딥시크 기반 에이전트, 취약 서버 자율 공격…실제 침해는 실패

Palo Alto Networks Unit 42 공식 위협분석에 따르면 중국어권 위협 행위자는 DeepSeek를 추론 엔진으로 연결한 오픈소스 Hermes Agent에 취약점 탐색과 표적 선정, 공격 코드 확보, 침투 시도를 맡겼다. 연구진이 복원한 자율 공격 세션에서는 실제 서버 침해에 성공하지 못했지만, 초기 지시 뒤 사람의 추가 개입 없이 공격 대상과 수법을 바꾸는 과정이 확인됐다.

행위자는 Telegram으로 Hermes Agent를 제어하고 인터넷 자산 검색 서비스 FOFA와 보안 스캐너 Nuclei를 연결했다. 에이전트에는 운영체제 명령 실행과 인터넷 접근 권한이 주어졌으며, 안전 확인을 생략하는 설정과 공격용 기술 묶음도 추가됐다. 이 구조에서 DeepSeek는 코드 생성과 취약점 평가, 표적 우선순위 판단을 담당했고 Hermes Agent는 터미널과 도구를 실제로 실행했다.

Unit 42가 확보한 5월 7일 세션에서 에이전트는 먼저 Langflow의 CVE-2026-33017을 노렸다. 공개된 공격 코드를 내려받고 FOFA에서 84개 인스턴스를 찾아 검사했으나, 자동 로그인이 꺼져 있거나 공개 플로 ID가 없어 공격 조건을 충족하지 못했다. 이후 에이전트는 더 넓은 공격 표면을 찾기 위해 10개 제품군과 공개 개념증명 코드를 비교한 뒤 n8n으로 표적을 바꿨다.

에이전트는 n8n의 임의 파일 읽기 취약점 CVE-2026-21858과 샌드박스 우회 취약점 CVE-2025-68613을 잇는 공격 코드를 확보했다. 취약 버전으로 보이는 인스턴스와 폼 엔드포인트를 찾았지만, 공격에 필요한 비인증 파일 업로드 폼은 발견하지 못했다. Unit 42는 복원된 자율 공격 구간에서 침해가 이뤄졌다는 증거가 없다고 밝혔다.

n8n 공식 보안 권고에 따르면 CVE-2026-21858은 1.121.0에서, CVE-2025-68613은 1.120.4에서 수정됐다. 자체 운영 환경은 최신 수정 버전으로 올리고, 외부에 노출된 폼과 인증 설정을 점검할 필요가 있다.

같은 행위자의 수동 공격에서는 실제 피해가 확인됐다. Unit 42는 Citrix NetScaler 취약점을 악용한 3개 조직의 정보 유출과 Marimo Notebook 인스턴스 11곳의 명령 실행을 확인했다고 밝혔다. 그러나 이들 사례는 Hermes Agent가 자율적으로 수행한 공격이 아니라 기존 도구와 스크립트를 이용한 별도 수동 작전이다.

공격 인프라는 에이전트의 실수로 드러났다. Hermes Agent가 격리된 작업 폴더가 아닌 사용자 홈 디렉터리에서 웹 서버를 열면서 API 키와 공격 스크립트, 표적 목록, 셸 기록, 자율 공격 로그가 외부에 노출됐다. 연구진은 이 자료를 토대로 공격 흐름과 도구 설정을 재구성했다.

이번 사례는 AI 모델 하나가 독립적으로 공격했다기보다, 강한 실행 권한과 외부 검색·스캐닝 도구를 연결한 에이전트 시스템이 공격 과정의 상당 부분을 자동화한 사례에 가깝다. 실제 침해 성공 여부와 별개로 표적 조사부터 공격 코드 선택, 실패 뒤 다른 취약점으로 전환하는 작업이 짧은 시간에 이어졌다는 점에서 방어 측의 탐지와 대응 속도도 더 중요해졌다.

출처: Palo Alto Networks Unit 42 공식 위협분석 https://unit42.paloaltonetworks.com/autonomous-ai-cyber-attack-campaign/
출처: n8n 공식 보안 권고 GHSA-v4pr-fm98-w9pg https://github.com/n8n-io/n8n/security/advisories/GHSA-v4pr-fm98-w9pg
출처: n8n 공식 보안 권고 GHSA-v98v-ff95-f3cp https://github.com/n8n-io/n8n/security/advisories/GHSA-v98v-ff95-f3cp