에이전트 프레임워크가 첫 침투 지점이 되는 이유
보안업체 Sysdig가 7월 1일 공개한 JadePuffer 캠페인은 오픈소스 로우코드 에이전트 빌더 Langflow의 CVE-2025-3248(코드 검증 엔드포인트 미인증 결함)로 원격 코드 실행 권한을 얻는 데서 출발했습니다. 이 지점부터 자율 에이전트가 정찰, 자격증명 탈취, 수평 이동, 권한 상승, 데이터 암호화까지 사람 개입 없이 이어갔고, 프로덕션 서버의 Nacos 서비스 설정 항목 1,342개를 암호화한 뒤 원본을 삭제했습니다. 사내 실험용으로 급히 띄운 에이전트 빌더·오케스트레이션 도구가 인터넷에 노출된 채 방치되면, 그 자체가 조직의 첫 침투 지점이 된다는 사실을 이 사건이 구체적 숫자로 보여줍니다.
사람 속도 대응과 31초 재시도의 격차
연구진에 따르면 JadePuffer는 로그인 실패 이후 31초 만에 우회 경로를 찾아 재시도했고, 이런 식으로 600건이 넘는 개별 페이로드를 목적에 맞춰 실행했습니다. 사람이 알림을 확인하고 티켓을 열어 대응을 시작하는 데 걸리는 시간과 공격자의 적응 주기(초 단위) 사이의 격차가 이번 사건에서 방어 실패의 실질적 원인이었습니다. Sysdig가 이 사건에 붙인 "에이전트형 위협 행위자(agentic threat actor)"라는 용어는, 방어선의 기준 시계를 사람이 아니라 알고리즘의 속도에 맞춰 다시 그어야 한다는 뜻입니다.
노출에서 격리까지: 에이전트 인프라 랜섬웨어 대응 체크리스트
목표 지표부터 수치로 고정합니다. 인터넷에 노출된 에이전트 빌더·MCP 서버·내부 오케스트레이션 도구는 CVE 공표 후 24시간 이내 패치 또는 접근 차단을 기준으로 삼고, 발급 자격증명은 TTL 15분 이하의 단기 토큰으로 제한합니다. 이상 행동 탐지부터 자동 격리까지 걸리는 시간은 5분 이내를 기준선으로 둬야, 초 단위로 재시도하는 공격 주기를 따라잡을 여지가 생깁니다.
실패 패턴은 세 갈래로 반복됩니다. 첫째, 사내 실험용 로우코드 빌더를 자산 인벤토리에 등록하지 않아 패치 대상에서 누락되는 경우입니다. 둘째, 에이전트에 발급한 자격증명이 장기 유효 토큰이라 탈취 이후에도 몇 주씩 살아남는 경우입니다. 셋째, 이상 행동 탐지 규칙을 사람이 만든 공격 패턴 기준으로만 설계해, 자연어 추론과 주석이 섞인 LLM 생성 페이로드를 정상 트래픽으로 분류하는 경우입니다.
여기에 공격 비용 구조까지 겹칩니다. 훔친 API 크리덴셜로 타사 모델을 무단 사용하는 LLMjacking을 함께 쓰면, 공격자의 실행 비용은 사실상 0에 가까워집니다. "공격에는 숙련된 인력이 필요하다"는 기존 방어 전제가 무너진 셈이라, 침해 대응 계획도 저숙련·고빈도 공격을 기본 시나리오로 다시 짜야 합니다.
탐지 이후에는 사람 승인을 기다리지 않고 해당 자격증명과 네트워크 세그먼트부터 격리하는 자동 플레이북이 필요합니다. 짧은 시간 내 반복 로그인 실패 후 성공, 비정상 시간대의 대량 설정값 변경 같은 격리 트리거를 사전에 정의해 두고, 격리가 발동되면 해당 세션의 전체 행동 로그를 사고 대응팀에 자동 전달해야 합니다.
배포 전 점검 항목도 구체화합니다. 인터넷 노출 자산 스캔을 배포 파이프라인에 포함해 CVE 데이터베이스와 상시 대조하고, 에이전트 실행 환경의 아웃바운드 연결은 허용 목록 기반으로 제한합니다. 프로덕션 데이터베이스 곳곳에 카나리 자격증명(허니토큰)을 심어 두면, 정상 업무로는 쓰일 이유가 없는 자격증명이 사용되는 순간을 탐지 신호로 확보할 수 있습니다.
사고 이후에는 이번에 놓친 탐지 규칙과 패치 지연 원인을 노출 자산 인벤토리에 반영합니다. 월별로 노출 자산 스캔 커버리지를 집계해 100%에 못 미치는 영역을 우선순위로 올려두면, 사고가 터진 뒤에야 자산 목록을 파악하는 상황을 막을 수 있습니다.
오늘 점검할 항목
JadePuffer가 남긴 교훈은 방어 대상이 늘었다는 경고가 아니라 시계가 바뀌었다는 신호입니다. 노출 자산 패치 SLA 24시간, 자격증명 TTL 15분, 탐지·격리 지연 5분이라는 세 숫자를 먼저 세우고, 자동 격리 플레이북과 허니토큰 탐지 신호를 갖춰야 초 단위로 재시도하는 자율 공격자를 사람 속도가 아닌 시스템 속도로 맞상대할 수 있습니다.
참고 링크
JADEPUFFER: Agentic ransomware for automated database extortion — Sysdig
AI Agent Exploits Langflow RCE to Automate Database Ransomware Attack — The Hacker News