무슨 일이 있었나
Symantec은 AI 허니팟을 통해 공격자가 구축한 자율 공격 에이전트를 포착했다. 이 에이전트는 인터넷에서 노출된 LLM 엔드포인트 — 보호되지 않은 자체 호스팅 모델 서버, 유료 모델 계정 앞의 AI 게이트웨이/릴레이, 급히 배포된 내부 테스트 시스템, MCP 서버 — 를 검색하여 자체 운영을 위한 전력으로 탈취한다. 포착된 명령 세트는 74개의 호출 가능한 공격 도구 (정찰, Prisma를 통한 데이터베이스 덤프, Werkzeug 디버거 PIN을 통한 RCE, 봇넷 C2 관리)를 가진 단일 에이전트를 정의하며, 최대 100,000단계까지 무인으로 실행되도록 구성되어, 대상 스캔, 일반 웹 프레임워크 악용, 데이터베이스 및 자격 증명 탈취, 암호화폐 채굴기 설치를 수행한다. 다층 탈옥은 모델의 정체성을 재정의하고, 자격 증명 탈취를 일상적인 개발 작업으로 위장하며, 자체 안전 메시지를 무시하도록 지시한다. 피해자는 매 단계마다 모델 컴퓨팅 비용을 지불한다.
왜 중요한가
이것은 AI 스택 위에 구축된 살아있는 공격자 인프라이다: 인증되지 않았거나 자격 증명이 유출되는 모델 엔드포인트는 더 이상 단순한 비용 누수가 아니라, 공격자가 소유한 무료 워커 노드가 된다. 네트워크에 추론을 노출하거나 도난당한 제공자 키를 보유한 AI 게이트웨이 및 MCP 서버는 인터넷 전역 스캔, 악용 및 채굴의 중심축이 되며, 모델 소유자가 비용을 부담한다. 허니팟 텔레메트리는 수만 개의 주소에서 127,000개 이상의 요청을 기록했으며, 모델 엔드포인트 정찰과 API 키 스프레이가 지배적이었다.
공격 경로
노출되거나 자격 증명이 유출되는 LLM 엔드포인트 또는 게이트웨이를 스캔한 다음, 탈취된 모델을 구동하여 웹 프레임워크 스캔, 데이터베이스 덤프, 자격 증명 수집 및 채굴기 배포를 자체 지시 루프로 실행한다.
영향받는 시스템
자체 호스팅 LLM 서버, AI 게이트웨이/릴레이, MCP 서버 및 레거시 OpenAI 호환 엔드포인트가 노출되거나 키가 유출된 상태
완화 방안
모든 모델 서빙 엔드포인트 및 게이트웨이에 인증을 요구하고, 유출된 제공자 키를 순환하며, MCP 서버 노출 및 아웃바운드 네트워크 이그레스를 제한하고, 비정상적인 추론 볼륨 및 채굴 관련 활동을 모니터링하라.