<!doctype html>
AI를 활용하는 해커들의 등장 — 구글 GTIG 보고서 분석
구글 클라우드 위협 인텔리전스 그룹(GTIG, Google Threat Intelligence Group)이 11월 6일 발표한 최신 보고서에 따르면, 전 세계 해킹 조직들이 인공지능(AI)을 단순한 생산성 도구가 아닌 실제 공격 실행 단계에서 적극 활용하기 시작한 것으로 드러났다.
GTIG는 보고서에서 “과거 해커들이 AI를 문서 작성이나 피싱 이메일 생성 등 보조 용도로만 사용했다면, 이제는 악성코드의 코드 수정 및 탐지 회피 단계에서도 AI를 활용하고 있다”고 경고했다.
■ 실행 중 스스로 코드를 다시 쓰는 악성코드 등장
GTIG가 포착한 새로운 악성코드 ‘PROMPTFLUX’는 구글의 Gemini API를 호출해 자신의 소스코드를 실시간으로 재생성하거나 난독화한다. 즉, 보안 프로그램의 탐지를 피하기 위해 스스로 코드를 바꾸는 형태다.
이 악성코드는 시작 프로그램 폴더에 스스로를 저장하고, AI 응답을 이용해 감시 회피 기법을 계속 수정하는 특성을 보였다. GTIG는 이를 “향후 해킹 기술의 방향성을 보여주는 신호탄”이라고 평가했다.
비슷한 시기에 발견된 또 다른 악성코드 ‘PROMPTSTEAL’은 러시아계 해킹그룹 APT28(FROZENLAKE)이 실제 공격에 사용한 사례로, 허깅페이스(Hugging Face)의 AI 모델에 명령을 요청해 생성된 코드 한 줄로 시스템 정보를 탈취했다.
■ AI가 공격자의 ‘두뇌’로 진화
GTIG는 이번 보고서에서 인공지능을 직접 활용하는 악성코드 다섯 가지를 제시했다.
- FRUITSHELL: LLM 기반 보안 분석 회피 기능이 내장된 파워셸 악성코드
- PROMPTFLUX: Gemini를 통해 자기 난독화와 코드 재생성을 반복하는 실험형 악성코드
- PROMPTLOCK: AI가 생성한 스크립트로 데이터를 암호화하는 신종 랜섬웨어
- PROMPTSTEAL: AI가 생성한 명령을 실행해 시스템 정보와 파일을 탈취하는 데이터 수집형 악성코드
- QUIETVAULT: GitHub/NPM 계정 토큰을 AI로 탐색·탈취하는 공격 도구
— 구글 GTIG
■ AI 안전장치도 사회공학적으로 속인다
GTIG는 해커들이 AI의 보안 장치(가드레일)를 속이는 방법도 사용한다고 설명했다. 예를 들어 “악성코드를 만들어줘” 대신 “보안 연구용 코드 실험 중”이라 속여 요청하는 식이다.
이런 방식으로 AI 모델의 윤리적 제한을 우회하는 시도가 늘고 있으며, 러시아어·영어권 해킹 포럼에서는 AI 기반 해킹툴이 판매 또는 구독 형태로 확산되고 있다.
■ 북한·이란·중국 해커들도 AI 적극 활용
GTIG는 북한, 이란, 중국 등 국가 배후 해킹조직들이 이미 AI를 공격 전 과정에 활용하고 있다고 밝혔다. 피싱 이메일 생성부터 네트워크 탐색, C2 서버 설정, 데이터 유출까지 모든 단계에서 AI가 사용되고 있다.
특히 중국 해커들은 AI에게 AWS 접근법, 쿠버네티스 분석 명령, macOS 권한 획득 기법 등을 직접 묻는 등 고도화된 패턴을 보였다.
■ 이제는 ‘AI와 싸워야 하는 시대’
보안전문가들은 이번 GTIG 보고서가 “AI가 공격 엔진으로 진화하고 있다”는 현실을 보여준다고 평가했다.
- AI 호출 로그 추적 및 외부 LLM 통신 제한
- AI 생성 명령 실행 패턴 탐지
- 프롬프트 우회 시나리오 교육 포함
- 비밀정보·토큰 보호 정책 강화
- AI 제공업체와의 위협정보 공유
GTIG는 “AI는 더 이상 단순한 도구가 아니라 해커의 공격 엔진”이라며 “앞으로도 해커들의 AI 남용 사례를 지속적으로 모니터링하겠다”고 밝혔다.
'IT 소식 뉴스 > IT 소식' 카테고리의 다른 글
| KT, 펨토셀 해킹 공식 사과 및 피해 고객 지원 대책 발표 (2) | 2025.11.08 |
|---|---|
| KT 펨토셀 관리 부실로 개인정보 유출 및 소액결제 피해 발생 (0) | 2025.11.08 |
| 스캐터드 랩서스$ 헌터스(SLH) 결성 — 브랜드형 갈취 비즈니스와 랜섬웨어 카르텔 분석 (1) | 2025.11.07 |
| 젠5 RDSEED 결함(CVE-2025-62626) — 난수 0 반환 문제 분석 (1) | 2025.11.06 |
| 프롬프트 인젝션 확산 — 클로드·코파일럿·깃허브까지 번지는 LLM 공격 기법 (1) | 2025.11.06 |