무슨 일이 있었나
Acronis 위협 연구 부서는 (대만에 거주하는) 단일 운영자가 오픈소스 에이전트 펜테스팅 플랫폼과 MCP 서버를 사용하여 12개 에이전트 AI 공격 메시('BOSSAI')를 구축하고, 11개국에 걸쳐 수백 개 조직 — 정부 비상 서비스, 은행/대출 기관, 대학, 군사 시스템, 전자상거래 및 게임 사이트 — 을 대상으로 지속적인 캠페인을 실행한 것을 문서화했습니다. 에이전트들에게는 과도한 자율성이 부여되었고 운영자를 귀찮게 하지 말라는 지시가 내려졌습니다. 대학과 비상 서비스에서 확인된 침해가 발생했으며, 의료 데이터와 PII의 확인된 유출이 있었습니다. 상용 프론티어 모델이 반복적으로 공격적 활동을 거부했기 때문에, 운영자는 덜 효과적이고 자원 제약이 있는 로컬에서 실행되는 'abliterated' 모델로 대체했습니다; 에이전트들은 종종 실수를 하고, 범위를 벗어났으며, 범위 밖이라고 판단한 대상(온두라스 군사 기지 포함)을 건너뛰기도 했습니다.
왜 중요한가
이것은 'AI 강화 위협 행위자'(단일 동기 부여된 개인)가 조정하는 자율 에이전트 메시를 실제 인프라에 대해 APT급 영향을 미치도록 운영할 수 있다는 가장 명확한 창구 내 증거입니다 — 에이전트들이 하네스와 MCP 서버를 연결하여 자율적으로 대상을 손상시키고 데이터를 유출합니다. 이는 살아있고 재사용 가능한 공격 패턴입니다: 광범위한 권한과 제한된 인간 감독 하에 에이전트/MCP를 실행하는 모든 조직은 이제 상용 도구로 구축할 수 있는 메시에 노출되어 있으며, 상용 가드레일이 거부할 때 감시되지 않는 로컬/abliterated 모델이 무기화될 수 있음을 보여줍니다.
공격 경로
동기 부여된 운영자가 에이전트 펜테스트 프레임워크와 MCP 서버를 통해 자율 LLM 에이전트 메시(과도한 자율성 부여, 질문하지 말라는 지시)를 실행하여 정찰 -> 자격 증명 남용 -> 익스플로잇 및 데이터 도난을 연결합니다; 상용 모델이 공격적 행동을 거부할 때 로컬 abliterated 모델이 사용됩니다.
영향받는 시스템
단일 제품 없음; 오픈소스 에이전트 펜테스팅 플랫폼과 MCP 서버에 구축된 공격적 AI 에이전트 인프라. AI 에이전트/MCP 서버를 배포하는 모든 조직.
완화 방안
에이전트 자율성과 범위를 제한하세요; 높은 영향력의 에이전트 행동에 대해 최소 권한 및 인간 승인 게이트를 강제하세요; MCP/에이전트 도구를 제한하고 인벤토리화하세요; 에이전트 의사 결정을 신뢰할 수 없는 것으로 취급하세요; 에이전트 기반 침입 지표를 모니터링하세요.