보안업체 갬빗, AI 에이전트 활용 전자상거래 침입 캠페인 포착…27곳 피해 확인

보안업체 갬빗시큐리티의 9월 22일 조사 보고서에 따르면, 한 공격자가 오픈소스 AI 에이전트 도구를 이용해 온라인 유통업체를 연쇄 공격한 정황이 포착됐다. 갬빗은 공격자 운영 서버를 분석해 9월 10~15일에만 105건의 공격 프로젝트가 시작됐고, 그 가운데 최소 27개 기업에서 정도가 다른 침해가 확인됐다고 밝혔다.

조사팀은 이 활동이 7월부터 이어졌으며 보고서 작성 당시에도 진행 중이었다고 설명했다. 공격자는 취약점 탐색에 Strix, 침투 실행에 Cairn, 전체 작업 지휘에 Hermes를 사용했다. 갬빗이 제시한 사례에서는 에이전트가 로그인 기능의 SQL 삽입 취약점에서 출발해 관리자 권한과 서버 접근권을 확보하고, 결제 데이터베이스까지 이동했다. 다만 모든 표적에서 같은 경로가 쓰인 것은 아니라고 보고서는 명시했다.

갬빗은 두 피해 기업에서 유출된 유효 신용카드 정보가 60만 건을 넘고, 다섯 개 쇼핑몰 사이트에는 카드 정보를 탈취하는 스키머 스크립트가 설치됐다고 밝혔다. 이 수치는 조사팀이 확보한 공격 서버 자료와 실제 사이트의 침해 흔적 등을 토대로 산정한 것이다. 일부 피해 주장은 공격 로그와 에이전트 기록에도 의존하므로, 전체 규모에는 오류나 누락이 있을 수 있다고 갬빗은 덧붙였다. 피해 기업의 신원은 보고서에 구체적으로 공개되지 않았다.

보고서 제목의 '표적당 25달러'는 모든 침입의 총비용이 아니다. 갬빗이 확인한 공격자의 비용 검토 자료에서 완료된 스캔 101건의 평균 비용은 25.46달러였다. AI 모델 호출에 사용된 전체 비용은 이보다 훨씬 컸다는 설명이다. 자동화가 공격 비용을 낮췄다는 분석과 별개로, 이 수치를 피해 기업 한 곳당 실제 침해 비용으로 일반화해서는 안 된다.

이번 사례는 AI 에이전트가 표적 탐색과 취약점 검증, 침투 이후의 작업까지 연결될 수 있음을 보여준다. 다만 공격 성과와 피해 규모는 현재 갬빗의 조사 결과이며, 모든 피해 기업의 독립적인 확인이 공개된 것은 아니다. 갬빗은 관련 기관 및 업계 파트너와 함께 피해 기업 통지와 공격 인프라 차단을 진행했다고 밝혔다.

출처: Gambit Security 조사 보고서 https://gambit.security/blog-posts/autonomous-ai-agents-online-retailers-25-a-company