Google GTIG가 탐지한 AI 생성 제로데이 익스플로잇과 방어 설계

GTIG가 확인한 2FA 우회 제로데이

2026년 5월 11일, Google Threat Intelligence Group(GTIG)은 사이버 범죄 집단이 AI 모델을 이용해 오픈소스 웹 기반 시스템 관리 도구의 이중 인증(2FA) 우회 제로데이 취약점을 찾아내고 Python 익스플로잇을 만든 사실을 확인했다. 이는 산업계에서 공식적으로 탐지된 첫 AI 생성 제로데이 익스플로잇 실전 사례로 기록됐다.

공격 대상은 널리 사용되는 오픈소스 웹 기반 시스템 관리 도구였지만, 벤더명은 Responsible Disclosure 절차에 따라 공개되지 않았다. 결함은 인증 강제 로직에 남아 있던 하드코딩된 신뢰 예외가 개발자 의도와 실제 구현을 충돌시킨 고수준 의미론적 논리 결함(semantic logic flaw)이었다.

이 사례에서 AI는 보조 수단에 그치지 않았다. GTIG는 취약점 탐색과 익스플로잇 코드 생성에 AI 모델이 핵심적으로 관여했다고 코드 구조 분석을 통해 고신뢰도로 판단했으며, Gemini 모델의 사용은 아닌 것으로 봤다. 구글은 대량 익스플로잇 캠페인 이전에 이를 차단하고 영향을 받은 벤더와 패치를 조율했다.

CrowdStrike 2026 글로벌 위협 리포트는 AI 지원 적대 활동이 전년 대비 89% 증가했고, 제로데이 익스플로잇은 42% 증가했으며, eCrime 집단의 평균 브레이크아웃 타임은 29분으로 줄었다고 제시한다.

코드의 기능보다 생성 흔적을 보는 탐지 방식

GTIG의 식별 방법론은 코드가 무엇을 수행하는지보다, 코드가 어떤 구조적 아티팩트(structural artifact)를 남기는지에 주목한다. AI 모델이 학습 데이터에 포함된 패턴을 반복 재현하는 성질을 탐지 단서로 쓰는 접근이다.

교육 자료처럼 과도하게 붙은 docstring과 주석은 대표적인 신호다. 인간 공격자는 탐지 회피와 경량화를 위해 주석을 줄이는 경향이 있지만, AI 생성 코드는 비기능 영역까지 상세히 설명하는 형태를 보일 수 있다.

코드 주석에 존재하지 않는 CVSS 점수가 포함되는 현상도 중요하다. 문서화 과정에서 AI가 허구의 CVSS 점수를 만들어 넣는 할루시네이션(hallucination)은 AI 개입의 강한 증거가 될 수 있다. 변수명, 함수 구성, 오류 처리까지 교과서적인 Python 형식으로 나타나는지, 상세 help 메뉴와 ANSI 색상 클래스 같은 과도하게 사용자 친화적인 인터페이스가 있는지도 함께 살핀다. _C class처럼 정형화된 색상 처리 구조도 이 범주에 속한다.

이 방식은 정적 분석이나 행위 기반 탐지가 포착하기 어려운 코드 생성 기원(origin)을 분석 대상으로 끌어들인다.

의미론적 논리 결함으로 이어지는 LLM 활용

퍼저(Fuzzer)는 메모리 손상이나 크래시를 일으키는 입력을 찾는 데 적합하다. 코드가 정상 동작하면서도 개발자 의도와 다르게 작동하는 로직 결함은 이 방식만으로 찾기 어렵다. 정적 분석 역시 싱크(Sink)와 입력 검증 실패에는 강점이 있으나, 여러 코드 구간에 흩어진 의미론적 신뢰 예외까지 포괄하지 못할 수 있다.

LLM은 코드베이스의 맥락을 함께 다루면서 명세, 주석, 인터페이스 계약으로 드러난 의도와 구현 사이의 모순을 추론할 수 있다. 이번 2FA 우회도 인증 흐름 전체에 걸친 컨텍스트 추론이 필요한 유형이었다. 특정 조건에서 인증 강제 로직이 하드코딩된 신뢰 예외를 적용하면서 우회 경로가 생겼고, 단일 함수만 보는 분석으로는 발견하기 어려웠다.

GPT-4 기반 연구에서는 CVE 설명을 제공했을 때 원데이(1-day) 취약점의 87%에서 익스플로잇이 성공한 반면, CVE 정보가 없을 때 성공률은 7%였다. 취약점 어드바이저리 공개와 패치 적용 사이의 시간이 새로운 위험 창(window)이 된 이유다.

⤢✕

공격 단계를 분업하는 멀티에이전트 구조

Incalmo(Intelligent Cyberattack Layered Multi-agent Orchestrator)는 AI 기반 공격이 어떤 방식으로 분업될 수 있는지 보여준다. 이 아키텍처는 호스트 피벗이나 자격증명 덤프처럼 고수준으로 표현된 공격 의도를 전문화된 서브에이전트의 저수준 작업으로 옮기는 번역 계층(translation layer)을 둔다.

LLM 플래너(Planner Agent)는 목표를 설정하고 작업을 나눈다. 서브에이전트는 포트 스캐닝, 횡적 이동, 자격증명 수집, 데이터 유출 등 역할별로 특화되며, 오케스트레이션 레이어가 각 작업을 실행 가능한 명령으로 변환한다.

연구 결과에서 Incalmo는 40개 테스트 환경 중 37개에서 크리티컬 자산 획득에 성공했다. 소요 시간은 12분~54분, 비용은 $15 미만이었다. 숙련된 보안 엔지니어가 수일에서 수주에 걸쳐 수행하던 작업을 AI가 1시간 이내와 낮은 비용으로 수행할 수 있음을 보여주는 결과다.

⤢✕

북한 APT45는 85,000개 이상의 실제 CVE가 든 취약점 데이터베이스를 기반으로 인컨텍스트 학습(in-context learning)을 사용하며, OpenClaw·OneClaw 에이전트 도구와 의도적으로 구성한 취약 환경을 결합해 공격 체인을 자동화한다. 중국 UNC2814는 페르소나 기반 탈옥(persona-based jailbreak)과 wooyun-legacy 플러그인 같은 특화 취약점 저장소를 활용한다.

AI 생성 코드와 인간 제작 코드의 차이

기능적으로는 동등하거나 더 효과적일 수 있어도, AI 생성 익스플로잇은 구조적 특징에서 인간 제작 코드와 차이를 보인다.

비교 항목	AI 생성 익스플로잇	인간 제작 익스플로잇
코드 문서화	과도한 docstring, 상세 주석	최소화 또는 무주석
CVSS 참조	할루시네이션 생성 점수 포함	실제 CVE 기반 또는 미포함
코드 구조	교과서적, LLM 학습 데이터 패턴	불규칙, 실용적 최적화
UI 요소	상세 help 메뉴, ANSI 색상	기능 중심, 최소 인터페이스
개발 비용	$15 미만, 수 분~수 시간	수일~수주, 고가 인건비
취약점 유형	의미론적 논리 결함에 강점	메모리 손상·스택 오버플로우 등 다양
확장성	대규모 병렬 분석 가능	개인 역량 한계 존재
탐지 가능성	구조적 아티팩트로 식별 가능	전통 패턴 기반 탐지 어려움

Veracode 분석에서는 AI가 생성한 코드의 45%에서 보안 결함이 발견됐고, XSS 취약점 도입률은 86%에 달했다. AI가 익스플로잇을 개발하는 한편 AI 생성 코드 자체가 공격 표면이 되는 이중 위험이 생긴다.

DARPA AIxCC 프로그램의 AI 시스템은 수백만 줄 규모 실제 코드에서 합성 취약점의 86%를 식별했다. 학습 데이터에 없던 신규 결함도 찾았다는 점에서, 이 능력이 단순 암기보다 일반화(generalization)에 기반함을 보여준다.

공격과 방어가 맞물리는 지점

AI 무기화가 빨라질수록 방어 측도 AI 역량을 갖출 수밖에 없다. 가장 앞선 대응은 공격자보다 먼저 자체 코드베이스를 LLM으로 분석해 고수준 논리 결함을 닫는 일이다.

Anthropic 사례에서 Constitutional Classifiers는 모델 내부 활성화 값에 경량 프로브를 적용해 스크리닝하는 방식으로 탈옥 성공률을 86%에서 4.4%로 낮췄다. 다만 오케스트레이션 레이어, API 커넥터, 스킬 설정 파일은 여전히 취약점이 될 수 있다. 단일 계층 통제로 끝낼 수 없는 이유다.

멕시코 정부 기관을 대상으로 한 공격자는 약 1개월 동안 집요한 프롬프팅으로 Claude의 안전 가드레일 우회를 시도했다. 충분한 시간과 자원을 가진 위협 행위자가 모델 수준 안전장치를 점진적으로 우회할 수 있음을 시사한다.

⤢✕

패치 시간과 공격 표면에 생기는 변화

AI 기반 익스플로잇 개발은 공격 진입장벽을 낮춘다. 과거 숙련된 보안 연구원이 수일에서 수주에 걸쳐 하던 취약점 탐색과 익스플로잇 개발이 CVE 설명과 $15 미만의 API 비용으로 시간 내에 가능해졌다.

특히 2FA 구현을 포함한 웹 기반 관리 인터페이스와 하드코딩된 신뢰 예외를 가진 시스템이 우선 표적이 될 수 있다. CSA는 CVSS 8.0 이상 인터넷 노출 시스템에 시간 단위의 긴급 패치 타임라인 적용을 권고했다. 오픈소스 래퍼, API 커넥터, 스킬 설정 파일처럼 LLM 오케스트레이션 레이어를 통합한 시스템도 공급망 공격의 새 벡터가 된다.

o3 모델은 벤치마킹 과정에서 예상치 못한 부산물로 CVE-2025-37899 동시성 취약점을 발견했다. 공유 객체 생명주기와 잠금 의미론 관련 결함으로, 과제를 수행하는 과정에서 AI가 부수적으로 제로데이를 찾는 시나리오가 현실화된 사례다.

CVE 공개 후 대량 익스플로잇까지 걸리는 시간도 짧아진다. 과거에는 익스플로잇 코드 개발에 수주가 걸렸지만, AI 가속 환경에서는 시간 단위로 줄어들어 패치 관리의 긴박성이 커졌다.

운영 환경에서 우선할 방어 조치

단기적으로는 GTIG가 제시한 구조적 아티팩트 탐지를 위협 인텔리전스 워크플로우에 넣을 필요가 있다. 과도한 교육용 docstring, 허구 CVSS 점수, LLM 전형 코드 패턴을 시그니처로 운용해 AI 개입 코드를 초기에 식별한다.

공개 프로세스도 AI 가속 익스플로잇 개발 속도에 맞춰야 한다. 표준 공개 창(disclosure window)을 줄이고 벤더와 선제적으로 협업할 체계를 마련해야 한다. CSA는 CVSS 8.0 이상 인터넷 노출 시스템에서 기존 일~주 단위 대응을 시간 단위 패치 대응으로 전환할 것을 권고한다.

중장기적으로는 제로 트러스트 아키텍처(Zero Trust Architecture)가 AI 지원 멀티스테이지 공격에 대한 탄력성을 제공한다. 모든 접근 결정을 검증하고, 전체 트래픽을 기록하며, 횡적 이동을 제한하면 공격 체인의 각 단계에 차단 지점을 만들 수 있다.

AI 생성 코드에는 배포 파이프라인의 보안 스캔 게이트가 필요하다. Veracode 연구에서 AI 생성 코드의 45%에 보안 결함이 존재했기 때문이다. 오픈소스 래퍼 라이브러리, API 커넥터, 스킬 설정 파일을 포함한 오케스트레이션 레이어는 공급망 보안 감사를 강화하고, 간접 프롬프트 인젝션 패턴을 탐지하는 모니터링을 갖춰야 한다.

방어 측 LLM도 자체 코드베이스를 먼저 스캔해 공격자 LLM이 찾을 수 있는 고수준 논리 결함을 제거하는 데 활용할 수 있다. DARPA AIxCC 방법론의 조직 내부화는 그 접근의 구체적인 경로다.

보안 체계에서 다시 봐야 할 연결점

이번 사례는 DAST(Dynamic Application Security Testing)와 SAST(Static Application Security Testing)만으로는 의미론적 논리 결함을 충분히 다루기 어렵다는 점을 드러낸다. IAST(Interactive AST)와 AI 기반 코드 분석을 병행하는 보안 테스팅 방법론이 요구된다.

2FA 우회는 다중 인증 메커니즘의 구현 결함이며, 인증 강제 로직의 하드코딩된 신뢰 예외는 Confused Deputy 문제와 Time-of-Check to Time-of-Use(TOCTOU) 레이스 컨디션의 현대적 변형으로 이해할 수 있다.

위협 모델링에서는 STRIDE의 스푸핑(Spoofing)과 권한 상승(Elevation of Privilege)을 AI 기반 공격에 맞춰 다시 해석해야 한다. 멀티에이전트 오케스트레이션은 복합 위협 체인을 자동화한 구현이며, 공격 트리(Attack Tree)에 새 분기를 추가한다.

MITRE ATT&CK에서는 T1587.004(익스플로잇 개발), T1588.006(취약점 획득), T1027.016(정크 코드 삽입 난독화)에 매핑된다. MITRE ATLAS에서는 AML.T0016.002(생성형 AI 역량 획득), AML.T0102(악성 명령 생성)로 분류된다.

제로 트러스트에서는 암묵적 신뢰(implicit trust) 제거, 최소 권한 원칙, 지속적 검증(continuous verification)이 AI 지원 횡적 이동을 막는 핵심이 된다. AI 생성 코드의 45% 보안 결함 도입율과 오케스트레이션 레이어 위험은 SBOM 및 공급망 위험 관리의 범위도 확장한다.

2026년에 이어질 위협의 방향

AI는 기존 탐지 시그니처를 학습하고 이를 회피하는 변형 코드를 자동 생성하는 방향으로 고도화될 수 있다. MITRE ATT&CK T1027.016의 정크 코드 삽입 난독화는 AI가 자동 적용할 수 있는 기법이며, 시그니처 중심 방어의 유효성을 점진적으로 낮춘다.

2026년을 기점으로 eCrime 집단은 초기 AI 활용에서 생성형 모델을 산업 규모 워크플로우에 통합하는 단계로 전환하고 있다. Incalmo와 같은 멀티에이전트 구조가 정교해지면, 인간 개입 없이 공격 사이클을 완료하는 완전 자율 공격(fully autonomous attack)이 현실화될 가능성이 높다.

Constitutional Classifiers가 탈옥 성공률을 86%에서 4.4%로 낮춘 것은 방어 기술의 진전을 보여준다. 동시에 위협 행위자도 우회 기법을 계속 바꾼다. 안전장치 업데이트 주기와 위협 적응 속도의 격차가 핵심 변수가 된다.

현행 90일 표준 공개 창은 AI 가속 익스플로잇 개발 속도를 반영하지 못해 실질적 보호 효과를 잃고 있다. 취약점 공개에 AI 익스플로잇 가능성 평가를 포함하고, 고위험 취약점에는 단축된 타임라인을 적용하는 방향의 재편이 전망된다.

중국 UNC2814와 북한 APT45 같은 국가 지원 행위자가 AI 보조 취약점 발굴을 강화하는 상황에서, 프런티어 모델 접근 통제, AI 생성 익스플로잇 귀속(attribution) 방법론, AI 사이버 공격에 대한 국제법적 대응 체계는 국가 수준 과제가 됐다.