맥킨지 Lilli 해킹, AI 에이전트가 채팅 4,650만 건 노출

맥킨지의 Lilli가 값진 표적이었던 이유

Lilli에는 맥킨지가 아는 많은 것이 들어 있어요. 컨설팅 회사는 2023년 7월 이 생성형 AI 플랫폼을 도입했고, 회사에 따르면 직원의 72퍼센트, 4만 명 이상이 지금 써요. 챗봇은 매달 50만 건이 넘는 프롬프트를 처리해요.

컨설턴트들은 Lilli로 회사 지식 베이스에 자연어로 질문해요. 2025년 초 The Stack 인터뷰에서 당시 맥킨지 최고기술·플랫폼책임자 재키 라이트는 회사가 OpenAI 임베딩 모델로 지식을 벡터 저장소에 처리했고, 의미 검색과 키워드 검색에 Cohere의 재순위기로 결과를 다듬는다고 말했어요. 회사는 AI 자문 업무가 매출의 약 40%를 차지한다고 하고, CEO는 직원을 지원할 AI 에이전트 25,000개를 만들었다고 했어요.

CodeWall의 AI 에이전트가 맥킨지를 고르고 침투한 방법

CodeWall은 고객이 먼저 약점을 고치도록 AI 에이전트로 고객의 인프라를 공격해요. 자체 보안 에이전트가 HackerOne에 공개된 맥킨지의 책임 있는 공개 정책과 Lilli의 최근 업데이트를 이유로 맥킨지를 표적으로 제안했어요. 에이전트에게는 자격 증명이 없었어요.

에이전트는 엔드포인트 200개가 넘는 목록이 있는 공개 API 문서를 찾았고, 그중 22개는 인증이 필요 없었어요. 열린 엔드포인트 하나가 사용자 검색어를 기록했고, 필드 이름인 JSON 키가 SQL에 이어 붙었어요. 에이전트는 그 필드 이름이 데이터베이스 오류 메시지에 그대로 반영되는 것을 보고 표준 도구가 표시하지 못할 SQL 인젝션을 알아봤어요. CodeWall에 따르면 그 뒤 실제 운영 데이터가 돌아오기 시작할 때까지 열다섯 번의 블라인드 반복을 돌렸어요.

CodeWall 창업자 폴 프라이스는 The Stack에 침해에 두 시간과 토큰 20달러가 들었다고 말했어요. The Register에는 과정이 "표적 조사, 분석, 공격, 보고까지 완전히 자율적"이었다고 말했어요.

에이전트가 Lilli 안에서 닿은 것

CodeWall은 두 시간 안에 에이전트가 운영 데이터베이스에 대한 전체 읽기·쓰기 권한을 얻었다고 해요. 집계로는 전략, 인수합병, 고객 업무에 관한 채팅 메시지 4,650만 건이 평문으로 저장돼 있었고, 파일 72만 8,000개, 사용자 계정 5만 7,000개, AI 어시스턴트 38만 4,000개, 작업 공간 9만 4,000개도 있었어요.

이 수치는 CodeWall의 것이에요. 보안 분석가 에드워드 킬레지안은 공격 사슬이 "그럴듯하고 기술적으로 타당하다"고 했지만 주장한 영향 범위는 "충분히 입증되지 않았다"고 말했어요. 맥킨지 관계자는 파이낸셜타임스에 기초 파일은 따로 저장돼 있어서 "전혀 위험하지 않았다"고 말했어요.

쓰기 가능한 시스템 프롬프트가 위험을 키우는 이유

챗봇이 답하는 방식을 정하는 지시문인 Lilli의 시스템 프롬프트 95개가 같은 데이터베이스에 있었고, 결함은 쓰기를 허용했어요. 공격자가 이를 조용히 다시 쓸 수 있었고, 그러면 새 코드나 표준 보안 경보 없이 Lilli가 컨설턴트에게 답하는 방식, 따르는 안전장치, 출처를 인용하는 방식이 바뀌었을 거예요.

"배포가 필요 없어요. 코드 변경도 필요 없어요. HTTP 호출 한 번에 담긴 UPDATE 문 하나면 돼요." — CodeWall, Lilli의 프롬프트가 다시 쓰일 수 있었던 방식에 대해

맥킨지가 공개에 대응한 방식

CodeWall의 에이전트는 2월 말 결함을 찾았고, 연구자들은 3월 1일 전체 공격 사슬을 공개했어요. 3월 2일까지 맥킨지는 인증 없는 엔드포인트를 모두 패치하고, 개발 환경을 오프라인으로 돌리고, 공개 API 문서를 막았어요.

맥킨지 대변인은 회사가 몇 시간 안에 문제를 고쳤다고 말했어요. 회사는 유수의 제3자 포렌식 업체가 지원한 조사에서 연구자나 다른 권한 없는 제3자가 고객 데이터나 고객 기밀 정보에 접근한 증거를 찾지 못했다고 해요. 프라이스는 맥킨지 팀이 게시 전에 CodeWall의 블로그 글을 교정하고 수정했다고 말했어요.

침해가 사내 AI 도구를 가진 기업에 의미하는 것

결함은 새롭지 않았어요. CodeWall은 Lilli가 2년 넘게 운영 중이었고 맥킨지의 내부 스캐너가 문제를 찾지 못했다고 해요. 프라이스는 OWASP ZAP 스캔도 놓쳤다고 말해요. AI 계층이 구멍을 만든 게 아니라 구멍의 비용을 키웠어요.

기업에는 과제가 분명해요. 사내 어시스턴트는 그것을 둘러싼 웹 애플리케이션의 모든 약점을 물려받아요. 노출된 API 문서, 인증 없는 엔드포인트, 사용자 데이터 옆에 저장된 프롬프트는 일상적인 버그를 수천 명의 직원이 듣는 내용을 바꾸는 수단으로 만들어요. 프라이스는 공격자도 같은 에이전트 기법을 금전 갈취나 랜섬웨어 같은 목적으로 쓸 거라고 경고했어요.

질문과 답변

AI 에이전트는 맥킨지의 Lilli를 어떻게 해킹했나요?

CodeWall의 에이전트는 공개 API 문서를 찾았고, 인증이 필요 없는 엔드포인트 22개 중 하나를 쓰며, JSON 키가 데이터베이스 쿼리에 이어 붙는 방식의 SQL 인젝션을 알아봤어요. 이후 오류 메시지가 실제 운영 데이터를 흘렸어요.

Lilli 침해로 맥킨지 고객 데이터가 노출됐나요?

CodeWall은 에이전트가 기밀 고객 데이터에 닿을 수 있었다고 해요. 맥킨지는 제3자 포렌식 업체가 지원한 조사에서 연구자나 다른 권한 없는 사람이 고객 데이터에 접근한 증거를 찾지 못했다고 해요.

맥킨지의 Lilli 플랫폼은 무엇인가요?

Lilli는 2023년 7월에 출시된 맥킨지의 사내 생성형 AI 플랫폼이에요. 회사 지식 베이스로 컨설턴트의 질문에 답하고, 회사는 직원의 72퍼센트가 쓴다고 해요.