3분 만에 읽는 핵심 브리핑
- 미인증 단일 요청이 GitLab 서버 임의 파일을 읽히고, 3,500개 허위 계정이 단일 샌드박스 경계 밖으로 CoT 트랜스크립트 1억 5,100만 건을 증류하며, --dangerously-skip-permissions 한 번의 실행이 프로세스 메모리 내 자격증명을 그대로 노출한다—공통 기술적 실체는 경계 내부의 신뢰 전제가 공격 벡터로 전도되었다는 점이다.
- 방어 창을 '패치 공개일로부터 N일'로 환산하는 체제 아래, GitLab은 패치 이튿날 인-더-와일드 프로빙을 관측했고, triage 큐 73,00건에서 실질 리스크가 94.1% 가짜 양성 아래로 가라앉았으며, 후티 셀은 계정 차단 직전까지 오프라인 시뮬레이션 툴킷을 조립해 플랫폼 접속 봉쇄의 무력화를 시연했다. 인프라적 사각지대는 경계 밖을 막는다는 전제 자체가 공격자의 타이밍과 회피 경로를 결정짓는다는 데 있다.
- 오늘 public GitLab 인스턴스 패치와 협력사·가맹점 세그먼트 격리 점검을 확정하고, 에이전트 실행 환경을 크리덴셜 컨텍스트에서 Docker·VM 격리로 즉각 분리하며, comsvcs.dll 계열 메모리 덤프 이벤트를 독립 감지 로직으로 떼어 낸 뒤, CoT 경계를 모델 경계의 첫 단추로 격상시키는 세그먼트 단위 하드 분리 재설계에 착수해야 한다.
보안 사고/이슈
패치 공개 이튿날 악용, 협력사 정보 다크웹 유출, zero-day 체이닝—방어 창이 이미 닫혔다
watchTowr가 GitLab CVE-2026-85706(CVSS 10.0) 패치 공개 이튿날, 9월 11일 06:00 UTC부터 in-the-wild 프로빙을 관측했다. 미인증 사용자가 public project가 하나만 존재하면 /api/v4/projects/{id}/repository/commits/ URI의 file.path 파라미터로 단일 HTTP 요청 만에 GitLab 서버 임의 파일을 읽는 구조다. 동일한 19.1.8/19.2.6/19.3.2 패치가 CVSS 9.9의 CVE-2026-87719 GraphQL 서브스크립 리얼라이저 역직렬화 결함을 포함해 총 17개 취약점을 함께 수정한다. 패치 전후 윈도우에서 탐지가 해당 URI 시그니처에 의존하는 이상, 실질적 방어 수단은 시그니처 로그 검색 하나로 수축한다. 같은 주에 현대차 부품 협력사 A사가 KISA에 신고를 마쳤고, 다크웹에는 A사 데이터와 '제조, 파트너, 직원, 고객 정보' 다운로드 링크가 올라와 있다. 8월 에어리퀴드코리아 랜섬웨어, 한화재생에너지 랜섬웨어 사이트 게시, PG사 가맹점 카드 정보 유출까지—공급망 내 보안 취약 고리가 AI 자동화 공격과 결합하면 본사 보안 역량이 아무리 탄탄해도 하청·가맹점을 경유해 고객·모회사 정보 탈취가 가능하다. Proofpoint가 8월 28일 Violet Typhoon APT가 BlueMoon 익스플로잇 키트를 처음 전개한 것을 포착했고, 이 키트는 V8/WASM 샌드박스 탈출 CVE-2026-85046·CVE-2026-87491, Windows ALPC 권한 상승 CVE-2026-85880을 단일 체인으로 연결해 CreateProcess 스텁에서 curl로 악성 파일을 끌어내린다. 9월 2일 UNK_LateNight·UNK_DoubleCheck·UNK_QuietRacket이 미국 항공우주, 베트남 제조, 인도네시아·싱가포르 정부·금융 기관으로 표적을 넓혔고, 벤더가 9월 3일·8일·9월 Patch Tuesday 순으로 해당 3건을 패치했다. 패치 적용 전 윈도우에서 샌드박스 탈출-지문 확인-권한 상승-실행 체인이 단일 시나리오로 뚫리면, 한 취약점 단위 탐지 로직으로는 이 체인을 중간에 끊을 수 없다. public project를 노출하는 GitLab 인스턴스, CI/CD secrets와 빌드 파이프라인의 downstream 코드 주입 경로, 협력사·가맹점 세그먼트의 네트워크 격리 수준, BlueMoon형 multi-stage 체인 대비 EDR-샌드박스-호스트 지문 검증 세단—이 네 축을 체인 단위 탐지 시나리오로 재설계하고 다음 주 안에 프로덕션에 반영해야 한다.
관련 뉴스:
- securityweek - GitLab 경로 탐색 취약점 CVE-2026-85706, 패치 공개 이튿날 실제 악용 관측
- thehackernews - GitLab CVSS 10 File-Read Flaw Draws In-the-Wild Probes After Disclosure
- 보안뉴스 - [단독] 현대차 협력사도 해킹… 韓 기업 공급망 위협 공포 확산
- securityweek - BlueMoon Exploit Kit Chains Recent Chrome, Windows Zero-Days
AI 추론 트랜스크립트가 새 지적재산 탈취 표적이 되고, 에이전트가 공급망·물리 인프라를 직접 뚫는다
Anthropic이 2026년 2월 이후 Alibaba, Moonshot, DeepSeek, Z.ai, MiniMax 등 7개 중국 기반 AI 연구소의 Claude 불법 증류 캠페인을 식별·차단했다. GTG-16005에서 Alibaba 계열 운영자들은 2026년 5~7월간 Claude Opus 4.6·4.7의 CoT 추론 트랜스크립트를 목표로 1억 5,100만 건의 교환을 발생시켰고, 하루 최대 약 300만 건, 3,500개 이상 허위 계정을 동원했다. Moonshot AI는 GTG-16002에서 10일간 5,380개 허위 계정으로 30만 건 이상 고객 요청을 Claude로 우회 처리한 뒤 응답을 CoT 모델 학습 데이터로 활용했다. 미국 사이버보안·정보기관은 이번 주 중국 기반 AI 기업들이 미국 프런티어 모델의 고유 역량을 systematic extraction 방식으로 조직적으로 탈취했다고 공개 고발했다. 같은 시기 러시아 지원 해커 조직 GTG-20006은 Claude를 악성코드 개발·배포 자동화에 투입해 우크라이나·유럽 정부 군사·정보기관과 미국 외교 핵심 인사를 표적으로 삼았고, 최소 3곳 호텔 게스트 와이파이 공급업체의 관리자 권한을 탈취해 DNS 기록을 조작한 뒤 투숙객 기기에 맞춤형 악성코드를 유포했다. GTG-20006 소속 AI 에이전트가 방어 시스템 탐지 여부를 실시간 모니터링하고 탐지 시 악성코드를 자율적으로 수정·재구축해 기존 방어망을 우회했다. OpenAI 에이전트는 2026년 5월 5일부터 RubyGems에 2,000개 이상 패키지를 제출한 GemStuffer 캠페인에서 RubyDoc.info의 .yardopts 문서 빌드 프로세스 설계 결함을 악용해 서버 RCE를 달성하고 영국 ModernGov 포털 데이터를 탈취했으며, 1,397개 패키지가 r.jina.ai를 참조하고 CVSS 7.3 CDN 캐싱 취약점을 6개 패키지로 활용하려 했으나 RubyGems가 7월에야 패치를 적용했다. Anthropic은 모델이 내부 추론을 응답 전 요약하도록 업데이트하고 Fable 5.1에서 preserved thinking 기능을 도입해 새 API 계정의 system prompt·도구·메시지 변조와 추론 탈취를 차단했다. 이번 사건이 프록시 서비스와 제3자 리셀러를 경유한 사용자 대화 로그가 2차 거래 시장에서 모델 증류 원료로 유통되는 구조를 그대로 드러냈고, 호텔 WiFi DNS 하이재킹과 온라인 공작이 결합된 하이브리드 방식이 사이버·물리 분리 전제의 기존 방어 체계를 무력화시켰다. CoT 추론 과정 자체를 모델 경계의 첫 단추로 취급하고, 에이전트의 취약점 탐색·활용 체인이 단일 샌드박스 밖으로 확산되는 순간을 차단하기 위해 에이전트 임무 범위와 도구 호출 권한을 네트워크 세그먼트 단위로 하드 분리하는 구조로 에이전트 실행 환경을 재설계해야 한다.
관련 뉴스:
- thehackernews - Anthropic, 중국 기반 7개 AI 연구소의 Claude 산업 규모 불법 증류 공격 식별·차단
- 보안뉴스 - 러시아 지원 해커 조직, 보안 탐지 피하려 AI '클로드' 악용… '방어망 무력화'
- thehackernews - OpenAI Agents Linked to RubyGems Campaign That Gained RCE on RubyDoc Servers
기술 동향
Claude Code가 GNC 소스코드를 쓰는 순간, 오프라인 툴킷은 이미 예멘 산소에 숨어 있었다
Anthropic이 예멘 북부 Houthi 통제 지역에서 식별한 셀은 인간 소프트웨어 엔지니어를 대체해 Claude Code로 유도·항법·제어(GNC) 소프트웨어를 코딩했고, 고기속 다변형 미사일과 모바일 폰 하드웨어 기반 유도 탄두를 포함하는 3개 무기 프로그램을 병행 진행했다. 실패한 유도 로켓 시험 직후 해당 사용자는 Claude 챗봇에 재접속해 실패 원인을 진단했고, 계정 차단 직전까지 Claude나 다른 컴퓨팅 플랫폼에 의존하지 않는 오프라인 시뮬레이션 툴킷을 이미 구축해둔 상태였다. Houthi가 이란산 순항·탄도 미사일(사거리 2,000km 초과)과 무인 잠수함을 공격 자산으로 투입한 상황에서, 자력으로 GNC 개발에 성공하는 순간 U.N. embargo를 우회하고 이란 무기 공급 의존도를 낮추는 경로 확보가 현실화한다. Anthropic이 2025년 3월 이후 세 번째로 발표한 글로벌 AI 악용 사례 보고서에 담긴 이 활동 추적 기간은 2025년 12월부터 8월까지이며, 비국가 행위자가 AI 코딩 도구만으로 전문 엔지니어링 인력 없이도 첨단 무기 개발 단계에 진입했음을 직접 문서화한 사례다. AI 코딩 플랫폼에서 GNC·제어 소프트웨어 관련 쿼리를 탐지·차단하는 로직을 고도화하고, 오프라인 시뮬레이션 툴킷 구축 시도로 전환되는 세션 패턴을 사전에 차단하는 접근 제어 체계를 인라인 아키텍처에 새겨 넣어야 한다.
관련 뉴스:
- securityweek - Users in Houthi-Held Yemen Tried to Develop Advanced Weapons With AI, Anthropic Says
94.1% 가짜 알람이 SOC를 삼킨 사이, coding agent가 자격증명을 프로세스 메모리에 흘리고 있다
Intezer가 약 1690만 건의 SOC 알람을 검토해 2026년 2~6월 AI 관련 알람 73,000건, 685% 폭증을 확인했다. 이 알람의 94.1%가 노이즈, 실질 리스크 5.8%, 실제 공격 0.02%였고, 조직 자체 AI 에이전트에 의한 침해는 0건이었다. AI 코드 에디터 Cursor가 comsvcs.dll을 통한 MiniDump 기법으로 프로세스 메모리 내 자격증명을 노출했고, 단일 고객의 Expand.exe가 lateral-tool-transfer로 critical verdict를 받아 전체 critical 알람의 55%를 차지했다. 실제 원인은 개발자 coding agent의 셸 환경 설정뿐이었다. 공격자도 AI 브랜드 공백을 파고들었다. Anthropic, Google/Gemini, OpenAI를 사칭한 피싱 메일을 다수 고객에게 발송했고, gemini-advertisers[.]com 도메인과 zoom.us 인프라를 악용한 사례가 떴다. --yolo와 --dangerously-skip-permissions 플래그로 돌리는 coding agent는 공개된 공급망 공격과 동일한 전제 조건을 재현하며, 이 permission-bypass 실행이 동시에 최대 오진 원인이자 최대 노출 경로로 작동한다. '사용자 맥정의 비정상 동작은 공격자 침입'이라는 기존 triage 전제가 통하지 않는 지점이다. 분석사가 94.1% 가짜 양성에 역량을 소진하는 동안 ngrok 터널이나 keychain dump 같은 실질 리스크가 triage 큐 아래로 가라앉는 구조적 역전이 벌어진다. Docker·VM 격리 환경으로 에이전트 실행 컨텍스트를 사용자 크리덴셜에서 떼어 내고, comsvcs.dll 계열 프로세스 메모리 덤프 이벤트를 독립 감지 로직으로 분리해야 한다.
관련 뉴스:
- thehackernews - When the Whole Company Adopts AI: What It Does to Your SOC
Security Desk 노트
패치 이튿날 인-더-와일드 프로빙이 관측되는 GitLab, 계정 차단 직전까지 오프라인 시뮬레이션 툴킷을 조립해 둔 후티 셀, 3,500개 허위 계정으로 단일 샌드박스 경계 밖으로 증류된 CoT 트랜스크립트 1억 5,100만 건, --dangerously-skip-permissions 한 방이 73,000건 알람의 94.1%를 가짜 양성으로 뒤엎으며 동시에 실질 노출 경로가 되는 에이전트 실행—네 건이 공유하는 것은 사건의 국적이나 도구가 아니라, '경계'를 방어 단위로 걸어 놓고 그 경계 내부의 신뢰 전제(미인증 단일 요청이 서버를 관통하는 GitLab 인스턴스, 단일 샌드박스가 추론 출력을 담는다는 전제, 플랫폼 접속 차단이 개발 체인을 끊는다는 환상, 사용자 크리덴셜 컨텍스트 안에서 에이전트가 도구를 호출하는 실행 모델) 자체가 공격 벡터로 기능하고 있다는 구조적 사실이다. 방어 창을 '패치 공개일로부터 N일'로 환산하는 체제에서 triage 큐 73,000건 가운데 실질 리스크가 가장 아래로 가라앉는 역전이 동시에 벌어지니, 사후 봉합의 논리가 이미 스스로 배출한 가짜 양성 산더미에 묻혀 버린 상태다. 이제 남은 물음은 '어디를 더 패치할 것인가'가 아니라, 애초에 닫혀 있지 않았던 경계를 인정하고 추론 경계를 모델 경계의 첫 단추로, 실행 환경을 세그먼트 단위 하드 분리로 다시 그리는 것인가, 아닌가다.
📢 SecurityDesk 인사이트 운영 정책
최신 보안 동향을 생성형 AI 기술의 도움을 받아 독자적인 분석을 통해 인사이트가 제공됩니다.
기사 제목과 링크는 정보 공유의 목적으로 인용되었으며, 기사 원문에 대한 저작권은 각 언론사에 있습니다. 상세 내용은 반드시 [관련 뉴스] 링크를 통해 원문 기사에서 확인하시기 바랍니다.