공격이 1,400대를 12분 만에 잠갔다: 에이전트 랜섬웨어가 온 지금, 방어도 에이전트로 짜야 한다

방어 팀이 알림을 확인하기도 전에 상황이 끝났다. 보안 업체 Sysdig가 공개한 공격 작전 JADEPUFFER에서, AI 에이전트가 침투부터 확산까지 랜섬웨어 사슬을 스스로 실행해 1,400개 엔드포인트를 12분 만에 암호화했다. Sysdig는 이를 처음 문서화된 "에이전트형 랜섬웨어"로 부른다.

들어간 문은 새 취약점이 아니었다. 공격자는 Langflow의 원격 코드 실행 취약점 CVE-2025-3248을 뚫고 초기 접근을 잡은 뒤, 컨테이너로 격리한 지휘 서버 안에서 미세조정한 무검열 Llama 4 70B를 돌렸다. 사람이 한 일은 표적 선정, 지휘 인프라 구성, 초기 자격증명 제공까지였다. 그 뒤 실제 침투와 확산은 에이전트가 이어갔다.

한눈에 보기

사건	JADEPUFFER, Sysdig가 공개한 첫 에이전트형 랜섬웨어
침해 규모	엔드포인트 1,400대를 12분 만에 암호화
초기 침투	Langflow RCE CVE-2025-3248
공격 엔진	미세조정 무검열 Llama 4 70B, 격리 지휘 서버
방어 사례	앨버타 주정부가 Claude로 취약점 탐지·패치, 평균 대응시간 단축

사람 속도로는 못 막는다

이 사건의 핵심은 완전 자율이냐 아니냐가 아니다. 초기 세팅은 사람이 했다. 진짜 위협은 속도다. 예전 같으면 침투 후 확산까지 며칠에서 몇 시간이 걸렸고, 그 사이 방어 팀이 로그를 보고 대응할 창이 있었다. 에이전트는 실패하면 몇 초 안에 다른 기법으로 갈아타며 사슬을 이어간다. 12분이면 사람이 첫 알림을 열어 상황을 파악하는 시간에 불과하다.

비용 구조도 바뀐다. 과거 이런 공격은 숙련된 침투 인력이 붙어야 가능했다. JADEPUFFER는 에이전트 대여 비용 수준이면 사슬 대부분이 돌아간다는 걸 보여준다. 공격의 진입 장벽이 사람의 실력에서 토큰값으로 내려온 것이다.

이 변화가 표적의 범위를 넓힌다. 침투 인력을 고용해야 했던 시절엔 공격자가 큰 조직을 골라 수지를 맞췄다. 인건비가 토큰값으로 바뀌면 계산이 달라진다. 방어가 허술한 중소 규모 대상을 자동으로 대량 훑는 쪽이 오히려 남는 장사가 된다. JADEPUFFER가 노린 곳도 대기업이 아니라 유럽의 중견 물류 업체였다. 보안 인력이 얇은 소규모 팀일수록 이 자동화된 대량 사냥의 사정권에 정확히 들어간다는 뜻이다.

방어도 같은 도구로 짠다

같은 주 Anthropic은 반대편 사례를 냈다. 캐나다 앨버타 주정부가 Claude로 정부 시스템의 취약점을 찾아 고치는 워크플로다. 코드 저장소를 훑어 취약점을 찾고, 심각도와 악용 가능성으로 우선순위를 매기고, 높은 우선순위 건에 대해 패치 후보를 만들고, 감사에 바로 쓸 수 있는 조치 기록을 남긴다. 앨버타는 예전 수동 검토 대비 평균 대응시간이 크게 줄었다고 밝혔다.

공격을 굴린 능력과 방어를 굴리는 능력이 같은 종류라는 게 요점이다. 에이전트가 12분에 1,400대를 잠글 수 있으면, 스캔에서 우선순위, 패치 초안까지도 에이전트가 사람 손보다 빠르게 돌릴 수 있다.

앨버타 워크플로에서 눈여겨볼 건 자동화의 범위다. 취약점을 찾고 우선순위를 매기는 데서 멈추지 않고, 패치 후보 생성과 감사용 기록까지 이어진다. 보안 업무의 병목은 보통 발견이 아니라 그 뒤다. 어느 것부터 고칠지 정하고, 실제 수정안을 만들고, 왜 그렇게 조치했는지 기록으로 남기는 과정이 사람 손을 많이 탄다. 에이전트가 이 뒷단을 초안까지 끌고 오면, 사람은 검토와 승인에만 붙어 처리량이 늘어난다. 앨버타가 평균 대응시간을 줄였다고 밝힌 대목이 바로 이 지점이다.

무엇을 먼저 붙일 것인가

작은 팀이 당장 할 수 있는 건 화려한 위협 탐지 시스템 구축이 아니다. JADEPUFFER가 뚫은 문이 알려진 취약점 CVE-2025-3248이었다는 사실이 방향을 알려 준다. 기본기부터다. 의존성에 알려진 취약점이 있는지 배포마다 자동으로 훑고, 나온 결과를 심각도와 실제 악용 가능성 순으로 정렬하고, 상위 몇 건에 대해 에이전트가 수정 초안을 만들어 사람이 검토하게 하는 흐름이면 충분히 시작이 된다. 공격자가 알려진 구멍을 노리는 한, 알려진 구멍을 빨리 닫는 것만으로도 대부분의 자동 공격을 막는다.

anyAX 관점

코딩 에이전트로 출시 속도를 몇 배로 올린 AI 우선 팀일수록 이 뉴스가 남 일이 아니다. 배포가 빨라진 만큼 공격 표면도 같은 속도로 늘었고, 상대는 이제 CVE-2025-3248 같은 알려진 구멍을 12분 만에 훑는 에이전트다. 사람 둘이 밤에 로그를 보는 방식으로는 그 속도를 못 따라간다.

그렇다고 보안팀을 새로 채용하라는 얘기가 아니다. 출시 파이프라인에 방어 에이전트를 붙이라는 것이다. 앨버타가 보여준 순서, 즉 저장소 스캔, 심각도·악용 가능성 기준 우선순위, 패치 후보 생성, 감사용 기록을 배포 전 단계로 넣으면, 소규모 팀도 알려진 취약점을 사람보다 빠르게 닫을 수 있다. 리스크 대응을 사고가 난 다음의 수습이 아니라 배포 흐름에 처음부터 심어 두는 설계, 그게 12분짜리 공격 시대에 1인 팀이 버티는 방식이다.

한 가지 더. 에이전트로 빠르게 만든 서비스일수록 스스로 만든 코드의 취약점을 모른 채 넘어가기 쉽다. 코딩 에이전트는 동작하는 코드를 잘 만들지만, 그 코드가 안전한지까지 항상 챙기지는 않는다. Langflow 같은 오픈소스 부품을 붙여 빠르게 조립한 스택은 편한 만큼 남의 취약점을 그대로 물려받는다. 방어 에이전트를 붙인다는 건 결국 가져다 쓴 오픈소스와 내가 생성한 코드 양쪽을 배포 전에 한 번 더 훑게 만드는 습관이다. 공격자가 토큰값으로 사슬을 돌리는 시대에, 방어의 진입 장벽도 똑같이 낮아졌다는 점이 그나마 다행이다. 문제는 그 낮아진 장벽을 넘어 실제로 파이프라인에 심어 두느냐다.