FBI, AI 해킹도구 ARTEX 악용 경보…저장소 내려도 포크·상용판이 계속 돈다

미국 연방수사국(FBI)이 11월 13일(현지시각) 오픈소스 AI 침투 테스트 프레임워크 ARTEX가 해킹에 악용되고 있다는 FLASH 경보(FLASH-20261113-001)를 냈다. 자연어로 목표를 입력하면 AI 에이전트가 정찰부터 데이터 유출까지 알아서 수행하는 도구다. FBI는 일부 침입이 초기 표적화에서 특권 접근(높은 권한 확보)까지 3시간이 채 걸리지 않았다고 밝혔다.

ARTEX는 어떤 도구인가

FLASH 경보는 인터넷범죄신고센터(IC3)를 통해 공개됐고 제목은 ‘ARTEX 자율 침투 테스트 프레임워크 위협 개요’다. 누구나 제한 없이 공유할 수 있는 TLP:CLEAR 등급이다. 보안 매체 OODA Loop에 따르면 이 경보는 FBI 단독 문서이며 다른 미국 정부 기관이 공동 작성자로 올라 있지 않다. 내용은 애커마이·마이크로소프트·구글 위협 인텔리전스 그룹(GTIG)·크라우드스트라이크 등 11건의 공개 자료를 근거로 했다.

FBI 설명에 따르면 ARTEX는 Go 언어로 만든 멀티 에이전트(여러 AI가 역할을 나눠 작동하는) 플랫폼이다. 자연어로 적은 높은 수준의 목표를 기계 명령으로 바꿔 ‘특화 에이전트’들이 실행하며 목표 설정 이후 사람의 개입은 최소화된다. 자체 모델은 탑재하지 않고 외부 거대언어모델(LLM)과 연결한다. FBI가 꼽은 연동 대상은 클로드·GPT 같은 프런티어 모델과 딥시크·GLM·그록·키미 등 오픈소스 또는 중국계 모델이다.

공격자가 통제하는 인스턴스를 분석한 결과 중국계 모델이 가장 많았다. 특히 딥시크 플래시 계열이 두드러졌는데 FBI는 그 이유로 성능과 비용의 균형, 침투 테스트 명목으로 요청할 때 눈에 띄는 안전장치가 없다는 점을 들었다. 보도에 따르면 개발자 ‘Autumn-27’은 7월 ARTEX를 깃허브에 공개했고 10주 안에 별점 1,500~2,000개를 받은 것으로 추정된다.

3시간 만에 특권 접근…기계 속도의 침투

FBI는 최소 8월부터 다양한 악성 행위자가 ARTEX로 전 세계 조직을 공격했다고 밝혔다. 피해 업종은 금융, 정부, 기술, 국방, 반도체, 에너지, 의료, 제조, 통신, 법률 분야다. 마이크로소프트를 인용한 FBI는 일부 침입이 초기 표적화에서 특권 접근까지 3시간 미만이 걸렸다고 적었다. 사이버시큐리티 뉴스는 이 수치가 관찰된 일부 사례일 뿐 고정된 능력치는 아니라고 짚었다.

속도를 보여주는 사례도 여럿이다. 글리치와이어에 따르면 크라우드스트라이크는 ‘VAPOR PANDA’로 추적하는 중국 연계 행위자가 10월 17일부터 11일 동안 14개국 200곳 넘는 조직을 노렸다고 밝혔다. 이 캠페인에서 ARTEX 컨트롤러 하나가 입력 토큰 14억 개 이상을 소비했다. 크라우드스트라이크는 10월 29일 보고서에서 “단일 침입에서 사람 운영자가 지휘하는 다중 동시 작전으로의 확대”라고 평가했다.

마이크로소프트가 확인한 한 사례에서는 AI 에이전트가 깃허브에서 노출된 비밀 값을 찾는 단계부터 애저 키 볼트(Azure Key Vault) 데이터를 빼내는 단계까지 5분이 걸렸다. 구글은 자동화된 개별 작업이 2~25초 단위로 이어지는 것을 관찰했다. 방어자가 연결된 사건을 파악할 시간이 거의 없다는 뜻이다.

한국 금융권과 ConnectWise 공급망 사고

FBI는 한국 금융기관을 겨냥한 금전 목적의 공격으로 약 6만7천 명의 개인정보가 유출됐다고 밝혔다. 사이버시큐리티 뉴스에 따르면 연구자들이 한국 금융권 공격과 연계된 운영자의 노출 서버를 조사해 보니 AI 라우팅 도구, 재사용 지침, 프록시 서비스, 저장된 자격증명이 나왔다. OODA Loop은 ARTEX 악용 첫 보고가 10월 초 한국 은행 대상 사례였다고 정리했다.

공급망 공격도 있었다. FBI는 마이크로소프트 보고를 인용해 ConnectWise 클라우드 백업 침해로 하위 테넌트(고객 환경) 2,250곳 이상에 접근할 수 있었다고 적었다. 마이크로소프트는 이를 ‘Storm-0940’이라는 그룹과 연결했다. 다만 사이버시큐리티 뉴스는 이 숫자가 확인된 침해가 아니라 표적이 된 규모를 뜻하며 로그인 성공만으로 고객 데이터 탈취가 입증되는 것은 아니라고 단서를 달았다.

신원 인증 업체 워크OS의 사례도 소개됐다. 사이버시큐리티 뉴스에 따르면 이 회사는 고객 연락처와 슬랙 발췌 등이 담긴 영업용 애플리케이션에 무단 접근이 있었다고 보고했다. 최고경영자는 ARTEX 관여를 지목했지만 운영 서비스나 애플리케이션 데이터가 영향을 받았다는 증거는 없다고 했다. 같은 매체는 ARTEX를 쓴다는 공통점만으로 이 공격자와 Storm-0940, 한국 금융권 공격 운영자가 서로 연결됐다고 볼 수는 없다고 덧붙였다.

코드를 내려도 막지 못했다

개발자는 한국 은행 공격에 쓰였다는 보고가 나온 뒤인 10월 8일 저장소를 내렸다. 글리치와이어에 따르면 삭제 전 그는 “도구가 악용된 점을 고려해 ARTEX 프로젝트는 더 이상 업데이트하지 않으며 비공개 소스로 전환한다”고 적었다. 하지만 포크(복제본), 현지화 버전, 보관본과 상용 버전 ARTEX PRO가 계속 돌고 있다. 연구자들은 11월 초 공개 노출된 ARTEX 콘솔을 1,600개 넘게 확인했고 FBI는 실제 배포 규모가 상당히 더 클 가능성이 높다고 봤다. 사이버시큐리티 뉴스는 노출된 설치본이 곧바로 운영자의 악용을 증명하지는 않는다고 짚었다.

FBI가 지목한 취약 지점은 외곽 시스템이다. 파트너·공급업체 포털, 모바일 백엔드, 직원용 앱, 영업 지원 시스템, 레거시 서비스, 클라우드 관리 엔드포인트 등이다. 서명되지 않은 SAML 어서션, XXE, SSRF, SQL 인젝션, 웹 API 인증 누락 같은 알려진 약점을 이어 붙여 침투했다. 침입 후에는 웹셸 설치, 기존 OAuth 앱에 자격증명 추가, 케르베로스팅을 시도했고 활성 디렉터리 객체 11만 개 이상을 열거했다. 패스 더 해시 시도는 엔드포인트 보호 솔루션이 차단했다.

FBI가 요구한 대응

FBI의 최우선 권고는 인터넷에 노출된 모든 애플리케이션, 특히 주변부 시스템의 목록을 만들어 외부 공격면을 줄이라는 것이다. 클라우드 관리, 네트워크 장비 관리, Kudu/SCM 게시 엔드포인트는 신뢰 네트워크로 제한하라고 했다. 다중 테넌트 앱의 권한과 동의 부여에는 최소 권한 원칙을 적용하고 자격증명 추가와 권한 부여를 모니터링하라는 권고도 있다.

고영향 API에는 호출 제한을 걸고 파트너·직원 포털에서 순차 조회나 세션당 비정상적 레코드 수를 경보로 잡으라고 했다. 설정·저장소·컨테이너 이미지·파이프라인에서 내장된 비밀 값을 찾아 노출분을 교체하는 것도 포함된다. 글리치와이어에 따르면 LLM API 엔드포인트로 나가는 연결과 토큰 소비 이상도 감시 대상이다.

사고가 나면 로그인·감사 기록을 보존하되 긴급 차단을 늦추지 말라는 것이 지침이다. 침해 지표는 클라우드 주소가 정상 서비스로 재할당될 수 있으므로 차단 전에 검증하라고 했다. 의심 활동은 현지 FBI 지부나 IC3에 신고할 수 있으며 ARTEX 설정 파일, 콘솔 화면 캡처, 서비스 프린시펄 로그인 로그가 유용한 자료로 꼽혔다.