구에 따르면, 프로덕션 환경에서 Kubernetes를 운영하는 기업 중 엔터프라이즈급 성숙도에 도달한 기업은 38%에 불과합니다. 나머지 기업의 성장을 가로막는 요인과 개선을 위한 출발점을 살펴봅니다.
F5 Labs AI 보안 모델 인사이트: 공격자 없이도 AI 에이전트가 데이터를 노출할 때
에이전트가 무해한 작업을 수행하려 하더라도, 에이전트의 활동 범위를 엄격하게 제한하지 않으면 예기치 않은 데이터 노출과 비즈니스 위험으로 이어질 수 있습니다.
PQC의 진전이 가리는 전반적인 준비 부족
상위 100만 개 웹사이트의 PQC 준비 현황을 다룬 F5 Labs의 새로운 2026년 보고서에 따르면, 진전이 이루어진 한편 선제적 대응은 우려스러울 정도로 부족한 것으로 나타났습니다.
CISO가 AI 보안 위험을 측정하는 방법
CASI, ARS 및 F5 Labs 위협 인텔리전스가 CISO가 전체 AI 수명 주기에 걸쳐 AI 보안 위험을 측정하는 데 어떻게 도움이 되는지 알아보세요.
F5 보고서 2026: AI 추론 시대의 도래로 이미 복잡한 IT 환경이 더욱 복잡해지다
새롭게 발표된 F5 연구에 따르면, 대다수 기업이 AI 추론을 자체적으로 수행하고 있으며 현재 기업당 평균 7개의 AI 모델을 사용하고 있습니다.
IL5/6도 당신을 지켜주지 못한다: 프롬프트 인젝션이 읽기 전용 LLM을 위협한다
LLM이 미국 국방부의 IL5/IL6 환경에 통합됨에 따라, F5 솔루션이 데이터를 보호하고 인젝션 공격을 방지하며 제로 트러스트 모델을 강화하는 방법을 알아보세요.