CVE-2026-39987 악용과 LLM 에이전트 클라우드 자격증명 탈취 분석

Marimo WebSocket 결함이 클라우드 환경으로 이어지는 경로

CVE-2026-39987은 오픈소스 리액티브 노트북 프레임워크 Marimo의 네트워크 레이어에서 발견된 원격 코드 실행(RCE) 취약점이다. Marimo는 데이터 사이언스와 ML 연구 환경에서 사용되며, 클라우드 기반 AI 연구 인프라와 연결되는 특성 때문에 공격 표면이 될 수 있다.

문제는 Marimo 서버가 WebSocket 핸드셰이크를 처리하는 과정의 역직렬화 결함으로 설명된다. 공격자는 특수 제작한 WebSocket 패킷으로 서버에서 임의 코드를 실행하고, 인증 없이 호스트 환경 변수에 접근할 수 있다. 클라우드 환경에서는 AWS IAM 토큰, GCP 서비스 계정 키, Azure 관리 자격증명 등이 환경 변수에 저장되는 경우가 있다.

Google 보안팀 분석에 따르면 공격자는 공개 AI 연구 서버를 자동 스캐닝해 Marimo 인스턴스를 찾고 CVE-2026-39987을 트리거하는 과정을 AI 에이전트에 맡겼다. 인간이 작성한 스크립트를 실행하는 기존 자동화와 달리, 이 사례에서는 LLM이 취약점 정보를 해석한 뒤 익스플로잇 코드를 생성하고 실행했다는 점이 핵심이다.

침투 이후 에이전트가 수행한 자격증명 수집 흐름

초기 접근 뒤 에이전트는 환경 정찰부터 권한 확대까지 이어지는 작업을 수행했다. 먼저 env, printenv, cloud provider metadata API(169.254.169.254)를 차례로 호출해 클라우드 환경 여부와 이용 가능한 자격증명 유형을 확인했다. 원본 분석에서는 이 정찰이 수십 밀리초 단위로 이뤄졌고, 인간 공격자가 수십 분 동안 하던 작업을 크게 단축했다고 설명한다.

발견한 자격증명은 즉시 유효성을 확인하고 권한 범위를 조사했다. AWS에서는 sts:GetCallerIdentity, GCP에서는 oauth2:tokeninfo 엔드포인트를 호출해 토큰 상태와 연결된 권한 정책을 확인했다.

그 뒤 S3 버킷 목록 조회, IAM 역할 열거, Secrets Manager 접근처럼 수집한 자격증명을 이용한 권한 확대가 이어졌다. 에이전트는 CloudTrail 로그를 피하기 위해 API 호출 빈도를 조절하고 정상 트래픽과 비슷한 패턴을 유지하는 행동을 보였다.

⤢✕

API 호출의 순서와 속도로 이상 행위를 찾는다

LLM 에이전트의 사후 침해 활동은 시그니처만으로 가려내기 어렵다. Google이 공개한 탐지 방법론은 API 호출 시퀀스의 통계적 이상을 중심에 둔다.

인간 공격자는 API 호출 사이에 수 초에서 수십 초의 불규칙한 간격을 남길 수 있다. 반면 LLM 에이전트는 LLM 추론 시간에 따른 일정한 처리 지연 뒤 연속 호출을 수행한다. 정찰, 수집, 확대도 논리적인 순서로 연결되며, 인간이 반복하거나 순서를 잘못 잡으며 남기는 시행착오가 거의 없다는 차이가 있다.

탐지에 사용할 수 있는 지표는 다음과 같다.

정상 세션 대비 5배 이상의 API 호출 속도
List → Describe → Get으로 이어지는 열거형 API 호출의 자동화된 반복
업무 외 시간대에 발생하는 고빈도 API 접근
기존 접근 위치와 다른 출발지 IP
CloudTrail에서 AssumeRole 직후 외부 IP 호출처럼 자격증명 접근 뒤 외부 전송을 시도하는 행위

⤢✕

특히 주의할 패턴은 의도성을 가진 정찰이다. 무작위 스캐닝과 달리 에이전트는 앞 단계에서 얻은 정보를 다음 행동의 근거로 삼는다. 따라서 API 호출을 노드로, 호출 간 데이터 흐름을 엣지로 모델링하면 목표 지향적이고 점진적으로 권한을 넓히는 흐름을 분석할 수 있다.

AI 생성 익스플로잇 코드에서 찾을 수 있는 흔적

CVE-2026-39987 사례에서 발견된 익스플로잇 코드에는 AI 생성 여부를 판별하는 데 활용할 수 있는 지문이 제시됐다.

각 단계에 상세 설명이 붙는 과도한 주석 밀도와, 자연어와 코드가 균일하게 섞인 패턴
a, b, tmp 대신 credential_extractor, auth_token_validator처럼 의미가 분명한 변수명
API 호출마다 일관되게 포함되는 try-catch 블록과 재시도 로직
복잡한 익스플로잇도 함수 단위로 분리하고 단일 책임 원칙을 따르는 모듈화 구조
특정 LLM 모델의 토크나이저 특성에서 비롯될 수 있는 문자열 처리와 바이트 조작 패턴

코드 패턴 분류기는 수집한 악성 코드를 정적으로 분석해 AI 생성 여부를 판별한다. 원본의 구성에서는 AI 생성 코드와 인간 작성 코드 데이터셋으로 파인튜닝한 BERT 계열 모델을 사용하고, 어휘 다양성 지수, 제어 흐름 복잡도, 주석 밀도를 추가 피처로 활용한다.

탐지 결과는 기존 CVE 데이터베이스와 MITRE ATT&CK 프레임워크에 연결할 수 있다. CVE-2026-39987에서는 초기 접근이 T1190(공개 애플리케이션 익스플로잇), 자격증명 탈취가 T1552(비밀 위치의 자격증명)에 대응한다.

자동 차단 계층은 식별된 익스플로잇 시그니처를 WAF 규칙, IPS 시그니처, 네트워크 방화벽 정책에 반영한다. AI 생성 코드라는 판정에 높은 신뢰도가 부여되면 수동 검토 없이 격리 조치가 실행된다.

공격 자동화가 짧게 만든 대응 시간

숙련된 인간 공격자가 초기 침투부터 자격증명 탈취와 C2 서버 전송까지 마치는 데 평균 2-4시간이 걸린다면, LLM 에이전트는 같은 작업을 수 분 이내에 완료할 수 있다. SOC가 알람을 인지하고 분석하는 시간이 공격 목표 달성 뒤에 놓일 수 있다는 뜻이다.

클라우드 자격증명 탈취는 단순한 서버 침해보다 더 넓은 범위로 번질 수 있다. IAM 권한이 있는 자격증명은 멀티리전 리소스 접근, 새 IAM 사용자 생성, S3 버킷 전체 열람으로 이어질 수 있다. LLM 에이전트는 이런 권한 확대 경로를 체계적으로 탐색하고 활용할 수 있다.

방어 측에서는 지속적으로 IAM 권한을 검토하는 에이전트를 운영해 최소 권한 원칙을 위반하는 과도한 권한 부여를 탐지·수정하는 방안이 제시된다. 탈취된 자격증명으로 가능한 횡적 이동 범위를 미리 줄이는 역할이다.

정적인 정책 기반 접근 제어만으로는 부족하다. 실시간 행동 분석으로 접근 권한을 조정하고, 비정상 API 호출이 감지되면 해당 세션의 권한을 축소하거나 추가 인증을 요구하는 제로 트러스트 체계가 필요하다.

새 CVE에 대한 AI 생성 익스플로잇 코드가 다크웹과 해킹 포럼에 등장하는지도 위협 인텔리전스 에이전트로 감시할 수 있다. 취약점 정보 공개 후 AI 에이전트가 익스플로잇을 만드는 데 수 시간밖에 걸리지 않으므로, 패치 배포 전 임시 완화 조치를 자동 적용하는 체계가 요구된다.

향후에는 취약점 스캔, 익스플로잇 실행, 자격증명 탈취와 데이터 유출을 서로 다른 에이전트가 맡는 멀티 에이전트 공격 체계가 등장할 수 있다. 이 경우 탐지 복잡성은 지수적으로 증가한다. 방어 역시 수동 SOC 분석가 중심에서 AI 에이전트가 탐지·분석·격리·복구를 수행하는 자율 방어 체계로 옮겨갈 수 있으며, 에이전트 판단을 어디까지 신뢰하고 어떤 자율 실행 권한을 줄지에 대한 거버넌스가 남는다.

Sources

Google Project Zero Blog — "First AI-Generated Zero-Day Exploit Detected in the Wild" (2026)
NIST NVD — CVE-2026-39987 Detail: Marimo WebSocket Deserialization RCE
MITRE ATT&CK — T1190 (Exploit Public-Facing Application), T1552 (Unsecured Credentials)
Google Cloud Security Blog — "Detecting LLM Agent Post-Breach Activity in Cloud Environments" (2026)
Marimo Project Security Advisory — GHSA-xxxx-xxxx-xxxx (2026)
AWS Security Blog — "Responding to AI-Driven Credential Abuse in IAM" (2026)
CISA — "AI-Enabled Cyber Threats: 2026 Threat Landscape Report"
Microsoft Security Intelligence — "The Rise of Autonomous AI Attackers" (2026)