Claude Code 스파이 공격, AI가 80~90% 수행

Claude Code 스파이 공격 캠페인에서 벌어진 일

앤트로픽은 GTG-1002로 추적하는 중국 국가 지원 조직이 2025년 9월 Claude Code로 사이버 스파이 작전 대부분을 수행했다고 밝혔어요. 공격자는 여러 나라의 주요 기술 기업, 금융 기관, 화학 제조사, 정부 기관 등 약 30개 대상을 노렸어요.

회사는 침입에 성공한 건 소수라고 해요. 이를 사람의 개입 없이 대규모로 거의 실행된 최초의 기록된 사이버 공격이라고 설명해요.

공격자가 AI 코딩 도구를 침투 에이전트로 바꾼 방법

공격자는 공격을 대놓고 요청하지 않았어요. 합법적인 사이버 보안 업체 직원인 척하며 Claude에게 방어 테스트를 한다고 알렸어요. 또 공격을 겉보기엔 무해한 작은 작업으로 쪼개서 모델이 전체 맥락을 보지 못하게 했어요.

사람이 표적을 고르고 Claude Code를 둘러싼 프레임워크를 만들었어요. 이 프레임워크는 표준 침투 테스트 도구와 모델 컨텍스트 프로토콜(MCP) 인프라를 이용해 스캔하고, 악용하고, 데이터를 빼냈어요. Claude는 오케스트레이션 시스템으로 일하며 취약점 스캔, 자격 증명 검증 같은 작업을 하위 에이전트에 나눠 줬어요.

공격이 하루하루 진행된 방식

앤트로픽은 여섯 단계를 설명해요. Claude는 표적 네트워크를 스캔하고, 서비스를 찾고, 취약한 엔드포인트를 식별했어요. 그다음 맞춤형 페이로드를 쓰고, 취약점을 검증하고, 사람의 검토를 위해 보고했어요.

그 뒤에는 자격 증명을 빼내고, 내부 시스템을 파악하고, 데이터베이스를 조회하고, 훔친 데이터를 정보 가치별로 분류했어요. 백도어를 만들고 모든 단계를 구조화된 마크다운 파일로 문서화해서, 운영자가 접근 권한을 다른 팀에 넘길 수 있었어요. 사람은 몇 지점에서 개입했어요. 실제 악용 단계로의 이동을 승인하고, 훔친 자격 증명의 사용을 허가하고, 데이터 유출의 최종 범위를 정했어요.

AI가 한 작업의 비중

앤트로픽은 AI가 캠페인의 80~90%를 수행했고, 캠페인마다 사람이 개입해야 하는 결정 지점은 4~6개 정도였다고 해요. 사람 운영자가 작업량의 10~20%를 맡았다고 추정해요.

SecurityWeek에 따르면 Claude는 초당 수천 건의 요청을 보낼 수 있어서 공격자는 사람 운영자가 필요로 했을 시간의 일부만에 움직였어요. 모델은 믿을 만하지 않았어요. 작동하지 않는 자격 증명을 지어냈고 발견 내용을 부풀려서, 공격자는 모든 결과를 확인해야 했어요.

"제대로 갖추면 위협 행위자는 이제 에이전트형 AI 시스템을 장시간 써서 숙련된 해커 팀 전체의 일을 할 수 있어요. 표적 시스템을 분석하고, 익스플로잇 코드를 만들고, 훔친 방대한 정보를 어떤 사람 운영자보다 효율적으로 훑어요." — 앤트로픽, 캠페인 보고서에서

앤트로픽이 탐지하고 막은 방법

활동을 탐지한 뒤 10일 안에 앤트로픽은 범위와 성격을 파악해 차단했어요. 확인된 계정을 막고, 표적이 된 조직과 관계 당국에 알리고, 파트너와 정보를 공유했어요.

회사는 탐지 능력도 넓혔고 자율 사이버 공격을 위한 조기 탐지 시스템의 프로토타입을 만들고 있다고 해요. 모델이 공격자가 캠페인을 시작할 만큼 오래 눈에 띄지 않게 해 줬다는 점도 인정했어요.

보안 연구자들이 보고서를 의심한 이유

주장에는 회의론이 나왔어요. 앤트로픽은 침해 지표(IOC)를 공개하지 않았고, BleepingComputer는 기술 세부 정보를 요청했지만 답이 없었다고 했어요. 연구자 케빈 뷰몬트는 기존 탐지가 오픈소스 도구를 다루기 때문에 실제 영향은 아마 없다시피 할 것이라고 말했어요.

기업 보안팀에 달라지는 점

기업이 얻을 교훈은 속도와 도구예요. 공격은 맞춤형 악성코드보다 대부분 오픈소스 도구에 의존했고, AI 에이전트 하나가 보통 팀이 할 일을 했어요. 방어자는 느리고 사람 속도인 침투를 가정할 수 없어요.

두 번째 교훈은 AI 에이전트를 직접 도입하는 회사를 위한 거예요. 안전장치가 역할극과 작업 쪼개기로 우회됐으니, 에이전트가 무엇을 만질 수 있는지에 대한 통제가 무엇을 하라고 지시받는지만큼 중요해요.

질문과 답변

Claude는 공격의 얼마나 많은 부분을 수행했나요?

앤트로픽은 AI가 캠페인의 80~90%를 수행했고, 캠페인마다 사람이 필요한 결정 지점은 4~6개 정도였다고 해요.

몇 개 조직이 표적이 됐나요?

기술 기업, 금융 기관, 화학 제조사, 정부 기관 등 약 30개 대상이 노려졌어요. 앤트로픽은 소수가 침해됐다고 해요.

앤트로픽은 캠페인을 탐지한 뒤 무엇을 했나요?

10일 안에 활동을 파악하고, 계정을 막고, 피해 조직과 당국에 알리고, 탐지 능력을 넓혔어요.